La ingeniería social puede parecer una titulación en Ciencias Políticas o una especialización en gestión de redes sociales. Sin embargo, la realidad de la ingeniería social es mucho más siniestra.
La ingeniería social es un ciberataque que recurre a la manipulación psicológica para convencer a las personas de que revelen información confidencial o concedan acceso no autorizado.
A medida que se han ampliado las superficies de ataque de las organizacione es (se abre en una nueva pestaña) — debido al aumento del teletrabajo y a la expansión de los servicios en la nube y los canales de comunicación digitales —, también han aumentado las oportunidades para los ataques de ingeniería social. Una vez dentro, un atacante se hace pasar por un usuario legítimo y se mueve libremente por su red, sondeando su seguridad, instalando puertas traseras, espiando sus comunicaciones y robando sus datos confidenciales.
Además, estos ataques suponen cada año un coste cada vez mayor para las víctimas. Por ejemplo, las denuncias relacionadas con el suplantación de identidad en el correo electrónico empresarial (BEC, por sus siglas en inglés) —una forma habitual de ingeniería social— se incluyeron por primera vez en el informe « » (2014 ) del Centro de Denuncias de Delitos en Internet del FBI (IC3), titulado « » (se abre en una nueva pestaña); sin embargo, tal y como señala el informe, este tipo de estafa podría haber comenzado a aparecer ya en 2010. Desde que el IC3 comenzó a calcular las pérdidas causadas por las estafas BEC en 2014 (226 millones de dólares), el coste ha aumentado casi un 13x.
En esta guía exhaustiva, definiremos el concepto de ingeniería social, analizaremos las técnicas que suelen emplear los autores de amenazas, examinaremos ejemplos reales de ataques de ingeniería social que han tenido éxito y ofreceremos estrategias para proteger a su organización.
Definición simplificada de ingeniería social
A diferencia de otras amenazas de ciberseguridad que se aprovechan de vulnerabilidades técnicas, la ingeniería social se dirige a las personas, lo que la convierte en una amenaza especialmente insidiosa y eficaz, ya que las reacciones humanas son impredecibles.
En los ataques de ingeniería social, los ciberdelincuentes se aprovechan de los miedos y las emociones de sus víctimas. Entre las señales de alerta más habituales de este tipo de ataque se incluyen:
- El dominio del remitente imita el de una marca oficial —lo que también se conoce como «spoofing»— con la esperanza de que las víctimas pasen por alto pequeñas anomalías en la dirección de correo electrónico del remitente.
- Los atacantes pueden utilizar cuentas de correo electrónico comprometidas para enviar spam y solicitudes inusuales a los contactos de la víctima, lo que significa que los ataques de ingeniería social suelen parecer legítimos.
- Los estafadores pueden prometer recompensas que parecen demasiado buenas para ser verdad o solicitar datos personales
¿Por qué constituye la ingeniería social una amenaza significativa para la ciberseguridad?
Incluso con las medidas de seguridad más sólidas, basta con que un solo empleado caiga en una trampa de ingeniería social para poner en peligro a toda su organización. Una vez dentro, el atacante puede desplazarse lateralmente (se abre en una nueva pestaña), explorando de forma sigilosa su infraestructura para encontrar vulnerabilidades de seguridad e identificar activos y datos críticos que puedan ser robados o aprovechados.
Pueden instalar puertas traseras y otro software malicioso que les permita entrar y salir a su antojo, sustrayendo datos (lo que conlleva multas, acciones legales y pérdida de confianza) y destruyendo archivos (y su reputación).
Como último asalto, volverán a colarse a través de las puertas traseras que ellos mismos han instalado y utilizarán su infraestructura para distribuir malware, enviar correos electrónicos de phishing o llevar a cabo ataques de denegación de servicio, todo ello haciendo que parezca que la culpa es de su organización.
¿Cuál es el coste de un ataque de ingeniería social?
El coste económico de los ataques de ingeniería social puede ser astronómico. En 2023, el Informe sobre investigaciones de filtraciones de datos (DBIR) de y Verizon (se abre en una nueva pestaña) reveló que el 17 % de las filtraciones de datos en EE. UU. y el 10 % de los incidentes cibernéticos se debieron a la ingeniería social.
