Ingeniería social: Hackear al ser humano

La ingeniería social no es nada nuevo. Mucho antes de que los ordenadores entraran en nuestras vidas, ya se estafaba a los seres humanos utilizando trucos psicológicos. Ya en 1947, se publicó un libro titulado«Circular ilustrada de embaucadores de confianza y delincuentes expertos«. Este libro era un «Quién es quién de los estafadores internacionales». Avancemos rápidamente hasta 2021, y las bandas de delincuentes internacionales adoptan un enfoque más digital para estafar a la gente dinero, datos y credenciales de acceso a empresas. Aunque puede haber décadas, incluso siglos, entre las campañas de estafa de los defraudadores, todas tienen algo en común: los estafadores de antes y de ahora utilizan la ingeniería social para conseguir lo que quieren.

Ingeniería social: Trucos del phishing

Basta un solo clic para acabar potencialmente con un dispositivo infectado. Esta infección puede propagarse como un reguero de pólvora por la red corporativa y por cualquier dispositivo conectado. La infección podría acabar costando a una empresa grandes sumas de dinero en tiempo de inactividad, pérdida de datos y reputación dañada.

La experiencia del clic único es a lo que aspiran tanto los profesionales del marketing como los ciberdelincuentes. Al crear una situación en la que la gente no tenga que pensar demasiado antes de actuar, podrá captar con más éxito a la audiencia.

Los profesionales del marketing quieren provocar una respuesta emocional a una campaña de marketing, implicando al individuo con un producto hasta el punto de que haga clic para obtener más información o, mejor aún, haga clic para comprar.

Los ciberdelincuentes también quieren obtener esa «respuesta instintiva», por lo que utilizan tácticas similares para conseguir que el humano haga clic.

Los delincuentes digitales tienen ventajas sobre sus equivalentes estafadores no digitales. El alcance, por ejemplo, es mayor, con un enfoque de «rociar y pagar» por parte de los ciberdelincuentes que utilizan campañas de phishing masivo para llegar a millones de objetivos. O los estafadores pueden volverse personales y utilizar el spear-phishing selectivo que se centra en un individuo.

Los ataques de suplantación de identidad se construyen en torno al comportamiento humano: lo que nos hace vibrar, nos hace hacer clic. Gran parte de esto se debe a la formación silenciosa que todos hemos recibido en el uso de Internet. Los diseñadores de páginas web y aplicaciones se centran en crear la «UX sin fisuras», es decir, una experiencia de usuario sencilla que se base en una interacción tecnología-humano sin fisuras. El resultado es que todos estamos acostumbrados a seguir ciertos patrones de comportamiento en el ámbito digital. Son estos patrones los que utilizan los ciberdelincuentes para engañarnos e inducirnos a hacer clic.

Cómo detectar las señales de la ingeniería social

Las técnicas utilizadas por los ciberdelincuentes para engañar al cerebro humano y conseguir que actúe sobre un desencadenante, son típicas de cómo desarrollamos normalmente las relaciones humanas:

Confianza: Utilizar una marca conocida como base de un correo electrónico de phishing permite al estafador utilizar la confianza para piratear a un humano. Entre las marcas más populares para las campañas de phishing masivo se incluyen Office 365, Facebook, Google y eBay. Sin embargo, las campañas más dirigidas pueden elegir una marca más afín a una empresa, por ejemplo, una aplicación web específica o un portal de un proveedor. Estas campañas pueden hacer que los correos electrónicos de phishing sean aún más difíciles de detectar y añaden un elemento extra de confianza al ataque si la marca falsificada está estrechamente relacionada y es muy reconocible para el objetivo. Incluso los proveedores de seguridad pueden ser víctimas de la suplantación de marcas en las campañas de phishing: Check Point Software, un proveedor de seguridad de confianza, vio utilizada su marca en un sitio web de phishing.

Curiosidad y urgencia: Son elementos típicos de una campaña de phishing. Los estafadores engañan a los usuarios para que cumplan sus órdenes haciéndoles creer que están tratando con una entidad de confianza y que la tarea es urgente. Un ejemplo de ello es una campaña de phishing de Office 365 de 2020. Los investigadores identificaron una campaña que comenzaba cuando un empleado recibía un correo electrónico que mostraba un «mensaje de voz perdido». Se pedía a los usuarios que hicieran clic en un botón para ir a su cuenta de Office 365 y acceder al mensaje perdido. El mensaje también mostraba una notificación de «Mensaje del servidor de confianza» en la parte superior del correo electrónico, para reforzar el elemento de «confianza». Si el usuario hacía clic en el botón e introducía sus credenciales en el sitio falso de Office 365, éstas serían robadas.

La voz persuasiva: La persuasión desempeña un papel fundamental en el éxito del phishing. Según las investigaciones sobre marketing de Cialdini, existen seis principios básicos que se utilizan para influir en el comportamiento de los clientes. Estos principios, junto con otras investigaciones similares sobre la persuasión y la influencia, fueron utilizados por un equipo de investigación que estudió cómo funciona la ingeniería social en el phishing. Los investigadores llegaron a cinco elementos clave de las campañas de phishing altamente persuasivas y, por tanto, exitosas:

1. Autoridad: Uso de un nombre con autoridad, por ejemplo, el director general de una empresa.
2. Prueba social: Construya una campaña que utilice la presión de grupo para fomentar el comportamiento
3. Simpatía, similitud, engaño: La persuasión exitosa funciona cuando las personas o los temas son familiares
4. Compromiso, reciprocidad y coherencia: A la gente le gusta ser coherente y le gusta creer lo que los demás dicen y hacen: devolver un favor, por ejemplo
5. Distracción: Creando una sensación de urgencia, por ejemplo, un artículo será más caro si no actúa ahora, un estafador puede distraer a una persona de los signos de una estafa.

Las emociones de la ingeniería social

Las respuestas emocionales son las que están profundamente arraigadas en todos nosotros. El uso de la persuasión y la manipulación emocional en las campañas de phishing fue explorado en un estudio de 2018 publicado por la Sociedad Americana de Psicología. Los investigadores analizaron «la excitación emocional como táctica de fraude». El estudio descubrió que personas de todas las edades respondían a mensajes de persuasión tanto positivos como negativos y tomaban malas decisiones al responder. El estudio afirma que «la excitación emocional puede influir en la susceptibilidad a la información engañosa y que este efecto se produce tanto en adultos mayores como en jóvenes«. Este comportamiento juega perfectamente a favor del estafador y los mensajes de phishing suelen contener un componente que provoca una respuesta emocional, como se ve en los ejemplos anteriores.

Cómo mantenerse a salvo de la ingeniería social

La ingeniería social es peligrosa porque utiliza nuestro comportamiento natural para conseguir que hagamos clic en un enlace malicioso o descarguemos un archivo adjunto infectado. Pero los estafadores del phishing también ajustan sus técnicas y herramientas para asegurarse un éxito continuado. Los patrones cambiantes del phishing, unidos a una sofisticada manipulación de los objetivos, hacen de este insidioso tipo de ciberdelincuencia uno de los más difíciles de abordar. No existe una solución única para evitar el éxito del phishing. En su lugar, se necesita una mezcla de formación sobre concienciación en materia de seguridad y soluciones técnicas para detectar e impedir un intento de phishing.