A finales de octubre de 2026, Damien obtuvo el segundo puesto en el Social Engineering CTF del Hackfest de Quebec, en su séptima participación en esta competición. Veinte competidores se enfrentaron a un ejercicio de inteligencia y manipulación telefónica sobre 28 empresas, con treinta minutos para obtener la máxima información de empleados reales.
- Damien quedó segundo en el Social Engineering CTF del Hackfest de Quebec.
- La prueba combinó un informe de reconocimiento escrito con llamadas telefónicas a empleados reales.
- Un supervisor abrió una dirección de Internet propuesta por teléfono solo porque mencionaba el nombre de su empresa.
- La concienciación debe confrontar a los empleados con situaciones realistas, porque una conversación banal puede ser la trampa.
La primera etapa se desarrolló por escrito, una semana antes del Hackfest. Los competidores debían completar un informe de reconocimiento con una larga serie de preguntas sobre empresas como Decathlon, Ikea, Air Canada o Home Depot, por ejemplo sobre el proveedor de control de plagas, la empresa que gestiona las máquinas expendedoras o la presencia de una cafetería. Cada respuesta debía justificarse con una fuente abierta y verificable. Damien indica haber encontrado alrededor del 95% de las respuestas, un resultado que sin embargo representaba solo la mitad de la evaluación.
La otra mitad se jugó por teléfono, y la hora de intervención se sorteó. A Damien le tocó durante la pausa para el almuerzo, un momento en el que algunos empleados solo disponen de quince minutos. No obstante, logró continuar con la competición.
Para estos intercambios, había preparado cinco herramientas. Menciona especialmente un directorio que permite asociar datos de contacto, funciones y servicios, un sintetizador de ambientes sonoros compuesto por unos cincuenta archivos MP3, y una inteligencia artificial casera, que presenta como un medio para recuperar rápidamente elementos de contexto ya recopilados y verificados. Según él, « el tono, el ritmo, los silencios, las vacilaciones y las reacciones de mi interlocutor siguen siendo esenciales », y ningún software puede garantizar la lectura perfecta de un comportamiento humano.
Cambiar de personaje para llegar a la final
En la final, los competidores disponían de veinte minutos para reunir información con la ayuda del público, y luego de treinta minutos para telefonear. De los 67 objetivos a alcanzar, Damien obtuvo 39 directamente de sus interlocutores. Para ganar credibilidad, construyó el personaje de un sindicalista encargado de finalizar una encuesta interna sobre reivindicaciones salariales, tras haber leído durante diez días la prensa local.
Cuenta que un supervisor, que había recibido formación en ciberseguridad tres semanas antes, introdujo una dirección de Internet propuesta durante la llamada. Su justificación marcó al autor: « ¡La escribí porque aparece el nombre de mi empresa, si no no escribo nada! » Damien subraya que la presencia del nombre de una empresa en una dirección no garantiza nada.
El concurso incluía también un dispositivo de medición: los competidores estaban conectados a un detector de mentiras y a un monitor cardíaco durante sus llamadas. El corazón de uno de ellos alcanzó 155 latidos por minuto.
Segundo puesto y una lección sobre lo humano
Damien recuerda una frase del hacker Kevin Mitnick, escuchada durante su paso por Lille: « ¿Sabes, Damien, lo más complicado no es hablarles, ¡es escuchar su respiración! »
Durante los tres días de la competición, Damien llamó a 43 personas y las volvió a llamar a todas para explicarles el contexto. Indica que la frase de un participante, « ¡Vaya, me han pillado! », resume la experiencia. Considera que la concienciación debería enfrentar a los empleados a situaciones realistas, porque la verdadera trampa puede empezar con una conversación banal.
« En ciberinteligencia, la información más valiosa no siempre es la que descubre una herramienta. A veces es la que un humano acepta compartir, sin siquiera entender por qué se la piden. »
