Ingeniería social (seguridad)

El pretexto, también conocido en el Reino Unido como engaño, ^{[ 14 ]} es el acto de crear y utilizar un escenario inventado (el pretexto ) para involucrar a una víctima específica de manera que aumente la probabilidad de que esta revele información o realice acciones que serían improbables en circunstancias normales. ^{[ 15 ]} Una mentira elaborada , que generalmente implica alguna investigación o preparación previa y el uso de esta información para la suplantación de identidad ( por ejemplo , fecha de nacimiento, número de la Seguridad Social , importe de la última factura) para establecer legitimidad en la mente de la víctima. ^{[ 16 ]}

El ataque de "water holing" es una estrategia de ingeniería social dirigida que se aprovecha de la confianza que los usuarios depositan en los sitios web que visitan con frecuencia. La víctima se siente segura para realizar acciones que no haría en otra situación. Por ejemplo, una persona cautelosa podría evitar deliberadamente hacer clic en un enlace de un correo electrónico no solicitado, pero no dudaría en seguir un enlace en un sitio web que visita a menudo. Así, el atacante prepara una trampa para la presa desprevenida en un "water holing" predilecto. Esta estrategia se ha utilizado con éxito para obtener acceso a algunos sistemas (supuestamente) muy seguros. ^{[ 17 ]}

El engaño es una forma de troyano en el mundo real que utiliza soportes físicos y se basa en la curiosidad o la codicia de la víctima. ^{[ 18 ]} En este ataque , los atacantes dejan disquetes , CD-ROM o unidades flash USB infectados con malware en lugares donde la gente los encontrará (baños, ascensores, aceras, estacionamientos, etc.), les dan etiquetas legítimas que despiertan la curiosidad y esperan a las víctimas.

A menos que los controles informáticos bloqueen las infecciones, la inserción compromete los medios de "ejecución automática" de las PC. También se pueden usar dispositivos maliciosos. ^{[ 19 ]} Por ejemplo, a un "ganador afortunado" se le envía un reproductor de audio digital gratuito que compromete cualquier computadora a la que se conecte. Una "manzana de camino" (el término coloquial para estiércol de caballo , que sugiere la naturaleza indeseable del dispositivo) es cualquier medio extraíble con software malicioso que se deja en lugares oportunistas o visibles. Puede ser un CD, DVD o una unidad flash USB , entre otros medios. Las personas curiosas lo toman y lo conectan a una computadora, infectando el host y cualquier red conectada. Nuevamente, los hackers pueden darles etiquetas atractivas, como "Salarios de empleados" o "Confidencial". ^{[ 20 ]}

Un estudio publicado en 2016 consistió en que los investigadores arrojaran 297 unidades USB por el campus de la Universidad de Illinois. Estas unidades contenían archivos con enlaces a páginas web propiedad de los investigadores. Estos pudieron observar cuántas unidades tenían archivos abiertos, pero no cuántas se insertaron en un ordenador sin tener ningún archivo abierto. De las 297 unidades arrojadas, 290 (98 %) fueron recogidas y 135 (45 %) se conectaron a su destino. ^{[ 21 ]}

El phishing publicitario es una técnica de ingeniería social en la que actores maliciosos utilizan anuncios en línea para engañar a los usuarios y hacerles creer que están interactuando con marcas o servicios legítimos. Según Google, estos anuncios engañosos suelen imitar a entidades de confianza como bancos, proveedores de software o páginas de atención al cliente, lo que lleva a los usuarios a sitios fraudulentos que intentan robar contraseñas, información de tarjetas de crédito u otros datos confidenciales. ^{[ 22 ]}

Un atacante ofrece proporcionar información confidencial (por ejemplo, credenciales de inicio de sesión) o pagar una suma de dinero a cambio de un favor. El atacante puede hacerse pasar por un experto que ofrece ayuda informática gratuita, para lo cual necesita las credenciales de inicio de sesión del usuario. ^{[ 23 ]}

La víctima es bombardeada con múltiples mensajes sobre falsas amenazas y alertas, haciéndole creer que el sistema está infectado con malware. De esta forma, los atacantes la obligan a instalar software de acceso remoto u otro software malicioso, o bien la extorsionan directamente exigiendo un rescate, como por ejemplo, ofreciéndole enviar una cantidad determinada de dinero en criptomonedas a cambio de la seguridad de vídeos confidenciales que, según afirma, posee el delincuente. ^{[ 23 ]}

Un atacante se hace pasar por un empleado de la empresa u otra persona con derechos de acceso para entrar en una oficina u otra zona restringida. Se utilizan activamente técnicas de engaño e ingeniería social. Por ejemplo, el intruso se hace pasar por un mensajero o cargador que lleva algo en las manos y le pide a un empleado que está afuera que le abra la puerta, logrando así acceder al edificio. ^{[ 23 ]}

