La ingeniería social no es nada nuevo. Mucho antes de que los ordenadores entraran en nuestras vidas, los seres humanos eran estafados utilizando trucos psicológicos. Ya en 1947 se publicó un libro titulado "Circular ilustrada de embaucadores de confianza y delincuentes expertos". Este libro era un "Quién es quién de los estafadores internacionales". Si avanzamos hasta 2021, las bandas criminales internacionales adoptan un enfoque más digital para estafar a la gente con dinero, datos y credenciales de acceso a empresas. Aunque pueden pasar décadas, incluso siglos, entre las campañas de estafa de los defraudadores, todas tienen algo en común: los defraudadores de antaño y los nuevos utilizan la ingeniería social para conseguir lo que quieren.
Ingeniería social: Trucos de la suplantación de identidad
Basta un solo clic para acabar potencialmente con un dispositivo infectado. Esta infección puede propagarse como un incendio a través de la red corporativa y cualquier dispositivo conectado. La infección puede acabar costando a la empresa grandes sumas de dinero en tiempo de inactividad, pérdida de datos y reputación dañada.
La experiencia de un solo clic es a lo que aspiran tanto los vendedores como los ciberdelincuentes. Al crear una situación en la que la gente no necesita pensar demasiado antes de actuar, se puede captar con más éxito a la audiencia.
Los profesionales del marketing quieren provocar una respuesta emocional a una campaña de marketing, atrayendo al individuo con un producto hasta el punto de que haga clic para obtener más información o, incluso mejor, haga clic para comprar.
Los ciberdelincuentes también quieren obtener esa "respuesta instintiva", por lo que utilizan tácticas similares para conseguir que el humano haga clic.
Los delincuentes digitales tienen ventajas sobre sus equivalentes no digitales. El alcance, por ejemplo, es más amplio, con un enfoque de "rociar y pagar" por parte de los ciberdelincuentes que utilizan campañas de phishing masivo para llegar a millones de objetivos. O los defraudadores pueden ser personales y utilizar el spear-phishing dirigido a un individuo.
Losataques de phishing se basan en el comportamiento humano: lo que nos hace vibrar, nos hace hacer clic. Gran parte de esto se debe a la formación silenciosa que todos hemos recibido en el uso de Internet. Los diseñadores de páginas web y aplicaciones se centran en crear una "experiencia de usuario sin fisuras", es decir, una experiencia de usuario fácil que se basa en una interacción tecnología-humano sin fisuras. El resultado es que todos estamos acostumbrados a seguir ciertos patrones de comportamiento en el ámbito digital. Son estos patrones los que los ciberdelincuentes utilizan para engañarnos y llevarnos a la acción del clic.
Cómo detectar las señales de la ingeniería social
Las técnicas utilizadas por los ciberdelincuentes para engañar al cerebro humano y hacer que actúe con un desencadenante, son típicas de cómo desarrollamos normalmente las relaciones humanas:
Confianza: Utilizar una marca conocida como base para un correo electrónico de phishing permite al estafador utilizar la confianza para hackear a un humano. Entre las marcas más populares para las campañas de phishing masivo se encuentran Office 365, Facebook, Google y eBay. Sin embargo, las campañas más específicas pueden elegir una marca más cercana a una empresa, por ejemplo, una aplicación web específica o un portal de proveedores. Estas campañas pueden hacer que los correos electrónicos de phishing sean aún más difíciles de detectar y añaden un elemento adicional de confianza al ataque si la marca falsificada está estrechamente relacionada y es muy reconocible para el objetivo. Incluso los proveedores de seguridad pueden ser víctimas de la suplantación de marcas en las campañas de phishing: Check Point Software, un proveedor de seguridad de confianza, ha utilizado su marca en un sitio web de phishing.
Curiosidad y urgencia: Son elementos típicos de una campaña de phishing. Los estafadores engañan a los usuarios para que hagan su oferta haciéndoles creer que están tratando con una entidad de confianza y que la tarea es urgente. Un ejemplo de esto es una campaña de phishing de Office 365 de 2020. Los investigadores identificaron una campaña que comenzaba con un empleado que recibía un correo electrónico que mostraba un "mensaje de voz perdido". Se pedía a los usuarios que hicieran clic en un botón para ir a su cuenta de Office 365 y acceder al mensaje perdido. El mensaje también mostraba una notificación de "Mensaje del servidor de confianza" en la parte superior del correo electrónico, para reforzar el elemento de "confianza". Si el usuario hacía clic en el botón e introducía las credenciales en el sitio falso de Office 365, esas credenciales serían robadas.
La voz persuasiva: La persuasión juega un papel importante en el éxito del phishing. Según las investigaciones de Cialdini sobre el marketing, hay seis principios básicos que se utilizan para influir en el comportamiento de los clientes. Estos principios, junto con otras investigaciones similares sobre la persuasión y la influencia, fueron utilizados por un equipo de investigación que estudió cómo funciona la ingeniería social en el phishing. Los investigadores han encontrado cinco elementos clave de las campañas de phishing altamente persuasivas y, por tanto, exitosas:
- Autoridad: Uso de un nombre con autoridad, por ejemplo, el del director general de una empresa
- Prueba social: Crear una campaña que utilice la presión de los compañeros para fomentar el comportamiento
- Gustos, similitudes, engaños: La persuasión tiene éxito cuando las personas o los temas son familiares
- Compromiso, reciprocidad y coherencia: A la gente le gusta ser coherente y le gusta creer lo que otros dicen y hacen: devolver un favor, por ejemplo
- Distracción: Al crear una sensación de urgencia, por ejemplo, un artículo será más caro si no se actúa ahora, un estafador puede distraer a una persona de los signos de una estafa.
Las emociones de la ingeniería social
Las respuestas emocionales son las que están profundamente arraigadas en todos nosotros. El uso de la persuasión y la manipulación emocional en las campañas de phishing fue explorado en un estudio de 2018 publicado por la Sociedad Americana de Psicología. Los investigadores analizaron la "excitación emocional como táctica de fraude". El estudio descubrió que personas de todas las edades respondieron a mensajes de persuasión tanto positivos como negativos y tomaron malas decisiones al responder. El estudio afirma que "la excitación emocionalpuede influir en la susceptibilidad a la información engañosa y que este efecto se produce tanto en adultos mayores como en jóvenes". Este comportamiento juega a favor del estafador y los mensajes de phishing suelen contener un componente que provoca una respuesta emocional, como se ve en los ejemplos anteriores.
Cómo mantenerse a salvo de la ingeniería social
La ingeniería social es peligrosa porque utiliza nuestro comportamiento natural para conseguir que hagamos clic en un enlace malicioso o descarguemos un archivo adjunto infectado. Pero los defraudadores del phishing también ajustan las técnicas y herramientas para asegurarse un éxito continuado. Los patrones cambiantes del phishing, junto con una sofisticada manipulación de los objetivos, hacen de este insidioso tipo de ciberdelincuencia uno de los más difíciles de abordar. No existe una solución única para evitar el éxito del phishing. En su lugar, se necesita una combinación de formación en materia de concienciación de seguridad y soluciones técnicas para detectar y prevenir un intento de phishing.
