Los atacantes utilizan diversas técnicas para manipular a las personas. Algunas de las más frecuentes son:
- Phishing: Envío de correos electrónicos fraudulentos que parecen provenir de fuentes confiables.
- Vishing: Llamadas telefónicas fraudulentas en las que el atacante se hace pasar por alguien de confianza.
- Smishing: Mensajes de texto (SMS) maliciosos que buscan engañar a la víctima.
- Pretexting: Creación de una historia falsa (pretexto) para obtener información o acceso.
- Baiting: Uso de cebos atractivos (como memorias USB infectadas o descargas gratuitas).
- Quid pro quo: Ofrecimiento de algo a cambio de información o acceso.
En una empresa que además de su actividad principal realizaba acciones de merchandising, se llevó a cabo un ataque que demostró lo efectiva que puede ser la combinación de curiosidad y beneficio personal.
Los atacantes registraron un dominio similar al de la empresa, crearon un sitio web con estilo corporativo y enviaron correos electrónicos a los empleados anunciando un supuesto descuento del 40% en productos de la empresa para el personal. El mensaje indicaba que la cantidad era limitada y que debían registrarse rápidamente a través de un enlace.
El ataque fue altamente exitoso. Decenas de empleados intentaron registrarse e incluso proporcionaron sus credenciales corporativas en el sitio de phishing. Algunos incluso ejecutaron archivos maliciosos. Este caso demuestra cómo el deseo de obtener algo “gratis” o con descuento puede hacer que las personas bajen la guardia.
En otro caso real, los atacantes utilizaron una combinación de ingeniería social tradicional y física. Identificaron a una empleada de una importante empresa financiera a través de LinkedIn y obtuvieron su número de teléfono.
Luego realizaron una llamada haciéndose pasar por una tienda de cosméticos popular con la que la empleada tenía interacción en redes sociales. Le informaron que había ganado un regalo por su lealtad y actividad en redes. Acordaron una hora de entrega durante su horario laboral.
El día acordado, un atacante disfrazado de mensajero entregó a la empleada un ramo de flores, una caja de chocolates y… una memoria USB infectada con malware. Quince minutos después, los atacantes ya tenían acceso a su computadora de trabajo y, poco tiempo después, a toda la red interna de la empresa, incluyendo documentos financieros y credenciales de acceso a sistemas críticos.
Este caso demuestra que la ingeniería social no se limita al mundo digital y que los atacantes están dispuestos a combinar técnicas físicas y psicológicas para lograr sus objetivos.
Atacar directamente a una empresa a través de su infraestructura técnica suele ser más costoso, más lento y más riesgoso para los ciberdelincuentes. En cambio, atacar a través de las personas es:
- Más rápido
- Más económico
- Más efectivo
- Más difícil de detectar
Al comprometer a un solo empleado, un atacante puede obtener acceso a información altamente valiosa: lista de clientes y proveedores, estados financieros, datos personales de empleados, estrategias comerciales, desarrollos propios de la empresa, entre otros.
La ingeniería social representa actualmente una de las mayores amenazas para las empresas de todos los tamaños. Mientras las organizaciones siguen invirtiendo grandes cantidades de dinero en proteger sus sistemas técnicos, los atacantes han encontrado en las personas el camino más fácil y efectivo para acceder a información confidencial.
La mejor defensa contra este tipo de ataques no es solo tecnológica, sino también humana. Implementar programas de concientización y capacitación continua en seguridad informática, realizar pruebas sociotécnicas periódicas y fomentar una cultura de seguridad dentro de la organización son acciones fundamentales para reducir el riesgo.
En un mundo donde la tecnología avanza rápidamente, recordar que las personas siguen siendo el eslabón más débil es más importante que nunca.
