La Ingeniería Social se sustenta en un sencillo
principio: “el usuario es el eslabón más débil”. Dado que no hay un solo
sistema en el mundo que no dependa de un ser humano, la Ingeniería Social es
una vulnerabilidad universal e independiente de la plataforma tecnológica. A
menudo, se escucha entre los expertos de seguridad que la única computadora
segura es la que esté desenchufada, a lo que, los amantes de la Ingeniería
Social suelen responder que siempre habrá oportunidad de convencer a alguien de
enchufarla.
La Ingeniería Social es un arte que pocos desarrollan
debido a que no todas las personas tienen “habilidades sociales”. Aún así, hay
individuos que desde pequeños han demostrado tener la aptitud y con un poco de
entrenamiento convertirla en el camino ideal para realizar acciones maliciosas.
Por ejemplo, hay crackers que en vez de perder horas rompiendo una contraseña,
prefieren conseguirla preguntando por teléfono a un empleado de soporte
técnico.
Las formas de ataque son muy variadas y dependen de la
imaginación del atacante y sus intereses. En general, los ataques de Ingeniería
Social actúan en dos niveles: el físico y el psicosocial. El primero describe
los recursos y medios a través de los cuales se llevará a cabo el ataque, y el
segundo es el método con el que se engañará a la víctima.
Las formas usadas a nivel físico son:
Ataque por teléfono. Es la forma más persistente de
Ingeniería Social. En ésta el perpetrador realiza una llamada telefónica a la
víctima haciéndose pasar por alguien más, como un técnico de soporte o un
empleado de la misma organización. Es un modo muy efectivo, pues las
expresiones del rostro no son reveladas y lo único que se requiere es un
teléfono.
Ataque vía Internet. Desde que Internet se volvió uno de
los medios de comunicación más importantes, la variedad de ataques en red se
incrementaron tanto como la gran cantidad de servicios que existen en él. Los
ataques más comunes son vía correo electrónico (obteniendo información a través
de un phishing o infectando el equipo de la víctima con malware), web (haciendo
llenar a la persona objetivo un formulario falso) o inclusive conversando con
personas específicas en salas de chat, servicios de mensajería o foros.
Dumpster Diving o Trashing (zambullida en la basura).
Consiste en buscar información relevante en la basura, como: agendas
telefónicas, organigramas, agendas de trabajo,
unidades de almacenamiento (CD’s, USB’s, etc.), entre muchas otras
cosas.
Ataque vía SMS. Ataque que aprovecha las aplicaciones de
los celulares. El intruso envía un mensaje SMS a la víctima haciéndola creer
que el mensaje es parte de una promoción o un servicio, luego, si la persona lo
responde puede revelar información personal, ser víctima de robo o dar pié a
una estafa más elaborada.
Ataque vía correo postal. Uno de los ataques en el que la
víctima se siente más segura, principalmente por la fiabilidad del correo
postal. El perpetrador envía correo falso a la víctima, tomando como patrón
alguna suscripción de una revista, cupones de descuento, etc. Una vez que
diseña la propuesta para hacerla atractiva, se envía a la víctima, quien si
todo sale bien, responderá al apartado postal del atacante con todos sus datos.
Ataque cara a cara. El método más eficiente, pero a la
vez el más difícil de realizar. El perpetrador requiere tener una gran
habilidad social y extensos conocimientos para poder manejar adecuadamente
cualquier situación que se le presente. Las personas más susceptibles suelen
ser las más “inocentes”, por lo que no es un gran reto para el atacante cumplir
su objetivo si elige bien a su víctima.
Por otro lado, existen entornos psicológicos y sociales
que pueden influir en que un ataque de ingeniería social sea exitoso. Algunos
de ellos, son:
“Exploit de familiaridad”. Táctica en que el atacante
aprovecha la confianza que la gente tiene en sus amigos y familiares,
haciéndose pasar por cualquiera de ellos. Un ejemplo claro de esto ocurre
cuando un conocido llega a una fiesta con uno de sus amigos. En una situación
normal nadie dudaría de que ese individuo pudiera no ser de confianza. Pero ¿de
verdad es de fiar alguien a quien jamás hemos tratado?
Crear una situación hostil. El ser humano siempre procura
alejarse de aquellos que parecen estar locos o enojados, o en todo caso, salir
de su camino lo antes posible. Crear una situación hostil justo antes de un
punto de control en el que hay vigilantes, provoca el suficiente estrés para no
revisar al intruso o responder sus preguntas.
Conseguir empleo en el mismo lugar. Cuando la recompensa
lo amerita, estar cerca de la víctima puede ser una buena estrategia para
obtener toda la información necesaria. Muchas pequeñas y medianas empresas no
realizan una revisión meticulosa de los antecedentes de un nuevo solicitante,
por lo que obtener un empleo donde la víctima labora puede resultar fácil.
Leer el lenguaje corporal. Un ingeniero social
experimentado puede hacer uso y responder al lenguaje corporal. El lenguaje
corporal puede generar, con pequeños, detalles una mejor conexión con la otra
persona. Respirar al mismo tiempo, corresponder sonrisas, ser amigable, son
algunas de las acciones más efectivas. Si la víctima parece nerviosa, es bueno
reconfortarla. Si está reconfortada, ¡al ataque!
Explotar la sexualidad.
Técnica casi infalible. Las mujeres que juegan con los deseos sexuales de los
hombres, poseen una gran capacidad de manipulación, ya que el hombre baja sus
defensas y su percepción. Probablemente suene asombroso, pero es aprovechar la
biología a favor.
¿Cómo defenderse contra la Ingeniería Social?
La mejor manera de protegerse contra las técnicas de
ingeniería social es utilizando el sentido común y no divulgando información
que podría poner en peligro la seguridad de sus datos. Sin importar el tipo de
información solicitada, se aconseja que:
Averigüe la identidad de la otra persona al solicitar
información precisa (apellido, nombre, compañía, número telefónico);
Si es posible, verifique la información proporcionada; Pregúntese qué importancia tiene la información
requerida.
¿Qué
tiene que ver la Ingeniería Social con la seguridad informática?
En este contexto, puede ser necesario capacitar a los
usuarios para que tomen conciencia acerca de los problemas de seguridad.
Los aparatos de aire acondicionado que mantienen los
sistemas en las temperaturas adecuadas para trabajar sin caídas.
La calificación del equipo de administradores que deberá
conocer su sistema lo suficiente como para mantenerlo funcionando
correctamente.
La definición de entornos en los que las copias de
seguridad han de guardarse para ser seguros y como hacer esas copias.
El control del acceso físico a los sistemas.
La elección de un hardware y de un software que no de
problemas.
La correcta formación de los usuarios del sistema.
El desarrollo de planes de contingencia.
Debemos tener en cuenta que una gran parte de las
intrusiones en sistemas se realizan utilizando datos que se obtienen de sus
usuarios mediante diferentes métodos y con la intervención de personas
especialmente entrenadas, los ingenieros sociales.
