La ingeniería social en ciberseguridad se centra en manipular, influir o engañar a las personas para que revelen información sensible mediante diferentes tácticas.
El objetivo de este ciberataque es comprometer la seguridad digital engañando a las personas con elaboradas técnicas persuasivas que juegan con su confianza, curiosidad o miedo, dependiendo del método utilizado.
En este artículo, descubrirás la definición de ingeniería social, algunos ejemplos de cómo funcionan sus ataques, así como recomendaciones útiles para que puedas protegerte.
¿Qué es la ingeniería social?
La ingeniería social es un fraude en el que los delincuentes manipulan psicológicamente a las personas para que revelen información confidencial o realicen acciones que comprometan la seguridad e integridad de sus datos.
El objetivo siempre es el robo de credenciales de acceso a redes, sistemas, infraestructuras, o la apropiación de información sensible.
Al no ser un ataque a infraestructuras para detectar vulnerabilidades técnicas, algunas personas no lo consideran un ciberataque en el sentido estricto del término, más aún cuando este tipo de fraude puede realizarse digitalmente, pero también físicamente.
Sin embargo, al comprometer la seguridad digital, puede considerarse como tal, ya que es, además, en el entorno digital donde están proliferando con creciente creatividad.
Cómo funciona la ingeniería social
La ingeniería social utiliza diferentes métodos de persuasión para engañar a sus víctimas y obtener datos personales, o información financiera, administrativa o sensible.
Algunas de las tácticas más comunes son:
- Suplantar la identidad de marcas de confianza o agencias gubernamentales autoritarias en correos electrónicos, mensajes de móvil, notificaciones online, etc.
- Hacerse pasar por un amigo o familiar de la víctima a través de redes sociales u otros canales y solicitar participación en encuestas o enviar enlaces a sitios web falsos o archivos adjuntos con virus.
- Crear una sensación de urgencia en la víctima para que al actuar con prisa no tome las medidas de protección necesarias.
- Apelar a la codicia de las personas, que caen en el señuelo de supuestos millonarios o personas en apuros que les ofrecen dinero o cualquier tipo de beneficio a cambio de un favor.
6 tipos de ataque de ingeniería social y ejemplos
El modus operandi de los ciberdelincuentes es cada vez más elaborado, por lo que es necesario conocer algunos de los tipos de ataque de ingeniería social que utilizan, que revelaremos en los siguientes apartados.
Phishing
El phishing utiliza la confianza de las personas en marcas, entidades, organizaciones u otras personas.
Un ejemplo de esto es cuando un ciberdelincuente te envía un correo electrónico haciéndose pasar por tu banco. Te pide que hagas clic en un enlace fraudulento que te lleva a una página web que parece la de tu banco, y donde se te solicita que introduzcas los datos de tu tarjeta de crédito con cualquier tipo de excusa.
Cuando el mensaje se envía por SMS se conoce como smishing, y si se utiliza un mensaje de voz se denomina vishing. Cuando los ataques son personalizados, siendo la víctima una persona o una empresa específica, se conocen como spear phishing.
Cebo (Baiting)
Consiste en enviarte una oferta de un producto o servicio por tiempo limitado o software gratuito con la intención de instalar malware en tu ordenador o robar tus datos personales.
Una estafa recurrente es dejar un pendrive infectado al alcance de las personas que, al insertarlo en su ordenador, lo activan.
Pretexto (Pretexting)
En el pretexting, el delincuente crea una historia basada en mentiras elaboradas para engañar a su víctima y obtener información sensible de ella.
El atacante hace creer a su objetivo que necesita urgentemente cierta información de la víctima para realizar una tarea crítica.
Por ejemplo, puede hacerse pasar por un técnico del servicio informático de una empresa y pedir a un empleado sus credenciales para comprobar la seguridad del sistema.
¿Quieres recibir las últimas tendencias en eLearning, tecnología y Recursos Humanos?
Completa el formulario y recibe nuestra newsletter semanal con información del sector de la mano de nuestros expertos.
Quid pro quo
Como su nombre indica, el ciberdelincuente ofrece un servicio o producto a cambio de algún tipo de información.
Es el caso cuando un delincuente se hace pasar por un proveedor de Internet para ofrecer una mejora en la velocidad de transmisión de datos, para lo cual necesitará el acceso de la persona a una red personal o profesional.
Software del miedo (Scareware)
Aquí es donde entra en juego el miedo. El atacante muestra falsas alertas de virus para provocar que la víctima descargue software malicioso.
Puede ocurrir cuando se activa una alerta emergente en tu terminal advirtiéndote de un virus y urgiéndote a descargar un antivirus para combatirlo. En realidad, es un programa que roba o cifra todo tipo de información.
Ataque del abrevadero (Watering hole)
Se centra en engañar a un grupo de personas que visitan frecuentemente una página web de servicios o venta de productos.
El nombre hace referencia a los depredadores que acechan en los abrevaderos de sus víctimas, para que te hagas una idea.
¿Cómo puedes protegerte de la ingeniería social?
Si bien es cierto que nunca estarás 100% a salvo de un ciberataque de ingeniería social, no es menos cierto que puedes protegerte incorporando las siguientes recomendaciones a tu higiene digital:
- Verifica la legitimidad de todas las solicitudes de información sensible. Según la Agencia Federal para el Manejo de Emergencias (FEMA), esta simple medida puede evitar que seas víctima de un ataque de ingeniería social.
- Familiarízate con las tácticas de ingeniería social más comunes para reconocerlas y evitar caer en sus artimañas. En este sentido, es fundamental formar a niños y empleados sobre qué acciones evitar para protegerse.
- Minimiza la cantidad de información sensible y datos personales publicados, especialmente en redes sociales o plataformas y aplicaciones no confiables.
- Establece accesos jerárquicos a la información, con controles de acceso adaptados a cada nivel de usuario que deba acceder a cualquier tipo de programa o espacio virtual de tu propiedad. Por ejemplo, este podría ser el caso de una infraestructura en la nube, software de facturación, etc.
- Utiliza políticas de control de acceso como la autenticación multifactor. Esto implica añadir al menos dos métodos para certificar tu identidad en cualquier plataforma con la que intercambies datos personales o información sensible.
En Smowltech somos muy conscientes de la importancia de la seguridad en tu proyecto, por eso nuestros planes de proctoring proporcionan herramientas innovadoras y eficaces para proteger la integridad de la información y la privacidad de los usuarios.
Solicita una demo gratuita para que podamos mostrarte todas las soluciones que podemos ofrecerte.
8 curiosidades acerca del proctoring
Rellena el formulario y descarga ahora una guía en la que te explicamos todo sobre la supervisión en línea y te ayudamos a elegir el mejor software.
