Tailgating - Intrusión física por seguimiento

Lectura de 2 min aprox.

El tailgating es una técnica de intrusión física en la que una persona no autorizada sigue de cerca a alguien con derechos de acceso legítimos y se cuela por la puerta en el momento en que se abre. A menudo descrita como la versión física de la ingeniería social, esta técnica no requiere ninguna habilidad técnica avanzada y explota las debilidades psicológicas de la buena voluntad y la cortesía humanas. Incluso las organizaciones que invierten mucho en ciberseguridad pueden permitir el acceso directo a sus redes internas si su control de acceso físico es deficiente, lo que la convierte en una amenaza grave que suele pasarse por alto.

La diferencia entre tailgating y piggybacking

Estos dos términos se confunden fácilmente, pero difieren de forma decisiva en el grado de implicación de la persona autorizada. El tailgating es un caso en el que una persona no autorizada entra sin que la persona autorizada se dé cuenta, o en una situación en la que no puede impedirlo aunque lo note. El piggybacking, en cambio, se refiere a una situación en la que la persona autorizada sostiene intencionadamente la puerta para dejar pasar a la persona no autorizada, es decir, en la que existe connivencia.

El problema práctico es que la frontera entre ambos es difusa. El acto de «sostener la puerta a alguien que tiene las manos llenas de paquetes» es, al mismo tiempo, tanto un piggybacking bienintencionado como un escenario típico de tailgating que un intruso puede aprovechar.

La realidad que revelan las pruebas de intrusión

En las auditorías de seguridad físicas y en las pruebas de intrusión se ha informado repetidamente de que la tasa de éxito del tailgating es asombrosamente alta. La realidad es que un evaluador con ropa de trabajo y cargando una caja de cartón, con solo decir «Disculpe, tengo las manos ocupadas», puede entrar en muchos edificios de oficinas. También entre los casos reales de ingeniería social hay numerosos ejemplos documentados en los que la intrusión física se convirtió en el punto de partida de un ciberataque.

Entre las técnicas típicas que utilizan los evaluadores de intrusión se encuentran hacerse pasar por repartidor o personal de limpieza, el patrón de entrar junto a empleados tras charlar con ellos en la zona de fumadores, y el método de fingir ser un compañero alegando haber «olvidado la tarjeta». Los fundamentos de la seguridad física también pueden estudiarse de forma sistemática con libros sobre seguridad física (Amazon).

El flujo de intrusión del tailgating

Tecnologías de contramedida y operación

Las contramedidas contra el tailgating deben abordarse tanto desde la perspectiva del mecanismo físico como de la concienciación humana. Como implementaciones físicas del control de acceso, las siguientes tecnologías resultan eficaces.

Sin embargo, la contramedida más importante es la formación en concienciación sobre seguridad. Inculcar en la organización una cultura de «no sostener la puerta a desconocidos» y de «dirigirse a una persona sospechosa cuando se la detecta» resulta más eficaz que cualquier contramedida técnica. Los fundamentos de la seguridad física también explican cómo diseñar este tipo de programas formativos.

La seguridad física en la era del teletrabajo

Con la expansión del teletrabajo desde la pandemia de COVID-19, los retos de la seguridad física han cambiado de naturaleza. Al disminuir la tasa de asistencia a la oficina, se ha debilitado la vigilancia ante las «caras desconocidas», creando un entorno en el que el tailgating tiene más probabilidades de éxito. Los empleados que solo acuden a la oficina una o dos veces por semana no pueden conocer del todo a quienes trabajan en la misma planta, lo que reduce su capacidad para identificar a personas sospechosas.

Por otro lado, el riesgo del shoulder surfing se ha trasladado a las cafeterías y los espacios de coworking, ampliando el alcance de las amenazas físicas más allá de la oficina. También desde la perspectiva de la defensa frente a amenazas internas se requiere un enfoque que conciba la seguridad física y la ciberseguridad de forma integrada.recursos de formación en concienciación sobre seguridad (Amazon) también pueden utilizarse para crear el programa formativo de una organización.