La ingeniería social es un intento por manipular los pensamientos o sentimientos de una persona para acceder a información valiosa. En el ámbito de la tecnología, normalmente se trata de detalles de inicio de sesión, datos bancarios o información de contacto.
Muchos ya están familiarizados con el ejemplo más clásico de la ingeniería social: el Caballo de Troya de la antigüedad. La historia demuestra que los ataques de ingeniería social son mucho, mucho más antiguos que las amenazas de la tecnología digital y por lo general, mucho más efectivos. Esto cobra mayor importancia en una era donde se puede acceder de forma remota a múltiples dispositivos.
Por eso, si bien la tecnología detrás del acceso remoto cuenta con capas de seguridad que lo protegen, siempre habrá alguien en una empresa que quiera ayudar a un extraño, ganar el premio de un concurso del que nunca ha escuchado o utilizar la contraseña más fácil posible… Y nunca cambiarla.
Aquí te mostramos cómo puedes evitar que esa persona abra la puerta virtual a tu oficina para que entre el gran caballo de madera.
Cualquier persona con presencia en línea recibe docenas de intentos de phishing por día. El phishing es un e-mail u otro tipo de mensaje diseñado para que parezca que proviene de una fuente legítima, como tu banco, y es exitoso debido al volumen: incluso si una de 10 000 personas cae en la trampa, envía un millón de e-mails y tendrás 100 víctimas.
Quizás el phishing quiera que hagas clic en un enlace particular para “verificar tus detalles de cuenta”. Cuando haces clic en el enlace, se carga un programa malicioso u otro tipo de código en tu dispositivo o red. Esta clase de trucos también te puede llevar a una página web que parece legítima donde ingresas tus datos.
Spear phishing es el siguiente nivel. Si bien el phishing lanza una gran red de pesca, el spear phishing es un intento diseñado para un solo individuo. Podría hacer referencia a un asunto más personal, como un dato que figure en el registro público o que se encuentre debido a una filtración de información en un intento por legitimar el ataque.
Whaling es como el spear phishing, pero dirigido a un ejecutivo de una empresa que tenga un acceso significativo a datos sensibles. Podrías pensar que los ejecutivos ya estarían alertados sobre estos ataques, pero incluso destacados funcionarios del gobierno han puesto sus cuentas personales de e-mail en riesgo por ataques de whaling.
La educación es la mejor forma de hacerle frente al phishing. Enséñales a tus empleados a no hacer clic en enlaces o descargar archivos desde su e-mail o mensajes de SMS. Sé prudente al compartir detalles personales en redes sociales que los delincuentes cibernéticos podrían utilizar en campañas de spear phishing. Ten en cuenta también que los proveedores de servicios de gran reputación jamás te pedirán contraseñas o datos de identificación personal por e-mail.
Cuantos más obstáculos potenciales puedas interponer frente al atacante, mejor. Así que asegúrate de adoptar buenas prácticas para las contraseñas, que incluyen utilizar contraseñas diferentes en cada sitio o servicio y gestionarlas con un administrador de contraseñas confiable. Además, habilita la verificación en dos pasos de TeamViewer para tanto las conexiones como las cuentas.
El pretexting se da cuando un hacker se hace pasar por una persona que debería tener acceso legítimo, como un vendedor o un agente de asistencia técnica. Los atacantes te llaman (a menudo por teléfono para que no tengas tiempo de verificar si son personas auténticas) y piden información que compromete tu dispositivo u otro al que tienes acceso. Podrían preguntar si la empresa utiliza una herramienta de acceso remoto o si pueden iniciar sesión.
Quizás pienses que eso no podría funcionar, pero estos atacantes, por lo general, cuentan con información suficiente sobre la empresa y sobre la persona que están tratando de suplantar, por lo que te podrían sorprender con la guardia baja.
El primer paso para evitar un ataque de pretexting es establecer protocolos para el momento y la manera en los que los vendedores o los agentes de asistencia técnica externos contactarán a los empleados. Algunas empresas incluso tienen una palabra clave que la persona debe utilizar antes de que confíen en ella. Además, define una política que establezca que, si un vendedor externo está realizando un trabajo, este debe notificarlo a las personas que podrían ser blancos de ataques de pretexting. De esta manera, si los empleados reciben una llamada inesperada, ya sabrán que deben sospechar.
Por otro lado, con TeamViewer también puedes activar el Easy Access (acceso fácil), nuestra característica de seguridad que te permite conectarte a dispositivos específicos sin contraseña. Easy Access elimina la necesidad de ingresar contraseñas por completo, para lograr una verificación más potente por medio de la cuenta de TeamViewer del individuo. Si una persona no inició sesión en la cuenta de TeamViewer correcta, no podrán obtener acceso. Aprende más sobre el Easy Access en este artículo de nuestra comunidad.
El baiting consiste en dejar un dispositivo físico, por lo general, un CD o una unidad de memoria USB, cargado con un programa malicioso o una “puerta trasera” de acceso remoto en un lugar donde los empleados de una empresa puedan encontrarlo, como un estacionamiento o el vestíbulo de una oficina. El atacante hará lo que sea para que alguien utilice la carnada en su computadora; por ejemplo, puede imprimir el logotipo de la empresa en el dispositivo o incluso etiquetarlo con un título que despierte la curiosidad como “Salarios de los empleados 2021”.
En la era de la computación en la nube, podría sorprenderte el saber que el baiting sí funciona. La Universidad de Illinois realizó un estudio en el 2016, donde los investigadores esparcieron unidades de memoria USB por todo el campus. Los estudiantes recogieron el 98 % de las unidades y casi la mitad lo conectó a sus computadoras y habilitaron las “llamadas a casa”.1
Podrías pensar que el baiting ya pasó de moda, pero los delincuentes cibernéticos se están esforzando cada vez más, como el caso donde una unidad de memoria USB venía con una tarjeta de regalo (falsa) de 50 dólares norteamericanos.2
La primera forma de defenderte frente al baiting es, una vez más, la educación. Enséñales a los empleados a no conectar dispositivos extraños en sus computadoras. También puedes implementar una política que establezca que no se pueden utilizar unidades de memoria USB para transferir archivos o, bien, puedes deshabilitar la capacidad de utilizar los puertos USB o las unidades de disco en cualquier computadora que la empresa proporcione por medio de las herramientas de administrador o un programa de protección de puntos finales.
Por otro lado, una de las funciones populares de TeamViewer es la transferencia de archivos. Puedes mover archivos entre dispositivos sin tener que utilizar unidades de memoria USB, lo que puede incluso facilitar la transición de tu empresa para dejar de depender de ellas.
Puedes llegar a pensar que los ataques de ingeniería social les suceden a las empresas que administran dinero o información sensible. Toda organización resulta valiosa para un hacker, incluso si es para acceder a más direcciones de e-mail para utilizarlos en su campaña de phishing.
La ingeniería social funciona porque se aprovecha de la naturaleza humana en sí misma. Todos experimentamos curiosidad, emoción o compasión, por lo que bajamos la guardia (como los troyanos). Por eso, ¿qué puedes hacer para no ser la próxima víctima de ingeniería social? Siempre es mejor pecar de prudente. Ten en cuenta que, si tienes una reacción emocional frente a un intercambio de información, en línea o fuera de línea, debes evaluar si la interacción es parte de una trampa de ingeniería social.
Compartir:
Somos distribuidor #1 de Teamviewer en México, adquiere tu licencia TeamViewer o complementos con factura fiscal Mexicana.
Te asesoramos en el tipo de licencia que mejor se adapte a tus necesidades.