¿Qué es la ingeniería social y las amenazas internas?

¿Qué es la ingeniería social?

La ingeniería social es un término amplio dado a una amplia gama de actividades maliciosas que aprovechan la falibilidad de los seres humanos. Los atacantes usan trucos psicológicos para manipular a los usuarios para que den su información confidencial.

Los hackers conocen el principio 90/10 de seguridad informática. El principio simplemente establece que el noventa por ciento de la seguridad de la información depende de los humanos. Esto significa que solo el diez por ciento depende de la infraestructura informática.

Un buen ejemplo es una cerradura de puerta. Una cerradura en tu puerta no significa que tu casa esté segura. Sin embargo, recordar cerrar la puerta y proteger las llaves garantiza la seguridad de tu casa.

Como resultado, es más fácil engañar a alguien para que te proporcione su contraseña en lugar de hackear el sistema para obtenerla. Este artículo se centrará en los tres tipos principales de ingeniería social utilizados por los hackers.

¿Cuáles son los tipos de ingeniería social? ¿Cómo se pueden llevar a cabo?

Suplantación de identidad

Un ataque de phishing es un delito cibernético en el que un atacante se hace pasar por una entidad legítima y contacta a un usuario. Lo puede contactar por correo electrónico o mensaje de texto y luego lo engaña para que entregue información confidencial.

El atacante utiliza esta información para acceder a las cuentas personales del usuario que resultan en robo de identidad o fraude. Las técnicas de phishing incluyen spear phishing, inyección de contenido, vishing, smishing, keyloggers, etc.

Baiting (señuelo)

Como su nombre lo indica, un atacante usa algo tentador como señuelo para atraer a un usuario a regalar información confidencial.

El señuelo podría ser en forma de música o descarga de películas gratis después de iniciar sesión en un sitio web falso. Los atacantes roban estas credenciales y las usan para cometer robo de identidad.

Pretexting

En esta técnica, el atacante toma tiempo para fabricar un escenario o un pretexto. La mayoría de estos escenarios falsos generalmente requieren que la víctima confirme su identidad.

Se engaña a la víctima para que piense que está resolviendo un problema determinado. No obstante, en realidad el atacante registra sus credenciales y las usa para cometer fraude.

Amenazas internas

Podemos definir una amenaza interna como un problema en gran medida no reconocido y subestimado.

Las medidas de seguridad tradicionales y más convencionales se centran principalmente en amenazas externas. Estas medidas son incapaces de detectar amenazas internas que hacen que las amenazas internas sean peligrosas.

Dado que la ingeniería social aprovecha las interacciones humanas, si la falta de confidencialidad y conciencia de un miembro del personal conduce a un acceso no autorizado al sistema, se clasifica como una amenaza interna.

Los estudios realizados demuestran que más del 40% de los profesionales de seguridad están preocupados por los empleados con bajo nivel de conciencia de seguridad.

Estos empleados pueden proporcionar involuntariamente información confidencial a actores maliciosos.

Por ejemplo, si un empleado permitió involuntariamente que un software malicioso o sitios web accedan a los datos de la compañía que causan una violación de datos, define un tipo de amenaza interna. Este tipo de amenaza se denomina Amenaza Interna no intencional (UIT, por sus siglas en inglés).

Tipos de amenazas

Este es el tipo más común de amenaza interna, aunque vale la pena señalar que la tasa de amenaza interna intencional también está aumentando. Las amenazas internas se clasifican en:

  • Empleado malicioso (Malicious Inside): también conocido como un turncloaks, se refieren a actores maliciosos privilegiados dirigidos intencionalmente a los sistemas y privilegios. De esta manera se aprovecha para obtener acceso a información sensible. Este tipo de actor de amenaza tendrá ventaja ya que él o ella está familiarizado con el sistema y puede navegar fácilmente sin ser detectado. Un ejemplo de un incidente interno malicioso ocurrió en los motores de Tesla mediante el cual un empleado saboteó el sistema. lo hizo enviando información de propiedad a terceros no autorizados, así como la violación de datos en SunTrust Bank.
  • Empleado descuidado (Careless insider): se trata de un peón inocente y desprevenido que expone involuntariamente el sistema a intrusos. Generalmente lo hace por error mediante la explotación a través de correos electrónicos de phishing o incluso dejando expuestos los dispositivos.
  • Un espía: técnicamente es un extraño, pero realmente es un impostor en la organización. Este tiene acceso a la red y al sistema y usa este acceso para obtener información privilegiada.

Las amenazas de ingeniería social y amenazas internas forman una de las amenazas más relevantes de la seguridad informática en los últimos tiempos. La forma más eficaz de defenderte contra ellos es mediante la educación de los usuarios finales y la creación de una conciencia cibernética.