Cinco tácticas de ingeniería social que las empresas deben conocer y prevenir

Recomendados....   » Digitalización y seguridad: motor de innovación en el sector financiero Leer  » Replanteando la gestión de residuos y eliminación de activos informáticos Guia » Cómo proteger el nuevo perímetro Leer

No todos los ataques cibernéticos se dirigen a dispositivos tecnológicos. También existen los ataques de ingeniería social, que se dirigen a lo que el ingeniero social considera el eslabón más vulnerable: el usuario. El atacante se sirve de engaños basados en las respuestas psicológicas conscientes o subconscientes de las personas, de tal forma que estas puedan servirle para conseguir información personal, contraseñas o datos bancarios.

De acuerdo con Diego Barrientos, experto en ciberseguridad e instructor en Udemy, “los ataques sin tecnología son más peligrosos porque escapan del radar de detección de todas las herramientas de seguridad por software de las empresas. De este modo, las filtraciones pueden permanecer varios meses, o incluso años, sin ser detectadas, dándole a los atacantes la posibilidad de operar sin limitaciones sobre los activos de las organizaciones afectadas”. Udemy a punta a las tácticas de ingeniería social más utilizadas:

--Hacer uso de la caridad y de la reciprocidad en los controles de seguridad física de las empresas. Esta técnica es una de las que más pueden pasar desapercibidas para la seguridad de las empresas, ya que pueden ser personas mayores o niños que, supuestamente, necesitan urgentemente utilizar el servicio o requieren algún tipo de favor.  Para evitarlo es importante que todas las personas que acceden a la empresa estén correctamente identificadas o previamente autorizadas. En este último caso, se recomienda recoger los datos del visitante.

--Trashing. Esta acción sirve para recolectar información a partir de los documentos desechados por los trabajadores. Este tipo de ataque se lleva a cabo tanto dentro de las instalaciones de la compañía, como en los contenedores de residuos de la vía pública pertenecientes a las empresas, y la solución a este potencial riesgo es triturar siempre todos los documentos confidenciales e importantes a nivel empresarial que se desechan, de manera que no puedan reconstruirse para extraer información.

--Diálogos de ascensor. Los momentos en un ascensor suelen dar lugar a conversaciones cordiales y amistosas entre sus ocupantes, con el fin de hacer más ameno el recorrido en este espacio tan reducido. Pero, para el ingeniero social, estas conversaciones son la oportunidad perfecta para obtener información como nombres de directivos o áreas importantes de la empresa, la cual será posteriormente utilizada para sus ataques. Para prevenirlo es esencial evitar mantener conversaciones de trabajo en los trayectos en ascensor en los que viajan más personas ajenas a la organización.

--Observar el desgaste de los teclados. Una vez dentro de las empresas, los ingenieros sociales pueden conseguir información sin necesidad de hablar con nadie y ni siquiera tocar nada. Por ejemplo, mediante la observación del desgaste de los teclados numéricos de los ordenadores visibles, pueden determinar qué usuarios lo emplean más y, por ende, quiénes son los que manejan las finanzas dentro de la empresa. Para tratar de prevenir este tipo de ataques es importante que, por ejemplo, si trabajamos con ordenadores portátiles, al levantarnos de nuestro puesto de trabajo, bajemos siempre la tapa.

--Pedir a la recepcionista o secretaria de una empresa una hoja de papel para anotar “algo importante”. Aunque esta técnica, a priori, puede parecer inofensiva, los ingenieros sociales esperan descubrir información útil en estas hojas. Si se trata de una hoja extraída de una libreta, esperan que se haya traspasado la tinta o se haya escrito con tanta fuerza que permanezca el rastro de la hoja que una vez estuvo sobre la que ha sido cedida. Si, por el contrario, se trata de una hoja impresa que ha sido reciclada, se busca descubrir al pie de ellas, nombres de ordenadores y carpetas reales presentes en los servidores y máquinas internas para, posteriormente, explorarlas. Para eludir esto, es fundamental asegurarnos de que al ceder una hoja de papel a una persona ajena a la organización, se le entrega un folio completamente en blanco y extraído directamente del paquete.