los ataques corporativos más importantes.
Ejecución de troyanos
Otro de los trucos más populares de la ingeniería social se utiliza para hacer que un usuario desprevenido ejecute un programa troyano. Esto puede realizarse vía correo electrónico, con un archivo adjunto o con una URL incrustada. Normalmente ocurre en sitios web. En ocasiones, un sitio legítimo es atacado y, cuando el visitante, confiado, carga la página, debe ejecutar un archivo. El archivo puede ser un complemento «necesario» de terceros, un falso antivirus o un parche «requerido». El sitio web legítimo puede ser atacado directamente o en otro elemento incluido de forma independiente, como un banner de publicidad de terceros. En cualquier caso, el usuario, quien ha confiado en este sitio web legítimo después de visitarlo durante años sin ningún problema, no tiene ninguna razón para sospechar que el sitio ha sido atacado.
Por teléfono
Los estafadores también pueden llamar a un usuario haciéndose pasar por el soporte técnico, un proveedor conocido o una agencia del Gobierno.
Una de las estafas más populares es cuando el usuario recibe una llamada de alguien que dice ser del soporte técnico advirtiendo que se ha detectado un programa malicioso en su ordenador. Entonces solicita al usuario que descargue un programa antimalware, el cual procede, no sin sorpresa, a detectar muchos, muchos programas maliciosos. Después, dicen al usuario que descargue y ejecute un programa de acceso remoto que, posteriormente, el falso equipo de soporte técnico utilizará para conectarse al ordenador de la víctima y dejar en él otros programas maliciosos. El programa del falso soporte técnico termina cuando la víctima compra un programa antimalware, también falso, utilizando su tarjeta de crédito.
Los estafadores telefónicos también pueden hacerse pasar por servicios de recaudación de impuestos, fuerzas policiales u otras agencias del Gobierno, intentado que el usuario pague para evitar duras multas o la cárcel.
Fraudes por compras
Otra estafa muy popular tiene como objetivo personas que compran o venden bienes en sitios web, como en sitios de subastas o del tipo de Craigslist. La inocente víctima puede estar comprando o vendiendo algo.
En los fraudes por compras, el comprador responde rápidamente, normalmente paga el precio completo más los gastos de envío y solicita al vendedor que utilice su agente depositario «de confianza». Seguidamente, envían a la víctima un cheque falso por un importe mayor del acordado en la compra, que la víctima deposita en su cuenta bancaria. (Desgraciadamente, los bancos aceptan fácilmente estos cheques falsos y hacen a la víctima responsable del dinero perdido). El comprador solicita al vendedor que devuelva el dinero sobrante a su consignador o agente depositario. La víctima normalmente acaba perdiendo como mínimo esta cantidad de dinero.
En los fraudes por ventas, la víctima envía el dinero pero no recibe la mercancía. La media de fraudes por ventas es, como mínimo, de 1.000 $, mientras que la media de fraudes por compras puede llegar a los cientos de miles de dólares.
En persona
Algunos de los fraudes de ingeniería social más importantes son aquellos que han llevado a cabo los hackers en persona. En el capítulo siguiente, se describe el perfil de Kevin Mitnick, un popular hacker que fue sombrero blanco. Hace unas décadas, él era uno de los ingenieros sociales físicos más descarados que teníamos. Mitnick no tenía nada en contra de disfrazarse de personal de averías de teléfono o de servicio técnico para acceder a cualquier ubicación segura. Los ingenieros sociales físicos son muy conocidos por entrar en bancos e instalar un keylogger en los terminales de los empleados mientras se hacen pasar por reparadores de ordenadores. La gente desconfía mucho ante cualquier extraño y, sin embargo, se siente sorprendentemente desarmada si este extraño es un reparador, especialmente si dice cosas como «veo que tu ordenador funciona muy lento». ¿Quién puede oponerse a esta sentencia? El reparador obviamente conoce este problema y por eso está aquí, para solucionarlo.
La zanahoria o el palo
El usuario normalmente es castigado con una multa por no hacer nada o recompensado por hacer algo. El ardid empieza coaccionando a la víctima, puesto que la gente no sopesa el riesgo con demasiado cuidado durante los eventos de estrés: debe pagar una multa o irá a la cárcel; tiene que ejecutar un programa o correrá el riesgo de que su ordenador se infecte y su cuenta bancaria se vacíe; debe enviar una suma de dinero o alguien a quien quiere irá a una cárcel extranjera; tiene que cambiar la contraseña de su jefe o tendrá problemas con él.
Uno de mis ardides de ingeniería social favoritos cuando estoy probando una intrusión es enviar un correo electrónico a los empleados de una empresa haciéndome pasar por el CEO o el CFO para anunciar que la empresa se fusionará con su mayor rival. Yo les digo que pulsen sobre el archivo adjunto trampa para ver si sus trabajos están afectados por la fusión. O bien envío un correo electrónico que parezca legal a los empleados varones haciéndome pasar por el abogado de sus exesposas solicitando más pensión para los niños. Os divertiría ver el éxito que tienen estos dos trucos.
Defensas ante la ingeniería social
Defenderse contra los ataques de ingeniería social implica una combinación de formación y tecnología.
Educación
La formación contra la ingeniería social es una de las mejores y más esenciales defensas contra este método. Dicha formación debe incluir ejemplos de los tipos más comunes de ingeniería social y de cómo las posibles víctimas pueden detectar las señales de ilegitimidad. En mi empresa actual, todos los empleados están obligados a visionar un vídeo contra la ingenierá social cada año y realizar una pequeña prueba. La formación más exitosa incluye a otros empleados inteligentes, de confianza y apreciados que comparten sus experiencias personales de haber sido engañados por un tipo concreto común de ingeniería social.
Creo que todas las empresas deberían tener campañas de phishing falsas en las cuales sus empleados reciban correos eléctronicos como si fueran de phishing en los que les pidan sus credenciales. Los empleados que faciliten sus credenciales necesitarán una formación adicional. Existe una gran variedad de recursos, tanto gratuitos como de pago, para crear campañas de phishing falsas. Evidentemente, las de pago proporcionan un uso más sencillo y más sofisticación.
Todos los usuarios de ordenador necesitan aprender las tácticas de la ingeniería social. Las personas que compran y venden cosas por Internet necesitan ser educadas acerca de los fraudes por compras: ellos deben utilizar solo servicios depositarios legítimos y seguir todas las recomendaciones del sitio web para evitar transacciones contaminadas.
Cuidado al instalar software desde sitios web de terceros
Los usuarios deberían saber que nunca se debe instalar un programa directamente desde un sitio web que estén visitando, a menos que sea el sitio web del fabricante legítimo del programa. Si un sitio web dice que tienes que instalar un programa de terceros para continuar navegando por él y crees que se trata de una solicitud legítima, sal de este sitio y dirígete al del fabricante para instalarlo. No instales nunca cualquier software de un fabricante desde un sitio web que no sea el suyo. Podría tratarse de un software legítimo, pero el riesgo es demasiado grande.
Certificados
