¿Qué es la ingeniería social?
Ingeniería Social en Ciberseguridad
La “ingeniería social” cibercriminal es una táctica que, en esencia, recae en un usuario creando una falsa narrativa que explota la credibilidad, la codicia, la curiosidad o cualquier otra característica muy humana de la víctima. El resultado final es que la víctima proporciona voluntariamente información privada al atacante, ya sea personal (p. ej., nombre, correo electrónico), financiera (p. ej., número de tarjeta de crédito, cartera criptográfica) o mediante la instalación accidental de malware/puertas traseras en su propio sistema.
Podemos clasificar los ataques modernos en dos categorías muy amplias según el objetivo: Atacan a la máquina o al usuario. El “ataque de la máquina” comenzó con ataques de explotación de vulnerabilidades en 1996 con el artículo fundamental, “Rompe la pila para diversión y beneficios”. Sin embargo, “atacar al ser humano” (ingeniería social) ha sido, y sigue siendo, abrumadoramente más frecuente. Todos los ataques conocidos basados en la no vulnerabilidad tienen un elemento de ingeniería social en el que el atacante intenta convencer a la víctima de que haga algo que acabará siendo pernicioso para ella.
Tipos de ataques de ingeniería social
Si bien no es una lista exhaustiva, los siguientes son los principales ataques de ingeniería social a tener en cuenta:
Phishing
Phishing es uno de los tipos más comunes de ataques de ingeniería social. Utiliza emails y mensajes de texto para atraer a las víctimas a hacer clic en archivos adjuntos maliciosos o enlaces a sitios web dañinos.
Baiting
Este ataque utiliza una falsa promesa para atraer a una víctima mediante la codicia o el interés. Las víctimas se ven atraídas en una trampa que pone en peligro su información confidencial o infecta sus dispositivos. Un ejemplo sería dejar una unidad flash infectada con malware en un lugar público. La víctima puede estar interesada en su contenido e insertarlo en su dispositivo, instalando involuntariamente el malware.
Pretexto
En este ataque, un actor miente a otro para obtener acceso a los datos. Por ejemplo, un atacante puede fingir necesitar datos financieros o personales para confirmar la identidad del destinatario.
Scareware
Scareware implica que las víctimas tengan miedo de falsas alarmas y amenazas. Los usuarios pueden engañarse pensando que su sistema está infectado con malware. A continuación, instalan la solución de software sugerida, pero este software puede ser el malware en sí, por ejemplo, un virus o spyware. Algunos ejemplos comunes son los banners emergentes que aparecen en su navegador y que muestran texto como “Su ordenador puede estar infectado”. Ofrecerá instalar la solución o le dirigirá a un sitio web malicioso.
Spear phishing y whaling
En el spear phishing el ataque está dirigido específicamente a una persona u organización en particular. Del mismo modo, el whaling se dirige a empleados de alto perfil, como CEO y directores.
Tailgating
También conocido como piggybacking, el tailgating se produce cuando un atacante entra en un edificio seguro o departamento de oficina siguiendo a alguien con una tarjeta de acceso. Este ataque supone que otros asumirán que el atacante puede estar allí.
Estafas basadas en IA
Las estafas basadas en IA aprovechan la tecnología de inteligencia artificial para engañar a las víctimas. Estos son los tipos comunes:
- Estafa de texto de IA: Mensajes de texto engañosos generados por la IA para suplantar información o propagar malware.
- Estafa de imagen de IA: Imágenes falsas creadas con IA para manipular y engañar a las personas.
- Estafa de voz con IA: Mensajes de voz fraudulentos generados por la IA para hacerse pasar por entidades de confianza y engañar a las víctimas.
- Estafa de IA y vídeo: Vídeos manipulados creados con IA, conocidos como falsificaciones profundas, utilizados para difundir información errónea o dirigirse a personas.
Cómo reconocer ataques de ingeniería social
Debido a que estos ataques vienen en muchas formas y tamaños diferentes, y dependen de la falibilidad humana, puede ser muy difícil identificar ataques de ingeniería social. Sin embargo, si se encuentra con alguna de las siguientes señales de advertencia, se le advierte de que estas son las principales señales de alerta y sugiere que está comenzando un ataque de ingeniería social:
- Un correo electrónico o mensaje de texto no solicitado de alguien que no conoce.
- El mensaje es supuestamente muy urgente.
- El mensaje requiere que haga clic en un enlace o abra un archivo adjunto.
- El mensaje contiene muchos errores tipográficos y gramaticales.
- Como alternativa, recibe una llamada de alguien que no conoce.
- La persona que llama intenta obtener información personal de usted.
- La persona que llama está intentando que descargue algo.
- La persona que llama habla de forma similar con un gran sentido de urgencia y/o agresividad.
