¿Qué es la ingeniería social?
Tecnologia-Cyberseguridad-AI
CEO Nestor Barillas
22/8/2020
🧠 ¿Qué es la ingeniería social?
Es el arte de manipular psicológicamente a las personas para que revelen información confidencial o realicen acciones que comprometan la seguridad, como ejecutar archivos maliciosos o entregar credenciales.
Los atacantes utilizan trucos de ingeniería social porque es más fácil manipular a una persona para que realice una acción que explotar una falla tecnológica en un sistema de seguridad. Estas tácticas se centran en la naturaleza humana, explotando emociones como el miedo, la urgencia, la confianza o la curiosidad para persuadir a las víctimas a saltarse las defensas y ejecutar acciones que les dan acceso a sistemas o información confidencial.
Tácticas Comunes de Ingeniería Social 🎣
Los atacantes emplean una variedad de métodos para engañar a las personas. Aquí tienes algunos de los más comunes:
Phishing: Es la técnica más conocida. Consiste en enviar mensajes de correo electrónico o texto falsos, que parecen provenir de una entidad legítima (como un banco, una empresa o una red social), para engañar a la víctima y que revele información personal o haga clic en un enlace malicioso. Un ejemplo clásico es un correo que te avisa de un "acceso sospechoso" a tu cuenta y te pide que confirmes tus datos de inicio de sesión.
Vishing: Similar al phishing, pero se realiza a través de llamadas telefónicas. El atacante se hace pasar por un técnico de soporte, un oficial del gobierno o un empleado de tu banco para conseguir que le des información sensible. Por ejemplo, podrían llamarte diciendo que detectaron un virus en tu computadora y necesitan que les des acceso remoto para "solucionarlo".
Baiting (cebo): Esta técnica utiliza la tentación para atraer a la víctima. Un ejemplo común es dejar un pendrive infectado con malware en un lugar público con una etiqueta atractiva, como "Nóminas 2025". Alguien curioso lo recogerá y lo conectará a su computadora, ejecutando el código malicioso sin saberlo.
Pretexting: En este caso, el atacante se inventa una historia o un pretexto para obtener información. Podrían hacerse pasar por un nuevo compañero de trabajo que necesita acceso a ciertos documentos o por un auditor que requiere datos de la empresa para un estudio. Crean un escenario plausible para que la víctima no dude en ayudar.
Tailgating (acceso por seguimiento): Este ataque ocurre en el mundo físico. Un atacante sigue a un empleado legítimo para entrar en un área restringida. Por ejemplo, podría pedirle a alguien que le "sostenga la puerta" porque "olvidó" su tarjeta de acceso, aprovechando la cortesía y la buena fe de la persona.
¿Por Qué Funciona? 🤔
La ingeniería social tiene éxito porque se aprovecha de las vulnerabilidades psicológicas humanas en lugar de las debilidades tecnológicas. Los atacantes explotan principios como la autoridad (respetamos a quienes tienen poder), la urgencia (reaccionamos rápido ante una amenaza o una oportunidad que se puede perder), la confianza (tendemos a creer en personas que parecen legítimas) y la curiosidad (somos más propensos a hacer clic en algo si despierta nuestro interés).
La mejor defensa contra estos ataques es la conciencia y la educación. La capacitación constante sobre las amenazas y la práctica de la desconfianza saludable pueden ayudar a que las personas reconozcan las señales de un ataque de ingeniería social y eviten caer en la trampa, fortaleciendo así la seguridad de toda la organización.
Protegerte de la ingeniería social es fundamental
Ya que los atacantes se dirigen a las personas, no solo a la tecnología. La clave es desarrollar una "mentalidad de seguridad" y ser proactivo.
Aquí tienes un desglose de las tácticas más comunes y cómo puedes protegerte de cada una:
Phishing (Correo electrónico y SMS)
El phishing es un mensaje falso que busca engañarte para que reveles información o hagas clic en un enlace malicioso.
Cómo protegerte:
Verifica la fuente: Antes de hacer clic en cualquier enlace o descargar un archivo, revisa cuidadosamente la dirección de correo electrónico del remitente. Si la dirección es extraña o no coincide con la organización que dice ser (por ejemplo,
soporte@banco-online.neten lugar desoporte@banco.com), es una señal de alarma.No te dejes presionar: Los correos de phishing suelen crear un sentido de urgencia ("Tu cuenta será suspendida si no actúas ahora"). Un banco o una empresa legítima casi nunca te pedirá información confidencial de esta manera.
Ve directamente al sitio web: Si recibes un correo sospechoso de una entidad, no uses los enlaces que te envían. Abre tu navegador, escribe la dirección oficial del sitio (como
www.banco.com) y verifica tu cuenta desde allí.
2. Vishing (Llamadas telefónicas)
El vishing es una llamada falsa donde un atacante se hace pasar por alguien de confianza (soporte técnico, tu banco, una empresa de paquetería) para obtener información.
Cómo protegerte:
Desconfía de llamadas inesperadas: Si alguien te llama para "solucionar" un problema que no sabías que tenías, sé escéptico.
Verifica la identidad: No des información personal. En su lugar, cuelga y llama al número de teléfono oficial de la empresa u organización para verificar si la solicitud es legítima.
Nunca des acceso remoto: Si te piden instalar un programa o dar acceso a tu computadora para "arreglar" un problema, cuelga inmediatamente. Ningún servicio técnico legítimo te pedirá eso sin un proceso de verificación previo.
3. Pretexting (Historias falsas)
En esta táctica, el atacante inventa un escenario convincente para manipularte. Podrían fingir ser un compañero de trabajo, un repartidor o un auditor para ganarse tu confianza.
Cómo protegerte:
Verifica la solicitud: Si un "compañero" te pide información delicada por correo, llámalo o habla con él en persona para confirmar. No confíes solo en el mensaje que recibiste.
Implementa políticas de seguridad: En el ámbito laboral, sigue las políticas de seguridad de tu empresa. Si un "auditor" te pide algo, asegúrate de que tiene la autorización correcta y de que su identidad fue verificada por la gerencia.
4. Baiting (El Cebo)
El baiting se basa en la curiosidad o la codicia. Los atacantes dejan un "cebo" (como un pendrive con la etiqueta "Salarios 2024" o una oferta en línea de "películas gratis") para que la víctima lo use.
Cómo protegerte:
No te dejes llevar por la curiosidad: Nunca conectes un dispositivo USB desconocido a tu computadora.
Sospecha de ofertas "demasiado buenas para ser verdad": Un "premio" de una lotería en la que no participaste o una "oferta de empleo" que te pide dinero son casi siempre trampas.
Medidas de protección adicionales
Además de estas tácticas específicas, hay buenas prácticas que te ayudarán a protegerte en general:
Autenticación de dos factores (2FA/MFA): Activa esta opción siempre que esté disponible. Añade una capa de seguridad para que, incluso si tu contraseña es robada, el atacante no pueda acceder a tu cuenta.
Mantén tu software actualizado: Las actualizaciones a menudo incluyen parches de seguridad que corrigen vulnerabilidades que los atacantes podrían explotar.
Conciencia y educación: La mejor defensa eres tú. Estar informado sobre las últimas amenazas y técnicas de engaño te permite reconocer un ataque antes de que se convierta en un problema.
Recuerda: la desconfianza es tu mejor aliada en el mundo digital. Si algo te parece extraño, tómate un momento para pensarlo, verificar la fuente y, si es necesario, ignorarlo.
Comentarios
Publicar un comentario