Social En­gi­nee­ri­ng

Los es­pe­cia­li­s­tas en in­fo­r­má­ti­ca se esfuerzan por lograr que haya seguridad en todas las capas del modelo OSI. A menudo, las pérdidas no se ocasionan en la propia red, sino que tienen lugar en la capa 8 ficticia, es decir, a cuarenta ce­n­tí­me­tros de la pantalla, donde los usuarios in­ter­ac­túan con la técnica. Los es­ta­fa­do­res lo saben, por lo que se apro­ve­chan de cua­li­da­des y conductas humanas típicas, tales como la buena di­s­po­si­ción, la confianza, el respeto, el orgullo, la gratitud, la pre­ve­n­ción de co­n­fli­c­tos o el miedo, para acceder a los sistemas in­fo­r­má­ti­cos sin au­to­ri­za­ción. Se puede hablar en este caso del método del social en­gi­nee­ri­ng, que cada año y a nivel mundial ocasiona daños valorados en miles de millones, por lo que para las empresas resulta im­pre­s­ci­n­di­ble formar a sus tra­ba­ja­do­res y darles di­re­c­tri­ces claras sobre el tra­ta­mie­n­to adecuado de la in­fo­r­ma­ción co­n­fi­de­n­cial.

Incluso la co­n­tra­se­ña más segura no es su­fi­cie­n­te cuando los usuarios tienen que en­fre­n­tar­se a amenazas ajenas. La in­ge­nie­ría social comprende diversos trucos psi­co­ló­gi­cos que tienen lugar en el marco del espionaje económico para arrebatar a los tra­ba­ja­do­res datos re­la­cio­na­dos con la seguridad. Los re­s­po­n­sa­bles de los ataques hacen acopio de dicha in­fo­r­ma­ción y no solo se infiltran en los sistemas in­fo­r­má­ti­cos, sino que a través de ellos también consiguen acceder a los datos pro­te­gi­dos de las empresas. Se pone en práctica, así, el llamado social hacking. Además,  la in­ge­nie­ría social también entra en juego para llevar a los empleados de las empresas a reac­cio­nes poco meditadas o im­pru­de­n­tes, entre las que se engloban la in­s­ta­la­ción de programas de­s­co­no­ci­dos o la rea­li­za­ción de tra­n­sac­cio­nes fi­na­n­cie­ras so­s­pe­cho­sas. A este respecto, no es necesario que se es­ta­ble­z­ca el contacto directo entre los de­li­n­cue­n­tes y sus víctimas. Las mo­da­li­da­des de fraude que se llevan a cabo por medio del correo ele­c­tró­ni­co, como el phishing se basan en el social en­ge­nee­ri­ng, pero también es común la entrada en escena de un supuesto ad­mi­ni­s­tra­dor de sistemas que necesita la co­n­tra­se­ña de usuario de la se­cre­ta­ria de recepción con el objetivo de so­lu­cio­nar un problema.

Puede que, a priori, la idea de la in­ge­nie­ría social resulte algo banal. Sin embargo, en la práctica demuestra ser uno de los métodos de in­fi­l­tra­ción más efectivos. La razón de ello son las ca­ra­c­te­rí­s­ti­cas tanto positivas como negativas de casi todas las personas, por lo que en la mayoría de culturas puede co­n­ve­r­ti­r­se en algo be­ne­fi­cio­so y útil para la sociedad. De ahí, a muchos les resulta difícil pre­s­ci­n­dir de su apli­ca­ción en si­tua­cio­nes de eme­r­ge­n­cia, mientras que otros muestran su di­s­po­si­ción por miedo a reac­cio­nar de manera errónea ante si­tua­cio­nes de­s­co­no­ci­das.

