MetaBlog

Manténgase informado sobre los temas de formación en materia de concienciación cibernética y mitigue el riesgo en su organización.

El trabajo en la cola: Una amenaza cibernética

Tailgating

sobre el autor

Compartir en linkedin
Compartir en twitter
Compartir en facebook

Frank Abagnale fue uno de los hackers más infames del mundo. Sus actividades delictivas se hicieron famosas en la película sobre su vida, "Atrápame si puedes". Frank realizó gran parte de sus actividades de hacking en los años 60. Utilizaba técnicas de ingeniería social de baja tecnología, como el "Tailgating", para hacerse pasar por un médico y un piloto y facilitar así varias estafas financieras. Durante sus estafas, Frank utilizaba identidades falsas para falsificar cheques y cobrarlos. Frank robó grandes sumas de dinero y acabó siendo condenado a 12 años de prisión por fraude. Hace tiempo que Frank dejó su vida delictiva para asesorar sobre cómo prevenir la ciberdelincuencia.

Frank utilizó la ingeniería social para cometer fraudes manipulando situaciones y personas. Estos métodos de ataque se centran normalmente en los puntos débiles del comportamiento humano, explotándolos para iniciar ciberataques que incluyen daños criminales, robo de inventario, infección de ransomware, Business Email Compromise (BEC) y exposición de datos. El término "ingeniería" desmiente la naturaleza a menudo sutil y de baja tecnología de muchos problemas de ingeniería social. A continuación, se presenta la táctica de hacking de baja tecnología conocida como "Tailgating".

¿Qué es el "tailgating" en el contexto de una ciberamenaza?

Los titulares de las noticias están llenos de violaciones masivas de datos, y los analistas de seguridad nos explican los hackeos, a menudo complejos, que se producen. Sin embargo, no todos los hacks son digitales; muchos se logran utilizando tácticas de baja tecnología. Pero incluso estos ataques de baja tecnología pueden dar lugar a importantes violaciones y robos.

El Tailgating, a veces conocido como "Piggbacking" es una forma de ingeniería social de baja tecnología que es un ataque físico, más que digital. Sin embargo, este ataque físico puede conducir a un ciberataque digital.

Un ejemplo típico de tailgating es el de un estafador que se abre paso en un edificio corporativo haciéndose pasar por un visitante legítimo o un repartidor o similar. Colin Greenless, un consultor de Siemens Enterprise Communications, demostró en 2009 lo fácil que era el tailgating y lo perjudicial que podía ser. Greenless consiguió entrar sin autorización en el edificio de una institución financiera que cotiza en el FTSE 100 y, en 20 minutos, encontró un documento de fusiones y adquisiciones muy sensible a la vista de todos en un escritorio.

La psicología de las fiestas de cola

El acto de "tailgating" se aprovecha del comportamiento humano y de las situaciones. El tailgating es una táctica de ingeniería social in situ, es decir, el tailgater debe estar físicamente en el entorno que desea explotar. Esto hace que entren en juego otros factores importantes para el éxito del tailgating, a saber, el pretexto.

El pretexto es probablemente tan antiguo como la sociedad humana. Es el acto de presentarse como otra persona para obtener información sensible o importante de otro individuo o grupo, algo así como Frank Abagnale. En el acto de seguir, el delincuente suele adoptar una forma de identidad que hace que el objetivo esté más abierto a revelar información o a realizar un acto (como abrir una puerta). El pretexto requiere una investigación sobre el objetivo. También se basa en la noción de confianza: ¿qué requisitos previos ayudan a construir una persona de confianza para que cualquier escenario de ingeniería social tenga más éxito? Por ejemplo, si el ingeniero social desea seguir a una empresa objetivo, puede dedicar tiempo a observar el tipo de visitantes que acuden al edificio de la organización; por ejemplo, si hay una hora específica en la que se realizan las entregas. Esta recopilación de información permite al estafador construir una persona de confianza que puede utilizar para manipular e influir en los empleados para que les permitan entrar en un edificio o sala normalmente seguros.

