¿Qué es el Shoulder Surfing? Consejos para proteger tu información personal
No todas las amenazas a tus cuentas personales y a tu privacidad ocurren en línea. Pueden suceder justo a tu lado, como un desconocido sentado al lado tuyo en el metro, cafetería o aeropuerto.
A veces, puede ser un simple desconocido sin ninguna intención, y otras puede tratarse de alguien buscando una oportunidad y el momento adecuado para mirar por encima de tu hombro y robar tus contraseñas o información personal.
Los ataques de shoulder surfing ocurren cuando alguien te observa introducir información sensible, como un PIN o una contraseña, en tu dispositivo o tu cuenta. Una vez que ven cómo ingresas tus datos, el atacante usará esta información más tarde para obtener acceso no autorizado a tus cuentas.
Como estos ataques ocurren en lugares públicos, pueden ser tan peligrosos como el phishing, el ransomware y otros ciberataques, ya que pueden suceder sin que te des cuenta. Incluso con medidas de seguridad avanzadas en tu dispositivo, estas no pueden protegerte contra shoulder surfing.
¿Qué es shoulder surfing?
El shoulder surfing es uno de los muchos ataques de ingeniería social en los que una persona te espía mientras introduces contraseñas o PIN en cajeros automáticos, en tu dispositivo o cuando ingresas tus credenciales en sitios web.
Aunque es uno de los pocos ciberataques que requiere estar cerca del objetivo, la complejidad con la que un delincuente lo lleva a cabo puede variar. Puede ocurrir simplemente observando por encima de tu hombro en un metro concurrido o utilizando tecnología avanzada, como cámaras ocultas, para observar tu actividad desde una distancia sin levantar sospechas.
¿Cómo funciona el shoulder surfing?
Comienza cuando el atacante elige y monitorea un espacio público mientras busca a su próxima víctima.
Lugares comunes incluyen:
- Transporte público (autobuses, trenes, metro)
- Cafeterías o cafés
- Aeropuertos o estaciones de tren
- Bibliotecas o librerías
- Oficinas o espacios de coworking
- Vestíbulos o salas de espera de hoteles
- Tiendas minoristas o centros comerciales
- Bancos o cajeros automáticos
- Eventos públicos o lugares concurridos
- Restaurantes o cadenas de comida rápida
Un ataque básico consistiría en que un delincuente se coloque de pie o sentado lo suficientemente cerca de su objetivo para ver su pantalla y observar cómo introduce la información de su cuenta.
Otro ejemplo sería un delincuente que instala cámaras ocultas o usa binoculares avanzados para ver pantallas sin atraer atención.
Esto podría suceder en hoteles, casinos y calles concurridas, donde las personas ingresan sus datos en un cajero automático. Los edificios de oficinas también podrían estar en riesgo, ya que un atacante podría monitorear la pantalla de un empleado para obtener acceso a datos sensibles.
En algunos casos, el atacante utiliza tecnología más avanzada para acceder a la información de las personas, empleando drones u otros tipos de equipos de vigilancia remota en lugares como hoteles o Airbnb.
Shoulder surfing se basa en estar cerca del objetivo y observarlo sin ser detectado. La tecnología utilizada puede variar desde métodos básicos como mirar por encima del hombro hasta técnicas más sofisticadas, como el uso de drones.
Riesgos y consecuencias
Como en la mayoría de los ciberataques, uno de los mayores riesgos del shoulder surfing es que no te das cuenta de que ha ocurrido algo hasta que es demasiado tarde. Esto es lo que podría suceder si no tienes cuidado:
Robo de identidad
Cualquiera que vea tu información personal (nombres de usuario, contraseñas e información de tarjetas de crédito) puede usarla para robar tu identidad.
Con estos datos, pueden utilizar la información de tu cuenta para realizar compras fraudulentas en línea y acceder a tus cuentas personales, como tu correo electrónico, lo que les permite obtener más información y extender su ataque. A veces, incluso pueden crear nuevas cuentas a tu nombre para llevar a cabo otros tipos de robo de identidad.
Pérdidas financieras
Si un delincuente te observa introducir tu PIN en un cajero automático o te monitorea mientras realizas operaciones bancarias en línea, podría acceder a los datos de tu tarjeta de crédito o cuenta bancaria para realizar compras o transferencias no autorizadas.
Estas transacciones pueden ser difíciles de revertir, lo que puede hacerte perder el acceso a tus ahorros y generar un daño emocional y un estrés significativo.
Este ataque puede provocar pérdidas financieras inmediatas, especialmente si un delincuente obtiene acceso a tus aplicaciones de banca móvil, cajeros automáticos o datos de tarjetas de crédito. Las transacciones no autorizadas pueden ser difíciles de revertir, y las víctimas pueden enfrentar daños económicos considerables.
Filtraciones de datos
Para los trabajadores de oficina, el shoulder surfing puede tener un gran impacto en una empresa. Observar las pantallas de los empleados puede exponer secretos corporativos, datos de clientes y contraseñas que permiten al atacante acceder a cuentas corporativas y a información más confidencial.
Consecuencias legales
Las consecuencias de una filtración de datos para una empresa pueden ser muy graves. Esto puede resultar en la pérdida de confianza de tu base de clientes, además de sanciones legales y costos de cumplimiento que podrían alcanzar millones, dependiendo de la gravedad del ataque.
Ejemplos reales
Aquí te presentamos algunos ejemplos reales de shoulder surfing en diferentes partes del mundo:
- Se realizaron experimentos de shoulder surfing principalmente en contraseñas basadas en patrones (64/77 o 83,1%).