El siguiente vídeo (en inglés) de YouTube muestra, apa­re­n­te­me­n­te, a una madre de­s­bo­r­da­da por el llanto de su bebé, lo que se convierte en motivo su­fi­cie­n­te para que el tra­ba­ja­dor del servicio de atención al cliente de una empresa de Internet le facilite datos de cliente co­n­fi­de­n­cia­les:

Sin embargo, las cua­li­da­des humanas no siempre se co­n­vie­r­ten en el centro de atención de los intentos de ma­ni­pu­la­ción. El hecho de estar orgulloso por el trabajo realizado o por el éxito de la empresa puede inducir tanto a los tra­ba­ja­do­res como a los miembros del de­pa­r­ta­me­n­to de eje­cu­ti­vos a fa­n­fa­rro­near con in­fo­r­ma­ción co­n­fi­de­n­cial, por ejemplo en una en­tre­vi­s­ta fingida, ante clientes o en en­tre­vi­s­tas de trabajo. A menudo, la obsesión por la pre­ve­n­ción de co­n­fli­c­tos conduce a llevar a cabo acciones críticas en contra del sentido común. El motor más poderoso de las acciones poco meditadas es, sin embargo, el miedo, y este puede fo­me­n­tar­se, por ejemplo, por medio de un presunto pro­vo­ca­dor al otro lado del teléfono que un día amenaza con hacer que no funcione Internet si no recibe in­me­dia­ta­me­n­te in­fo­r­ma­ción detallada sobre el router y su co­n­fi­gu­ra­ción. Haciendo uso de términos técnicos re­le­va­n­tes, la persona que llama intimida a los tra­ba­ja­do­res que no tienen unos co­no­ci­mie­n­tos técnicos amplios.

Asimismo, otra de las he­rra­mie­n­tas de estos “hackers sociales” es el miedo que se tiene a los jefes: un truco muy popular son las órdenes de pago ficticias del jefe por correo ele­c­tró­ni­co.

Para engañar a sus víctimas, los es­ta­fa­do­res se hacen pasar, en general, por co­m­pa­ñe­ros de trabajo, jefes o so­li­ci­ta­n­tes de puestos de trabajo, pero también adoptan el rol de tra­ba­ja­do­res del servicio técnico que se encargan de evaluar el nivel de sa­ti­s­fa­c­ción del cliente o que realizan una encuesta por orden de un organismo de in­ve­s­ti­ga­ción.

Los de­no­mi­na­dos “in­ge­nie­ros sociales” no se limitan ne­ce­sa­ria­me­n­te a contactos aislados, sino que también es posible que se le pida un favor a la víctima durante un período co­n­si­de­ra­ble de tiempo o que se la en­tre­te­n­ga por medio de co­n­ve­r­sa­cio­nes sobre temas banales. El verdadero ataque se produce, en este caso, cuando hay cierta base de confianza y el atacante ha re­co­pi­la­do su­fi­cie­n­te in­fo­r­ma­ción para engañar a su víctima. En ocasiones, tal espionaje va precedido de una intensa tarea de in­ve­s­ti­ga­ción y entre las fuentes de in­fo­r­ma­ción no solo se sitúan las páginas web de las empresas, sino también las redes sociales como Facebook o LinkedIn. Algo que va todavía más lejos es el “dumpster diving”, por medio de lo que los cri­mi­na­les buscan en la basura de la víctima para hacerse acopio de do­cu­me­n­tos co­me­r­cia­les de­se­cha­dos.

Ha­bi­tua­l­me­n­te, el social en­gi­nee­ri­ng se lleva a cabo por medio del correo ele­c­tró­ni­co o por teléfono, ya que este tipo de ataques puede au­to­ma­ti­zar­se aun teniendo escasos co­no­ci­mie­n­tos técnicos. El peligro de revelar secretos co­r­po­ra­ti­vos o datos de acceso de manera in­vo­lu­n­ta­ria también está presente tanto en los medios de tra­n­s­po­r­te públicos como en bares, ca­fe­te­rías o re­s­tau­ra­n­tes, en los que se conversa sobre cifras de negocio, sistemas de trabajo o sobre el contacto con los clientes. Incluso aquellos tra­ba­ja­do­res que responden a llamadas de trabajo al teléfono móvil, están hablando sobre asuntos internos de las empresas en público y sin tener en cuenta que puede que haya personas que les estén es­cu­cha­n­do.  

