¿Qué es la ingeniería social?

Es eslabón más débil en las estrategias de ciberseguridad siempre somos los seres humanos, y la ingeniería social aprovecha la incapacidad de un usuario objetivo de detectar un ataque. En una amenaza de ingeniería social, un atacante se sirve de una emoción humana (que suele ser el miedo y/o la sensación de urgencia) para convencer al objetivo de que realice una cierta acción, como enviarle dinero al atacante, divulgar información delicada del cliente o revelar credenciales de autenticación.

Conclusiones clave:

• La ingeniería social es una actividad ilegal que representa el 98% de los ciberataques.
• La ingeniería social se caracteriza porque los atacantes coaccionan a las víctimas para que divulguen información sensible, haciéndose pasar por una persona conocida o una entidad legítima.
• El robo de identidad mediante ataques de phishing es la forma más común de ingeniería social.
• Más del 70% de las vulneraciones de datos comienzan con ataques de ingeniería social o phishing.
• Puede emplear diversas estrategias de prevención para evitar la ingeniería social, desde establecer una autenticación multifactor para sus cuentas hasta formar a los empleados para que identifiquen comportamientos sospechosos.

El engañar a los usuarios para que divulguen información delicada no es cosa nueva en el mundo de la ciberseguridad. Lo único que ha cambiado es el método de ataque, las historias que se usan para obtener información, y la sofisticación de los ataques por parte de grupos organizados que incorporan a otras amenazas, como el phishing o el catfishing. El término ingeniería social fue acuñado en 1894 por el industrial holandés JC Van Marken, pero ha sido una metodología de ciberataques desde la década de 1990.

En los 90, la ingeniería social implicaba el llamar a los usuarios para lograr que revelaran sus credenciales o que indicaran el número telefónico que podía conectar a un atacante con un servidor corporativo interno. Ahora, los atacantes emplean estrategias de ingeniería social para engañar a las víctimas y lograr que (potencialmente) les envíen millones de dólares a una cuenta bancaria en otro país, lo que les cuesta también millones en daños a las organizaciones. En algunos casos, los empleados pierden sus empleos tras llegar las consecuencias del ataque.

En un contexto de ciberseguridad, la ingeniería social es el conjunto de tácticas utilizadas para manipular, influir o engañar a una víctima para que divulgue información sensible o realice acciones poco aconsejables para liberar información personal y financiera o ceder el control de un sistema informático.

La ingeniería social, una ciencia malévola, utiliza la manipulación psicológica, la persuasión y la explotación para engañar a los usuarios para que cometan errores de seguridad o cedan información sensible. Los ataques de ingeniería social se basan en la interacción humana y a menudo implican embaucar a las víctimas para que infrinjan los procedimientos normales de seguridad. Por ejemplo, los ataques de ingeniería social pueden ser muy eficaces porque se basan en la tendencia humana a confiar en los demás o a explorar la propia curiosidad sobre nuevas ofertas o información actuando como cebo.

Las líneas entre la ingeniería social y el phishing son difusas, porque ambos suelen ir de la mano en un ataque sofisticado. La ingeniería social suele implicar el hacerse pasar por un empleado real, por ejemplo, el director general (CEO) o el director de finanzas (CFO), o engañar a un empleado para que piense que el atacante es un cliente legítimo para que el empleado comparta información delicada o elementos que permitan cambiar la cuenta (por ejemplo, cambio de SIM).

Sin importar cuáles sean los objetivos del atacante, existen algunas señales claras de que una comunicación es ingeniería social. Uno de los componentes clave en la ingeniería social es aprovecharse de los miedos y emociones del usuario objetivo. El atacante no quiere que el usuario objetivo analice y medite sobre la solicitud, así que la ingeniería social conlleva el uso del miedo y de una sensación de urgencia.

Algunas características comunes en todos los ataques de ingeniería social son:

