La ingeniería social es una táctica de los cibercriminales para, esencialmente, mentir y crear una narrativa falsa que explota la credulidad, avaricia, curiosidad o alguna otra característica humana de una víctima potencial.
Índice
El resultado final es que la víctima voluntariamente entrega información privada al atacante, ya sea personal (por ejemplo, nombre, email), financiera (por ejemplo, número de tarjeta de crédito) o también instalar inadvertidamente malware o backdoors a sus propios sistemas.
Podemos clasificar los ataques modernos en dos categorías de acuerdo con su víctima potencial: Pueden atacar ya sea a la máquina o al usuario. “Atacar a la máquina” inicia desde 1996 con los ataques de explotación de vulnerabilidades con el artículo “Smashing the Stack for Fun and Profit.” Sin embargo, “atacar al humano” (ingeniería social) ha sido, y aún es, prevalente. Todos los ataques que no están basados en vulnerabilidades tienen un elemento de ingeniería social en el que el atacante intenta convencer a su víctima de hacer algo que resultará en algún tipo de daño para ellos.
Tipos de amenazas de ingeniería social
Aunque la siguiente lista no es exhaustiva, estos son algunos de los ataques de ingeniería social más importantes a tomar en cuenta:
Phishing
El phishing es uno de los tipos de ataques más comunes de ingeniería social. Usa emails y mensajes de texto para hacer que sus víctimas hagan click en links hacia sitios web maliciosos o descarguen archivos adjuntos maliciosos.
Baiting
Este ataque usa una falsa promesa para atraer a sus víctimas por medio de la avaricia o del interés. Las víctimas son atraídas a una trampa que compromete su información sensible o que infecta sus dispositivos. Un ejemplo podría ser un USB infectado con malware que ha sido abandonado en un espacio público. La víctima podría estar interesada en su contenido, y la insertaría en su dispositivo, instalando el malware.
Pretexting
En este ataque, el acceso a la información se obtiene por medio de una mentira. Por ejemplo, un atacante podría decir que necesita información personal o financiera específica para confirmar la identidad del interlocutor.
Scareware
El scareware involucra asustar a las víctimas con falsas alarmas y amenazas. Los usuarios podrían verse manipulados para pensar que su sistema ha sido infectado con malware. Entonces deciden instalar el software sugerido para arreglar el problema, pero este software podría tratarse del malware que buscaba evitar. Ejemplos comunes son pop-ups que aparecen en su navegador, con textos como “Su computadora podría estar infectada.” Le ofrecerá instalar software para arreglar el problema o podría ser redirigido hacia un sitio web malicioso.
Spear phishing y whaling
En un ataque de spear phishing , la víctima es un individuo u organización en particular. De forma similar, el whaling busca atacar a empleados de alto rango, como CEOs y directores.
Tailgating
También conocido como “piggybacking”, el tailgating sucede cuando un atacante entra a un edificio o ubicación segura al seguir a alguien con una tarjeta de acceso. Este ataque se basa en que otros asuman que el desconocido tiene autorización para estar ahí.
Estafas basadas en IA
Las estafas basadas en IA aprovechan lainteligencia artificial para engañar a sus víctimas. Estos son los tipos más comunes:
Estafa de mensajes de texto: Se usa la IA para generar mensajes de texto engañosos para obtener información o propagar malware.
Estafa de imágenes: Se crean imágenes falsas con IA para manipular y engañar a las personas.
Estafa de voz: Se crean mensajes de voz fraudulentos para hacerse pasar por personas de confianza.
Estafa de video: Se crean videos usando la IA, mejor conocidos como deepfakes, y se usan para propagar desinformación.
Por favor visite nuestra página especial para conocer más acerca de los 12 tipos de ataques de ingeniería social si quiere conocer más al respecto.
Cómo reconocer ataques de ingeniería social
Debido a que estos ataques vienen en distintas formas y dependen del error humano, pueden llegar a ser muy difíciles de identificar. Sin embargo, si llega a encontrarse con cualquiera de los elementos listados abajo, considérelos un foco rojo que sugiere un ataque de ingeniería social:
Un mensaje de texto o email inesperado de alguien que no conoce.
El mensaje supuestamente es muy urgente.
El mensaje requiere que haga click en un link o abra un archivo adjunto.
El mensaje contiene errores ortográficos y/o gramaticales.
Alternativamente, recibe una llamada desconocida.
La persona del otro lado de la línea intenta obtener información personal.
La persona desconocida intenta hacer que usted descargue algo.
La llamada tiene un gran sentido de urgencia y puede llegar a ser agresiva.
