En los últimos años, la ciberseguridad se ha convertido en una de las prioridades para las empresas. Sin embargo, en ocasiones, olvidan o desconocen la existencia de la ingeniería social, la práctica de obtener información confidencial a través de la manipulación de usuarios legítimos. Esta práctica es un potencial riesgo que ya supone el 93% de las brechas de seguridad para las empresas1.
Los ataques de ingeniería social no se dirigen a los dispositivos tecnológicos, sino a lo que el ingeniero social considera el eslabón más vulnerable: el usuario.
El atacante se sirve de engaños basados en las respuestas psicológicas conscientes -la lógica y la razón- o subconscientes de las personas, de tal forma que estas puedan servirle para conseguir información personal, contraseñas o datos bancarios.
“Los ataques sin tecnología son más peligrosos porque escapan del radar de detección de todas las herramientas de seguridad por software de las empresas. De este modo, las filtraciones pueden permanecer varios meses, o incluso años, sin ser detectadas, dándole a los atacantes la posibilidad de operar sin limitaciones sobre los activos de las organizaciones afectadas”, aseveró Diego Barrientos, experto en seguridad empresarial e instructor en Udemy, plataforma global de formación para aprender y enseñar en línea.
De esta manera, Barrientos, describió cinco ataques de ingeniería social que las empresas deben conocer y prevenir:
- Hacer uso de la caridad y de la reciprocidad en los controles de seguridad física de las empresas. Esta técnica es una de las que más pueden pasar desapercibidas para la seguridad de las empresas, ya que pueden ser personas mayores o niños que, supuestamente, necesitan urgentemente utilizar el servicio o requieren algún tipo de favor.
Para evitarlo es importante que todas las personas que acceden a la empresa estén correctamente identificadas o previamente autorizadas. En este último caso, se recomienda recoger los datos del visitante.
- Trashing. Este tipo de ataque se lleva a cabo principalmente una vez dentro de las instalaciones de la compañía, pero también en los contenedores de residuos de la vía pública pertenecientes a las empresas. Esta acción sirve para recolectar información a partir de los documentos desechados por los trabajadores.
La solución a este potencial riesgo es triturar siempre todos los documentos confidenciales e importantes a nivel empresarial que se desechan, de manera que no puedan reconstruirse para extraer información.
- Diálogos de ascensor. Los momentos en un ascensor suelen dar lugar a conversaciones cordiales y amistosas entre sus ocupantes, con el fin de hacer más ameno el recorrido en este espacio tan reducido. Pero, para el ingeniero social, estas conversaciones son la oportunidad perfecta para obtener información como nombres de directivos o áreas importantes de la empresa, la cual será posteriormente utilizada para sus ataques.
Para prevenirlo es esencial evitar mantener conversaciones de trabajo en los trayectos en ascensor en los que viajan más personas ajenas a la organización.
- Observar el desgaste de los teclados. Una vez dentro de las empresas, espacios de coworking, bibliotecas o cafeterías, los ingenieros sociales pueden conseguir información sin necesidad de hablar con nadie y ni siquiera tocar nada. De esta manera, por ejemplo, mediante la observación del desgaste de los teclados numéricos de los ordenadores visibles, pueden determinar qué usuarios lo emplean más y, por ende, quiénes son los que manejan las finanzas dentro de la empresa.
Para tratar de prevenir este tipo de ataques es importante que, por ejemplo, si trabajamos con ordenadores portátiles, al levantarnos de nuestro puesto de trabajo, bajemos siempre la tapa. Así como, si nos encontramos en un espacio público, mantenernos alerta por si percibimos que alguien nos observa en exceso proceder a cambiarnos de lugar.
- Pedir a la recepcionista o secretaria de una empresa una hoja de papel para anotar “algo importante”. Aunque esta técnica, a priori, puede parecer inofensiva, los ingenieros sociales esperan descubrir información útil en estas hojas. Si se trata de una hoja extraída de una libreta, esperan que se haya traspasado la tinta o se haya escrito con tanta fuerza que permanezca el rastro de la hoja que una vez estuvo sobre la que ha sido cedida. Si, por el contrario, se trata de una hoja impresa que ha sido reciclada, se busca descubrir al pie de ellas, nombres de ordenadores y carpetas reales presentes en los servidores y máquinas internas para, posteriormente, explorarlas.
Para eludir esto, es fundamental asegurarnos de que al ceder una hoja de papel a una persona ajena a la organización, se le entrega un folio completamente en blanco y extraído directamente del paquete.
__________________
- Dato extraído de la Oficina de Seguridad del Internauta