• Emociones intensificadas: Un atacante amenaza con la pérdida de una cuenta para engañar a los usuarios y lograr que divulguen sus credenciales, o el atacante simula ser un ejecutivo que le exige al usuario objetivo que envíe dinero para infundir una sensación de urgencia en un empleado que teme perder su empleo.
• Dirección de remitente falsificada: La mayoría de los usuarios no están conscientes de que es posible falsificar una dirección de correo electrónico de remitente, pero una adecuada seguridad para correo electrónico puede evitar que los remitentes falsificados puedan acceder a la bandeja de entrada de un usuario objetivo. En lugar de eso, un atacante registra un dominio similar al oficial y espera que un usuario objetivo no se dé cuenta del error ortográfico.
• Solicitudes de amistad extrañas: No es raro que un atacante vulnere una cuenta de correo electrónico y envíe mensajes no deseados a la lista de contactos de la víctima. Los mensajes suelen ser cortos y no tener el toque personal de los amigos, así que hay que ser precavido a la hora de hacer clic en enlaces de amigos si el mensaje no suena como una comunicación personalizada.
• Enlaces a páginas web poco profesionales: Los enlaces de phishing se usan a veces con la ingeniería social para lograr que los usuarios divulguen información delicada. Nunca introduzca credenciales en una página web directamente desde un vínculo de correo electrónico, incluso si parece provenir de una página oficial (por ejemplo, de PayPal).
• Demasiado bueno para ser cierto: Los estafadores suelen prometer dinero a cambio de una compensación monetaria. Por ejemplo, un usuario objetivo podría obtener un iPhone gratis a cambio del pago de los costes de envío. Si la oferta es demasiado buena como para ser cierta, seguramente sea una estafa.
• Archivos adjuntos malintencionados: En lugar de engañar a los usuarios objetivo para que divulguen información privada, un ataque sofisticado podría basarse en instalar malware en un equipo empresarial usando archivos adjuntos de correo electrónico. Nunca ejecute en su equipo macros o archivos ejecutables provenientes de un mensaje de correo electrónico aparentemente inofensivo.
• Remitente cuestionable: Muchas técnicas de ingeniería social están diseñadas para imitar a una fuente conocida, como un amigo, jefe o compañero de trabajo. En caso de recibir un mensaje de correo electrónico sospechoso, compruébelo siempre y pregúntese “¿me lo ha enviado realmente mi jefe/amigo/compañero de trabajo?”. Antes de responder al correo electrónico en cuestión, póngase en contacto con la persona real a través de una llamada telefónica, un mensaje de texto o un mensaje en las redes sociales para validar si se trata o no de una suplantación de identidad.
• Negativa a responder preguntas: Si un mensaje luce sospechoso, responda al mensaje y pídale al remitente que se identifique. El atacante evitará identificarse y podría simplemente ignorar la solicitud
• Remitente no identificable: Si el remitente no puede o no quiere verificar su identidad con la organización, no proporcione ninguna información adicional ni el acceso que solicita. Aunque los mensajes de correo electrónico son los más comunes, esto se aplica también a otras tácticas de ingeniería social, como los mensajes de texto, las llamadas telefónicas, etc.

La técnica fundamental en que se basa la ingeniería social es el uso de las emociones para engañar a los usuarios, pero los atacantes usan diversos métodos estandarizados para lograr que el usuario ejecute una acción (p. ej., enviar dinero a una cuenta bancaria) y hacer que el ataque luzca legítimo. Por lo general, las técnicas implican el uso de mensajes de texto o de correo electrónico, porque estos se pueden usar sin conversaciones de voz.

Algunos ejemplos comunes de técnicas de ingeniería social son:

• Phishing: Con la ingeniería social, un atacante suele hacerse pasar por un ejecutivo corporativo para engañar a los usuarios para que envíen dinero a una cuenta bancaria en otro país.
• Vishing y smishing: Los atacantes usan mensajes de texto y software de cambio de voz para enviar mensajes de texto o llamar automáticamente a los usuarios. El mensaje promete regalos o servicios a cambio de un pago. Estos tipos de estafas se conocen como vishing (voice phishing, en español phishing de voz) y smishing (phishing de SMS).
• Fraude al CEO (director general): Los usuarios suelen presentar una sensación de urgencia cuando un ejecutivo les solicita una acción específica, así que un atacante simulará ser el director general (CEO) u otro ejecutivo para dar una sensación de urgencia al empleado objetivo para que este ejecute una acción. Esto se conoce como fraude al CEO.
• Baiting: Es muy común que los atacantes prometan premios o dinero a cambio de un pequeño pago. La oferta suele ser demasiado buena como para ser cierta, y el pago suele ser para cubrir costes de envío u otros.
• Pretextos: Los atacantes pueden crear un pretexto falso para obtener información sensible o acceso a un sistema. Por ejemplo, un atacante podría hacerse pasar por un cajero de banco y ponerse en contacto con una persona objetivo para afirmar que ha habido actividad sospechosa en su cuenta y pedirle que comparta información delicada para confirmar su cuenta.
• Tailgating o piggybacking: Las corporaciones que usan escáneres de seguridad para bloquear el acceso no autorizado a las instalaciones. Los atacantes usan el tailgating o piggybacking para engañar a los usuarios, de manera que estos usen sus tarjetas de acceso para darle al atacante acceso físico a las instalaciones.
• Quid pro quo: A un empleado descontento se le puede engañar para que revele información delicada a un atacante a cambio de dinero u otras promesas.
• Abrevadero: Esta forma de ataque de ingeniería social implica dirigirse a determinados grupos infectando sitios web que es probable que el grupo visite. Por ejemplo, un atacante podría infectar un sitio de noticias popular con malware con la intención de que los empleados de una determinada empresa visiten el sitio y descarguen inadvertidamente el malware.
• Responder a una pregunta que nunca se formuló: La víctima recibe un correo electrónico de “respuesta” a una pregunta, pero la respuesta solicita información personal, contiene un enlace a una página web malintencionada o incluye un adjunto de malware.
• Amenazar con pérdidas monetarias o con acciones legales: El miedo es una herramienta útil en la ingeniería social, así que una manera eficaz de engañar a los usuarios, es decirles que sufrirán de pérdidas monetarias o irán a la cárcel si no cumplen con la solicitud del atacante.

