¿Qué es un ataque de ingeniería social?

¿Qué es la ingeniería social?

En términos generales, la ingeniería social es la práctica de manipular a las personas para que entreguen información confidencial. Los ataques de ingeniería social pueden ocurrir en persona, como un ladrón que se disfraza de conductor de un camión de reparto para que lo dejen entrar en un edificio. En cambio, este artículo se centrará en los ataques cibernéticos de ingeniería social. En la mayoría de los casos, estos ataques tienen como objetivo que la víctima divulgue sus credenciales de acceso o información financiera confidencial.

Los ataques de ingeniería social pueden tener el siguiente aspecto:

• Un atacante envía un correo electrónico a una víctima que parece provenir de alguien de su lista de contactos. Este correo electrónico puede contener un enlace sospechoso que ejecutará un ataque de scripting entre sitios malicioso, o que llevará a la víctima a un sitio malicioso.
• Un atacante atrae a los usuarios en línea con enlaces que se suponen que son de descargas de películas o de software famosos, pero, en realidad, estas descargas contienen una carga útil maliciosa.
• Un atacante se pone en contacto con una víctima y le cuenta que es un extranjero muy rico que necesita los datos de una cuenta bancaria de EE.UU. para transferir su fortuna, y le promete una gran recompensa a cambio de los datos de su cuenta bancaria. En realidad, la intención del atacante es esquilmar las cuentas de la víctima.
• Un atacante envía un correo electrónico de phishing que dirige a la víctima a una página de inicio de sesión falsa que roba su contraseña.

Además de estos tipos de estafas de ingeniería social pequeñas y personales, también existen ataques de ingeniería social más sofisticados que tienen como objetivo organizaciones enteras. Un ejemplo son las caídas de memorias USB. Estos ataques pueden dirigirse a las redes de empresas bien protegidas, incluso a aquellas que no están conectadas a Internet. Los atacantes logran esto distribuyendo varias unidades USB por el estacionamiento de la empresa objetivo. Ponen una etiqueta tentadora como "confidencial" en estos dispositivos con la esperanza de que algún empleado curioso encuentre uno y lo introduzca en su computadora. Estas unidades pueden contener virus o gusanos muy destructivos que serán difíciles de detectar, ya que ingresan a la red desde una computadora local.

¿Cómo funcionan los ataques de ingeniería social?

Los ataques de ingeniería social pueden ocurrir por teléfono, por correo electrónico, a través de publicaciones en redes sociales e incluso en persona. Utilizan una amplia gama de tácticas, algunas de las cuales se describen a continuación, para ganarse la confianza de la víctima y manipularla para que realice la acción deseada. El objetivo siempre es lograr que la víctima haga algo que no tenía la intención de hacer inicialmente.

Tácticas de ingeniería social

• La suplantación de alguien de confianza: esto podría ser una marca, un compañero de trabajo, un jefe o incluso un amigo o familiar.
• Un cebo: el atacante ofrece a la víctima algo deseable como cebo. El cebo podría ser una descarga de software gratuito (que contenga malware), la promesa de un pago monetario futuro o un favor profesional.
• Pretexting: la mayoría de los ataques de ingeniería social incluyen alguna forma de pretexto, que es cuando el atacante crea o describe una situación falsa y presenta al destinatario una solución. Por ejemplo, el atacante podría decir que la víctima está bloqueada de una cuenta importante y necesita entregar sus credenciales de inicio de sesión para que se resuelva el problema.
• Un atractivo emocional: los estafadores intentan incitar un sentimiento en sus víctimas para inducirlas a actuar. Pueden utilizar el miedo (al describir una situación negativa que debe solucionarse), la codicia (al ofrecer algo a la víctima), la solicitud de ayuda (al fingir que necesitan asistencia) u otros sentimientos fuertes para manipular a sus objetivos.
• Scareware: el software diseñado con fines de ingeniería social se denomina scareware. Este software generalmente funciona mostrando mensajes emergentes que asustan al usuario, como un mensaje que indica que su computadora tiene múltiples virus. Los mensajes también instruyen a la víctima para que descargue malware o entregue información personal para solucionar el problema (ficticio).

Cómo se integran los ataques de ingeniería social en campañas de ciberataques más amplias

Algunos atacantes de ingeniería social simplemente buscan obtener lo que puedan de sus víctimas directas. Otros, sin embargo, emplean la ingeniería social para lograr objetivos más amplios, como comprometer toda una empresa o red y los datos que contiene. Muchos ataques de ransomware y fugas de datos empiezan con la ingeniería social. Una vez que los atacantes comprometen a una persona, les resulta más fácil acceder al resto de la organización de esa persona.

¿Cuáles son algunos ejemplos famosos de ataques de ingeniería social?

La fuga de datos de 2011 de RSA creó un gran revuelo, principalmente porque RSA es una empresa de seguridad de confianza. Esta fuga alteró el popular servicio de autenticación en dos fases de RSA, SecurID. Aunque no se han hecho públicos todos los detalles del ataque, se sabe que empezó con un ataque de ingeniería social. El ataque se inició con un ataque básico de phishing, en el que los atacantes enviaron a empleados de bajo nivel de RSA correos electrónicos que parecían ser correos de la empresa relacionados con contrataciones. Uno de estos empleados abrió un archivo adjunto en este correo electrónico que desencadenó el ataque.