Pero ese no es el coste total; habrá daños intangibles y duraderos que resultan difíciles de cuantificar, entre los que se incluyen:
- Los clientes, socios e inversores perderán la confianza, lo que provocará una disminución del volumen de negocio y del valor de la marca
- Las multas, las sanciones, las notificaciones de incumplimiento y las posibles demandas judiciales pueden acarrear importantes cargas económicas y jurídicas.
- Las paradas para llevar a cabo investigaciones y medidas correctoras pueden afectar de manera significativa a la productividad y a la continuidad del negocio.
- La pérdida de secretos comerciales e información confidencial puede mermar la ventaja competitiva en el mercado
No obstante, la inversión en prevención, detección y respuesta eficaz ante estas amenazas puede minimizar las consecuencias a largo plazo de un ataque que tenga éxito.
Tipos habituales de ataques de ingeniería social
Los autores de ataques de ingeniería social emplean diversas tácticas para aprovecharse de las vulnerabilidades humanas. Pueden utilizarse de forma independiente o combinarse estratégicamente para maximizar su eficacia. El malware y el ransomware suelen combinarse con técnicas de ingeniería social para lanzar ciberataques e instalar software malicioso, lo que puede provocar importantes trastornos en la actividad empresarial, pérdidas económicas y daños a la reputación.
A continuación se enumeran diez de las técnicas de ingeniería social más habituales:
- El «baiting»
El «baiting» se aprovecha de la curiosidad humana y de nuestro deseo de obtener cosas gratis, engañando a las víctimas para que revelen información confidencial (por ejemplo, números de la Seguridad Social, fecha de nacimiento, etc.) o instalen malware a través de memorias USB infectadas, contenido gratuito falso o sitios web de phishing. - Suplantación de identidad en el correo electrónico empresarial (se abre en una nueva pestaña)
Las estafas de BEC suelen suplantar la identidad de ejecutivos para crear una sensación de urgencia y establecer autoridad. También pueden engañar a la víctima para que transfiera fondos a la cuenta del atacante o revele información confidencial. - Ataques de phishing (se abre en una nueva pestaña)
Las campañas de phishing, los sitios web o los mensajes instantáneos que se hacen pasar por organizaciones legítimas, como bancos u organismos públicos, engañan a las víctimas para que revelen información como números de tarjetas de crédito o de cuentas bancarias. - Suplantación de identidad
Los atacantes pueden hacerse pasar por figuras de autoridad, como agentes de las fuerzas del orden, funcionarios de Hacienda o personal de soporte informático, para convencer a las víctimas de que revelen información confidencial. - Quid pro quo
Los ataques de tipo «quid pro quo» se aprovechan de nuestra tendencia humana a corresponder a los favores y a confiar en las figuras de autoridad. Los atacantes pueden ofrecer servicios o regalos a cambio de credenciales de acceso o datos personales. - Smishing
El smishing (phishing por SMS) utiliza mensajes de texto. Es eficaz porque la gente confía más en los SMS que en el correo electrónico, y los dispositivos móviles suelen contar con menos medidas de seguridad que los ordenadores. - Spear phishing
El spear phishing es una forma de phishing muy específica que se centra en personas u organizaciones concretas. Los atacantes investigan a sus víctimas para elaborar mensajes convincentes, que resultan difíciles de detectar porque carecen de las señales de alerta evidentes propias de las estafas de phishing genéricas. - «Tailgating» / «piggybacking»
Los ataques de «tailgating» y «piggybacking» consisten en seguir físicamente a una persona autorizada para acceder a una zona restringida. Este tipo de ataque presencial se aprovecha de nuestra tendencia a ser serviciales y se basa en nuestra suposición de que una persona que se encuentra en una zona autorizada debe estar allí. - Vishing (se abre en una nueva pestaña)
Los autores de ataques de vishing (phishing por voz) se ganan la credibilidad y la confianza haciéndose pasar por representantes de organizaciones legítimas. Recurren a llamadas telefónicas o mensajes de voz y se valen en gran medida de la urgencia y el miedo para incitar a las víctimas a revelar rápidamente información confidencial o a poner en peligro la seguridad. - Ataques de tipo «watering hole»
En los ataques de tipo «watering hole», el atacante compromete un sitio web que visita con frecuencia un grupo específico (por ejemplo, empleados de una empresa, miembros de un sector, etc.), infectándolo con malware o scripts maliciosos que se aprovechan de la confianza que las víctimas depositan en dicho sitio.
