Ingeniería Social
Los hackers, tradicionalmente asociados con habilidades de programación, han diversificado sus métodos. La ingeniería social es una técnica de manipulación que explota errores humanos para obtener acceso a información, ya sea en línea o en persona.
Etapas de un Ataque de Ingeniería Social:
-
- Recolección de información para determinar la mejor forma de explotar el objetivo.
-
Pretexto:
- Establecimiento de confianza mediante la suplantación de identidad para crear una falsa sensación de confianza.
-
Persuasión:
- Manipulación del objetivo para que entregue información voluntariamente, utilizando datos específicos de la organización.
-
Desconexión:
- Una vez obtenida la información, el atacante desaparece sin dejar rastro.
Métodos para Mitigar Ataques de Ingeniería Social:
-
Implementación de controles como políticas, estándares y procedimientos, como por ejemplo el NIST SP800-40 que suele ser usado por empresas.
-
Mantenerse informado y actualizado.
-
Compartir conocimientos para educar a otros sobre las señales de ataque.
Ataques Comunes de Ingeniería Social:
Baiting:
- Incita a poner en riesgo la seguridad por curiosidad, como el cebo USB.
Phishing:
- Suplantación de identidad a través de comunicaciones digitales, comúnmente por correo electrónico.
Quid pro quo:
- Ofrece recompensa a cambio de acceso o información. Como por ejemplo las estafas bancarias donde ofrecen tasas de interés más bajas pero debes dar tus datos para acceder a ellas.
Tailgating:
- Ganar acceso siguiendo a alguien autorizado. Como el pedirle a la persona delante tuyo que te sujete la puerta de un condominio privado.
Watering Hole:
- Compromete sitios web visitados frecuentemente por un grupo específico.
Spam y Spim:
- Spam: Envío masivo de correos electrónicos no solicitados, generalmente por publicidad o maliciosos
- Spim: Lo mismo, pero a través de mensajes instantáneos.
Shoulder Surfing:
- Observar directamente contraseñas o PINS por sobre el hombro de la víctima
Dumpster Diving:
- Literalmente sumergirse en los basureros buscando información sensible como documentos mal eliminados o hardware desechado de forma incorrecta
Recon:
- Realizado Online como Offline
- Offline implica visitar el lugar físico para obtener información que ayude a lograr ataques. El reconocimiento implica también utilizar alguno de los anteriores mencionados, como dumpster diving, shoulder surfing, etc.
Impersonamiento:
- Hacerse pasar por otra persona, ya sea por teléfono, On Site, email, etc. con el fin de obtener información o acceso.
Pretexting:
- Generar un escenario ficticio para engañar a la víctima
Typo Squatting:
- Registro de dominios similares a los de sitios web populares, aprovechando errores tipográficos de los usuarios para redirigirlos a sitios maliciosos.