Cuando pensamos en ingeniería social, normalmente nos vienen a la cabeza correos falsos, llamadas de supuestos técnicos de soporte o alguien intentando conseguir nuestras credenciales con algún truco. Pero mucho antes de que habláramos de phishing o de fraude del CEO, ya había películas que mostraban perfectamente cómo funciona la manipulación de las personas.
Una de ellas es Atrápame si puedes.
La historia de Frank Abagnale Jr. siempre se ha contado como la de un joven capaz de falsificar cheques, hacerse pasar por piloto, médico o abogado y mantener engañado al FBI durante años. Pero si la miramos desde el punto de vista de la ciberseguridad, hay algo que destaca por encima de todo: Frank no es especialmente bueno rompiendo sistemas, es bueno haciendo que las personas confíen en él. Y ahí está la parte realmente interesante de la película.
Porque si eliminamos los cheques y cambiamos los aeropuertos por una oficina cualquiera, muchas de las situaciones que vemos siguen ocurriendo hoy. La tecnología ha cambiado, pero la forma en la que nos engañan sigue dependiendo de algo mucho más antiguo: nuestra tendencia a confiar en lo que parece familiar, en quien parece tener autoridad o en alguien que transmite seguridad.
Frank no necesita entrar por la fuerza. Normalmente consigue que alguien le abra la puerta. Y es curioso, porque si le preguntas a cualquiera de qué va la película, probablemente te dirá que trata de un estafador. Si le preguntas a alguien que trabaja en ciberseguridad, seguramente te responda otra cosa: es una película sobre cómo hackear personas.
No hay exploits, no hay malware, no hay comandos en una terminal ni un adolescente encapuchado escribiendo código a una velocidad imposible. Lo que hay es alguien que entiende muy bien cómo pensamos los demás. Y, visto con perspectiva, eso da bastante más miedo.
Hay una escena que dura apenas unos minutos y que me parece brillante. Frank llega a un instituto y decide hacerse pasar por profesor sustituto. Entra en el aula como si llevara allí media vida. Ni mira a los lados buscando aprobación, ni pregunta dónde está el director, ni intenta justificarse. Deja los libros sobre la mesa, cambia completamente el tono de voz y empieza a dar clase. Y funciona.
Lo mejor de la escena no es que consiga engañar a los alumnos. Lo mejor es que entiendes perfectamente por qué funciona. Si alguien entra en una clase comportándose exactamente como un profesor, nuestro cerebro deja de hacerse preguntas. Damos por hecho que alguien ya habrá comprobado quién es.
Kevin Mitnick hablaba mucho de eso. Decía que un buen ingeniero social rara vez obliga a alguien a hacer algo extraño. Lo que hace es conseguir que todo parezca completamente normal. Cuanto menos destaque una situación, menos probabilidades hay de que alguien la cuestione.
Eso explica otra serie de escenas icónicas: el uniforme de piloto. A partir de ese momento Frank parece haber desbloqueado un superpoder. En hoteles lo atienden antes que a nadie. En los aeropuertos le sonríen. La gente le abre puertas sin pedir una identificación. Y casi nunca tiene que convencer a nadie de que es piloto, porque ya lo parece.
Robert Cialdini bautizó este fenómeno hace décadas con el principio de autoridad. No reaccionamos únicamente ante la autoridad real; reaccionamos ante los símbolos de autoridad. Un uniforme, una acreditación colgada del cuello, un logotipo conocido o incluso un lenguaje técnico bien utilizado hacen que bajemos la guardia mucho más de lo que creemos.
Por eso, cuando en una auditoría física alguien entra en un edificio con un chaleco reflectante y un portapapeles, muchas veces nadie le pregunta qué hace allí. Todos asumimos que otra persona ya hizo esa comprobación.
La película está llena de pequeños detalles de ese estilo. Frank observa muchísimo antes de actuar. Antes de hacerse pasar por piloto pasa horas fijándose en cómo hablan, cómo caminan y cómo se relacionan entre ellos. No intenta aprender a pilotar un avión. Aprende a parecer alguien que sabe pilotarlo.
Y eso cambia completamente la perspectiva. En seguridad solemos llamar a esa fase reconocimiento. Es, probablemente, la parte menos espectacular de un ataque… y también una de las más importantes. Cuanta más información consigues antes de interactuar con la víctima, menos tendrás que improvisar después.
Hay otra escena que siempre me hace gracia. Cuando empieza a salir con Brenda, interpretada por Amy Adams, Frank construye cuidadosamente la imagen del hombre perfecto. Seguro de sí mismo, educado, con éxito profesional… y, cómo no, con algún detalle romántico como el collar que le regala.
¿El collar forma parte de la estafa?
En realidad sí.
No porque un regalo haga que alguien deje de pensar, sino porque ayuda a construir confianza. Cialdini hablaba del principio de reciprocidad: cuando alguien tiene un detalle con nosotros, aunque sea pequeño, nos sentimos más inclinados a corresponder. No convierte automáticamente a nadie en una víctima, pero sí hace que juzguemos sus acciones con un poco más de benevolencia.
Y ese «un poco» es exactamente el espacio donde vive la ingeniería social.
Quizá la parte que mejor ha envejecido de toda la película sea que Frank nunca intenta parecer perfecto. De hecho, cuando se hace pasar por médico evita constantemente las situaciones donde alguien podría descubrir que no tiene ni idea de medicina. Escucha mucho, hace preguntas, delega decisiones y deja que otros hagan el trabajo complicado.
No presume de saber. Consigue que los demás crean que sabe. Y esa diferencia es enorme.
Si cambiamos los cheques por un correo electrónico y el uniforme de piloto por una cuenta de Microsoft 365 comprometida, la película deja de parecer una historia ambientada en los años sesenta y empieza a parecer un incidente de seguridad bastante actual.
Al final, la sensación que deja Atrápame si puedes es un poco incómoda. No porque Frank sea especialmente brillante —que lo es—, sino porque demuestra algo que en ciberseguridad repetimos constantemente: el problema casi nunca es la tecnología.
El problema es que todos utilizamos atajos mentales para movernos por el mundo. Confiamos en los uniformes. Damos por buenas las personas que parecen encajar en un entorno. Bajamos la guardia cuando alguien transmite seguridad. Preferimos asumir que todo está bajo control antes que cuestionar lo evidente.
Y Frank entiende esos atajos mejor que nadie.
Quizá por eso la película sigue funcionando tan bien más de veinte años después. No nos enseña cómo falsificar un cheque. Nos enseña algo bastante más útil: cómo alguien puede manipular nuestra percepción sin que apenas nos demos cuenta. Y, siendo sinceros, probablemente esa sea la habilidad más peligrosa de todas.
PD: las imágenes están creadas con IA, no son fotogramas de la película.
PD2: como no poner de imagen de cabecera en este post a Kevin Mitnick…
