Ingeniería social

¿Qué es la ingeniería social?

La ingeniería social es el término que se utiliza para una amplia gama de actividades maliciosas realizadas a través de interacciones humanas. Utiliza la manipulación psicológica para engañar a los usuarios para que cometan errores de seguridad o entreguen información confidencial.

Los ataques de ingeniería social ocurren en uno o más pasos. Un perpetrador primero investiga a la víctima prevista para recopilar la información de antecedentes necesaria, como los posibles puntos de entrada y los protocolos de seguridad débiles, necesarios para continuar con el ataque. Luego, el atacante actúa para ganarse la confianza de la víctima y proporcionar estímulos para acciones posteriores que rompan las prácticas de seguridad, como revelar información confidencial o otorgar acceso a recursos críticos.

Lo que hace que la ingeniería social sea especialmente peligrosa es que se basa en errores humanos, en lugar de vulnerabilidades en el software y las operaciones. sistemas. Los errores cometidos por usuarios legítimos son mucho menos predecibles, lo que los hace más difíciles de identificar y frustrar que una intrusión basada en malware.

Técnicas de ataque de ingeniería social

Los ataques de ingeniería social se presentan en muchas formas diferentes y se puede realizar en cualquier lugar donde esté involucrada la interacción humana. A continuación, se enumeran las cinco formas más comunes de ataques de ingeniería social digital.

Cebos

Como su nombre lo indica, los ataques de cebos utilizan una promesa falsa para despertar la codicia o la curiosidad de la víctima. Atraen a los usuarios a una trampa que roba su información personal o inflige malware en sus sistemas.

La forma más vilipendiada de cebo utiliza medios físicos para dispersar el malware. Por ejemplo, los atacantes dejan el anzuelo, generalmente unidades flash infectadas con malware, en áreas visibles donde las víctimas potenciales seguramente las verán (por ejemplo, baños, ascensores, el estacionamiento de una empresa objetivo). El cebo tiene un aspecto auténtico, como una etiqueta que lo presenta como la lista de nómina de la empresa.

Las víctimas recogen el cebo por curiosidad y lo insertan en una computadora del trabajo o en casa, lo que resulta en malware automático instalación en el sistema.

Las estafas de cebo no necesariamente tienen que llevarse a cabo en el mundo físico. Las formas de cebo en línea consisten en anuncios atractivos que conducen a sitios maliciosos o que alientan a los usuarios a descargar una aplicación infectada con malware.

Scareware

Scareware implica que las víctimas sean bombardeadas con falsas alarmas y ficticias amenazas. Se engaña a los usuarios al pensar que su sistema está infectado con malware, lo que les pide que instalen un software que no tiene ningún beneficio real (que no sea para el perpetrador) o que es malware en sí. El scareware también se conoce como software de engaño, software de escáner fraudulento y fraude.

Un ejemplo común de scareware son los banners emergentes de apariencia legítima que aparecen en su navegador mientras navega por la web, mostrando texto como «Su la computadora puede estar infectada con programas de software espía dañinos «. Ofrece instalar la herramienta (a menudo infectada con malware) o lo dirigirá a un sitio malicioso donde su computadora se infecte.

Scareware también se distribuye a través de correo electrónico no deseado que emite advertencias falsas. o hace ofertas para que los usuarios compren servicios dañinos o sin valor.

Pretextos

Aquí un atacante obtiene información a través de una serie de mentiras ingeniosamente elaboradas. La estafa suele ser iniciada por un perpetrador que finge necesitan información confidencial de una víctima para realizar una tarea crítica.

El atacante generalmente comienza estableciendo confianza con su víctima haciéndose pasar por compañeros de trabajo, policía, funcionarios bancarios y fiscales, u otras personas que tienen derecho -Para conocer la autoridad. El pretexto hace preguntas que aparentemente son necesarias para confirmar la identidad de la víctima, a través de las cuales recopilan datos personales importantes.

Mediante esta estafa se recopila todo tipo de información y registros pertinentes, como números de seguridad social, direcciones personales y d números de teléfono, registros telefónicos, fechas de vacaciones del personal, registros bancarios e incluso información de seguridad relacionada con una planta física.