- Un estudio sobre viajeros en el Reino Unido encontró que el 72% practicaba shoulder surfing, aunque en su mayoría por aburrimiento y no con intenciones fraudulentas.
- Un estudio de la Universidad de Nueva York encontró que el 73% de los encuestados indicaron haber visto el PIN confidencial de otra persona sin que esta lo supiera.
- En 2022, una investigación indicó que los desconocidos eran los observadores más frecuentes en espacios públicos, incluidas las cafeterías.
- En enero de 2025, dos ciudadanos franceses fueron arrestados por usar técnicas de shoulder surfing para robar tarjetas bancarias y retirar fondos ilegalmente. Se les sospechaba de 75 delitos adicionales, con una pérdida total de más de 200.000 €.
- En mayo de 2024 en el Reino Unido, otro caso de shoulder surfing ocurrió cuando un pasajero fotografió un memorando confidencial en el portátil de un ministro del gobierno mientras viajaba en tren.
Cómo prevenir el shoulder surfing
Es posible prevenir y disuadir a los ciberdelincuentes de monitorear tu actividad y robar tu información con las siguientes técnicas y herramientas.
Sé consciente de tu entorno
En espacios públicos, intenta elegir un lugar donde no haya personas detrás de ti o que esté protegido por una pared, si es posible. Si no, puedes comprar un filtro de privacidad para tu teléfono y portátil.
Estos están disponibles en línea y hacen que el contenido de tu pantalla solo sea visible para la persona que está directamente frente a ella. Si alguien intenta mirar desde un ángulo diferente (como desde el costado o detrás), sólo verá una imagen oscurecida, borrosa o distorsionada.
También deberías atenuar la pantalla para dificultar la visualización del contenido a distancia y configurar tu dispositivo para que se bloquee automáticamente tras unos minutos de inactividad, brindando así una protección adicional.
Cuando estés en un cajero automático, la mejor manera de evitar que alguien vea tu PIN es estar atento a las personas cercanas y cubrir el teclado con tus manos o cuerpo.
Protege tus cuentas
Usa contraseñas o frases de contraseña seguras y únicas en todas tus cuentas para evitar accesos no autorizados.
Una opción más segura que está ganando popularidad es el inicio de sesión con un magic link, un enlace único de un solo uso que impide que los hackers roben tu contraseña. Solo asegúrate de ocultar tu pantalla al acceder al correo con el enlace.
El generador de contraseñas seguras de Internxt puede ayudarte a crear contraseñas y frases de contraseña únicas y complejas para facilitar este proceso. Una vez creadas, configura la autenticación en dos factores (2FA) y almacena tus contraseñas en un gestor de contraseñas.
Los atacantes pueden seguir utilizando otras técnicas para intentar robar tus datos en lugares públicos y redes wifi abiertas, por lo que, para mayor protección, usa la VPN cifrada de Internxt para evitar accesos no autorizados a tu red y mantener más anonimato en línea.
Finalmente, sigue monitoreando tus cuentas y estados bancarios en busca de actividad inusual y verifica si tus correos o contraseñas han sido filtrados en línea con el Dark Web Monitor de Internxt.
¿Qué hacer si alguien roba tu información?
Si sospechas que alguien ha accedido a tus cuentas, sigue estos pasos:
- Cambia las contraseñas de todas tus cuentas.
- Notifica a las autoridades correspondientes, como tu banco y la policía.
- Informa a las personas necesarias en tu lugar de trabajo para que puedan tomar medidas inmediatas y evitar una filtración de datos.
- Congela tu crédito y tarjetas para evitar que los delincuentes realicen compras o soliciten más crédito a tu nombre.
- Revisa tu dispositivo en busca de malware utilizando el Antivirus de Internxt para asegurarte de que los atacantes no hayan instalado un virus en tus cuentas.
Una vez que hayas seguido estos pasos, continúa monitoreando tus cuentas regularmente y aplica las medidas que mencionamos anteriormente para evitar que este tipo de ataque vuelva a ocurrir.
Proteja sus cuentas con Internxt
Los planes de pago de Internxt Drive pueden ayudarte a protegerte de la navegación clandestina y otros ciberataques como el ransomware con su plataforma cifrada de conocimiento cero protegida con criptografía post-cuántica.
Además del almacenamiento privado en la nube, todos los planes de pago incluyen una VPN y un antivirus, así como acceso a Meet y Mail con los planes Premium y Ultimate. Otras características incluyen 2FA para evitar que su contraseña se vea comprometida, y el intercambio de archivos protegidos por contraseña.
Empieza a usar Internxt hoy mismo por tan solo 2 € al mes, o elige cualquiera de nuestros planes de por vida para acceder a nuestras funciones para siempre.
Preguntas frecuentes
¿El shoulder surfing es ilegal?
Aunque es poco ético, mirar la pantalla de alguien en el metro no es ilegal. Sin embargo, usar la información de otra persona sin su permiso se considera robo y fraude. Instalar herramientas de vigilancia ilegales con la intención de robar información también es un delito.
¿Cuáles son las señales?
Si alguien se para demasiado cerca de ti, mira constantemente tu pantalla o pasa varias veces junto a tu dispositivo, es posible que esté intentando monitorear tu actividad y robar tu información.
¿Qué dispositivos son los más vulnerables?
Laptops, teléfonos inteligentes y tabletas son vulnerables, ya que las personas suelen usarlos en áreas de alto riesgo como cafeterías o aeropuertos.
¿Es seguro usar mi dispositivo en un lugar público?
Usar tu dispositivo en público puede aumentar el riesgo de que alguien robe tu información personal, por lo que se recomienda usar una pantalla de privacidad y estar atento a tu entorno y a las personas cercanas.