Kevin Mitnick , Susan Headley y Lewis De Payne participaron en actividades de phreaking y piratería informática que implicaban ingeniería social en Los Ángeles a finales de la década de 1970 y principios de la de 1980. ^{[ 28 ] [ 29 ]}

Los hermanos Badir , Ramy, Muzher y Shadde Badir —todos ciegos de nacimiento— establecieron un extenso esquema de fraude telefónico e informático en Israel en la década de 1990 utilizando ingeniería social, suplantación de voz y computadoras con pantalla Braille . ^{[ 30 ] [ 31 ]}

En 2011, unos hackers irrumpieron en la empresa de criptografía RSA  y obtuvieron información sobre los llaveros de autenticación de dos factores SecurID . Utilizando estos datos, los hackers intentaron posteriormente infiltrarse en la red del contratista de defensa Lockheed Martin . Los hackers accedieron a los datos de los llaveros enviando correos electrónicos a cuatro empleados de la empresa matriz desde un supuesto sitio web de reclutamiento. Los correos electrónicos contenían un archivo adjunto de Excel titulado "Plan de reclutamiento 2011". La hoja de cálculo contenía un exploit de día cero para Flash que proporcionaba acceso no autorizado a los ordenadores de trabajo. ^{[ 32 ] [ 33 ]}

En 2013, un servidor del Departamento de Trabajo de EE. UU. fue pirateado y utilizado para alojar malware y redirigir a algunos visitantes a un sitio que aprovechaba una vulnerabilidad de día cero en Internet Explorer para instalar un troyano de acceso remoto llamado Poison Ivy . Se utilizaron ataques de tipo "watering hole", en los que los atacantes crearon páginas relacionadas con sustancias nucleares tóxicas supervisadas por el Departamento de Energía . Es probable que las víctimas fueran empleados del Departamento de Trabajo y del Departamento de Energía con acceso a datos nucleares confidenciales. ^{[ 32 ] [ 34 ]}

El 24 de noviembre de 2014 , el grupo de hackers " Guardianes de la Paz " ^{[ 35 ]} (probablemente vinculado a Corea del Norte ) ^{[ 36 ]} filtró datos confidenciales del estudio cinematográfico Sony Pictures Entertainment . Los datos incluían correos electrónicos, salarios de ejecutivos e información personal y familiar de los empleados. Los ciberdelincuentes se hicieron pasar por altos cargos para instalar malware en los ordenadores de los trabajadores. ^{[ 37 ]}

En 2015, Ubiquiti, fabricante de hardware y software Wi-Fi especializado , perdió casi 47 millones de dólares a manos de piratas informáticos. Los atacantes enviaron un correo electrónico de phishing al departamento de contabilidad de Ubiquiti desde una sucursal en Hong Kong con instrucciones para modificar los datos de la cuenta de pago. Tras descubrir el robo, la empresa comenzó a cooperar con las autoridades, pero solo logró recuperar 8 millones de dólares, aunque esperaban recuperar 15 millones. ^{[ 32 ] [ 38 ]}

Durante las elecciones estadounidenses de 2016 , piratas informáticos asociados con la Inteligencia Militar Rusa (GRU) enviaron correos electrónicos de phishing dirigidos a miembros de la campaña de Hillary Clinton , disfrazados de alertas de Google. ^{[ 39 ]} Muchos miembros, incluido el presidente de la campaña, John Podesta , habían ingresado sus contraseñas pensando que se restablecerían, lo que provocó la filtración de su información personal y miles de correos electrónicos y documentos privados. ^{[ 40 ]} Con esta información, piratearon otras computadoras del Comité de Campaña Demócrata del Congreso , implantándoles malware, lo que permitió monitorear y filtrar sus actividades informáticas. ^{[ 40 ]}

Tras la filtración de datos de Equifax en 2017, vinculada al Ejército Popular de Liberación de China ^{[ 41 ],} en la que se filtraron más de 150 millones de registros privados (incluidos números de la Seguridad Social , números de licencia de conducir , fechas de nacimiento, etc.), se emitieron advertencias sobre los peligros de los riesgos de seguridad inminentes. ^{[ 42 ]} Al día siguiente de la creación de un sitio web de ayuda legítimo (equifaxsecurity2017.com) dedicado a las personas potencialmente afectadas por la filtración, se registraron 194 dominios maliciosos a partir de pequeñas variaciones de la URL, aprovechando la probabilidad de que las personas cometieran errores tipográficos. ^{[ 43 ] [ 44 ]}

Dos gigantes tecnológicos —Google y Facebook— fueron víctimas de una estafa de phishing por valor de 100 millones de dólares perpetrada por un estafador lituano en 2017. ^{[ 45 ]} El estafador se hizo pasar por un proveedor de hardware para facturar falsamente a ambas compañías durante dos años. ^{[ 46 ]} A pesar de su sofisticación tecnológica, las compañías perdieron el dinero, aunque posteriormente lograron recuperar la mayor parte de los fondos robados. ^{[ 47 ]}