Autor: Adrián Bastidas. Centro de Seguridad Informática y Certificación Electrónica (CSICE).FIIIDT.
Se le llama ingeniería social a el método utilizado por un atacante para apoderarse de datos privados de los usuarios mediante la persuasión, aprovechándose se la confianza o ingenuidad de los usuarios para no corroborar la autenticidad de los hechos, es decir, intenta que los usuarios realicen cosas que los atacantes quieren que hagan para robar información mediante la manipulación psicológica.
La ingeniería social acapara una gran parte de todos los ciberataques a nivel general, independientemente del tamaño del crimen, este tipo de técnicas se han mantenido de manera constante por muchos años en la era de la seguridad informática.
Tipos de ataques de ingeniería social
Como bien sabemos la ingeniería social se basa en la manipulación psicológica de las personas o usuarios y están pueden hacerse mediante varios tipos y los más comunes pueden ser:
- Phishing: Es una técnica muy antigua entre cibercriminales y muy exitosa, esta consiste en robar información de los usuarios mediante envío de correos electrónicos que pueden dividirse en varios tipos:
- Un método puede ser tratar de incomodar e intimar a los usuarios poniéndolos en situaciones en las cuales se deba actuar de inmediato tomando decisiones basadas en el miedo y como se sientan en el momento y mayormente involucran cuentas bancarias de por medio.
- El segundo método puede ser robar información haciéndose pasar por una persona de mayor nivel o jerarquía dentro de una empresa solicitando contraseñas de acceso a algún sistema.
- Un tercer método de robo de información mediante pichinga podría ser crear una situación de oferta de algún producto por tiempo ilimitado donde los usuarios pueda ingresar a una página falta y falsa y otorgar datos de pago que son robados.
- Vishing: Este método de robo de datos amerita que exista más contacto personal ya que consiste en llamadas telefónicas que hacen los cibercriminales haciéndose pasar por instituciones bancarios u otro tipo se entes importantes con el fin de sacar información personal que puedan utilizar.
- Baiting: En español significa carnada y trata de que los ciberdelincuentes pueden tomar un pendrive e infectarlo con algún software malicioso que pueda robarte información, el atacante tratara de hacerle llegar el dispositivo al usuario por algún método y este al introducirlo en su computador ya podría compartir información sin saber.
Las personas que hacen este tipo de ataques siempre tienen diversos motivos, pero la mayor parte del tiempo el objetivo es robar dinero o robar la identidad del usuario. En todo caso la ingeniería social es una forma fácil y eficaz de robar de hacer un cibercriminal ya que tiene bajo costo y quizá menos inversión de tiempo.
Aspectos Básicos de la Ingeniería social
Pues bien, sabiendo lo antes mencionado debemos tener muy en cuenta los aspectos que involucran la ingeniería social con el fin de conocer cuando estemos en frente de ella:
- Se presenta de forma Digital y en forma Física: Es decir la ingeniería social es una forma de robo que está presente en todo momento de la vida cotidiana así que no puede asumirse que no le puede pasar a cualquier persona o que solo se presenta en internet.
- los ataques difieren de calidad: Cada ataque de Phishing, vishing o baiting son distintos, puede haber atacantes que hagan su trabajo a la perfección como un correo phishing muy igualado a uno original así como pueden haber ataques de delincuentes muy novatos que se detecte rápidamente que es un falso positivo.
- Denotar los ataques: Es poco probable que notes a primera vista que estas siendo víctima de un ataque de ingeniería social, por lo general los ataques de calidad son muy bien planificados y no hay ningún tipo de advertencia que genere tu computador o antivirus que indique que estas siendo víctima de alguna falsificación.
- Ataques a gran escala: La mayoría de ataque de ingeniería social son hechos en las empresas o corporaciones donde es más fácil debido al ámbito de trabajo que un usuario pueda utilizar de manera constante su correo para todo tipo de comunicaciones y pueden realizar un ataque de forma masiva o individual a algún miembro de la empresa.
Referencias:
- https://revista.seguridad.unam.mx
- https://lam.norton.com/
- https://www.welivesecurity.com/
Contacto: adrian.bastidas.macb@gmail.com