Soy mentalista en actividad. También doy sesiones corporativas sobre ingeniería social y vulnerabilidad cognitiva, y conferencias sobre comunicación y toma de decisiones que usan el mismo material.
La gente asume que el mentalismo es el gancho y el contenido de seguridad es la sustancia. Es más bien al revés.
El mismo mecanismo, distinta intención
Un efecto de mentalismo no suele funcionar por tecnología escondida. Funciona porque la atención es un recurso limitado que se puede dirigir, porque la memoria reconstruye en vez de reproducir, y porque las personas se comprometen con la primera explicación plausible y dejan de buscar una segunda.
Un ataque de ingeniería social funciona exactamente por esas razones. El pretexto es plausible, la urgencia angosta la atención, y el objetivo llega a la primera explicación que encaja y actúa sobre ella. No se rompió nada. Todo funcionó como fue diseñado. El diseño solo incluye a una persona.
Por eso las sesiones pegan. No estoy usando la magia como metáfora de la manipulación. Estoy demostrando el mecanismo real sobre la audiencia real, y después explicando qué acaba de pasarles.
Por qué demostrar le gana a advertir
La capacitación estándar de concientización le dice a la gente que tenga cuidado y le muestra un correo de phishing con una falta de ortografía. Todos asienten. Todos creen que lo habrían detectado. Después llega el intento real, sin faltas de ortografía, un viernes a las cuatro de la tarde, desde un nombre que reconocen.
La brecha no es de conocimiento. Es que nadie cree que a él le funcionaría.
Esa brecha no se cierra con una diapositiva. Se cierra haciéndoselo, en una sala, sin nada en juego, y dejando que sientan la sensación específica de haber estado seguros y equivocados. Esa sensación es toda la capacitación. Lo que viene después es detalle.
Qué cambió en mi forma de construir
Dos cosas se trasladaron al trabajo de desarrollo.
La fricción es una decisión de diseño con consecuencias de seguridad. Cada paso que sacás hace el flujo más cómodo para el usuario y para el atacante. La pregunta interesante nunca es cómo eliminar toda la fricción, sino qué único momento merece ser lento a propósito.
Los usuarios no leen. No por descuidados, sino porque leer todo no es una estrategia viable para alguien que tiene un trabajo. Escanean buscando la forma de lo que esperan. Si tu advertencia se parece a los doce avisos descartables anteriores, es decoración. Las interfaces se confían por patrón y no por contenido, que es precisamente con lo que cuenta el atacante.
La salvedad honesta
No soy ingeniero de seguridad. No hago pentesting, no audito infraestructura, y no reclamaría ninguna de las dos cosas.
Lo que hago es la capa humana, que es la que falla con más constancia y la que peor resuelve la mayoría de las capacitaciones. Es algo poco común de tener en un CV de desarrollador, y es la parte de mi trabajo que más cambia cómo pienso todo el resto.