Phishing

Como uno de los tipos de ataques de ingeniería social más populares, el phishing Las estafas son campañas de mensajes de texto y correo electrónico destinadas a crear un sentido de urgencia, curiosidad o miedo en las víctimas. Luego, los impulsa a revelar información confidencial, hacer clic en enlaces a sitios web maliciosos o abrir archivos adjuntos que contienen malware.

Un ejemplo es un correo electrónico enviado a los usuarios de un servicio en línea que les alerta de una violación de política que requiere acción inmediata de su parte, como un cambio de contraseña requerido. Incluye un enlace a un sitio web ilegítimo, casi idéntico en apariencia a su versión legítima, que solicita al usuario desprevenido que ingrese sus credenciales actuales y su nueva contraseña.Tras el envío del formulario, la información se envía al atacante.

Dado que los mensajes idénticos o casi idénticos se envían a todos los usuarios en las campañas de phishing, detectarlos y bloquearlos es mucho más fácil para los servidores de correo que tienen acceso a plataformas de intercambio de amenazas.

Spear phishing

Esta es una versión más específica de la estafa de phishing mediante la cual un atacante elige a personas o empresas específicas. Luego, adaptan sus mensajes en función de las características, los puestos de trabajo y los contactos que pertenecen a sus víctimas para que su ataque sea menos notorio. El spear phishing requiere mucho más esfuerzo por parte del perpetrador y puede llevar semanas y meses llevarlo a cabo. Son mucho más difíciles de detectar y tienen mejores tasas de éxito si se hacen con habilidad.

Un escenario de spear phishing podría involucrar a un atacante que, al hacerse pasar por el consultor de TI de una organización, envía un correo electrónico a uno o más empleados. Está redactado y firmado exactamente como lo hace normalmente el consultor, lo que engaña a los destinatarios haciéndoles creer que se trata de un mensaje auténtico. El mensaje solicita a los destinatarios que cambien su contraseña y les proporciona un enlace que los redirige a una página maliciosa donde el atacante ahora captura sus credenciales.

Prevención de ingeniería social

Los ingenieros sociales manipulan los sentimientos humanos, como la curiosidad o el miedo, para llevar a cabo planes y atraer víctimas en sus trampas. Por lo tanto, tenga cuidado siempre que se sienta alarmado por un correo electrónico, atraído por una oferta que se muestra en un sitio web o cuando se encuentre con medios digitales extraviados. Estar alerta puede ayudarlo a protegerse contra la mayoría de los ataques de ingeniería social que tienen lugar en el ámbito digital.

Además, los siguientes consejos pueden ayudarlo a mejorar su vigilancia en relación con los ataques de ingeniería social.

• No abra correos electrónicos y archivos adjuntos de fuentes sospechosas: si no conoce al remitente en cuestión, no es necesario que responda un correo electrónico. Incluso si los conoce y sospecha de su mensaje, verifique y confirme las noticias de otras fuentes, como por teléfono o directamente desde el sitio de un proveedor de servicios. Recuerde que las direcciones de correo electrónico se falsifican todo el tiempo; incluso un correo electrónico que supuestamente proviene de una fuente confiable puede haber sido iniciado por un atacante.
• Utilice la autenticación multifactor: una de las piezas de información más valiosas que buscan los atacantes son las credenciales de usuario. El uso de la autenticación multifactor ayuda a garantizar la protección de su cuenta en caso de que el sistema se vea comprometido. Imperva Login Protect es una solución 2FA fácil de implementar que puede aumentar la seguridad de la cuenta para sus aplicaciones.
• Tenga cuidado con las ofertas tentadoras: si una oferta suena demasiado atractiva, piénselo dos veces antes de aceptarla como un hecho. Buscar en Google el tema puede ayudarlo a determinar rápidamente si se trata de una oferta legítima o una trampa.
• Mantenga actualizado su software antivirus / antimalware: asegúrese de que las actualizaciones automáticas estén activadas o convierta la descarga en un hábito las últimas firmas a primera hora de cada día. Compruebe periódicamente para asegurarse de que se hayan aplicado las actualizaciones y escanee su sistema en busca de posibles infecciones.