Una variante del social en­gi­nee­ri­ng basada en software se apoya en el malware es­pe­cí­fi­co que intimida a los usuarios de Internet y que induce a realizar de­te­r­mi­na­das acciones. En este caso se puede hablar de scareware. Los programas de este tipo trabajan siguiendo el siguiente patrón: por medio del software se amenaza al usuario y, a co­n­ti­nua­ción, se le muestra una vía de solución que incluye la acción que el atacante pretende llevar a cabo. A menudo, antes de ello se coloca el scareware en el ordenador de la víctima. Un punto de partida lo ofrece a este respecto la confianza con respecto a marcas, empresas o au­to­ri­da­des conocidas. Para incitar a los usuarios a que instalen un software malicioso por ini­cia­ti­va propia, los timadores se valen de nombres y logotipos que provocan confusión con conocidos productos de confianza.

De esta manera, por ejemplo, se puede ocultar el scareware en un programa antivirus gratuito, del que el usuario podrá ser testigo en forma de in­fe­c­cio­nes ficticias tras la in­s­ta­la­ción. Para so­lu­cio­nar el problema se ofrece la descarga gratuita de la versión completa. Una vez el usuario paga, des­apa­re­cen las amenazas.

El empleo de scareware, sin embargo, no supone ne­ce­sa­ria­me­n­te su in­fi­l­tra­ción au­to­má­ti­ca en el sistema, sino que también puede iniciarse por medio, por ejemplo, de una animación en una página web, a través de la que se le hace creer al usuario que se ha co­n­ve­r­ti­do en víctima de un ataque de hacking. Las “medidas de defensa” que ofrece el scareware co­m­pre­n­den, en este caso, la descarga de un troyano, que es el que en realidad hace posible el ataque. En otra variante de esta modalidad de ataque el mensaje de error fingido no se mostrará en la página web, sino que se pondrá de relieve como un mensaje pro­ce­de­n­te del navegador. También puede aparecer como ventana emergente a modo de imitación de los mensajes de Windows.

Para proteger a las empresas de manera efectiva frente al social en­gi­nee­ri­ng lo re­co­me­n­da­ble es hacer que los tra­ba­ja­do­res sean co­n­s­cie­n­tes de que tratan con in­fo­r­ma­ción co­n­fi­de­n­cial. La se­n­si­bi­li­za­ción del tema del espionaje económico puede rea­li­zar­se por medio de sesiones fo­r­ma­ti­vas en las que se di­s­cu­ti­rán las mo­da­li­da­des de ataque más ha­bi­tua­les y sus co­n­se­cue­n­cias. Además, se re­co­mie­n­da fijar normas para el manejo de los datos sensibles. Cada tra­ba­ja­dor debe conocer cuál es la in­fo­r­ma­ción protegida por el secreto pro­fe­sio­nal, cuándo usar y dónde guardar los datos sensibles.

Por otro lado, los procesos estándar para de­sa­rro­llar ac­ti­vi­da­des ad­mi­ni­s­tra­ti­vas pro­po­r­cio­nan a los tra­ba­ja­do­res la seguridad de cómo deben co­m­po­r­tar­se en si­tua­cio­nes críticas. Si se indica a los empleados que el de­pa­r­ta­me­n­to de in­fo­r­má­ti­ca nunca pide que se in­te­r­ca­m­bien co­n­tra­se­ñas por correo ele­c­tró­ni­co o por teléfono, es difícil que los timadores puedan hacerse acopio de ellas.

Puesto que la técnica de la in­ge­nie­ría social se basa en errores humanos, el peligro que ello conlleva no puede eli­mi­nar­se por completo con las medidas pre­ve­n­ti­vas. Si se presta atención a los si­guie­n­tes puntos, los timadores lo tendrán más co­m­pli­ca­do a la hora de acceder a datos co­n­fi­de­n­cia­les:

• De­s­co­n­fia­n­za saludable frente a personas ajenas a las empresa: cuanto más grande es una empresa, más fácil es que las personas ajenas a ella se hagan pasar por tra­ba­ja­do­res o por pre­s­ta­do­res de servicios. Ante el peligro de desvelar datos internos de la empresa in­vo­lu­n­ta­ria­me­n­te, lo co­n­ve­nie­n­te es optar por el papel protector que ge­ne­ra­l­me­n­te plantea tener una de­s­co­n­fia­n­za saludable frente a personas ajenas. Solo se deberían tra­n­s­mi­tir datos co­n­fi­de­n­cia­les a aquellos co­m­pa­ñe­ros de trabajo cuya identidad pueda ga­ra­n­ti­zar­se sin ninguna duda.

