Tarjetas de regalo, regalos y amigos secretos: cómo la ingeniería social navideña ataca a tu empresa desde dentro

Durante las fiestas, los lugares de trabajo se llenan de intercambios de regalos, rifas y mensajes de "Amigo Secreto". Es un momento positivo para la mayoría de los equipos, y una excelente oportunidad para los atacantes.

En 2025, la ingeniería social y el compromiso de correo electrónico empresarial (BEC) siguen siendo algunos de los tipos de ataque más dañinos. Actualmente, el BEC representa aproximadamente un tercio de los incidentes observados en muchos entornos, y los ataques siguen creciendo en volumen y coste. Las estafas con tarjetas de regalo y la suplantación de identidad interna (especialmente de ejecutivos) siguen estando entre los métodos más comunes de cobro y manipulación.

Este artículo explica cómo funcionan estos ataques en un entorno moderno potenciado por IA, por qué la gente todavía cae en ellos, cómo un solo error "personal" puede convertirse en una violación organizacional y qué se puede hacer al respecto.

¿Qué es la ingeniería social?

La ingeniería social se da cuando los atacantes explotan a las personas en lugar de atacar directamente la tecnología. En lugar de "hackear un firewall", ellos:

• Hacerse pasar por alguien de confianza (director ejecutivo, RR. HH., gerente, colega)

• Utilice la urgencia, el secretismo o la buena voluntad para presionarlo.

• Engañarlo para que haga clic, pague o comparta datos confidenciales

Los datos lo respaldan: informes recientes muestran que entre el 60 % y el 68 % de las brechas de seguridad se deben al factor humano, errores, phishing o robo de credenciales. El phishing y el pretexto (historias falsas para manipular a la gente) siguen siendo los principales vectores de ataque iniciales en los principales conjuntos de datos de brechas de seguridad.

Cómo funcionan ahora las estafas de tarjetas de regalo navideñas y del "Amigo secreto"

El fraude con tarjetas de regalo y tarjetas prepago sigue siendo muy atractivo para los atacantes hoy en día debido a su rapidez, dificultad para rastrear y facilidad para revenderlas. Estudios globales recientes muestran que las tarjetas de regalo siguen siendo uno de los principales métodos de cobro en las estafas de BEC.

Una estafa típica de la temporada navideña se ve así:

1. Suplantación de autoridad o RRHH

   • El atacante falsifica o compromete un correo electrónico, una cuenta de Teams/Slack o incluso un hilo de SMS.

   • Se hacen pasar por el director ejecutivo, un alto directivo o el departamento de Recursos Humanos que gestiona una recompensa de vacaciones o una iniciativa benéfica.

2. Urgencia y secretismo

   • “Necesito estas tarjetas de regalo urgentemente para un programa de bonificación/cliente”.

   • “Esto es una sorpresa; no se lo digas a nadie todavía”.

   • “Estoy en reuniones todo el día, solo ocúpate de esto ahora”.

3. Compra de tarjetas de regalo y recolección de códigos

   • Se le pide al empleado que compre varias tarjetas (Amazon, Apple, Visa prepago, etc.).

   • Se les pide que raspen las tarjetas y envíen fotos o códigos por correo electrónico, mensaje de texto o chat.

   • Una vez enviados, los atacantes revenden o lavan rápidamente el valor.

4. Giro festivo

   • Enmarcados como obsequios de amigo secreto, bonificaciones de fin de año, obsequios para clientes o donaciones a organizaciones benéficas.

   • La historia coincide con la cultura interna real y el momento actual, lo que la hace parecer plausible.

Los atacantes también están utilizando correos electrónicos con temas festivos pulidos y contenido generado por IA, lo que hace que los mensajes parezcan más profesionales y más difíciles de distinguir de las comunicaciones legítimas de la empresa.

Sorteos internos, encuestas y canales falsos

Más allá de las tarjetas de regalo, los atacantes copian estilos y herramientas de comunicación interna:

• Encuestas internas falsas o sorteos

  “Participe en nuestro sorteo de vacaciones completando este formulario rápido” → conduce a una página de robo de credenciales.