Ejemplos reales de ataques de ingeniería social
BEC: Nigeria — Carolina del Norte — Texas (se abre en una nueva pestaña)
Dos estafadores nigerianos utilizaron una estafa de tipo BEC para intentar cometer un fraude de 5 millones de dólares a universidades y empresas de Carolina del Norte y Texas. Tras enterarse de que los proyectos de construcción de la universidad estaban gestionados por una única gran empresa, registraron un dominio similar. Mediante una dirección de correo electrónico falsificada, convencieron a empleados de una universidad de Carolina del Norte para que transfirieran más de 1.9 millones de dólares a una cuenta bancaria fraudulenta. Utilizaron los mismos métodos para intentar sustraer más de 3 millones de dólares en Texas.
Los cómplices se enfrentan ahora a largas penas de prisión y deben pagar una indemnización y una indemnización económica. Sin embargo, la indemnización será lenta —si es que llega a producirse— y nunca podrá cubrir el coste total de los daños.
Phishing — Minnesota (se abre en una nueva pestaña)
En Cottage Grove (Minnesota), los responsables municipales fueron víctimas de una estafa de phishing que ha supuesto un coste para los contribuyentes de más de 1.2 millones de dólares. La ciudad tenía un contrato de 3.5 millones de dólares con Geislinger & Sons para un proyecto de tratamiento de aguas residuales.
Mediante un dominio de correo electrónico falso, los estafadores convencieron a los administradores para que transfirieran fondos a una cuenta bancaria fraudulenta. La estafa salió a la luz después de que la empresa auténtica solicitara el pago de las cantidades pendientes. Los agentes federales han rastreado parte de los fondos hasta el Reino Unido y están trabajando para recuperarlos.
Ransomware — Las Vegas (se abre en una nueva pestaña)
Según la documentación reglamentaria obligatoria presentada ante la Comisión de Valores y Bolsa (SEC), Caesars Entertainment Inc. pagó decenas de millones en concepto de rescate (se abre en una nueva pestaña) al grupo de hackers Scattered Spider (se abre en una nueva pestaña), un grupo de hackers que utiliza la técnica «Bring Your Own Vulnerable Driver» (BYOVD) para eludir las soluciones de detección y respuesta en puntos finales y así infiltrarse en su red. Los piratas informáticos utilizaron primero una estrategia de ingeniería social para infiltrarse en un proveedor externo de servicios informáticos y, a continuación, accedieron a la red de Caesars para copiar la base de datos de su programa de fidelización, incluida la información de carácter personal (PII).
En cuestión de días, Scattered Spider, en colaboración con AlphV, puso en marcha una elaborada estafa basada en pretextos contra , MGM International (se abre en una nueva pestaña)y .
Haciéndose pasar por un empleado de MGM Resorts al que habían investigado en LinkedIn, convencieron al servicio de asistencia informática de MGM para que les revelara información suficiente que les permitiera acceder a privilegios de administrador en los entornos de Okta y Azure de MGM. El equipo de seguridad de MGM detectó tráfico inusual al día siguiente, por lo que AlphV admitió haber interceptado contraseñas en los servidores de Okta y haber desplegado inmediatamente un programa de rescate. Según el informe presentado por MGM ante la SEC , la empresa registró unas pérdidas de 100 millones de dólares (se abre en una nueva pestaña).
¿Cómo puede protegerse contra los ataques de ingeniería social?
Para protegerse contra los ataques de ingeniería social y reforzar el «cortafuegos humano», las organizaciones deben adoptar un enfoque multifacético que combine la formación de los empleados, medidas de seguridad integradas y una gestión eficaz de identidades y accesos (se abre en una nueva pestaña).
4 formas de implementar un «cortafuegos humano» contra los ataques de ingeniería social
1. Impartir con frecuencia cursos de formación en materia de concienciación sobre seguridad para los empleados
- Incluye la identificación de tácticas de ingeniería social, la navegación segura y el tratamiento de datos sensibles
- Utilice la gamificación y los métodos interactivos para lograr una formación memorable
- Adaptar la formación a cada puesto para hacer frente a los retos específicos en materia de seguridad
2. Siga las mejores prácticas de seguridad y de higiene cibernética
- Implemente el inicio de sesión único (SSO) y la gestión de contraseñas para garantizar que las contraseñas sean seguras
- Aplicar Zero Trust (se abre en una nueva pestaña) con autenticación multifactorial (MFA) (se abre en una nueva pestaña) para sistemas y aplicaciones críticos
- Utilice la autenticación basada en el riesgo para reducir las dificultades
3. Mejorar los controles de acceso
- Conceda acceso únicamente a los recursos y datos que los empleados necesiten para desempeñar su trabajo; revise y actualice periódicamente los permisos.