La mejor armadura que uno puede usar contra las tácticas de ingeniería social es estar bien informado sobre las formas en que los cibercriminales podrían aprovecharse de su vulnerabilidad en redes sociales. Más allá de las consecuencias usuales de caer víctima de ataques de phishing, estafas e infecciones de malware, el verdadero reto es tener un buen entendimiento de cómo mantener su información privada.
Además de mantenerse vigilante ante las señales antes mencionadas, las siguientes son mejores prácticas a seguir:
Mantenga actualizado su software de ciberseguridad y sus sistemas operativos.
Use autentificación multifactor o un Administrador de Contraseñas.
No abra emails o archivos adjuntos maliciosos provenientes de desconocidos.
Configure a la máxima protección sus filtros de spam.
Borre e ignore cualquier solicitud de información financiera o contraseñas.
Si sospecha algo durante una interacción, mantenga la calma.
Investigue los sitios web, empresas e incluso los individuos con los que interactúa.
Tenga cuidado con lo que comparte en redes sociales, use sus configuraciones de privacidad.
Si es empleado de una empresa, asegúrese de conocer las políticas de seguridad.
Ejemplos de ingeniería social
Al tener motivaciones financieras, los cibercriminales han centrado sus métodos alrededor de obtener información sensible.
El mes de enero arranca en muchos países la temporada de declaración de impuestos, lo cual lo convierte en una época atractiva para los cibercriminales. Gracias a la ingeniería social, una táctica popular es buscar coincidir con ocasiones espaciales, días festivos y acontecimientos importantes. Los ciudadanos de los Estados Unidos recibieron spam que buscaba hacerse pasar como un mensaje oficial del IRS (Internal Revenue Service), que es la autoridad encargada de los impuestos.
Haga click aquí para conocer más sobre este ataque de malware.
La noticia sobre la muerte del actor Robin Williams el 12 de abril de 2014 fue causa de shock alrededor del mundo. Mientras que el internet estaba lleno de noticias sobre su muerte, los estafadores mandaron correos de spam con el nombre del actor en el asunto del correo. Estos correos decían tener un video “escandaloso” sobre la muerte de Williams, pero al hacer click se descargaba un archivo ejecutable que fue detectado como WORM_GAMARUE.WSTQ.
Haga click aquí para conocer más acerca de este ataque de malware.
Durante la pandemia de Ebola, los cibercriminales aprovecharon la oportunidad para usar los reportes como carnada para atraer a víctimas. Los emails que mandaban eran intentos de phishing que buscaban robar la información de sus víctimas.
Haga click aquí para conocer más acerca de este ataque de malware.
El año 2008 fue el año en que los cibercriminales comenzaron a usar la ingeniería social de forma extendida. Con sus víctimas ya identificadas, se dirigían ataques basados en plataformas hacia usuarios domésticos, pequeñas empresas y organizaciones de gran escala, infligiendo daños financieros y robando propiedad intelectual. Los cibercriminales han encontrado formas de atacar a usuarios por medio de redes sociales como Facebook y Twitter.
En el 2008, los usuarios de Facebook se convirtieron en el blanco de un ataque de malware tipo gusano llamado KOOBFACE. Twitter se convirtió en una mina de oro para los cibercriminales en el 2009, propagando links maliciosos que se descubrió contenían troyanos.
El futuro de los ataques de ingeniería social
Podemos desglosar cualquier interacción de ingeniería social en los siguientes elementos:
- Un “medio” para conectar con la víctima, lo cual puede hacerse por medio de teléfono, email, redes sociales, o mensajes directos, entre otros.
- Una “mentira”, en la que el atacante crea una historia falsa para convencer a la víctima de actuar en un tiempo limitado. La mentira tiene un sentido de urgencia que es integral para la estafa.
- Una “solicitud”, es decir, lo que debe hacer la víctima, como dar información, ejecutar un archivo malicioso, invertir en alguna criptomoneda o mandar dinero.
Veamos un ejemplo común con el que probablemente esté familiarizado: la estereotípica estafa por email.
Figura 1. El medio, la mentira y la solicitud de un ataque de ingeniería social
Actualmente, los criminales buscan a sus víctimas por cualquier cantidad de medios. También usan historias inventadas como parte de sus trucos de ingeniería social. Sus objetivos son típicamente los mismos, como obtener contraseñas, información personal o instalar malware.
Con los años, hemos visto una multitud de estafas de ingeniería social, y un podría pensar que ya lo ha visto todo. Y aún así, los cibercriminales siguen encontrando nuevas formas y trucos todos los años. En esta pieza, exploraremos los desarrollos en los ataques de ingeniería social que los atacantes podrían usar en el futuro. Al cambiar el medio, la mentira o la solicitud, los atacantes podrían fácilmente crear nuevas estafas para engañar a sus víctimas.
