Conozca los riesgos y las amenazas de la ingeniería social en sus activos y datos confidenciales
El concepto de ingeniería social en relación con la seguridad de la información se refiere directamente al robo de datos mediante la manipulación de los usuarios finales. Por lo tanto, los riesgos y amenazas de la ingeniería social suelen comenzar con un contacto casual e inocente, a través de las redes sociales o Internet; pero por lo general terminan en un intento de romper la seguridad digital de las empresas objetivo.
Por este motivo, necesita crear campañas de sensibilización entre sus empleados para identificar y mitigar los riesgos y amenazas de la ingeniería social; y transformarlos en una línea de ataque defensiva para expulsar posibles intrusiones en sus datos confidenciales. Vamos a descubrir cómo son en profundidad.
Tipos de ingeniería social
Básicamente, son dos tipos conocidos de ingeniería social. El primer tipo basa sus técnicas en la interacción humana para aprovechar las vulnerabilidades (o debilidades) y acceder a los datos confidenciales a través de ellas. El segundo tipo se basa en nuestras interacciones con Internet a través de dispositivos informáticos. Pero profundicemos en cada uno de ellos.
1. Ingeniería social basada en las personas
Los que se aprovechan de la ingeniería social basada en las personas son particularmente tenaces. Gracias a este atributo, saben cómo explotar y manipular las emociones humanas para cumplir su propósito.
Comprenden y aplican teorías psicológicas y motivacionales para transmitir sentimientos complejos (compasión, amor, miedo, curiosidad, necesidad de pertenecer a un grupo, necesidad de protección, etc.) y/o necesidades primarias (sexo, hambre, sueño, sed, etc.) para lograr que los objetivos reduzcan sus defensas y entreguen la información que desean sin siquiera darse cuenta. Del mismo modo, saben que todos los seres humanos comparten básicamente los mismos miedos, debilidades y necesidades; y todos ellos se reflejan inevitablemente en nuestras interacciones en la web.
Así pues, aprovechan todos estos aspectos para hacerse pasar por un compañero de trabajo, jefe o alguna autoridad para ofrecer productos o servicios orientados a atacar nuestros bienes más preciados.
2. Ingeniería social basada en interacciones web
A continuación, el uso más común de la ingeniería social basada en las interacciones web es el phishing o la caza de ballenas (robo de identidad). Tan sofisticada como la ingeniería social basada en personas, esta otra variante utiliza correos electrónicos y sitios web fraudulentos para obtener datos sensibles.
Los ingenieros sociales, transformados en piratas informáticos, logran imitar muy bien las características institucionales de las comunicaciones internas. Suelen ser tan bien acabadas que pasan los filtros iniciales; y engañan por completo a los usuarios finales.
Los ingenieros sociales, que ahora llevan sombreros grises o negros, copian con éxito los elementos de comunicación institucional. Y lo hacen tan bien que suelen pasar los filtros iniciales para engañar completamente a los usuarios finales.
En otras palabras, la ingeniería social basada en las interacciones web tiene como objetivo socavar la seguridad digital de las empresas; y suelen cumplir su objetivo convirtiendo los intentos en ataques particularmente dañinos y exitosos.
Ingeniería social - Metodología
Independientemente del tipo de ingeniería social que se aplique, la metodología es la siguiente:
- Fase de aproximación
En esta primera etapa, el enfoque tiene como objetivo ganarse la confianza del objetivo. Por lo general, el atacante utiliza ingeniería social que permite al objetivo controlar la comunicación porque, de esta manera, es más fácil detectar las principales debilidades.
- Fase de alerta
A continuación, el atacante presenta una gama de opciones para observar y medir la respuesta del objetivo bajo presión. En esta fase, el grado de interacción del atacante cambia de pasivo a activo, lo que le permite lanzar proposiciones vagas de aquí para allá; todas ellas diseñadas especialmente para garantizar la confianza inicialmente establecida.
- Fase de distracción
Finalmente, en esta fase, los atacantes han consolidado gran parte de la confianza que necesitan para obtener los datos confidenciales. El objetivo se siente a gusto y reduce sus defensas. Paralelamente, el atacante prácticamente domina toda la interacción. Sin embargo, el atacante avanza con cuidado hacia el objetivo para no impedir que el objetivo vuelva a dar la alarma.
Con esto en mente, los atacantes tranquilizan a los objetivos con promesas o frases de confianza que terminan derribando sus barreras. Luego, como parte natural de la interacción, los objetivos finalmente entregan sus datos confidenciales, como las contraseñas para acceder a cuentas privadas o dan «voluntariamente» los números de seguridad de sus tarjetas de crédito.
Esta metodología ha demostrado ser extremadamente poderosa porque socava las defensas de las empresas y personas objetivo que, además de perder dinero y su privacidad, también pierden la confianza en su capacidad para protegerse de los ataques de seguridad.
En resumen, las víctimas de cualquier forma de ingeniería social se sienten vulnerables y disgustadas y, en este mar de emociones, se pierden la imagen completa de lo que han sufrido y se culpan a sí mismas por su pérdida. Sin embargo, siempre hay una solución.
¿Qué soluciones existen para hacer frente a los riesgos y amenazas de la ingeniería social?
La solución más eficaz para repeler a tiempo las amenazas de la ingeniería social reside en la combinación de herramientas automatizadas con las mejores prácticas para ayudarlo a capacitar a su personal en la detección temprana de amenazas.
En términos más técnicos, repeler las amenazas de la ingeniería social exige el uso de ingeniería inversa. Como explica la declaración, no se trata más que de seguir el camino inverso para comprender plenamente las diferentes fases de un proceso.
Por lo tanto, para contrarrestar las amenazas de la ingeniería social, la ingeniería inversa es la siguiente:
Caza al cazador: infringe los principios de la ingeniería social
Lo hemos mencionado en otras ocasiones, pero eso sí, apostamos por volver a recalcarlo: los soldados son la mejor arma en toda guerra. Equipa a tus soldados con estas mejores prácticas.
- Relevancia. Ninguna empresa seria solicita contraseñas, nombres de usuario, números de Seguro Social u otros datos similares.
- Urgencia. Los mensajes como «Responda a esta comunicación en las próximas X horas, de lo contrario, perderá toda la información de su cuenta» generalmente tienen como objetivo desestabilizar a los usuarios y obligarlos a revelar datos confidenciales.
- Personalización. Sus proveedores de servicios conocen su nombre y el de sus empleados, por lo tanto, un correo electrónico sin sus nombres es muy sospechoso.
- Controlar. Evita rendirte a tus impulsos y emociones. Sentimientos como la cooperación, el elogio, la intimidación, la persuasión, la gratificación o similares serán los medios para obtener lo que necesitan de ti o de tus empleados.
Alcance de la ingeniería social
Los piratas informáticos utilizarán la ingeniería social para rastrear todas sus interacciones en la web y hacerse con sus datos confidenciales. ¿Y sabes qué es una mina de oro para sus propósitos? Sí, lo has adivinado: tus dispositivos móviles.
Dado que permiten guardar contraseñas e información relevante, es de suma importancia que extienda a sus dispositivos móviles todas sus medidas de protección. Y aquí es donde podemos servirle.
Descubra aquí con nosotros las opciones que tenemos para proteger sus datos confidenciales de los tentáculos de la ingeniería social, sus riesgos y amenazas.
