34 DOSSIER Harvard Deusto Márketing y Ventas

Ingeniería social:
cuando las personas son
la mayor amenaza

La práctica de obtener información confidencial a través de la
manipulación de usuarios legítimos se conoce como “ingeniería social”,
y en ella cualquier treta es válida para lograr que la “víctima” tienda al
atacante un puente hacia sus datos. Como profesionales del márketing,
nos interesa dar respuesta a una serie de preguntas: ¿cuáles son las
últimas técnicas de ingeniería social y hasta dónde llegan los métodos
utilizados por los delincuentes? ¿De qué fases consta un ataque de
ingeniería social y qué consecuencias puede tener para nuestro negocio?
M
José Antonio Rubio
Director del Programa Superior de Ciberseguridad
en ICEMD-Instituto de la Economía Digital de ESIC
uchos sistemas in-
formáticos adole-
cen de brechas de
seguridad que los
atacantes pueden
hacer públicas o
explotarlas para
su propio benefi-
cio. En uno u otro caso, los ciberdelincuentes
necesitan invertir una cantidad considerable
de tiempo para poder atacar con éxito su obje-
tivo. Por tanto, ¿por qué no plantearse atacar
algo más sencillo, por ejemplo, la “tecnología
humana”? Dicho de otro modo, ¿para qué in-
vertir esfuerzos desmedidos en atacar a la tec-
nología si detrás de los sistemas hay personas
que pueden ser engañadas de forma aún más
fácil? Y esto es lo que ha sucedido en los últimos
años, ya que la llamada “ingeniería social” ha
ganado fuerza entre los hackers gracias al cre-
cimiento de las redes sociales, los correos elec-
DOSSIER 35
trónicos y demás formas de comunicación on-
line. La ingeniería social, o human hacking, es
una técnica de “hackeo” utilizada para sustraer
información (contraseñas, cuentas bancarias
o cualquier dato privado que pudiera ser de in-
terés) a otras personas teniendo como base la
interacción social, de tal manera que la persona
vulnerada no se dé cuenta de cómo o cuándo
dio todos los datos necesarios para terminar
siendo la víctima de un ataque informático.
La ingeniería social es tan vieja como el
mundo, y, por desgracia, se ha convertido en
uno de los métodos más efectivos para vulnerar
sistemas informáticos. En esta práctica se re-
curre, principalmente, a la manipulación de la
psicología humana mediante el engaño. Un
ingeniero social sabe qué botones pulsar para
conseguir que un usuario caiga en su trampa.
Se inventa un contexto o una historia total-
mente creíble que le permite controlar la inte-
racción con la víctima. Llegados a este ➤ ➤ ➤
36 DOSSIER Harvard Deusto Márketing y Ventas
➤ ➤ ➤ punto, quizá tendríamos que pregun-
tarnos qué es lo que lleva a que los seres huma-
nos seamos tan vulnerables ante el engaño.
Sería muy extenso, y complicado, exponer en
profundidad este tema, pero podemos abordar
algunos puntos al respecto de forma sucinta.
Uno de los ingenieros sociales más famosos de
los últimos tiempos, Kevin Mitnick, afirma que
la ingeniería social se sostiene en estos cuatro
principios:
• TEodos queremos ayudar.
• zal primer movimiento es siempre de confian-
hacia el otro.
• NAotodos
nos gusta decir “no”.
•  nos gusta que nos alaben.
Por tanto, y teniendo en cuenta estas condi-
ciones como punto de partida, ¿cómo podemos
protegernos ante un “lobo disfrazado de oveja”
La ingeniería social es
tan vieja como el mundo,
y, por desgracia, se ha
convertido en uno de los
métodos más efectivos
para vulnerar sistemas
informáticos
que está intentando obtener información ha-
ciéndonos preguntas y halagos bien dirigidos?
En el ámbito profesional también se dan, por
desgracia, situaciones de este tipo. Ejemplos
reales ocurridos en nuestro país podrían pare-
cer sacados de una película, pero la realidad
siempre supera a la ficción. Expongamos solo
uno: el caso en el que un atacante conocía la
reciente jubilación de una persona de cierto
departamento tras haberlo averiguado “hac-
keando” los correos electrónicos de varios de
sus compañeros. ¿Los siguientes pasos del ci-
berdelincuente? Enviar un correo electrónico
haciéndose pasar por la persona jubilada, ad-
juntando fotos y videos en los que se le veía es-
tar pasándoselo muy bien en su nueva etapa
vital. Sus antiguos compañeros no dudaron de
la veracidad de los documentos, por lo que ac-
cedieron a los archivos sin saber que, automá-
ticamente, sus equipos estaban quedando
comprometidos.
DEL ‘PHISHING’ AL ‘SCAM’
La efectividad del proceso de ataque reside en
cómo el hacker logra apropiarse de la información
recibida, algo que, en muchas ocasiones, como
en el ejemplo anterior, parece trivial. La inge-
niería social afecta a todos, pero los estafadores
la utilizan cada vez más para atacar a las gran-
des corporaciones y a las pymes: 2014 se des-
cribió como el año en que los cibercriminales
pasaron al sector empresarial. Perfiles falsos
de marcas como Zara en Facebook, promocio-
nes fraudulentas, mensajes directos a través de
Twitter o estafas masivas en WhatsApp, apro-
vecharse de las aplicaciones o juegos de moda…
Sin duda, el aumento en el uso de las redes so-
ciales con objetivos profesionales hace de ellas
elementos atractivos para la ingeniería social,
ya que proveen de mucha información al ciber-
delincuente. Pero ¿cuáles son las técnicas de
ingeniería social más empleadas?:
▶ ‘PHISHING’. Destaca por ser la más uti-
lizada. Consiste en suplantar la identidad de
una persona u organización para que se abran
archivos maliciosos, para que entren en una
website falsa o para que la víctima revele direc-
tamente información confidencial. Un e-mail
de phishing se puede enviar a millones de usua-
rios a la vez. Aunque solo caiga en sus redes un
grupo reducido de personas, los beneficios pa-
ra el atacante pueden ser enormes. Un ejemplo
 ciberseguridad, clave para un márketing excelente
sería el ya comentado del envío de falsos co-
rreos electrónicos.
