Qué Es La Ingeniería Social?
Según estudios recientes, los ciberdelincuentes utilizan técnicas de ingeniería social para impulsar el 98% de los ciberataques. Siendo este un tema importante de conversación para empresas y usuarios. Si su organización es un Proveedor de Servicios Administrados (MSP, por sus siglas en inglés), siga leyendo y descubra cómo funciona la ingeniería social y qué puede hacer para ayudar a sus clientes a proteger su negocio de los ataques.
Estadísticas de ingeniería social
- El 98% de los ciberataques se basan en la ingeniería social.
- El 43% de los profesionales de TI dijeron que habían sido blanco de esquemas de ingeniería social en el último año.
- El 21% de los empleados actuales o anteriores utilizan la ingeniería social para obtener una ventaja financiera, por venganza, por curiosidad o por diversión.
- El 43% de los ataques de suplantación de identidad (phishing)/ingeniería social se dirigieron a pequeñas empresas.
Fuente: PurpleSec, 2021 Cyber Security Statistics
Definición
La ingeniería social es la práctica de engañar a un individuo, en persona, por teléfono o en línea, para que haga algo que lo haga vulnerable a más ataques. En el mundo digital, es más fácil engañar a las personas para que caigan en trampas en línea que en la vida real. Esto hace que la ingeniería social en línea sea una práctica frecuente y peligrosa.
Técnicas de ingeniería social
La ingeniería social se aprovecha de las emociones de las personas para hacer que hagan algo para que un delincuente pueda obtener acceso físico a oficinas y edificios privados y/o acceso en línea a los sistemas de una empresa. Algunas técnicas comunes de ingeniería social que los delincuentes utilizan para engañar a las personas, obtener la información, extorsionar y/o robar datos o dinero son:
Explotar la codicia. Recibe un mensaje a través de Facebook Messenger que dice que ganó un ordenador portátil gratis y haga clic en el enlace <malicious> para que pueda proporcionar más información personal para canjearla.
Crear miedo. Recibe un correo electrónico de alguien que dice que pertenece al Servicio de Impuestos Internos (IRS, por sus siglas en inglés) y que será arrestado de inmediato, a menos que proporcione su número de tarjeta de crédito para pagar impuestos atrasados.
Pedir ayuda. Recibe un mensaje de texto de lo que cree que es un colega (que es un ciberdelincuente que se hace pasar por su colega) que le dice que está en un país extranjero, que le han robado y que necesita dinero para volver a casa. El mensaje le pide que haga clic en el enlace para transferir fondos o pagar con tarjeta de crédito.
Tipos de ingeniería social
Los ataques de ingeniería social son el primer paso que utilizan los atacantes para recopilar información privada para realizar un ataque posterior. Por ejemplo, si el atacante puede atraer a un empleado para que proporcione información de contraseña, el atacante utilizará esa información para obtener acceso al dispositivo del empleado y lanzar otros ataques a través de la red corporativa. Los ataques de ingeniería social pueden tomar varias formas.
Ataques con trampas
Los ataques con trampas atraen a las personas con productos o servicios atractivos, con descuentos significativos e incluso gratuitos. Estos atraen a una persona para que responda haciendo clic en un enlace <malicious> u ofreciendo información personal, como un número de tarjeta de crédito.
Scareware
Scareware es un tipo de ataque de ingeniería social que «asusta» al usuario para que realice una acción que conduce a un ataque. Por ejemplo, está trabajando en su ordenador y aparece un anuncio de lo que parece ser un proveedor de malware legítimo que le dice que su ordenador está infectado y que debe descargar una prueba gratuita para eliminar el malware. Una vez que haga clic en el enlace para descargar la versión de prueba gratuita, de hecho, estará infectado con malware.
Ataques de pretexto
Los ciberdelincuentes utilizan los ataques de pretexto para establecer una conexión de confianza con un objetivo previsto para obtener información personal o confidencial o para atraer al objetivo a realizar una tarea crítica. Primero, el atacante investiga al objetivo para recopilar información personal, pero pública, como para quién trabaja el objetivo, quiénes son sus colegas, con quién realiza operaciones bancarias y quiénes son su círculo de amigos. Luego, el atacante crea una persona en línea, haciéndose pasar por una persona o empresa de confianza y atrae al usuario a realizar una acción.
Cómo detectar un ataque de ingeniería social
La mejor manera de detectar un ataque de ingeniería social es mediante la capacitación y el entrenamiento para que los usuarios «piensen antes de vincularse». Los usuarios deben estar capacitados para:
- Comprender que no existe un «almuerzo gratis».
- Nunca abrir un correo electrónico que no espera y/o que provenga de alguien que no conoce.
- Verificar la autenticidad de cualquier solicitud para transferir fondos a través de otros canales, por ejemplo, validar por teléfono o enviar un correo electrónico al solicitante por separado, utilizando la cuenta de correo electrónico que conoce, para verificar.
- Investigar cualquier correo electrónico que solicite información personal y/o confidencial investigando a través de otros canales en línea, como Google.
- Nunca instalar software pirateado o cualquier software que no conozca.
Cómo prevenir este tipo de ataques?
Además de la capacitación y educación de los empleados, una empresa necesita protección de varios niveles para detener los ataques de ingeniería social. Esto incluye una combinación de:
Software antimalware para proteger sistemas, aplicaciones y datos de ataques maliciosos, incluida la prevención de que los usuarios accedan a sitios maliciosos.
Cortafuegos para evitar el acceso no autorizado a los sistemas corporativos.
Filtros de correo electrónico que analizan los correos electrónicos para identificar el contenido de correos no deseados y phishing y los aíslan en una carpeta separada; los usuarios deben asegurarse de configurar sus filtros de correo no deseado en un valor alto y revisar sus carpetas de correo no deseado con regularidad en busca de correos electrónicos legítimos.
Autenticación multifactor, que requiere que los usuarios proporcionen al menos dos pruebas para verificar que son quienes dicen ser.
Parches de software oportunos para garantizar que el sistema operativo y las aplicaciones estén siempre actualizados.
Detenga los ataques de ingeniería social en seco con Acronis Cyber Protect Cloud
Diseñado específicamente para MSP, Acronis Cyber Protect Cloud integra la mejor copia de seguridad de su clase, antimalware basado en Inteligencia de Máquinas (MI, por sus siglas en inglés) y gestión de protección en una sola solución. Acronis Cyber Protect Cloud, que se incluye sin costo o con un sistema de pago por uso, le permite crear servicios para proteger los sistemas, las aplicaciones y los datos de sus clientes.
Puede ampliar su cartera de servicios para satisfacer aún más los requisitos de sus clientes con paquetes de protección avanzados que amplían sus capacidades. Al agregar paquetes de protección avanzada como Copia de Seguridad Avanzada, Recuperación Avanzada ante Desastres, en Acronis Cyber Protect Cloud, puede expandir y personalizar sus servicios para brindar el nivel óptimo de protección cibernética para cada cliente y cada carga de trabajo.