• Mensajes falsificados de RR.HH. o nómina

  “Actualiza tus datos bancarios para recibir tu bono de fin de año” → apunta a un portal falso.

• Grupos similares de Teams, Slack y WhatsApp

  “Únete al canal Secret Santa del personal” → el enlace de invitación oculta páginas de malware o phishing.

Estos ataques híbridos de ingeniería social buscan robar credenciales, no solo dinero. Actualmente, más de la mitad de las brechas de seguridad utilizan inicios de sesión robados y se encuentran entre los más difíciles de detectar, ya que a menudo tardan meses en identificarse.

Una vez que los atacantes controlan una cuenta interna, cada correo electrónico o chat enviado desde ella parece confiable para los demás empleados.

Por qué la gente todavía cae en la trampa: la psicología en 2025

La psicología humana no ha cambiado, incluso cuando los ataques se vuelven más sofisticados y controlados por IA:

• Autoridad – “El director ejecutivo me lo pidió. No debería negarme.”

• Urgencia – “Lo necesitan ahora; arreglaré los detalles más tarde”.

• Buena voluntad y pertenencia : “Es bueno que hagan esto por el equipo; ayudaré”.

• Exceso de confianza : muchos empleados creen que pueden detectar el phishing, pero admiten que responderían si pareciera provenir de alguien que conocen.

El personal más joven y con mayor presencia en línea (millennials, generación Z) a menudo se siente seguro con la tecnología, pero las encuestas de 2025 muestran que es más probable que respondan a mensajes sospechosos de aspecto interno sin verificación.

Cómo un error “personal” se convierte en un incidente organizacional

Es tentador ver un solo clic o la compra de una tarjeta de regalo como un pequeño error personal. En realidad, esa acción puede desencadenar un incidente grave con consecuencias duraderas.

1. Robo de cuentas → phishing interno

Si la misma estafa o una relacionada captura credenciales o tokens de sesión:

• Los atacantes inician sesión como empleados y comienzan a enviar correos electrónicos o mensajes más específicos a finanzas, recursos humanos o liderazgo.

• Es mucho más probable que se confíe en estos correos electrónicos internos y se actúe en consecuencia.

2. Acceso a los datos y exposición regulatoria

Una vez dentro:

• Los atacantes buscan en buzones de correo y unidades compartidas palabras clave confidenciales (nóminas, contratos, datos de clientes, contraseñas).

• Pueden filtrar datos personales, datos financieros y documentos confidenciales.

Esto puede provocar:

• Obligaciones de información reglamentaria

• Costos de notificación y honorarios legales

• Problemas contractuales con clientes que esperan una seguridad sólida

3. Fraude financiero y BEC

Las cuentas comprometidas se utilizan a menudo para:

• Cambiar datos bancarios del proveedor o de la nómina

• Enviar solicitudes de “pago urgente” a finanzas

• Aprobar facturas falsas o transferencias bancarias

Las pérdidas de BEC siguen siendo de miles de millones a nivel mundial, y el fraude de los directores ejecutivos (hacerse pasar por altos directivos para impulsar pagos o transferencias de datos) es un patrón dominante en 2025.

4. Impacto reputacional y personal

• Los clientes y socios que reciben correos electrónicos fraudulentos pueden perder la confianza en su marca.

• Los empleados que han sido engañados a menudo experimentan culpa y estrés, aunque la causa principal suele ser una formación y unos controles insuficientes.

Si bien la acción inicial (hacer clic, comprar una tarjeta de regalo, ingresar una contraseña) parece personal, el impacto es organizacional.

Qué deben hacer las organizaciones antes y durante las vacaciones

1. Establezca reglas claras y escritas sobre el dinero, las tarjetas de regalo y los cambios.

• Los ejecutivos y gerentes nunca deben solicitar tarjetas de regalo, pagos o cambios bancarios únicamente por correo electrónico, SMS o chat.

• Requerir doble aprobación para compras de tarjetas de regalo y para cualquier cambio en los detalles bancarios de proveedores o nóminas.

• Comunique una regla sencilla al personal:

Si una solicitud es urgente, secreta y se trata de dinero o credenciales, verifíquela a través de otro canal.