▶ ‘VISHING’. Realizar llamadas telefónicas
encubiertas bajo encuestas con las que también
se podría sacar información personal de forma
que la víctima no sospeche.
▶ ‘BAITING’. El atacante carga unidades de
USB con malware y luego simplemente espera
que el usuario las conecte a su máquina.
▶ ‘QUID PRO QUO’. O “algo por algo”. El
atacante llama a números aleatorios en una
empresa, alegando estar llamando desde el so-
porte técnico. Esta persona informará a alguien
de un problema legítimo y se ofrecerá a ayudar-
le, pero durante el proceso conseguirá los datos
de acceso y lanzará un malware.
▶ ‘SCAM’. Sitio web modificado con fines
maliciosos, como el que se creó cuando se uti-
lizó la estética de la gira de los Rolling Stones
para establecer un sitio que prometía entradas
gratis a cambio de clics en Facebook.
Evidentemente, estas técnicas también pue-
den ser empleadas a través de los teléfonos mó-
viles, montando los hackers ataques similares
a los enviados vía correo electrónico. Y, por su-
puesto, aunque sobrepasa el ámbito de este ar-
tículo, la ingeniería social también es empleada
en política, estrategia militar, etc. En definitiva,
atacar al eslabón más débil de la cadena es una
estrategia óptima, sea cual sea el contexto en
el que nos encontremos.
CON SENTIDO COMÚN
Ante estas amenazas es primordial emplear el
sentido común, recelando de cualquier actividad
que nos parezca sospechosa o inusual. Esa es la
verdadera clave, más allá de cualquier solución
tecnológica. Independientemente de nuestro rol
profesional, somos los garantes de la información
que manejamos en nuestro ámbito profesional,
por lo que se requiere una mínima diligencia. Hay
un principio a seguir para detectar si somos po-
sibles víctimas de este tipo de ataques: cualquier
elemento que salga de la cotidianidad, o que nos
haga sospechar levemente, debe hacer que se ac-
tiven nuestras alarmas. En el ciberespacio no
debemos entrar en disquisiciones racionales; si
algo no nos cuadra, es muy probable que esconda
DOSSIER 37
Fases de un ataque
De forma general, podríamos indicar que las fases de las que consta un ataque de
ingeniería social son las siguientes:
1. Estudio de la víctima. El ciberdelincuente analiza los posibles puntos débiles
del colectivo o persona individual a atacar. Por ejemplo, personas de cierta edad o de
cierto rango social que, en períodos festivos, realizan compras de forma intensiva en
establecimientos online. U otras personas que, por su trabajo, están especialmente
interesadas en una información específica o que en ciertos períodos del año viajan
mucho más, etc.
2. Aproximación a la víctima. En Navidad, un atacante supondrá que muchas
personas se encuentran esperando recibir algún pedido vía empresas de mensajería.
Por tanto, si enviase correos falsos haciéndose pasar por alguna de las grandes em-
presas de ese sector, sería plausible suponer que un elevado porcentaje de usuarios
abriría dicho mensaje con la inocente intención de conocer el estado de su paquete.
3. Lanzamiento del ataque. Aunque, en la fase anterior, el ataque ya podría
tener éxito en su totalidad, hay ocasiones en las que se requiere elaborar la táctica
un poco más. En este caso hablamos, sobre todo, de ataques dirigidos a personas
específicas. Así, un ciberdelincuente podría ir construyendo una historia de relación
con el usuario, dando forma a un argumento sólido que haría pensar a la víctima que
dicha interacción es perfectamente normal.
a un atacante que, de alguna forma más o menos
sofisticada, está intentando acceder a nuestra
información. Por tanto, cualquier correo electró-
nico sospechoso, llamadas que nos exigen saltar-
nos algún procedimiento organizativo, etc. deben
ponernos en guardia.
Merece la pena ser precavidos y trasladar el
sentido común que se aplica en el ámbito físico
a este otro dominio de la realidad. En caso con-
trario, los efectos a sufrir, esto es, los impactos
en los negocios, pueden resultar muy graves:
hablamos principalmente de pérdida de infor-
mación confidencial, de pérdida económica y
de daños reputacionales. La pérdida de infor-
mación sensible tiene lugar al haber facilitado
la entrada del atacante a nuestros sistemas; por
ejemplo, abriendo un archivo malicioso, lo cual
puede generarnos impactos administrativos
negativos derivados del incumplimiento de nor-
mas legales. De igual modo, las estafas son fre-
cuentes al producirse transferencias bancarias
ilegítimas o extorsión derivada del robo de in-
formación. Y, qué duda cabe, todos estos esce-
narios confluyen en un impacto reputacional,
ya que la sociedad y el mercado perciben como
una falta de diligencia el que una organización “Ingeniería social: cuando
sea atacada con éxito a través de estos meca- las personas son la mayor
amenaza”. © Planeta
nismos. ■ DeAgostini Formación, S.L.