Las diferentes modalidades de trabajo a las que hoy podemos aspirar (remoto o híbrido), han hecho que los ciberdelincuentes tengan en su punto de mira a las personas en lugar de la tecnología. Debido a lo anterior, no es sorpresivo que el 2020, en el punto álgido de la pandemia, la Interpol informará el recibimiento de más de 907.000 mensajes de spam e incidentes relacionados con el malware, y, en todos ellos se aprovechó la COVID-19 como parte de los ataques.
Ninguna organización está a salvo de ataques de ingeniería social. Incluso la empresa de seguridad RSA experimentó una vulneración de datos cuando un pequeño grupo de colaboradores abrieran un archivo adjunto malicioso contenido en un correo electrónico de phishing.
Los equipos de seguridad suelen ser la última línea de defensa de las organizaciones y deben estar atentos a la actividad de cada usuario para poder mitigar los riesgos. Para poder responder a lo anterior, las organizaciones deben entender cómo funcionan y cómo se presentan los diferentes atacas de cberseguridad.
Los ataques de ingeniería social se centran en manipular las interacciones humanas y las emociones de las personas como una manera de hacer que los usuarios finales realicen acciones adversas, como compartir información confidencial. Por lo general, estos ataques se aprovechan de las emociones fuertes, como el miedo, y las utilizan para crear una sensación de urgencia para engañar a la gente.
Al tratar de engañar a las personas para que actúen en contra de los intereses de ciberseguridad de su organización, los actores de las amenazas suelen utilizar estrategias como las siguientes:
Dado que los actores de las amenazas se basan en las emociones, los ataques de ingeniería social suelen ser más peligrosos que otras metodologías. La tecnología puede programarse para proporcionar resultados repetibles, lo que facilita su control y validación. Los procesos pueden probarse y repetirse antes de que una organización tenga que utilizarlos.
Como los ataques de ingeniería social utilizan la psicología, las víctimas pueden incluso no ser conscientes de que han sido manipuladas. Por ejemplo, cuando los ciberdelincuentes aprovechan el sesgo de autoridad durante un ataque, a menudo, están manipulando un sesgo cognitivo que las personas no saben que tienen.
Al fin y al cabo, las emociones y los seres humanos son imprevisibles. Las respuestas de las personas a las situaciones cambian en función de diversos factores, como el estado de ánimo y de salud. Para los profesionales de la seguridad, esto crea un riesgo incuantificable, así como la incapacidad de validar controles, como la capacitación sobre ciberseguridad.
La mayoría de los ataques de ingeniería social siguen una o más de varias técnicas, como las siguientes:
En el baiting, los ciberatacantes utilizan un objeto físico, como una unidad USB, para atraer a las personas y aumentar su curiosidad. A menudo, quieren saber qué contiene la unidad o suponen que se ha perdido y acaban intentando devolverla al propietario. Sin embargo, cuando la insertan en un dispositivo, se instala y ejecuta un malware que recopila información confidencial.
El phishing puede ser el tipo de ataque de ingeniería social más habitual. Con el phishing, los ciberdelincuentes envían correos electrónicos falsos a usuarios que parecen legítimos, sugiriendo que el destinatario del correo electrónico actúe cuanto antes. Cuando se hace clic en el enlace del correo electrónico o se descarga el archivo adjunto, el malware se instala y ejecuta en los dispositivos.
El phishing se presenta en diferentes variedades, por ejemplo:
El scareware, también denominado ataque "quid pro quo", intenta engañar a las personas para que realicen una acción sugiriendo que, si la llevan a cabo, evitarán daños. Por ejemplo, un ataque de scareware puede sugerir que el equipo de un usuario está infectado con un virus y que, al hacer clic en un enlace, se eliminará la infección; pero, en realidad, se implementa el malware.
Tanto si se producen digitalmente como físicamente, los pretextos siguen el mismo patrón. Un pretexto se produce cuando un atacante malicioso investiga, crea una historia viable y, luego, se hace pasar por una persona que se ve como legítima.
Por ejemplo, los ciberdelincuentes pueden hacerse pasar por:
Un ataque de ingeniería social muy estratégico y arriesgado es el farming o hunting, en el que un ciberdelincuente establece una relación con la víctima y la desarrolla a lo largo del tiempo. Aunque esto puede ser más arriesgado, porque la víctima puede darse cuenta de que el delincuente está actuando, también tiene un mayor beneficio, dado que se construye una base de confianza más sólida.
Para evitar ser víctimas, las empresas deben asegurarse de contar una capacitación adecuada de concienciación sobre ciberseguridad, como la de SoftwareONE. Al buscar servicios de concienciación sobre ciberseguridad para usuarios, la capacitación debe incluir los siguientes componentes esenciales para:
Además, las empresas pueden utilizar tecnologías para evitar ser víctimas, por ejemplo, pueden hacer lo siguiente:
Las empresas que piensen que pueden haber sido víctimas de un ataque de ingeniería social deben asegurarse de tener capacidades de detección y respuesta adecuadas implementadas. Cuanto antes pueda responder una empresa a un ataque, menos daños podrá provocar un ciberdelincuente.
Estos son algunos factores que debe tener en cuenta:
Los ciberdelincuentes dedican mucho tiempo al reconocimiento antes de implementar un ataque de ingeniería social. Buscan a las personas que tienen más acceso a información y saben cómo desencadenar emociones fuertes en ellas.
Dado que los empleados se encuentran fuera de las protecciones de red tradicionales, como los firewalls, los ataques de ingeniería social seguirán siendo una metodología principal, dado que suelen tener éxito. Si bien las personas nunca quieren causar una vulneración de datos, los ciberdelincuentes usan métodos más sofisticados para sus ataques de ingeniería social, lo que hace que detectarlos sea más complicado para todos. A medida que avances, asegúrate de invertir en la capacitación adecuada de tus empleados, para que todos los involucrados tengan las herramientas necesarias para evitar ataques de ingeniería social. De esta manera, todos estarán tranquilos sabiendo que no tienen posibilidades de ser la próxima víctima.
Protege tu puesto de trabajo digital con asistencia especializada 24/7 enfocada seguridad y supervisión de amenazas.
Protege tu puesto de trabajo digital con asistencia especializada 24/7 enfocada seguridad y supervisión de amenazas.