2. Impartir una formación de concienciación sobre seguridad realista y centrada

• Incluya estafas de estilo interno (RR.HH. falsos, CEO falso, canales de Teams falsos), no solo phishing externo genérico.

• Utilice ejemplos actuales de ataques con temas festivos: bonificaciones falsas, campañas de caridad, estafas de entrega y solicitudes de tarjetas de regalo.

• Enfatiza que cualquiera puede ser engañado y que informar rápidamente es un éxito, no un fracaso.

3. Haga que la elaboración de informes sea sencilla y segura

• Proporcionar un botón “Informar de phishing” con un solo clic en el cliente de correo electrónico.

• Ofrece formas claras de denunciar mensajes sospechosos en Teams/Slack u otras herramientas.

• Reforzarse:

  • Se recomienda informar incluso después de hacer clic o abrir.

  • No existe ningún castigo por errores honestos denunciados de buena fe.

4. Fortalecer los controles técnicos

Si bien las personas son el objetivo principal, las medidas técnicas pueden limitar el daño:

• Imponga la autenticación multifactor (MFA) para el correo electrónico, el acceso remoto y las herramientas de administración.

• Utilice la seguridad del correo electrónico para marcar remitentes externos y detectar dominios falsificados.

• Aplicar acceso con privilegios mínimos, de modo que una cuenta no pueda ver ni cambiar todo.

• Monitorear actividad inusual: ubicaciones inusuales, reglas de reenvío masivo o exportaciones de big data.

5. Construir una cultura de apoyo, no una cultura de miedo

• El liderazgo debe apoyar activamente a los empleados que verifican o cuestionan solicitudes inusuales.

• Considere tanto las simulaciones como los incidentes reales como oportunidades para aprender y ajustar los controles.

• Evite “nombrar y avergonzar” a las personas; concéntrese en solucionar el proceso y la capacitación.

Las organizaciones que se alejan de la culpa y se acercan a la educación continua ven tasas de clics más bajas y reportes más rápidos a lo largo del tiempo, especialmente cuando combinan la capacitación con simulaciones de phishing regulares y bien diseñadas.

Qué pueden hacer los empleados individualmente (en el trabajo y en casa)

Cada persona tiene una influencia real sobre la seguridad de la organización, especialmente durante las vacaciones, cuando el volumen y la sofisticación de las estafas aumentan.

En el trabajo y en casa:

1. Haz una pausa antes de actuar

   Tenga especial cuidado con los mensajes que:

   • Urgente

   • Secreto

   • Acerca de dinero, tarjetas de regalo o datos de inicio de sesión

     
     

2. Verificar usando un canal diferente

   Llama a la persona, inicia un nuevo correo electrónico a una dirección conocida o envíale un mensaje en un chat existente y confiable; no te limites a responder al mensaje sospechoso.

   
   

3. Verifique los detalles cuidadosamente

   • ¿Es correcta la dirección o el número de teléfono del remitente?

   • ¿El tono o el lenguaje es inusual para esa persona?

   • ¿Te están pidiendo que evites el proceso normal?

     
     

4. Informar inmediatamente, incluso si hizo clic

   Los informes rápidos permiten a los equipos de seguridad restablecer contraseñas, revocar sesiones e investigar antes de que los pequeños problemas se conviertan en incidentes importantes.

Dado que la mayoría de las personas usan los mismos dispositivos y, a veces, contraseñas similares para sus cuentas personales y laborales, una vulneración en casa puede suponer un riesgo en el trabajo; por ejemplo, cuando una cuenta de correo electrónico personal es usurpada y utilizada para restablecer inicios de sesión laborales o engañar a compañeros. Trate sus cuentas personales, dispositivos y contraseñas con el mismo cuidado que esperaría de su empresa.

Reflexiones finales

En 2025, las estafas con temática navideña, el fraude con tarjetas de regalo y la ingeniería social de apariencia interna siguen siendo algunas de las formas más efectivas de entrada para los atacantes. La tecnología ha evolucionado (contenido generado por IA, voces deepfake y BEC altamente dirigido), pero la táctica principal es la misma: explotar la confianza, la urgencia y el deseo humano de ayudar.

La buena noticia es que una combinación de políticas claras, capacitación realista, informes sencillos, controles técnicos sensatos y una cultura de apoyo pueden reducir drásticamente el riesgo.