La agencia de noticias Associated Press fue víctima de un ataque de ingeniería social en 2013, que provocó un desplome bursátil de 136 000 millones de dólares. Una vez más, esto se produjo mediante un ataque de phishing enviado a los empleados. Bastó con que uno de los empleados abriera un enlace en un correo electrónico para que se desencadenara el ataque, que provocó que la cuenta de Twitter de AP se viera comprometida, y los atacantes tuitearan una noticia falsa sobre una explosión en la Casa Blanca. Esta noticia falsa se difundió muy rápido y provocó una caída en picado de 150 puntos del Dow Jones. Un grupo de hackers sirios conocido como el Ejército Electrónico Sirio se atribuyó la responsabilidad del ataque, pero nunca aportó ninguna prueba.

El ataque de fuga de datos llevado a cabo contra Target en 2013 se ha convertido en uno de los ciberataques más infames de la historia gracias a su nivel de sofisticación. Igual que pasó con los otros mencionados anteriormente, este ataque empezó con ingeniería social, pero los atacantes no fueron a por nadie que trabajara en Target. Esta vez enviaron correos electrónicos a los empleados de un proveedor de calefacción y aire acondicionado que había instalado aparatos de aire acondicionado de alta tecnología en las tiendas de Target. Estos aparatos de aire acondicionado estaban conectados a los sistemas informáticos de las tiendas de Target, y una vez que los atacantes fueron capaces de poner en riesgo al proveedor externo, pudieron hackear las redes de Target y recopilar datos de las tarjetas de crédito de los escáneres de tarjetas de miles de tiendas, sacando a la luz los datos financieros de alrededor de 40 millones de clientes de Target.

Cómo protegerse de los ataques de ingeniería social

Aunque las funciones de seguridad automatizadas, como el filtrado de correos electrónicos, pueden ayudar a prevenir que los atacantes contacten a las víctimas, la mejor defensa contra los ataques de ingeniería social es el sentido común combinado con un conocimiento actualizado de los ataques de ingeniería social más comunes. El Equipo de Preparación para Emergencias Informáticas de los Estados Unidos (US-CERT) aconseja a los ciudadanos que desconfíen de cualquier comunicación sospechosa y que solo envíen información confidencial a través de la web en páginas web seguras (HTTPS y TLS son buenos indicadores de la seguridad del sitio web). También recomiendan evitar hacer clic en los enlaces enviados en correos electrónicos y, en su lugar, escribir las URL de empresas confiables directamente en el navegador. Los propietarios de sitios web pueden contribuir utilizando un servicio como Cloudflare, que les notificará cuando los atacantes estén usando su dominio en ataques de phishing.

Para las empresas, el daño de un ataque de ingeniería social puede ser contenido cuando una organización emplea un modelo de seguridad de Zero Trust. Este modelo dificulta mucho más que los atacantes avancen en una red o sistema una vez que han establecido una base. Obtén más información sobre cómo las empresas se protegen de la ingeniería social utilizando la seguridad Zero Trust.

 

Preguntas frecuentes

¿Cuál es la definición de un ataque de ingeniería social?

Un ataque de ingeniería social es la práctica de manipular a las personas para que entreguen información confidencial, como credenciales de inicio de sesión o datos financieros. Estos ataques pueden ocurrir en persona, por teléfono, por correo electrónico, a través de redes sociales o en línea.

¿Cómo funcionan los ataques de ingeniería social?

Los ataques de ingeniería social emplean diversas tácticas para ganarse la confianza de la víctima y manipularla para que lleve a cabo una acción no intencionada. Las tácticas comunes incluyen hacerse pasar por alguien de confianza, atraer a las víctimas con algo deseable o crear una situación falsa para obtener información (pretexting). Los atacantes también emplean apelaciones emocionales a la codicia, el miedo o la curiosidad para incitar a sus víctimas a actuar.

¿Cuáles son algunos ejemplos de ataques de ingeniería social?

Ejemplos de ataques de ingeniería social incluyen enviar a la víctima un correo electrónico de alguien en su lista de contactos que contiene un enlace malicioso, usar una página de inicio de sesión falsa para robar la contraseña de un usuario, o utilizar un ataque de memoria USB para atacar una red de empresa bien protegida.

¿Cómo se pueden prevenir los ataques de ingeniería social?

La mejor defensa es el sentido común y un conocimiento actualizado sobre estos ataques. Las personas deben ser cautelosas con las comunicaciones sospechosas, evitar hacer clic en enlaces de correos electrónicos (en su lugar, escribir las URL confiables directamente en su navegador) y contactar directamente a las instituciones y proveedores de servicios si reciben un mensaje inesperado. Para las empresas, un modelo de seguridad Zero Trust favorece para contener el daño si un atacante emplea la ingeniería social para obtener un punto de apoyo en la red.

¿Cómo pueden los ataques de ingeniería social afectar a una empresa?

Los ataques de ingeniería social pueden ser utilizados como punto de partida para ciberataques más grandes por amenazas persistentes avanzadas (APT). Al atacar a un solo individuo, los atacantes pueden acceder con mayor facilidad al resto de su organización. Los ataques de ingeniería social exitosos pueden resultar en la exfiltración de datos y en ataques de ransomware, entre otros tipos de ataques.