¿Qué es la ingeniería social?

Phishing

• El phishinges una de las formas más conocidas de ingeniería social. En un ataque de phishing, el atacante envía correos electrónicos, mensajes o sitios web fraudulentos que parecen provenir de fuentes fiables, como bancos, organismos gubernamentales o proveedores de servicios populares. Estos mensajes suelen contener enlaces o archivos adjuntos que, al hacer clic en ellos, roban las credenciales de inicio de sesión, instalan malware o dirigen a la víctima a sitios web falsos diseñados para recopilar información confidencial.
  
  Los correos electrónicos de phishing suelen crear una sensación de urgencia, como advertencias de suspensión de cuentas u ofertas de recompensas, para incitar a la víctima a actuar rápidamente sin pensar de forma crítica.

Spear phishing

• El spear phishinges una forma más específica y personalizada de phishing. A diferencia del phishing habitual, que es un ataque amplio y genérico, el spear phishing consiste en mensajes específicos y personalizados dirigidos a personas u organizaciones concretas. El atacante personaliza el mensaje basándose en la información personal de la víctima, que puede recopilarse de perfiles de redes sociales, sitios web de empresas u otras fuentes.
  
  Por ejemplo, un atacante puede enviar un correo electrónico de spear phishing que parezca provenir de un compañero de trabajo o jefe, en el que se pida al destinatario que transfiera fondos o comparta datos confidenciales. Dado que el mensaje es personalizado, es más probable que la víctima confíe en el atacante y acceda a la solicitud.

Vishing (phishing por voz)

• El vishing, abreviatura de «voice phishing» (suplantación de identidad por voz), consiste en que un atacante se haga pasar por una entidad de confianza por teléfono para obtener información confidencial de la víctima. En un ataque de vishing, el hacker puede hacerse pasar por una institución financiera, una agencia gubernamental o un equipo de soporte técnico y pedir a la víctima que le facilite datos personales, como números de tarjetas de crédito, números de la Seguridad Social o credenciales de inicio de sesión.
  
  A menudo, los atacantes utilizan la suplantación de identidad del identificador de llamadas para que parezca que la llamada proviene de una fuente legítima, lo que convence aún más a la víctima de que facilite la información solicitada.

Cebo

• El cebo es otro tipo de ataque de ingeniería social en el que el atacante atrae a la víctima con algo deseable, como software, música o vídeos gratuitos, a cambio de información personal o acceso al sistema. El atacante puede colocar software malicioso en un medio físico, como una unidad flash USB, o en un sitio web que ofrezca descargas gratuitas.
  
  Una vez que la víctima muerde el «anzuelo» y descarga el archivo o accede al dispositivo infectado, se instala el malware, lo que puede dar lugar al robo de datos, al compromiso del sistema u otras actividades maliciosas.

Pretextos

• Pretexting
  El pretexting consiste en crear una situación ficticia (el pretexto) para obtener información de la víctima. En este tipo de ataque, el atacante finge necesitar información para algún fin legítimo, como confirmar la identidad de la víctima o realizar una encuesta.
  
  Por ejemplo, el atacante puede hacerse pasar por un técnico informático y solicitar credenciales para «arreglar» un problema del sistema. El atacante puede incluso llegar a inventar una historia falsa para que la víctima se sienta más cómoda al divulgar la información.

Suplantación de identidad

• Los ataques de suplantación de identidad se producen cuando el atacante se hace pasar, física o virtualmente, por alguien con acceso legítimo a áreas seguras, tanto digital como físicamente. Por ejemplo, un atacante puede hacerse pasar por un nuevo empleado para acceder a un edificio seguro, o fingir ser un agente de atención al cliente para acceder a la cuenta de un usuario.
  
  La suplantación de identidad se utiliza a menudo junto con otras tácticas de ingeniería social, como el pretexting o el vishing.

Reconocer las señales de un ataque de ingeniería social es fundamental para la prevención. Las señales de advertencia más comunes son:

• Solicitudes no solicitadas de información confidencial: Si alguien que no conoce se pone en contacto con usted para pedirle datos personales como contraseñas, números de tarjetas de crédito o números de la seguridad social, desconfíe.
• Mensajes urgentes o amenazantes: Los ingenieros sociales suelen crear una sensación de urgencia, por ejemplo, afirmando que su cuenta será bloqueada o que es necesario actuar de inmediato.
• Archivos adjuntos o enlaces sospechosos: Desconfíe de los correos electrónicos o mensajes de texto inesperados con archivos adjuntos o enlaces, especialmente si provienen de remitentes desconocidos.
• Ofertas demasiado buenas para ser verdad: si algo parece demasiado bueno para ser verdad, como un premio sorpresa o una recompensa inesperada, puede tratarse de una estafa.

• Educar y formar a los usuarios: Los empleados y las personas deben recibir formación para reconocer las tácticas comunes de ingeniería social y saber cómo responder adecuadamente. La formación periódica en materia de ciberseguridad puede ayudar a reforzar las mejores prácticas.
• Verificar solicitudes: Verifique siempre las solicitudes sospechosas, especialmente aquellas que solicitan información confidencial. Esto podría implicar llamar directamente a la persona (utilizando información de contacto que sepa que es legítima) o verificar con un supervisor antes de actuar.
• Utilice autenticación fuerte: emplee medidas de autenticación fuertes, como la autenticación multifactorial (MFA), para añadir una capa adicional de seguridad al iniciar sesión en cuentas o acceder a datos confidenciales.
• Ten cuidado con la información personal: limita la cantidad de información personal que compartes en línea. Los ingenieros sociales suelen utilizar datos disponibles públicamente (de perfiles en redes sociales, sitios web de empresas, etc.) para diseñar ataques convincentes.
• Utilice software de seguridad: mantenga actualizado su software de seguridad, incluyendoel antivirusy el software antiphishing, para ayudar a bloquear archivos adjuntos y sitios web maliciosos.
• Denuncia actividades sospechosas: si sospechas de un intento de ingeniería social, denúncialo inmediatamente a tu departamento de TI o a una autoridad de confianza. Cuanto antes se identifique un ataque, menos daño podrá causar.