Tanto para las organizaciones como para los individuos, la regla general es simple:

Reduzca la velocidad. Verifique. Reporte. Un momento de precaución puede proteger a toda una empresa.

P1: ¿Por qué son tan comunes las estafas con tarjetas de regalo y “Amigo secreto” durante las fiestas?

R: Porque encajan perfectamente en el comportamiento habitual de las vacaciones:

• Las empresas suelen realizar obsequios, bonificaciones y campañas benéficas.

• La gente está ocupada, distraída y de humor generoso.

• Las tarjetas de regalo son fáciles de comprar, rápidas de enviar y difíciles de rastrear.

Los atacantes aprovechan esto haciéndose pasar por un gerente, un representante de Recursos Humanos o el director ejecutivo y piden tarjetas de regalo “sorpresa”, regalos para clientes o donaciones.

Consejo práctico: si un mensaje de vacaciones implica urgencia, secretismo y dinero (especialmente tarjetas de regalo), verifíquelo a través de otro canal antes de hacer cualquier cosa.

P2: ¿Cómo puedo reconocer rápidamente una posible estafa con tarjetas de regalo?

A: Esté atento a estas señales de alerta:

• El remitente le pide que compre tarjetas de regalo con urgencia.

• Quieren que envíes fotos o códigos por correo electrónico, SMS o chat.

• Afirman que no pueden hablar (por ejemplo, “Estoy en una reunión, hazlo ahora”).

• Evita los procesos normales de financiación o aprobación.

Consejo práctico: Las solicitudes legítimas de regalos o recompensas seguirán los procedimientos habituales. Si alguien te pide que te saltes las reglas, detente y confírmalo por teléfono o en persona.

P3: Si el correo electrónico o mensaje realmente parece provenir de mi jefe, ¿debería cuestionarlo igualmente?

A: Sí. Los atacantes pueden:

• Falsificar nombres de usuario y direcciones de correo electrónico.

• Comprometer cuentas reales.

• Copie el estilo y las firmas de su correo electrónico interno.

La autoridad es una de las principales palancas de la ingeniería social. No se está siendo irrespetuoso al verificar una solicitud inusual, urgente o relacionada con dinero.

Consejo práctico: Usa un número de teléfono conocido o una conversación de chat existente para confirmar. Nunca te fíes solo de la respuesta al mensaje sospechoso.

P4: ¿Es realmente un gran problema si simplemente compro algunas tarjetas de regalo y envío los códigos?

A: Sí, puede ser:

• El dinero generalmente no se puede recuperar una vez que se envían los códigos.

• Demuestra al atacante que su organización es un blanco fácil.

• El mismo atacante puede intentar cometer un fraude más grave (transferencias bancarias, cambios de nómina, fraude en el pago a proveedores) la próxima vez.

Incluso si sólo se perdieron “unos pocos cientos de dólares”, es señal de una mayor debilidad en el proceso y en la concienciación.

Consejo práctico: Trate las estafas con tarjetas de regalo como un incidente de seguridad, no como una vergüenza menor. Repórtelas de inmediato para que la organización pueda responder y aprender.

P5: ¿Cómo puede mi error personal provocar una violación total de la organización?

A: Una sola acción puede tener un efecto dominó:

• Si ingresa su contraseña en una página falsa, los atacantes pueden iniciar sesión como usted.

• Con su cuenta, pueden enviar correos electrónicos internos convincentes a finanzas, RR.HH. o clientes.

• Pueden buscar información confidencial en su bandeja de entrada y unidades compartidas.

Lo que parece un “pequeño” error a tu nivel puede convertirse en un incidente grave a nivel organizacional.

Consejo práctico: si sospecha que ingresó sus credenciales en un sitio sospechoso, comuníquese con el departamento de TI/seguridad de inmediato y solicite un restablecimiento de contraseña y una verificación de cuenta.

P6: ¿Qué debo hacer si ya hice clic en un enlace o abrí un archivo adjunto?

