El factor humano se considera el eslabón más débil de la cadena de seguridad de una empresa. Hoy en día, muchos ciberdelincuentes aprovechan este hecho y prueban la llamada ingeniería social.

¿Por qué molestarse con la tecnología durante mucho tiempo cuando el camino hacia una empresa también puede conducirlo a través de sus empleados? Es probable que muchos piratas informáticos piensen así o algo así.

Porque el hecho es que: para los ciberdelincuentes es cada vez más difícil piratear sistemas debido a las defensas técnicas de las empresas en constante mejora. La manipulación de un empleado o de un cliente parece mucho más sencilla.

Esta explotación de las debilidades humanas se ha hecho un nombre como la denominada ingeniería social. Más precisamente, se trata de utilizar trucos ingeniosos para ocultar la identidad y las intenciones de las personas.

Sin embargo, la ingeniería social no es nueva aquí: las personas han sido manipuladas en el pasado, por ejemplo, por teléfono; gracias a Internet, sin embargo, hay toneladas de posibilidades nuevas, incluso más simples, de fraude para los estafadores.

¿Qué estrategia persiguen los perpetradores en la ingeniería social?

La intención que persiguen los perpetradores con la ingeniería social puede ser de varios tipos: mientras uno intenta acceder a la información de la empresa, el siguiente quiere distribuir malware y otro quiere inducir a los empleados a transferir dinero. Formas cómo se suele engañar a las víctimas de la ingeniería social:

• Se crea una sensación de urgencia.
• Se imitan marcas confiables.
• Se abusa de la curiosidad natural de las personas.
• Se aprovechan las reacciones impresas a eventos frecuentes, por ejemplo, actualizaciones de software.

Por supuesto, el éxito de la ingeniería social depende en gran medida del enfoque de los atacantes. Las campañas generalizadas a gran escala suelen ser más fáciles de identificar para las víctimas como intento de fraude que aquellas dirigidas a unos pocos o incluso a un solo empleado; las excepciones prueban la regla.

Formas en las que usan la ingeniería social

Suplantación de identidad

Falsificar correos electrónicos o URL lo más fieles posible al original para obtener contraseñas, información de pago u otros datos confidenciales de un usuario o una empresa es uno de los métodos de ingeniería social más exitosos. Es probable que el spear phishing, que es aún más individualizado y dirigido, haya influido en este desarrollo.

Fraude de CEO

El CEO Fraud, una variación del phishing clásico, es manipular a los empleados de una empresa para que transfieran dinero a un estafador de buena fe. Esto tiene éxito en que los perpetradores se hacen pasar por directores generales, gerentes de división o similares en un correo electrónico y fingen necesitar dinero lo más rápido posible por una razón válida, proporcionando datos bancarios incorrectos, por supuesto. Hasta ahora, se dice que los fraudes de los directores ejecutivos han causado más de 3 mil millones de dólares en daños.

Phishing

Por supuesto, la web social también ofrece a los ciberdelincuentes una plataforma adecuada para dañar a las empresas. En lo que se conoce como phishing, los estafadores interceptan la comunicación entre los usuarios y las empresas con el fin de obtener acceso a información confiable. ¿Te preguntas cómo debería funcionar esto?

Los ciberatacantes fingen ser una cuenta de empresa y redireccionan la conversación a su perfil falso. Por supuesto, el phishing afecta principalmente al usuario, pero también representa un gran peligro para las empresas: en tal caso, corren el riesgo de perder la confianza, la imagen y las ventas.

Typosquatting

Al ingresar a un dominio, un error de escritura puede aparecer rápidamente, eso es un error humano. Sin embargo, algunos ciberdelincuentes explotan descaradamente este «delito». Typosquatting es el nombre de la estafa de ingeniería social en la que los estafadores registran dominios que tienen en cuenta los probables errores de mecanografía u ortografías alternativas de dominios conocidos para dirigir a los usuarios a su sitio web. Estos dominios falsos a menudo propagan malware, suplantan datos confidenciales o persiguen otros fines delictivos.

Por esta razón, están igualmente felices de ser parte de los correos electrónicos de phishing. Sin embargo, los estafadores suelen utilizar Typosquatting para falsificar direcciones de correo electrónico.

Por supuesto, las 4 formas de ingeniería social mencionadas representan solo una pequeña selección de las opciones de ingeniería social actuales. Debido al progreso tecnológico en particular, las empresas están constantemente expuestas a nuevas formas de ingeniería social. Así que la precaución es la máxima prioridad.

Medidas contra la ingeniería social

La pregunta que queda por resolver es cómo las empresas pueden protegerse de la ingeniería social. La formación de los empleados es sin duda un buen comienzo aquí. Con base en las reglas básicas para protegernos de estas amenazas, recomendamos transferir los siguientes conocimientos a la fuerza laboral:

• La información confidencial, como contraseñas o datos bancarios, nunca debe transmitirse por correo electrónico o teléfono, solo debe hacerse en persona y debe ser actualizada constantemente.
• Si existe alguna duda sobre si un estafador se esconde detrás de un correo electrónico, el lema es: Mejor no reaccionar que caer en la estafa. En casos importantes, el remitente buscará contacto a través de otra ruta.
• En el caso de correos electrónicos supuestamente urgentes, es recomendable comprobar telefónicamente la autenticidad del remitente.
• No se debe compartir información personal ni comercial en las redes sociales, ya que podría usarse indebidamente con fines de engaño.
• Cualquier ocurrencia anormal debe ser reportada al departamento de TI de inmediato.

Como empresa, también tienes las siguientes opciones:

• Cifra y firma digitalmente tu comunicación por correo electrónico, por ejemplo, utilizando certificados S / MIME, y protégete de varios tipos de phishing.
• Registra tú mismo los posibles dominios con errores tipográficos y redirígelos a tu sitio web para evitar los peligros del error tipográfico.
• Siempre está atento a las cuentas falsas en las redes sociales y, si es necesario, denúncialas para evitar el phishing y las amenazas de las redes sociales.
• Y, por último, pero no menos importante: demuestra tú mismo la conciencia de seguridad cibernética deseada.