¿Cuáles son los elementos nuevos que puedo esperar? ¿Cuáles son los cambios que podemos predecir? ¿Cómo afectarán las nuevas tecnologías a todos estos elementos?
Cambios en el medio
Conforme surgen nuevas tecnologías, los atacantes obtienen más formas de alcanzar a sus víctimas potenciales. Esto incluye herramientas de IA, dispositivos de VR como el Apple Vision Pro, el pin Humane, los anteojos de Ray-Ban o cualquier dispositivo que los usuarios usen comúnmente en el futuro.
Utilizando dispositivos “wearable” como medio
Nuevos dispositivos entran al mercado cada año, y esto expande la superficie de ataque para los cibercriminales. Los wearables son particularmente interesantes porque el usuario siempre los trae consigo. Cualquier estafa que involucre un wearable tiene más posibilidades de ser exitosa. Existe incluso una posibilidad de que el atacante obtenga acceso al dispositivo. A menudo estos no están diseñados para desplegar herramientas de seguridad o incluso autentificarse regularmente, evadiendo los controles normales de seguridad.
Figura 2. Un escenario potencial de wearables como medio de un ataque de ingeniería social
Chatbots como medio
Los chatbots de IA también pueden usarse como medio para alcanzar al usuario. La idea del ataque se basa en dar información falsa al chatbot para manipular al usuario a tomar alguna acción. Se puede envenenar la data de los chatbots de varias formas, incluyendo ingresar información incorrecta, tomar el control de los datos de entrenamiento o inyectando nuevos comandos.
Nuevos ataques basados en email
Una nueva forma de usar el medio tradicional de emails y mensajes instantáneos podría ser utilizar un bot impulsado por un modelo de lenguaje de gran tamaño (LLM) para incrementar la efectividad de un ataque BEC. El actor malicioso puede usar el LLM para compilar el historial de conversaciones entre la víctima y el CEO. Entonces, el bot podría continuar una conversación en este canal de confianza haciéndose pasar por el CEO usando su estilo de escritura para convencer a la víctima de transferir dinero. Esto ya está sucediendo de forma manual, pero no se puede ignorar el potencial de que este ataque se automatice con IA.
Mejorando las mentiras
La innovación principal que está impulsando este ataque es la IA. La mentira tal cual que es el centro de la estafa variará de acuerdo con la temporada y el país, entre otras cosas, pero esto podría cambiar debido a la escalabilidad y la flexibilidad que brinda la IA. La IA generativa (GenAI) destaca en la generación de imágenes, videos y audios. Cuando se trata de texto, es capaz de crear contenido creíble y de procesar rápidamente grandes cantidades de texto. Esta nueva escalabilidad abre nuevos desarrollos para las “mentiras” de la ingeniería social.
Un nuevo tema que los atacantes usan para crear mentiras es la misma tecnología de la IA. Por ejemplo, mentir sobre ChatGPT o VR puede ser efectivo debido al interés sobre estas tecnologías. Además, los atacantes podrían crear herramientas falsas relacionadas con IA que en realidad son malware. Los diseñadores gráficos podrían tener curiosidad de la creación de imágenes y videos deepfake. Una herramienta que el atacante puede ofrecer para facilitarlo podría descargarse y ejecutarse. De forma similar, incorporar imágenes y videos deepfake a estafas existentes les brinda credibilidad. Esta estrategia se está usando cada vez más en el panorama actual de amenazas. Creemos que los deepfakes tienen el potencial de disrumpir de forma importante la estafas de ingeniería social y que los atacantes los estarán usando extensamente en el futuro cercano.
Figura 3. Cómo las estafas de voz pueden mejorarse con los deepfakes
- Haga click aquí para conocer más acerca de El Futuro de la Ingeniería Social.
Plataforma Trend Micro Vision One™
Trend Vision One es una plataforma de ciberseguridad que simplifica la seguridad y ayuda a las empresas a detectar y a detener a las amenazas más rápido al consolidar múltiples funcionalidades de seguridad, permitiendo un mayor comando de la superficie de ataque empresarial, y brindando una visibilidad completa sobre la postura de riesgo.
Esta plataforma basada en la nube aprovecha la IA y la inteligencia de amenazas de más de 250 millones de sensores y 16 centros de investigación de amenazas alrededor del mundo para brindar insights integrales de riesgo, una detección de amenazas más temprana y opciones automáticas de respuesta ante riesgos y amenazas en una sola solución.
Prevención de ingeniería social