A: Actúa con rapidez, pero no te asustes:

1. Deje de interactuar con el correo electrónico o el sitio web.

2. Informe inmediatamente al departamento de TI/seguridad (o utilice el botón de informe de phishing).

3. Si ingresó alguna contraseña, infórmeselo al departamento de TI y cámbiela según las instrucciones.

4. Siga los pasos adicionales que proporcione el departamento de TI (por ejemplo, escaneo del dispositivo, restablecimiento de MFA).

Denunciar después de hacer clic sigue siendo un éxito. El verdadero riesgo es el silencio.

Consejo práctico: No intentes solucionarlo discretamente por tu cuenta. Informar con prontitud y honestidad permite a los equipos de seguridad contener cualquier daño.

P7: ¿Cómo pueden las organizaciones reducir este tipo de ataques internos de ingeniería social?

A: Centrarse en cuatro pilares:

1. Política: Reglas claras que establezcan que los ejecutivos y gerentes no solicitarán tarjetas de regalo o cambios de pago únicamente mediante mensajes informales.

2. Proceso: Doble aprobación para cambios financieros y compras de tarjetas de regalo.

3. Capacitación: Escenarios realistas, que incluyan estafas de apariencia interna, no solo phishing genérico.

4. Cultura: No se culpa a nadie por errores honestos que se reportan rápidamente.

Consejo práctico: publique una página sencilla de “Qué hacer y qué no hacer” y fíjela en los canales internos antes de la temporada navideña.

P8: ¿Cuáles son algunas medidas técnicas sencillas que pueden ayudar?

A: Algunos controles clave:

• Autenticación multifactor (MFA) para correo electrónico y acceso remoto.

• Advertencias por correo electrónico sobre remitentes externos o posible suplantación de identidad.

• Restricciones básicas sobre quién puede cambiar los detalles de pago o aprobar transferencias grandes.

• Monitoreo de ubicaciones de inicio de sesión inusuales y reglas de reenvío.

Esto no detendrá todos los intentos de ingeniería social, pero reducirán el impacto cuando alguien comete un error.

Consejo práctico: si su cliente de correo electrónico lo permite, habilite las etiquetas de “remitente externo” y no las ignore, especialmente cuando el mensaje afirma provenir de alguien interno.

P9: ¿Cómo puedo proteger a la organización a través de mi comportamiento personal en el hogar?

R: Su seguridad personal afecta su lugar de trabajo porque:

• Muchas personas reutilizan o modifican ligeramente las contraseñas en distintos sitios.

• Se pueden utilizar cuentas de correo electrónico personales o redes sociales para restablecer contraseñas.

• Los dispositivos domésticos se utilizan a menudo para trabajar (especialmente los teléfonos).

Si sus cuentas o dispositivos personales se ven comprometidos, los atacantes pueden recurrir a la información relacionada con el trabajo.

Consejo práctico (a nivel personal):

• Utilice un administrador de contraseñas y contraseñas únicas.

• Habilite MFA en todas las cuentas importantes (correo electrónico, banca, almacenamiento en la nube).

• Mantenga sus dispositivos actualizados y evite instalar aplicaciones o extensiones que no sean confiables.

P10: ¿Son los chats internos (Teams, Slack, WhatsApp) más seguros que el correo electrónico?

A: Puede que se sientan más seguros, pero no son inmunes:

• Si una cuenta se ve comprometida, los atacantes pueden enviar mensajes en canales reales.

• Se pueden crear grupos falsos o similares.

• Los enlaces y archivos aún pueden ser maliciosos.

Trate las solicitudes inesperadas o inusuales en el chat con la misma precaución que en el correo electrónico.

Consejo práctico: si un mensaje de chat te pide que hagas algo sensible (pagar, comprar, compartir datos, instalar software), verifica mediante un canal diferente o inicia una conversación separada con esa persona.

P11: ¿Cuáles son algunas “reglas de oro” que puedo recordar fácilmente?

A: Tenga en cuenta estos tres:

1. Si es urgente, secreto y se trata de dinero o credenciales, verifíquelo.

2. En caso de duda, no haga clic ni pague: pregunte primero.

3. Si comete un error, infórmelo inmediatamente.

Si todos siguen estas reglas, el riesgo de la organización disminuye significativamente, incluso si los atacantes siguen evolucionando.