¿Qué es Ingeniería Social y cómo nos afecta?

La ingeniería social se define como el conjunto de trucos y estrategias para engañar a un usuario para que éste infecte de manera indirecta su dispositivo, facilite información privada o simplemente acabe haciendo algo indeseado.

A la ingeniería social también se le conoce como el arte del engaño, y no es extrañar, ya que como sucede en cualquier espectáculo de magia, el mago o en este caso el ingeniero social, utiliza las mejores técnicas que conoce para que el truco parezca lo más creíble posible.

Los ingenieros sociales utilizan cualquier reclamo para captar nuestra atención y conseguir que se actúe de una determinada forma. ¿Y cómo lo hacen? Muchas veces, aprovechando la curiosidad o el morbo que nos produce conocer y manejar cierta información, consiguen manipularlos de la forma que ellos deseen.

Analizando desde la otra perspectiva, si se desea que alguien se descargue un virus en su ordenador, ¿qué táctica se utilizaría?

1. Publicando un tuit con el siguiente texto “Descárgate este virus en el ordenador [enlace]”
2. Publicando el siguiente tuit: “Mira como se levanta todas las mañanas Cristiano Ronaldo [enlace]”

Sin lugar a duda se elegiría la opción b). ¿Por qué? Es cuestión de sentido común. Si a una persona se le dice directamente que si ingresa a un enlace se descargará un virus, como en la opción a), obviamente no lo hará, sin embargo, si se enmascara el enlace malicioso bajo un titular que le provoque curiosidad, es posible que caiga en la trampa y acabe haciendo clic. ¿Esto es magia? No, es ingeniería social.

La ingeniería social puede llevarse a cabo a través de muchos medios, entre los que se encuentra el correo electrónico, las aplicaciones de mensajería instantánea, así como, las redes sociales.

Ahora que se conoce en qué consiste esta práctica, es necesario, conocer las excusas que más utilizan los ingenieros sociales, o en otras palabras los ciberdelincuentes, para engañar y conseguir sus objetivos.

• Desastres naturales/accidentes. Sí, aunque parezca mentira, este tipo de situaciones son utilizadas por los ciberdelincuentes para aprovecharse de la sensibilidad y vulnerabilidad que estos hechos provocan en las personas para, por ejemplo, difundir páginas fraudulentas de donaciones.
• Celebración de olimpiadas, mundiales, festivales, congresos. Son una buena excusa para poner en circulación falsos sorteos, entradas, descuentos que todo el mundo querrá obtener. Para ello, solo tienen que introducir sus datos personales ¡Quién puede resistirse a conseguir algo gratis!
• Noticias sobre famosos. Escándalos, controversias, muertes captan la atención de los usuarios. Los ciberdelincuentes, que de esto saben mucho, utilizan toda su imaginación para conseguir que se haga clic en vídeos o links. El problema es que detrás de esa supuesta información se suele esconder algún virus.
• Situaciones que generan alarma. Multas, denuncias, notificaciones, problemas de seguridad. En este grupo estarían clasificados los ya más que conocidos phishing, en los que, a través de un email, se le alerta al usuario de que debe realizar una acción de forma inmediata. Principal objetivo de esto: robar datos personales y bancarios de los usuarios e infectar dispositivos para obtener un beneficio económico. Ejemplos típicos, típicos:
  
  • Problemas de seguridad en cuenta bancaria
  • Multas de Policía
  • Notificaciones de la Agencia Tributaria
  • Envío de facturas electrónicas
• Lanzamiento de nuevos producto o servicios. La presentación de un nuevo iPhone, actualizaciones en el sistema operativo o cualquier otro producto o servicio de interés general, puede ayudar a propagar correos, mensajes, noticias, vídeos, imágenes con malware.
• Situación política del país. Difundir rumores sobre políticos y sus partidos, es perfecto para recopilar direcciones de correo electrónico de usuarios, así como, otros posibles datos personales gracias al reenvío de los mensajes.

Se puede evitar ser víctima de una trama de ingeniería social aplicando sentido común, y, además, siguiendo estos prácticos consejos:

• No facilitando NUNCA nuestras contraseñas a nadie, mucho menos por correo electrónico o redes sociales, por mucho que alguien nos diga a través de estos canales que, por algún motivo, debemos facilitar estos datos ¡No se lo debe hacer! normalmente si un técnico necesita acceder a su cuenta o a tu información, podrá hacerlo sin problema.
• Al igual que las contraseñas, JAMÁS se debe proporcionar datos personales ni bancarios por Internet, si alguien bajo alguna excusa nos lo pida. Aunque el remitente parezca ser el administrador o equipo de soporte del servicio que dice ser.

• Siempre que se vaya a introducir datos privados o sensibles en una página web, se debe asegurar de que encontrarse, en la página web legítima del servicio.
• Nunca abrir un fichero o archivo extraño aunque sea de un remitente conocido, si el mensaje no está bien redactado, no parece tener mucho sentido o si no se lo esperaba.

Fuente:

https://www.osi.es/es/actualidad/blog/2016/03/01/conociendo-que-es-la-ingenieria-social-fondo

https://www.welivesecurity.com/la-es/2016/01/06/5-cosas-sobre-ingenieria...