- Supervise la actividad de los usuarios y los patrones de acceso para detectar comportamientos anómalos
- Minimice los errores humanos y reduzca la carga de trabajo de su equipo de TI mediante la automatización de la gestión de accesos
4. Establecer unos procesos de respuesta ante incidentes y de notificación de los mismos
- Establezca procedimientos claros para gestionar y notificar los presuntos ataques
- Fomente la notificación sin temor de actividades sospechosas, como los correos electrónicos de phishing
- Supervise los puntos finales para detectar riesgos (se abre en una nueva pestaña) y detecte, investigue y localice incidentes con mayor facilidad para contener las amenazas detectadas en tiempo real y mitigar los daños
Cómo hacer frente a la creciente amenaza de la ingeniería social
Lamentablemente, no existe una única solución o estrategia que pueda proteger por completo contra estos ataques cada vez más sofisticados y manipuladores. Para combatir mejor las amenazas, las organizaciones deben adoptar políticas de seguridad integrales y de múltiples capas, comenzando por el modelo «Zero Trust», lo que significa que no se confía en ningún usuario, dispositivo o red sin haberlos verificado previamente. Con el modelo «Zero Trust» implantado, las organizaciones pueden mantener más fácilmente un modelo de seguridad ágil que reduzca su superficie de ataque y sus riesgos de seguridad, garantizando que solo los usuarios que lo necesitan puedan acceder a los datos confidenciales.
El siguiente paso debería ser reforzar su «cortafuegos humano». La formación forma parte de ese escudo, pero para que la adopción por parte de los usuarios sea un éxito, también debe incluir una excelente experiencia digital para los empleados (DEX). A los empleados les resulta cada vez más frustrante encontrar la información y las herramientas necesarias para realizar su trabajo. Sin una estrategia eficaz en materia de experiencia de los empleados, las organizaciones pueden ver cómo disminuye la productividad, se desploma la retención del personal y se echa por la borda el cumplimiento de las mejores prácticas de ciberhigiene.
Por último, su organización necesita contar con políticas eficaces de control de acceso y una visibilidad completa de su entorno para detectar, investigar y subsanar con rapidez las posibles amenazas. Al garantizar que solo las personas adecuadas tengan el acceso adecuado en los momentos oportunos y al mantener una supervisión clara de las actividades del sistema, las organizaciones pueden reducir significativamente su perfil de riesgo y mejorar su capacidad para responder ante incidentes de ingeniería social y recuperarse de ellos.
La plataforma de Tanium (se abre en una nueva pestaña) le permite gestionar y proteger sus terminales desde una única consola, con una serie de soluciones disponibles diseñadas para resolver los retos actuales del ámbito de las tecnologías de la información. Por ejemplo, nuestra solución DEX «» (se abre en una nueva pestaña) ofrece una visión en tiempo real de las interacciones digitales de sus empleados, como el seguimiento de los datos de los terminales y las aplicaciones, la medición y la elaboración de informes sobre la opinión de los empleados, así como la capacidad de utilizar esta información para abordar los problemas y mantener la productividad de los empleados de forma proactiva. Al adoptar una postura proactiva para garantizar un entorno digital fluido en su organización, la gestión de la experiencia de los empleados se convierte en un pilar fundamental de su estrategia de TI.
Con Tanium, obtendrá visibilidad en tiempo real de sus dispositivos finales de (se abre en una nueva pestaña) , así como las herramientas que necesita para optimizar, simplificar y reforzar su capacidad de proteger los activos críticos para su negocio. Esto incluye nuestra visión sobre la gestión autónoma de terminales (AEM), que utilizará una combinación de inteligencia artificial (se abre en una nueva pestaña) para ofrecer capacidades de automatización inteligente y toma de decisiones destinadas a la gestión de los terminales de TI. Puede visitar , solicitar una demostración en (se abre en una nueva pestaña),o hoy mismo para comprobarlo por sí mismo.
