Que es Ingeniería social?
La ingeniería social es la práctica ilegítima de obtener información confidencial a través de la manipulación de usuarios legítimos. Es un conjunto de técnicas que pueden usar ciertas personas para obtener información, acceso o permisos en sistemas de información que les permitan realizar daños a la persona u organismo comprometidos y es utilizado en diversas formas de estafas y suplantacion de identidad. El principio que sustenta la ingeniería social es el de que, en cualquier sistema, los usuarios son el «eslabón débil».
En la naturaleza se conoce dos motivadores más poderosos para cualquier acción humana son el miedo y la curiosidad. Cada uno de ellos puede inducir a acciones ilógicas y estúpidas que no siempre resultan ser algo bueno.
En los últimos años se ha aumentado drásticamente el "hackeo de personas", exponiéndolas a ataques de ingeniería social y probando qué tan resistentes son a la manipulación por parte de atacantes reales. Estos ataques se basan en las peculiaridades de la psicología humana: al jugar con los sentimientos de la víctima, los estafadores, bajo diversos pretextos, la obligan a actuar en su propio interés.
Tan pronto como una persona se convierte en empleado de una empresa, las llamadas que amenazan con bloquear la tarjeta se convierten en mensajes de "socios", las solicitudes del código se transforman en cartas con enlaces de phishing y los "servicios públicos" mutan en "trabajo motivado e interesado". El objetivo principal en estos casos no es una persona, sino toda empresa.
Los empleados no capacitados son la forma más fácil para que un atacante acceda a los datos de la empresa
Todos los esfuerzos para proteger la infraestructura de la empresa pueden fracasar debido a la falta de conocimiento de sus empleados sobre las reglas de seguridad de la información. Un correo electrónico de phishing o una contraseña débil pueden causar un ataque cibernético a sus activos
90% de los incidentes dentro de la organización se deben al desconocimiento de las normas de ciberseguridad por parte de los empleados
Hasta el 80% los usuarios de los servicios de intercambio de información abren archivos adjuntos maliciosos y no están capacitados en seguridad informática
Muchos atacantes van por el camino viejo y tratan de asustar a sus víctimas. La mayoría de las veces, se utilizan amenazas de despido o multas, mensajes marcados como "es para ayer" o "muy importante", a veces llegan por correo solicitudes para verificar algún servicio. Pero las generaciones se cambian y el miedo como motivador está cada vez menos efectivo.
Pero con la curiosidad es otra cosa. Veo este motivador como el más ventajoso, ya que da más posibilidades para la implementación creativa. Lo usamos en la gran mayoría de proyectos exitosos como impulso a algún tipo de acción. Los métodos y casos más memorables se presentarán a continuación.