Los daños de la cola

El "tailgating" no es sólo un caso de alguien que se hace el tonto y entra en un edificio por una broma. El tailgating conlleva una intención maliciosa, y sus autores realizan este acto para causar daños a la propiedad, robar información y bienes, e incluso poner en riesgo la vida del personal. En una encuesta reciente de Boon Edam, el 71% de los encuestados se sintió en riesgo de sufrir una violación física debido al tailgating.

El "tailgating" se presenta en cualquier forma que funcione y los que lo llevan a cabo pueden ser ex empleados o desconocidos.

Ex-empleados: Según las investigaciones, el 80% de las reclamaciones de ciber-responsabilidad provienen de la negligencia de los empleados, incluidos los empleados deshonestos. Estos exempleados suelen estar descontentos, buscan venganza y dañar la propiedad, y roban información de la empresa y datos sensibles para llevar a cabo esta venganza.

Peligro de extrañeza: La cortesía puede conducir a robos de datos e infecciones de malware: durante el ejercicio de Colin Greenless, 17 empleados, a petición de Colin, le dieron sus contraseñas. Los estafadores suelen planificar su ataque con mucha antelación. Saben a quién dirigirse, y además de las contraseñas, las tarjetas de acceso estarán en su lista de imprescindibles. Ser amable con un desconocido puede conducir a cuentas comprometidas, datos robados e incluso a la infección por malware.

Cómo dejar de ir a la cola

Una política de seguridad es un primer paso importante en el desarrollo de métodos para detener los eventos de tailgating. La política debe reflejar los métodos de tailgating y cómo detener al tailgater en su camino. Para detener el tailgating, antes de que se introduzca en la piel de su organización, observe las siguientes áreas:

Fundamentos

Enseñe a los empleados qué es el tailgating, cómo se produce y las consecuencias. Esto debería formar parte de un programa continuo de formación sobre concienciación en materia de seguridad. Los programas de concienciación sobre seguridad deben cubrir todos los aspectos de las ciberamenazas, tanto digitales como físicas.

Vigilancia

Fomente la actitud vigilante de los empleados. Cualquier persona que parezca sospechosa debe ser retada a presentar sus credenciales. Mejor aún, establezca un proceso para que los empleados puedan informar a un miembro del equipo de seguridad pertinente o a un gerente sobre sus sospechas.

Conciencia medioambiental

Formar a los empleados sobre las acciones de los "tailgater", como el intento de colarse en zonas restringidas cuando una persona autorizada entra en el espacio. Asegúrese de que los empleados sepan que el tailgating implica trucos de confianza que se utilizan para generar confianza.

Asertividad

Ser educado es importante, pero ser asertivo puede ayudar a prevenir una infracción grave en la empresa. Hay que enseñar a los empleados los trucos del oficio de los colados y cómo estos delincuentes utilizan el miedo a parecer descortés para burlar la seguridad.

Cerrando la puerta a los "tailgates

Colin Greenless era un hacker de sombrero blanco, y sus escapadas se hicieron transparentes para ayudar a prevenir el tailgating. Sin embargo, el tailgating sigue siendo un hecho habitual. Un ejemplo más reciente es el de una mujer que pudo acceder a una zona restringida del complejo turístico de Trump en Mar-a-Lago, llevando consigo cuatro dispositivos móviles, un ordenador portátil, un disco duro externo y una memoria USB con malware. Incluso con los niveles de seguridad presidenciales establecidos, la mujer pudo burlar la seguridad fingiendo no entender las preguntas del personal de seguridad, y el resultado fue que "el personal de seguridad culpó a una barrera lingüística y la admitió".

Las personas que pretenden perjudicar a una organización y/o cometer un fraude se esforzarán por engañar a los empleados. Rasgos humanos como la cortesía o la falta de vigilancia, o simplemente estar distraído por el trabajo, pueden llevar a individuos nefastos a entrar en una organización con intenciones maliciosas. Hay que concienciar a los empleados de los peligros de lo que puede parecer inofensivo, como que alguien entre en una oficina que quizá no debería estar allí. La formación en materia de seguridad cerrará la puerta a la entrada a hurtadillas y proporcionará a los empleados los conocimientos necesarios para hacer frente a este insidioso problema.

quizás le guste leer esto