Ingeniería social con preguntas anónimas: ejemplos y cómo defenderte

Las preguntas que parecen inofensivas son las más peligrosas

Si la pregunta es «Dime tu dirección», te pones en guardia en cuanto llega. Pero ¿qué pasa con preguntas como «¿Cuál es tu estación más cercana?», «¿Cuánto tardas en llegar al trabajo?» o «¿Qué se ve desde tu ventana?»? Una a una, parecen inofensivas. Sin embargo, si se combinan sus respuestas, a veces se puede acotar tu domicilio con bastante precisión.

Esta es la esencia de la ingeniería social. Es una técnica para sonsacar, con una acumulación de preguntas indirectas, información que te negarías a dar si te la pidieran directamente. Con este método no se intenta obtener la información con una sola pregunta. Se envían preguntas poco a poco a lo largo de varios días o semanas, se acumulan las respuestas y se va reconstruyendo la información personal como quien encaja las piezas de un puzle.

Los servicios de preguntas anónimas pueden ser un entorno muy conveniente para este método. El atacante puede enviar preguntas una y otra vez sin dejar de ser anónimo, y le resulta fácil ocultar su intención. El dueño del buzón responde con la buena intención de «querer responder a las preguntas de sus seguidores», así que suele bajar la guardia.

Patrones de preguntas para localizar tu ubicación

Localizar tu ubicación es uno de los principales objetivos de la ingeniería social. Presta atención a patrones de preguntas como los siguientes.

Los patrones directos son relativamente fáciles de reconocer. «¿Cuál es tu estación más cercana?», «¿Por qué zona vives?», «¿De dónde eres?». Con estas preguntas, seguramente te darás cuenta enseguida de su intención.

Los peligrosos son los patrones indirectos. La pregunta «¿Cuánto tardas en llegar al trabajo?» puede servir de pista para acotar la zona donde vives si se sabe dónde trabajas. Con «¿Qué tiempo hace hoy?», si se cruza el momento de la respuesta con la información meteorológica, a veces se puede hacer una idea de la región. Con «¿Hay algún restaurante de ramen bueno cerca de tu casa?», si respondes con el nombre del local, se reduce el área en la que vives. «¿Ves los fuegos artificiales desde tu ventana?» se convierte en material para estimar tu domicilio, casi como una triangulación, a partir del lugar del espectáculo de fuegos artificiales y la dirección en la que los ves.

Más ingenioso todavía es el patrón de enviar varias preguntas espaciadas en el tiempo. La primera semana, «¿Por dónde paseas al perro?»; la segunda, «¿A qué supermercado sueles ir?»; la tercera, «¿Cuántos minutos corres por la mañana?». Por separado son inofensivas, pero si se marcan las 3 respuestas en un mapa, puede que se acote el lugar donde vives a una zona bastante reducida.

Patrones de preguntas para conocer tus rutinas

No solo la ubicación: también hay preguntas que buscan conocer tus rutinas diarias. Es un patrón que a veces se usa como fase previa del acoso.

«¿A qué hora te levantas?», «¿Hasta qué hora trabajas?», «¿Qué haces los días libres?», «¿Vas al gimnasio? ¿Qué días?». Si se combinan estas respuestas, existe el riesgo de que se pueda trazar casi por completo el horario semanal de la persona objetivo. Cuándo está en casa, cuándo sale y adónde es más probable que vaya.

Las preguntas como «¿Cómo se llama tu mascota?», «¿Cuándo es tu cumpleaños?» o «¿Cuál es tu número favorito?» parecen, a primera vista, preguntas para conocer tu personalidad, pero puede que estén recopilando respuestas a contraseñas o preguntas de seguridad. En los servicios que usan como preguntas de seguridad «el nombre de tu mascota», «el apellido de soltera de tu madre» o «el primer colegio al que fuiste», esta información puede convertirse en una pista para robar tu cuenta.

«¿Tienes novio (o novia)?», «¿Vives solo?» o «¿Cómo es tu familia?» también pueden parecer simple curiosidad y, en realidad, ser preguntas que buscan los puntos débiles de tu entorno. Que vives solo o que a ciertas horas no hay nadie en casa son datos que afectan a tu seguridad física.

Criterios para decidir si responder o no

No hace falta sospechar de todas las preguntas. Se considera que la mayoría de las preguntas que llegan tienen como objetivo la pura curiosidad o el trato con los demás. Aun así, si te acostumbras a aplicar los 3 criterios siguientes antes de responder, te resultará más fácil reducir el riesgo.

Criterio 1: «Si un desconocido leyera esta respuesta, ¿podría deducir dónde estoy o mis rutinas?». Ten especial cuidado si la respuesta incluye nombres propios (nombres de locales, de estaciones o de instalaciones). Los nombres propios conducen directamente a unas coordenadas en el mapa.

Criterio 2: «Si se combina esta respuesta con las anteriores, ¿se puede deducir información nueva?». Aunque una respuesta por sí sola sea inofensiva, al combinar varias es posible que se identifique información. Es importante tener presente a qué preguntas has respondido antes.

Criterio 3: «Si no respondo a esta pregunta, ¿le supone un problema al remitente?». El buzón de preguntas es un entretenimiento, y no tienes la obligación de responder a todas las preguntas. Si sientes la más mínima inquietud, lo más seguro es no responder. Probablemente el remitente no sufrirá ningún perjuicio grave porque no le hayas respondido.

Si dudas, no respondas. Es una de las medidas de defensa más sencillas y eficaces.

Técnicas para responder con seguridad

Si quieres responder a una pregunta pero te preocupa filtrar datos personales, es eficaz la técnica de reducir a propósito el nivel de detalle de la información.

Si te preguntan por la zona, responde a nivel de prefectura y no de municipio. Con algo como «por la parte este de Tokio», el riesgo de que te identifiquen probablemente sea bajo. Si te preguntan por horarios, en lugar de una hora exacta, difumínalo con algo como «soy madrugador» o «soy noctámbulo». Si te preguntan por un local, evita los nombres propios y generalízalo con algo como «una cadena cerca de casa».

Otra opción eficaz es responder desviando un poco la intención de la pregunta. Si ante «¿Cuál es tu estación más cercana?» respondes algo como «El nombre de la estación es secreto, pero estoy a un paseo de ella. Mi placer de cada mañana es el puesto de soba (fideos japoneses) que se come de pie delante de la estación», evitas dar tu ubicación y, a la vez, transmites tu forma de ser, de modo que respondes a la pregunta reduciendo el riesgo de filtrar información.

Aprovecha también el ID del remitente del panel. Si desde el mismo ID del remitente llegan una y otra vez preguntas sobre tu ubicación o tus rutinas, deberías sospechar que puede tratarse de una recopilación intencionada de información. Lo más seguro es ignorar y borrar todas las preguntas de ese ID.

El buzón de preguntas es una herramienta para divertirse. Pero, para divertirse, la seguridad es una condición previa. Ten siempre presente el equilibrio entre las ganas de «responder» y la «información que debes proteger», y si notas la más mínima sensación extraña, da prioridad a la defensa.