Para identificar un ataque de ingeniería social, es importante saber cómo luce. Los ataques de ingeniería social juegan con las emociones de la víctima, pero tienen algunos elementos en común, independientemente de los objetivos del agente de amenaza, como engañar a los usuarios para que envíen dinero.

• Investigar antes de responder: Si la estafa es común, entonces habrá otras personas hablando acerca del método de ingeniería social en internet.
• No interactuar con una página web de un enlace: Si el remitente afirma provenir de un negocio oficial, no haga clic en el enlace para autenticar. En lugar de eso, escriba el dominio oficial en el navegador.

• Esté atento a comportamientos extraños de amigos: Los atacantes utilizan cuentas de correo electrónico robadas para engañar a los usuarios, así que desconfíe si un amigo le envía un correo electrónico con un enlace a un sitio web sin apenas otra comunicación.
• No descargue archivos: Si un correo electrónico solicita descargar archivos con urgencia, ignore la petición o solicite ayuda para asegurarse de que la solicitud es legítima.

• La ingeniería social es responsable del 98% de los ataques.
• En 2020, el 75% de las empresas declararon haber sido víctimas de phishing.
• El incidente cibernético más común en 2020 fue el phishing.
• El coste medio tras una vulneración de datos es de 150 dólares por registro.
• Más del 70% de las vulneraciones de datos comienzan con phishing o ingeniería social.

• Google registró más de 2 millones de sitios web de phishing en 2021.
• Aproximadamente el 43% de los correos electrónicos de phishing suplantan la identidad de grandes organizaciones como Microsoft.
• El 60% de las empresas informan de la pérdida de datos tras un ataque de phishing realizado con éxito, y el 18% de los usuarios a los que se dirige el ataque son víctimas del phishing.

Las empresas también son objetivos para la ingeniería social, así que los empleados deben estar conscientes de las señales de alarma y tomar los pasos necesarios para detener el ataque. Capacitar a los empleados es responsabilidad de la organización, así que recomendamos seguir estos pasos para dotar a sus empleados de las herramientas necesarias para identificar un ataque de ingeniería social.

• Tener conciencia de los datos que se comparten: Ya sea en las redes sociales o por correo electrónico, los empleados deben saber si los datos son delicados y si deben ser tratados con confidencialidad.
• Identificar información valiosa: La información personal de identificación (PII, del inglés “Personally Identifiable Information”) nunca se debe compartir con terceros, pero los empleados sí deben saber qué datos se consideran PII.
• Usar políticas para formar a los usuarios: Tener una política definida les brinda a los usuarios la información necesaria para actuar ante solicitudes fraudulentas y reportar ataques de ingeniería social.
• Mejorar la seguridad con la autenticación de múltiples factores: Añadir capas adicionales para verificar su identidad puede hacer que las cuentas en línea sean mucho más seguras e impenetrables.
• Reforzar las contraseñas y utilizar un gestor de contraseñas: Utilizar contraseñas fuertes y únicas con diversos tipos de caracteres puede hacerlas más difíciles de descifrar. Un gestor de contraseñas fiable también puede ayudarle a gestionar sus contraseñas de forma segura.
• Limitar la información personal online: Evite compartir cualquier dato personal, como los institutos educativos a los que ha asistido, los nombres de sus mascotas u otros detalles que reflejen las respuestas a las preguntas de seguridad o las contraseñas de acceso.
• Mantener los dispositivos seguros y cerca: Bloquee su ordenador y sus dispositivos móviles, especialmente cuando se encuentre en lugares públicos como aeropuertos o cafeterías. Mantenga sus dispositivos en su poder para evitar robos.
• Mantener actualizado el software antimalware: En caso de que un empleado descargue software malintencionado, el antimalware lo detectará y lo detendrá en la mayoría de los casos.
• Desconfíe de las solicitudes de datos: Cualquier solicitud de datos debe recibirse con cautela. Haga preguntas y verifique la identidad del remitente antes de cumplir con la solicitud.
• Capacitar a los empleados: Los empleados no pueden identificar los ataques si no están adecuadamente capacitados para ello, así que es importante brindarles una capacitación que les indique ejemplos reales de ingeniería social.

En Proofpoint sabemos que los ataques de ingeniería social son altamente eficaces para aprovechar las emociones y errores humanos. Contamos con programas de capacitación y formación para la conciencia de seguridad que les permiten a los empleados identificar ataques de ingeniería social y los correos electrónicos de phishing que suelen acompañarlos.

Preparamos a los usuarios para los ataques más sofisticados y les damos las herramientas necesarias para reaccionar. Usando ejemplos reales, los empleados se preparan para identificar los ataques de ingeniería social y para reaccionar según las políticas de seguridad establecidas por la organización.