Què és l’enginyeria social?
L’enginyeria social és quan un cibercriminal obté accés, informació o recursos als quals no hauria de tenir accés manipulant les persones en lloc de la tecnologia. Encara que potser penseu que la manera més habitual que tenen els pirates informàtics de vulnerar un sistema és travessar un tallafoc o utilitzar un sofisticat algorisme de desxiframent de contrasenyes, la majoria de les vegades les bretxes es produeixen com a resultat de l’enginyeria social. En lloc d’atacar les barreres tecnològiques, els pirates informàtics «dissenyen» una manera de manipular les persones de la vostra organització, partint del supòsit que són el punt més feble de la seguretat de l’empresa. Els actors malintencionats fabriquen una situació «social» (normalment, un problema que el mateix pirata informàtic crea!), d’aquí el nom d’enginyeria social. En resum, l’enginyer social s’inventa una història molt convincent per enganyar-vos i fer que feu alguna cosa per a ell o li concediu accés a informació privada.
Com funciona?
Hi ha diverses tècniques psicològiques que els cibercriminals utilitzen per guanyar-se la vostra confiança i, després, trair-la. A continuació, en teniu algunes.Priming
El priming és quan un enginyer social carrega emocionalment la conversa per trencar el gel i semblar més legítim. Això fa que les seves víctimes siguin més propenses a respondre a les seves preguntes. Potser comença la conversa explicant el dur que ha estat el matí o fa sonar un arxiu d’àudio de nens corrent de fons i després fingeix demanar-los que facin silenci perquè la mare o el pare està al telèfon. Nens, ja se sap!Framing
Us en recordeu, dels publirreportatges (quan miràvem un anunci de 20 minuts d’OxiClean només perquè ens encantava Billy Mays)? Mai no us deien directament el preu del producte. En lloc d’això, deien «Només 49,99 !». Això és el framing: la informació es presenta de manera que manipula la forma com la rebreu. 78 semblen una ganga. Els cibercriminals fan el mateix; us presentaran informació o peticions de maneres enginyoses dissenyades per condicionar la vostra reacció. El pròxim cop que rebeu un correu electrònic d’un desconegut que no pot alimentar la seva família si no li envieu una targeta regal d’iTunes, pregunteu-vos: «si m’ho hagués demanat directament, hi hauria dit que sí?»Aversió a la pèrdua
Si en el moment àlgid de l’entusiasme per Tidying Up with Marie Kondo vau emprendre una allau d’ordre només per descobrir que no éreu capaços de desfer-vos pràcticament de res, no esteu sols. Els éssers humans som extraordinàriament reticents a desprendre’ns de les coses que posseïm. Els enginyers socials ho aprofiten fent brillar davant de la víctima potencial la pèrdua d’alguna cosa (sovint diners), cosa que li enterboleix el judici i la fa més disposada a cooperar o a compartir informació personal.Biaix d’autoritat
Quant de temps vau trigar a adonar-vos que els vostres pares no sempre tenen raó? Les persones tendeixen a confiar de manera reflexa en les opinions de qui té autoritat sobre elles; també és molt més probable que actuïn en contra del seu propi interès quan ho demana una figura d’autoritat. Els enginyers socials sovint es fan passar per una figura d’autoritat, com ara un directiu, per dissuadir les víctimes potencials d’examinar amb atenció les seves peticions.Biaix de familiaritat
Sou en un bar demanant un refresc i la cambrera us pregunta si voleu una Coca-Cola o una Dacey Fizz. Quina escolliu? La Coca-Cola, oi? Quan han d’escollir, les persones són considerablement més propenses a triar (i a confiar en) l’opció més familiar. Els enginyers socials ho poden aprofitar plantejant diverses línies d’actuació i confiant que escollireu la més familiar, la que ells volen que escolliu.
Quins exemples hi ha?
Encara que potser penseu que la manera més habitual que tenen els pirates informàtics de vulnerar un sistema és travessar un tallafoc o utilitzar un sofisticat algorisme de desxiframent de contrasenyes, la majoria de les vegades les bretxes es produeixen com a resultat de l’enginyeria social.Phishing
El phishing és, amb diferència, la forma més habitual d’enginyeria social, i el tipus més popular són les estafes per correu electrònic. Aquests correus us temptegen perquè compartiu informació privada, feu clic en un enllaç o obriu un fitxer adjunt que infecta el vostre dispositiu amb programari maliciós. El mes que ve parlarem més del phishing. El smishing i el vishing són versions del phishing que es produeixen mitjançant missatges de text i trucades de veu, respectivament. Poden fer que l’identificador de trucada mostri el nom que vulguin, de manera que es poden fer passar per algú en qui confieu i dir-vos que tenen un número nou o que necessiten que feu alguna cosa per a ells. EXEMPLE: Rebeu un missatge de veu «urgent» de la Janet, d’una altra sucursal, que diu que la seva base de dades ha caigut i que necessita amb urgència informació del compte d’un client concret. Quan torneu la trucada a la «Janet», compartiu informació personal amb el phisher, que utilitza aquestes dades per vulnerar el compte bancari d’aquest client.Bretxes físiques
De vegades, els enginyers socials es fan passar per empleats o per cares amables, com ara repartidors, per entrar en un edifici i, quan els deixen sols a l’interior, vulneren ordinadors o remenen documents privats. EXEMPLE: Algú vestit amb l’uniforme de carter s’acosta per darrere vostre fent equilibris amb una pila de paquets. Amablement, li aguanteu la porta mentre entreu a l’oficina, però resulta que el carter era un cibercriminal disfressat. Què hi ha als paquets? Dispositius de pirateria informàtica, que connecta als ordinadors i servidors de l’empresa per vulnerar la vostra xarxa.El coneixement és poder!
Els enginyers socials són grans manipuladors, però no practiquen el control mental. És cert que els pirates informàtics intentaran enganyar-vos, però vosaltres teniu el poder de protegir millor la vostra organització. En conèixer millor les tècniques d’enginyeria social, us equipeu amb els coneixements necessaris per detectar els actors malintencionats. Sentiu-vos orgullosos del vostre impacte i compartiu els nous coneixements amb els vostres companys (i amb els vostres éssers estimats) perquè tothom pugui estar segur.