INGENIERÍA SOCIAL, HACKEANDO A LAS PERSONAS

 En la gran mayoría de los ciberataques que ocurren en todo el mundo, antes o después, en mayor o menor medida, es necesaria la intervención de una persona con acceso previo al objetivo del ataque.

 
En ocasiones puede tratarse de un ataque perpetrado desde la misma organización, pero casi siempre se trata de una acción realizada a consecuencia de un engaño por parte de los atacantes. A los subterfugios empleados para conseguirlo se les considera “Ingeniería Social”, y su gran efectividad reside precisamente en el hecho de que puede llegar a ser efectiva sin importar la complejidad de los despliegues técnicos de los que dispongamos.
 
La naturaleza humana nos hace errar, especialmente cuando no tenemos los hábitos adecuados aprendidos. Por increíble que nos parezca, ayudar está en nuestra naturaleza, “todo el mundo es bueno”, y la ingeniería social trata de explotar esta debilidad humana de ayudar al prójimo.
 

Los ataques no siempre lo parecen

 
En algunos casos los ataques que emplean la ingeniería social son muy burdos, aleatorios y genéricos. Seguro que tod@s habéis recibido más de una vez un correo de un príncipe nigeriano, que desea entregaros parte de su fortuna, pero necesita validar el número de vuestra cuenta corriente por medio de un pago… o tal vez habéis valorado abrir un documento o formulario para una supuesta oferta de trabajo.
 
Pero en otras ocasiones, los atacantes pueden pasar mucho tiempo recabando datos sobre su objetivo para de esta manera poder ganarse nuestra confianza, con el fin de convencernos para facilitarle información o realizar acciones que le den acceso a nuestra información.

• Online: Las redes sociales han conseguido que recopilar información sobre una organización o persona concreta sea más fácil que nunca. Dicha información puede ser muy útil para poder suplantar a alguien o conocer nuestros gustos con el fin de tentarnos posteriormente con ofertas, premios, sorteos, etc…
   
  Del mismo modo, los atacantes sacarán provecho de sucesos relevantes (como la pandemia), eventos deportivos (invitándonos a participar de algún sorteo con entradas o viajes) e incluso valiéndose de nuestros sentimientos, apelando a un instinto humano tan básico como es el de ayudar a los demás (haciéndose pasar por ONG’s o alguien en apuros).
   

• Desde nuestra propia organización: Es posible que alguna vez recibamos ataques desde dentro de nuestra propia organización. Calma, no estamos diciendo que alguien de nuestra empresa tenga malas intenciones (o tal vez si…).
   
  Los atacantes pueden haber conseguido acceso a una cuenta de correo de algún/a compañer@ y estar llevando a cabo una suplantación. En ocasiones simplemente usan una cuenta de un servicio gratuito como Gmail, pero con el nombre del CEO de la empresa, aprovechándose de nuestra predisposición a responder de manera positiva ante un cargo de autoridad.
   
  Debemos intentar contrastar dicha información por otros medios SIEMPRE antes de actuar.

FUENTE::