¿Qué es la ingeniería social?
La ingeniería social es cuando un ciberdelincuente obtiene acceso, información o recursos a los que no debería tener acceso mediante la manipulación de las personas en lugar de la tecnología. Aunque pueda pensar que la forma más común en que los hackers vulneran un sistema es atravesando un firewall o utilizando un sofisticado algoritmo para descifrar contraseñas, lo más habitual es que las brechas se produzcan como resultado de la ingeniería social. En lugar de atacar las barreras tecnológicas, los hackers “diseñan” una manera de manipular a las personas de su organización, partiendo de la premisa de que son el mayor punto débil de la empresa en materia de seguridad. Los actores maliciosos fabrican una situación “social” (normalmente, un problema creado por el propio hacker), de ahí el nombre de ingeniería social. En pocas palabras, el ingeniero social inventa una historia muy convincente para engañarle y lograr que haga algo por él o que le conceda acceso a información privada.
¿Cómo funciona?
Los ciberdelincuentes recurren a diversas técnicas psicológicas para ganarse su confianza y, después, traicionarla. A continuación, se describen algunas.Priming (preparación emocional)
El priming consiste en que el ingeniero social carga emocionalmente la conversación para romper el hielo y parecer más legítimo. Esto hace que sus víctimas sean más propensas a responder a sus preguntas. Quizá comience la conversación contando lo difícil que ha sido su mañana o reproduzca un archivo de audio con niños correteando de fondo y finja pedirles que guarden silencio porque mamá o papá está al teléfono. Cosas de niños, ¿verdad?Framing (encuadre)
¿Recuerda los infomerciales (aquellos tiempos en los que veíamos un anuncio de 20 minutos de OxiClean solo porque nos encantaba Billy Mays)? Nunca le decían el precio del producto sin más. En su lugar, decían “¡Solo 49,99 !”. Eso es el encuadre: la información se presenta de un modo que manipula la manera en que la recibirá. 78 parecen una ganga. Los ciberdelincuentes hacen lo mismo: le presentarán información o solicitudes de manera astuta para condicionar su reacción. La próxima vez que reciba un correo electrónico de un desconocido que no puede dar de comer a su familia a menos que le envíe una tarjeta regalo de iTunes, pregúntese: “si me lo hubiera pedido directamente, ¿habría dicho que sí?”.Aversión a la pérdida
Si en pleno auge de Ordena tu casa con Marie Kondo se puso a despejar su hogar y acabó sin querer desprenderse de prácticamente nada, no es el único. Los seres humanos sienten una aversión extraordinaria a desprenderse de lo que poseen. Los ingenieros sociales aprovechan esto para su beneficio, haciendo que la posible víctima vea la amenaza de perder algo (a menudo dinero), lo que nubla su juicio y la hace más dispuesta a cooperar o a compartir información personal.Sesgo de autoridad
¿Cuánto tiempo tardó en darse cuenta de que sus padres no siempre tienen razón? Las personas tienden a confiar de forma refleja en las opiniones de quienes tienen autoridad sobre ellas; además, son mucho más propensas a actuar en contra de su propio interés cuando se lo pide una figura de autoridad. Los ingenieros sociales suelen hacerse pasar por una figura de autoridad, como un directivo, para disuadir a las posibles víctimas de examinar sus solicitudes.Sesgo de familiaridad
Está en una cafetería pidiendo un refresco y la camarera le pregunta si quiere Coca-Cola o un Dacey Fizz. ¿Cuál elige? La Coca-Cola, ¿verdad? Ante una elección, las personas tienen muchas más probabilidades de elegir (y de confiar en) la opción más familiar. Los ingenieros sociales pueden aprovechar esto planteando varias líneas de actuación y confiando en que usted elegirá la más familiar, la que ellos quieren que elija.
¿Cuáles son algunos ejemplos?
Aunque pueda pensar que la forma más común en que los hackers vulneran un sistema es atravesando un firewall o utilizando un sofisticado algoritmo para descifrar contraseñas, lo más habitual es que las brechas se produzcan como resultado de la ingeniería social.Phishing
El phishing es, con diferencia, la forma más común de ingeniería social, y el tipo más popular son las estafas por correo electrónico. Estos correos le incitan a compartir información privada, hacer clic en un enlace o abrir un archivo adjunto que infecta su dispositivo con malware. Hablaremos más sobre el phishing el próximo mes. El smishing y el vishing son variantes del phishing que se realizan mediante mensajes de texto y llamadas de voz, respectivamente. Pueden hacer que el identificador de llamadas muestre el nombre que elijan, de modo que pueden hacerse pasar por alguien de su confianza y decirle que tienen un nuevo número o que necesitan que haga algo por ellos. EJEMPLO: Recibe un mensaje de voz “urgente” de Janet, de otra sucursal, que dice que su base de datos ha dejado de funcionar y que necesita cuanto antes información de la cuenta de un cliente concreto. Cuando devuelve la llamada a “Janet”, comparte información personal con el phisher, que utiliza esos datos para vulnerar la cuenta bancaria de dicho cliente.Brechas físicas
Los ingenieros sociales a veces se hacen pasar por empleados o por personas de aspecto amable, como repartidores, para acceder a un edificio y, cuando se quedan sin vigilancia en el interior, comprometer equipos o revolver documentos privados. EJEMPLO: Alguien con uniforme de cartero se acerca por detrás haciendo malabares con una pila de paquetes. Usted sostiene amablemente la puerta al entrar en su oficina, pero resulta que el cartero era un ciberdelincuente disfrazado. ¿Qué hay en los paquetes? Dispositivos de hacking que conecta a los equipos y servidores de la empresa para comprometer su red.¡El conocimiento es poder!
Los ingenieros sociales son maestros de la manipulación, pero no practican el control mental. Es cierto que los hackers intentarán engañarle, pero usted tiene el poder de proteger mejor a su organización. Al aprender más sobre las técnicas de ingeniería social, se dota del conocimiento necesario para detectar a los actores maliciosos. Enorgullézcase de su impacto y comparta sus nuevos conocimientos con sus compañeros de trabajo (y con sus seres queridos) para que todos se mantengan seguros.