¿Cómo evitar estafas de ingeniería social?
La mayor armadura que se puede utilizar contra las tácticas de ingeniería social empleadas por los delincuentes en línea hoy en día es estar bien informado de las muchas formas en que un cibercriminal podría aprovechar su vulnerabilidad en las redes sociales. Más que las consecuencias habituales de caer en presa de spam, ataques de phishing e infecciones de malware, el desafío que plantean los cibercriminales es tener un conocimiento y comprensión firmes sobre cómo mantener la privacidad de sus datos.
Aparte de estar atento a las señales de advertencia anteriores, las siguientes son buenas prácticas a seguir:
- Mantenga actualizado su sistema operativo y software de ciberseguridad.
- Utilice autenticación multifactor y/o un gestor de contraseñas.
- No abra correos electrónicos ni archivos adjuntos de fuentes desconocidas.
- Establezca sus filtros de spam demasiado altos.
- Elimine e ignore cualquier solicitud de información financiera o contraseñas.
- Si sospecha de algo durante una interacción, esté tranquilo y tome las cosas lentamente.
- Realice su investigación cuando se trata de sitios web, empresas e individuos.
- Tenga cuidado con lo que comparte en las redes sociales: utilice su configuración de privacidad.
- Si es empleado de una empresa, asegúrese de conocer las políticas de seguridad.
Ejemplos de ataques de ingeniería social
Motivados enormemente por los beneficios, los cibercriminales han aumentado significativamente sus métodos para extraer información confidencial de los usuarios en línea para obtener ganancias monetarias.
- Enero es cuando la mayoría de los países inician la temporada fiscal, lo que lo convierte en el objetivo cibercriminal favorito para ganar dinero. Gracias a la ingeniería social, una táctica popular en la que un ataque se adapta para coincidir con ocasiones ampliamente celebradas, días festivos observados y noticias populares, los cibercriminales ganan mucho de sus víctimas. Los ciudadanos estadounidenses recibieron muestras de spam que intentaron transmitirse como un mensaje del Servicio de Impuestos Internos (IRS) de EE. UU.
Obtenga más información aquí.
Las noticias sobre la muerte prematura de Robin Williams el 12 de agosto de 2014 fueron un impacto para personas de todo el mundo. Mientras que las noticias sobre su muerte se propagaron como un incendio forestal entre los netizadores, los spammers y los cibercriminales implementaron correos electrónicos no deseados que mencionan el nombre del actor en el asunto del correo electrónico. El correo no deseado pide a los destinatarios que descarguen un vídeo “chocante” sobre la muerte de William, pero al hacer clic en el enlace del vídeo se descarga un archivo ejecutable que se detectó como WORM_GAMARUE.WSTQ en su lugar.
Obtenga más información aquí.
Cuando las noticias sobre la pandemia del Ébola inundaron Internet, los cibercriminales aprovecharon la oportunidad de utilizar los informes generalizados como cebo para atraer a las víctimas desprevenidas a abrir correos electrónicos falsos. Estos correos electrónicos conducen en última instancia a intentos de phishing, donde se roban la información y las credenciales de la víctima.
Obtenga más información aquí.
- 2008 fue el brote de ataques sociales generados por cibercriminales para sabotaje y beneficio. Con los objetivos identificados, los ataques basados en plataformas se dirigieron a usuarios domésticos, pequeñas empresas y organizaciones a gran escala que afectan al robo de propiedad intelectual, lo que supone una importante pérdida financiera. En gran medida, los delincuentes en línea han ideado formas de atacar a los usuarios web con el uso de sitios de redes sociales como Facebook y Twitter.
- En 2008, los usuarios de Facebook se convirtieron en el objetivo del ataque de malware de tipo gusano KOOBFACE. Twitter se convirtió entonces en una mina de oro para los cibercriminales en 2009 que propagaban enlaces maliciosos que se descubrió que transportaban Trojan.
La evolución de los ataques de ingeniería social
Las amenazas de ingeniería social son, de hecho, más difíciles de protegerse, ya que se dirigen principalmente a usted, al usuario en línea y no solo a las vulnerabilidades de su sistema. La forma más sencilla y efectiva de protegerse de las amenazas como tal es estar bien informado sobre de qué mantenerse alejado y de qué tener cuidado.
Impulsadas por sus objetivos de obtener beneficios de los usuarios en línea, las amenazas digitales han evolucionado y desarrollado esencialmente a lo largo de los años. Los ciberdelincuentes dieron importancia a la creación de formas más sofisticadas de atraer a los usuarios en línea para que confíen en ellos con sus datos confidenciales. Los ataques de ingeniería social han pasado por alto y han pasado por límites en términos de sofisticación de las tecnologías empleadas.