Una realidad convive con el hecho de que más personas se estén formando en ciberseguridad, pues la demanda de los cursos relacionados con esta materia ha crecido hasta un 279% en el último año. Sin embargo, no todos los ataques cibernéticos se dirigen a dispositivos tecnológicos, también existe lo que se denomina como ingeniería social. Los ataques de ingeniería social no se dirigen a los dispositivos tecnológicos, sino, a lo que el ingeniero social considera el eslabón más vulnerable: el usuario. El atacante se sirve de engaños basados en las respuestas psicológicas conscientes -la lógica y la razón- o subconscientes de las personas, de tal forma que estas puedan servirle para conseguir información personal, contraseñas o datos bancarios.

Los ataques sin tecnología son más peligrosos porque escapan del radar de detección de todas las herramientas de seguridad por software de las empresas. De este modo, las filtraciones pueden permanecer varios meses, o incluso años, sin ser detectadas, dándole a los atacantes la posibilidad de operar sin limitaciones sobre los activos de las organizaciones afectadas.

Por esta razón les voy a mencionar los 5 ataques de ingeniería social que las empresas deben conocer y prevenir:

Pedir a la recepcionista o secretaria de una empresa una hoja de papel para anotar “algo importante”: Aunque esta técnica, a primera vista, puede parecer inofensiva, los ingenieros sociales esperan descubrir información útil en estas hojas. Si se trata de una hoja extraída de una libreta, esperan que se haya traspasado la tinta o se haya escrito con tanta fuerza que permanezca el rastro de la hoja que una vez estuvo sobre la que ha sido cedida.

Si, por el contrario, se trata de una hoja impresa que ha sido reciclada, se busca descubrir al pie de ellas, nombres de ordenadores y carpetas reales presentes en los servidores y máquinas internas para, posteriormente, explorarlas. Para eludir esto, es fundamental asegurarnos de que al entregar una hoja de papel a una persona ajena a la organización, se le entrega un folio completamente en blanco y extraído directamente del paquete.

Observar el desgaste de los teclados: Una vez dentro de las empresas, espacios de coworking, bibliotecas o cafeterías, los ingenieros sociales pueden conseguir información sin necesidad de hablar con nadie y ni siquiera tocar nada. De esta manera, por ejemplo, mediante la observación del desgaste de los teclados numéricos de los ordenadores visibles, pueden determinar qué usuarios lo emplean más y, por ende, quiénes son los que manejan las finanzas dentro de la empresa.

Para tratar de prevenir este tipo de ataques es importante que, por ejemplo, si trabajamos con laptops, al levantarnos de nuestro puesto de trabajo, bajemos siempre la tapa. Así como, si nos encontramos en un espacio público, mantenernos alerta por si percibimos que alguien nos observa en exceso proceder a cambiarnos de lugar.

Diálogos de ascensor: Los momentos en un ascensor suelen dar lugar a conversaciones cordiales y amistosas entre sus ocupantes, con el fin de hacer más ameno el recorrido en este espacio tan reducido. Pero, para el ingeniero social, estas conversaciones son la oportunidad perfecta para obtener información como nombres de directivos o áreas importantes de la empresa, la cual será posteriormente utilizada para sus ataques. Para prevenirlo es esencial evitar mantener conversaciones de trabajo en los trayectos en ascensor en los que viajan más personas ajenas a la organización.

Trashing: Este tipo de ataque se lleva a cabo principalmente una vez dentro de las instalaciones de la compañía, pero también en los contenedores de residuos de la vía pública pertenecientes a las empresas. Esta acción sirve para recolectar información a partir de los documentos desechados por los trabajadores. La solución a este potencial riesgo es triturar siempre todos los documentos confidenciales e importantes a nivel empresarial que se desechan, de manera que no puedan reconstruirse para extraer información.

Hacer uso de la caridad y de la reciprocidad en los controles de seguridad física de las empresas: Esta técnica es una de las que más pueden pasar desapercibidas para la seguridad de las empresas, ya que pueden ser personas mayores o niños que, supuestamente, necesitan urgentemente utilizar el servicio o requieren algún tipo de favor. Para evitarlo es importante que todas las personas que acceden a la empresa estén correctamente identificadas o previamente autorizadas. En este último caso, se recomienda recoger los datos del visitante.

Evite ser víctima.

@adogel

t.me/seguridad integral

Adolfo Gelder

adogel@gmail.com