Ataques de ingeniería social y cómo defenderte

Lectura de 2 min aprox.

La ingeniería social es un término colectivo para las técnicas de ataque que extraen información confidencial explotando las debilidades psicológicas y las relaciones de confianza de las personas, en lugar de medios técnicos. Por muy robusto que sea el sistema de seguridad que construyas, no sirve de nada si se engaña a la persona que lo opera. Estos ataques se basan en el principio de que el eslabón más débil de la seguridad es siempre el «ser humano». Para un atacante, lograr que alguien que ya tiene los privilegios necesarios actúe creyendo que sigue un procedimiento legítimo suele ser más rápido que encontrar y explotar una vulnerabilidad técnica. Por mucho que se refuerce la tecnología, esta vía sigue abierta mientras exista un punto en el que una persona toma la decisión final.

Antecedentes históricos

Quien dio a conocer ampliamente el concepto de ingeniería social fue Kevin Mitnick, un hacker activo en la década de 1990. Recurría más a la suplantación por teléfono y a la manipulación psicológica que al hackeo técnico, y se infiltró en los sistemas de grandes empresas. Su libro «The Art of Deception», publicado tras su arresto, todavía se lee hoy como un clásico de la ingeniería social. Con la expansión de internet, los métodos de ataque evolucionaron hacia correos de phishing y sitios web falsos, pero la esencia de explotar la psicología humana no ha cambiado.

Técnicas comunes

El pretexting es una técnica en la que un atacante se hace pasar por una persona de confianza, como soporte de TI o un superior, para sonsacar contraseñas o información confidencial. El tailgating es un método de intrusión física que consiste en cruzar una puerta de seguridad siguiendo de cerca a un empleado legítimo. El baiting es una técnica que consiste en introducir malware en una memoria USB u otro dispositivo y conseguir que la víctima lo conecte por curiosidad. El quid pro quo es un método para sonsacar información ofreciendo «algo a cambio», como hacerse pasar por una «evaluación de seguridad gratuita».

Casos de uso reales

Por ejemplo, cuando una organización realiza un ejercicio de phishing simulado, suelen ser las personas recién incorporadas las que abren el enlace. Mientras no se conocen las costumbres internas ni las caras detrás de los remitentes, seguir las instrucciones parece justamente lo correcto. Si después los resultados se manejan como una lista de quién cayó, la próxima vez habrá más gente que calle tras hacer clic y el ejercicio acabará retrasando la detección de incidentes reales. En la práctica funciona mejor orientar el ejercicio a que la persona pueda avisar en cuestión de minutos tras el clic. Con la frecuencia ocurre lo mismo: ejercicios breves repetidos con regularidad fijan la vía de aviso mucho mejor que una única sesión anual.

Clasificación de los métodos de ataque

Defensas y trampas en la práctica

Defenderse de la ingeniería social requiere medidas tanto técnicas como humanas. Verifica siempre la identidad de quien hace una solicitud sospechosa y establece como norma absoluta no comunicar contraseñas por teléfono ni por correo electrónico. En las organizaciones, la formación periódica en seguridad y los ejercicios de phishing simulado son eficaces. Una trampa común es el exceso de confianza de pensar «nuestros empleados no caerán». Incluso los empleados del departamento de TI pueden caer en un ataque suficientemente bien elaborado. Si usas una contraseña aleatoria imposible de adivinar, no servirá de nada que un atacante intente sonsacar una «pista de la contraseña».