Appgate, compañía de acceso seguro que ofrece soluciones de ciberseguridad para personas, dispositivos y sistemas, explica en qué consiste la ingeniería social y da a conocer 4 formas de cómo es usada por cibercriminales para robar credenciales de acceso a los sistemas y efectuar ciberataques.

La ingeniería social o phishing, es una modalidad de ataque utilizada por los ciberdelincuentes para engañar a los usuarios por medio de mensajes con enlaces maliciosos y así robar sus datos.

El objetivo principal es la obtención de credenciales que pueden ser usadas para acceder a sistemas empresariales y hasta gubernamentales, o ser vendidas en la Dark y Deep Web a otros hackers.

▶ ¿Qué es shoulder surfing? La última técnica de phishing que necesita conocer

David López Agudelo, vicepresidente de ventas para Latinoamérica de Appgat explica “según el análisis de datos del primer semestre de 2022 de nuestro Centro de Operaciones de Seguridad (SOC), el 44% del fraude fue realizado a través del uso no autorizado de marca; mientras que el phishing, con un 40%, es el segundo tipo de ataque más empleado por los cibercriminales. Estas modalidades usan recursos falsos y engañosos de ingeniería social para manipular a los usuarios, convirtiéndose en un foco de atención de gran importancia para los equipos y sistemas de ciberseguridad en todo el mundo”.

Los ataques con ingeniería social son cada vez más sofisticados y masivos. No solo se hacen uso de redes sociales, apps móviles y canales de telecomunicación, sino que también adoptan logotipos de empresas, marcas y más, para que parezcan más realistas.

Para evitar ser víctima de estos ataques y poner en riesgo los demás sistemas de los que se hace uso, es necesario conocer cómo actúan los cibercriminales y ser capaces de identificar un mensaje de phishing. Algunas de las estrategias de ingeniería social más utilizadas son:

– Estados Bancarios: Los cibercriminales han aprovechado esta amplia superficie de ataque, convirtiéndola en la segunda industria con más incidentes de phishing, según APWG, con un 17,3% de los casos.

Los atacantes envían SMS o e-mails con mensajes falsos, relacionados con fallos en las cuentas, reportes de movimientos sospechosos, o hasta cobros que no se han realizado; esto con el fin de que las personas se preocupen por su dinero y accedan a links falsos en los que supuestamente pueden arreglar el inconveniente.

Con esta información suministrada por los mismos usuarios, los delincuentes son capaces de acceder fácilmente a las cuentas y robar el dinero en ellas.

– Asuntos gubernamentales: Muchos gobiernos han optado por migrar al mundo digital, llevando actividades burocráticas, trámites o procesos jurídicos de forma virtual.

Con este tipo de procesos, los ciberdelincuentes engañan a los usuarios para compartir información personal o corporativa, que posteriormente puede ser usada en otros ciberataques mucho más sofisticados.

“Durante la pandemia vimos cómo aumentó el número de casos de phishing, llegando a más de 316 mil incidentes para el 2021, esto debido al teletrabajo, procesos de vacunación y control sanitario, temas que fueron aprovechados como fachada por los cibercriminales para crear formularios falsos a nombre de entidades del gobierno o de salud, con el fin de robar todo tipo de datos de los ciudadanos”, comenta David López Agudelo.

– Situaciones personales: Apelar a la vida de las personas, sus sentimientos y relaciones con seres queridos, ha sido una estrategia empleada por los delincuentes para engañar en momentos de angustia. Haciéndose pasar por familiares, suplantando sus identidades e inventando situaciones falsas, los cibercriminales buscan confundir a la víctima por medio de SMS (phishing) o llamadas (vishing) para lograr sus objetivos.

– Redes sociales: Esta es una masiva fuente de información que contiene datos de usuarios, relaciones personales y laborales, y hasta información sobre gustos o intereses particulares.

Esto atrae la atención de ciberdelincuentes que pueden acceder fácilmente a información usada para crear estrategias ingeniería social o phishing mucho más creíbles.

También, suelen ser una forma de robar las credenciales al reportar fallos en sus cuentas de correo u otro tipo de aplicaciones, dándole acceso a bandejas de entrada con diversa información personal y hasta corporativa, aprovechable para ejecutar ataques a gran escala.

• Protocolos de Seguridad en Fábricas de Productos Químicos: Guía Completa para un Entorno Laboral Seguro
• Soluciones Tecnológicas Innovadoras para Mejorar la Seguridad en Plantas Industriales
• Protección Avanzada contra Incendios en Instalaciones Industriales: Estrategias y Tecnologías Innovadoras para la Seguridad
• Guía Completa para la Prevención de Accidentes por Sustancias Químicas en Fábricas: Estrategias y Mejores Prácticas
• Blindaje de Vehículos: La Solución Definitiva para el Transporte Seguro de Bienes

“Este tipo de incidentes han prendido las alarmas en las empresas, ya que, por medio de sus empleados, colaboradores o hasta clientes, los ciberdelincuentes pueden llegar a acceder a sus sistemas con las credenciales robadas y realizar ataques mucho más profundos. Los mecanismos anticuados de autenticación y protección como las VPN pueden ser fácilmente vulnerados, por lo que las soluciones con perímetros definidos por software (SDP), como Appgate SDP, han resultado ser las más efectivas, pues limitan el acceso y movimientos de cada una de las conexiones, dispositivos y usuarios dentro de la red”, concluye David López Agudelo.