Ingeniería social

Social Engineering es la manipulación psicológica de las personas con el objetivo de obtener acceso a información o sistemas confidenciales. Es una forma de engaño de confianza con el propósito de recopilar información, cometer fraude o acceder al sistema.

Los ataques utilizados en la Social Engineering se pueden utilizar para robar información o datos confidenciales de los empleados y el tipo más común de Social Engineering se produce por teléfono o correo electrónico. Otros ejemplos de ataques de Social Engineering incluyen a criminales que se hacen pasar por trabajadores o técnicos de servicio para pasar desapercibidos al acceder a la sede física de una empresa.

Principios de Social Engineering

Los principales métodos que utilizan los criminales para llevar a cabo la Social Engineering han existido durante mucho tiempo. Se basan en principios psicológicos fundamentales sobre el comportamiento humano; los atacantes utilizan estos principios para obtener acceso a datos o información sensible.

• Reciprocidad: las personas tienden a devolver un favor. Por ejemplo, si un atacante es de alguna manera generoso o considerado, la víctima puede sentirse obligada a proporcionar un acceso especial o a infringir de otro modo las normas críticas.
• Compromiso: cuando alguien se compromete, ya sea de manera oral o escrita, a realizar algo, se muestra más dispuesto a cumplir con su compromiso, ya que lo considera una responsabilidad personal. Por ejemplo, en los sitios de subastas, las personas pueden verse atrapadas en pujas más altas de lo que inicialmente tenían pensado porque desean "ganar" el artículo en cuestión, independientemente de cuánto valga realmente el artículo.
• Prueba social: las personas tienden a realizar acciones que observan en otras personas. Por ejemplo, un producto de software avalado por una celebridad tendrá un mayor sentido de valor para las personas, independientemente de su calidad, debido al aval.
• Autoridad: las personas tienden a obedecer a las figuras de autoridad, incluso si se les solicita realizar actos cuestionables. En un ataque de Social Engineering, esto puede llevar a un empleado de una organización objetivo a proporcionar información a una persona que llama haciéndose pasar por un oficial de la ley.
• Simpatía: las personas son fácilmente persuadidas por otras personas que les agradan. El simple hecho de ser agradable y amable suele ser suficiente para otorgar acceso especial a un atacante.

Principales formas de Social Engineering

Los ciberdelincuentes utilizan la Social Engineering para administrar de forma eficaz una serie de ciberataques:

• Phishing: una técnica para obtener información privada a través de medios manipuladores. Por lo general, el phisher enviará un correo electrónico que parece provenir de una empresa legítima solicitando la autenticación de la información y advirtiendo a la víctima sobre complicaciones en caso de que no se proporcione. Esa amenaza lleva a la víctima a revelar información sensible.
• Water holing: una estrategia de Social Engineering específica que aprovecha la confianza que los usuarios depositan en los sitios web que visitan con regularidad. La víctima se siente segura haciendo cosas que no haría en una situación diferente. El atacante entonces prepara una trampa para la víctima en la ubicación de confianza.
• Quid pro quo: un atacante contacta a personas al azar en una empresa, alegando que llama por un motivo legítimo. Esta persona eventualmente encontrará a alguien con un problema real, quien agradezca la ayuda proactiva. Luego, intentarán obtener información confidencial de la víctima mientras le ayudan con su problema.

Defensas de Social Engineering

Hay una serie de defensas disponibles para las empresas que ayudarán a proteger a sus empleados contra los principales intentos de Social Engineering:

• Establecimiento de un marco de confianza estándar: establecer un marco sólido de confianza a nivel de empleados/personal mediante la capacitación del personal sobre cómo debe manejarse la información sensible.
• Revisión de la información: identificar qué información es sensible y evaluar su exposición a la Social Engineering y a los fallos en los sistemas de seguridad.
• Siguiendo los protocolos de seguridad: establecimiento de protocolos, políticas y procedimientos de seguridad para el manejo de información sensible. Formación de empleados: formación de los empleados en protocolos de seguridad pertinentes a su puesto.
• Pruebas periódicas: desarrollar un marco es importante, pero es igual de importante que los empleados sean evaluados para asegurarse de que están asimilando la información. Realizar pruebas para observar cómo reaccionan los empleados ante experimentos controlados de social engineering puede ayudar a ajustar la formación y las discusiones en la dirección correcta.