• In­fo­r­ma­ción pro­po­r­cio­na­da por teléfono: es fu­n­da­me­n­tal que nunca se faciliten datos co­n­fi­de­n­cia­les por teléfono, lo que se debe aplicar, sobre todo, a llamadas entrantes y de  in­te­r­lo­cu­to­res de­s­co­no­ci­dos. Además, la in­fo­r­ma­ción que apa­re­n­te­me­n­te es se­cu­n­da­ria sirve de ayuda a los timadores para recopilar in­fo­r­ma­ción sobre las empresas y para, en la medida de lo posible, engañar a otros co­m­pa­ñe­ros.

• Correos ele­c­tró­ni­cos con remitente de­s­co­no­ci­do: si no es posible ide­n­ti­fi­car al remitente de un correo ele­c­tró­ni­co con total seguridad, se re­co­mie­n­da ser cauteloso. Los tra­ba­ja­do­res deberían consultar en todo caso a un superior o a una persona del de­pa­r­ta­me­n­to de in­fo­r­má­ti­ca antes de responder a ese tipo de mensajes. Si el mensaje requiere llevar a cabo una acción ine­s­pe­ra­da, como por ejemplo una tra­n­s­fe­re­n­cia algo so­s­pe­cho­sa, es co­n­ve­nie­n­te realizar una llamada de co­n­te­s­ta­ción al supuesto remitente.

• Atención con archivos adjuntos en enlaces y correos ele­c­tró­ni­cos: los usuarios de Internet siempre en­cue­n­tran en sus bandejas de entrada correos ele­c­tró­ni­cos con enlaces a máscaras para in­tro­du­cir datos. Los timadores utilizan técnicas de esta índole para acceder a bases de datos, co­n­tra­se­ñas o números de cliente, de modo que en el mundo em­pre­sa­rial estas prácticas no son nada inusuales. En principio, los bancos, tiendas online o compañías de seguros serios no piden a sus clientes que para crear una página web tengan que facilitar datos sensibles, pero se insta a ser es­pe­cia­l­me­n­te cuidadoso en el caso de los archivos adjuntos, ya que estos pueden contener malware que se instale en un segundo plano y que permita acceder al sistema. Lo re­co­me­n­da­ble en este caso es minimizar el riesgo de que se incite a los tra­ba­ja­do­res a abrir los archivos adjuntos de correos ele­c­tró­ni­cos pro­ce­de­n­tes de re­mi­te­n­tes de­s­co­no­ci­dos.

• Pro­te­c­ción de datos en las redes sociales: la pre­pa­ra­ción de los ataques de in­ge­nie­ría social tiene lugar, por lo general, mucho antes de que se produzcan los ataques en sí. Además de las páginas web de las empresas, las redes sociales son también una gran fuente de in­fo­r­ma­ción para los es­ta­fa­do­res, cuyo objetivo es disfrazar los intentos de ma­ni­pu­la­ción y darles un carácter creíble. En general, cuanta más in­fo­r­ma­ción revele un tra­ba­ja­dor sobre sí mismo en la red, mayor es el riesgo de verse afectado por la técnica del social en­gi­nee­ri­ng. De ello se desprende que es muy im­po­r­ta­n­te informar a los tra­ba­ja­do­res sobre las co­n­fi­gu­ra­cio­nes de pri­va­ci­dad y ofre­ce­r­les normas claras para manejar los co­n­te­ni­dos co­r­po­ra­ti­vos en las redes sociales. 

La co­m­ple­ji­dad del tema y la di­ve­r­si­dad de las mo­da­li­da­des de los ataques hacen que sea imposible preparar a los tra­ba­ja­do­res para que hagan frente a todos los tipos posibles de ataques de in­ge­nie­ría social. Las reuniones o cursos de formación regulares sobre temas relativos al régimen de pro­te­c­ción de datos permiten actuar con más cautela y tener un mayor co­no­ci­mie­n­to del peligro que esta técnica plantea. Asimismo, las medidas pre­ve­n­ti­vas no tienen por qué llegar al punto de que una co­la­bo­ra­ción pro­du­c­ti­va se vea afectada por una de­s­co­n­fia­n­za ge­ne­ra­li­za­da o por el miedo a cometer errores.