Cómo protegerse contra los ataques de ingeniería social

La semana pasada echamos un vistazo a algunas de las principales amenazas de ingeniería social ¿Qué es la ingeniería social? [MakeUseOf explica] ¿Qué es la ingeniería social? [MakeUseOf explica] Puede instalar el firewall más potente y costoso de la industria. Puede educar a los empleados sobre los procedimientos básicos de seguridad y la importancia de elegir contraseñas seguras. Incluso puede bloquear la sala de servidores, pero cómo ... que usted, su empresa o sus empleados deberían estar atentos. En pocas palabras, la ingeniería social es similar a un truco de confianza mediante el cual un atacante obtiene acceso, información o dinero al ganar la confianza de la víctima..

Estas técnicas pueden variar desde estafas de phishing por correo electrónico hasta trucos telefónicos elaborados y ataques invasivos de pretextos. Si bien no hay una forma definitiva de detener a los ingenieros sociales, hay algunas cosas para recordar para evitar que este tipo de ataques se vuelvan demasiado graves. Como siempre, su mejor defensa es el conocimiento y la vigilancia constante..

Protección contra ataques físicos

Muchas compañías educan a su equipo de seguridad de red sobre los peligros del ataque físico. Un método conocido como “chupar rueda” se usa en muchos ataques físicos para obtener acceso a áreas restringidas sin autorización. Este ataque se basa en la cortesía humana básica, que es una puerta para alguien, pero una vez que el atacante obtiene acceso físico, la violación de seguridad se vuelve muy grave..

Si bien esto realmente no se aplica en un escenario hogareño (es poco probable que mantenga la puerta abierta para un extraño ahora, ¿verdad?), Hay algunas cosas que puede hacer para reducir las posibilidades de ser víctima de una ingeniería social ataque que depende de materiales físicos o una ubicación.

Pretexting es una técnica utilizada por los atacantes que primero encuentran información sobre su víctima (por ejemplo, de un recibo de cuenta o tarjeta de crédito) que luego pueden usar contra su víctima al convencerlos de que tienen un sentido de autoridad. La protección más básica contra este tipo de ataque (a veces denominado “buceo en basurero”) es mediante la destrucción de cualquier material que contenga información personal importante.

Esto también se aplica a los datos digitales, por lo que los discos duros antiguos deben destruirse adecuadamente (físicamente) y los medios ópticos también pueden destruirse. Algunas compañías incluso toman esto hasta tal punto que bloquean sus desechos y hacen que la seguridad los controle. Considere el papeleo no triturado que tira - calendarios, recibos, facturas e incluso notas personales - y luego considere si esta información podría usarse en su contra.

La idea de un robo no es particularmente agradable, pero si le roban su computadora portátil Localice y recupere su computadora portátil robada con presa Localice y recupere su computadora portátil robada con presa mañana, ¿estaría adecuadamente bloqueada? Las computadoras portátiles, teléfonos inteligentes y otros dispositivos que acceden a su información personal, correo electrónico y cuentas de redes sociales siempre deben protegerse con contraseñas seguras Cómo crear una contraseña segura que no olvidará Cómo crear una contraseña segura que no olvidará ¿Sabe cómo? para crear y recordar una buena contraseña? Aquí hay algunos consejos y trucos para mantener contraseñas seguras y separadas para todas sus cuentas en línea. y códigos. Si eres realmente paranoico sobre el robo, es posible que incluso quieras cifrar los datos en tu disco duro usando algo como TrueCrypt Cómo hacer carpetas cifradas que otros no pueden ver con Truecrypt 7 Cómo hacer carpetas cifradas que otros no pueden ver con Truecrypt 7 o BitLocker.

Recuerde: cualquier información que un ladrón pueda extraer puede ser utilizada en su contra en futuros ataques, meses o años después del incidente..

El cebo (dejar un dispositivo malicioso como una memoria USB comprometida donde se puede encontrar fácilmente) se evita fácilmente al no dejar que sus curiosidades se apoderen de usted. Si encuentra un dispositivo USB en su porche, trátelo con la mayor sospecha. Las memorias USB se pueden usar para instalar keyloggers, troyanos y otro software no deseado para extraer información y presentar una amenaza muy real.

Prevención de ataques psicológicos

Casi todos los ataques de ingeniería social son psicológicos por su propia definición, pero a diferencia del pretexto que requiere conocimiento previo, algunos ataques son puramente psicológicos. La protección contra este tipo de ataques es actualmente una gran prioridad para muchas empresas, y esto implica educación, vigilancia y, a menudo, pensar como un atacante..

Las empresas ahora comienzan a educar al personal en todos los niveles, ya que la mayoría de los ataques comienzan con el guardia de seguridad en la puerta o la recepcionista en la recepción. Esto generalmente implica instruir a los empleados para que tengan cuidado con las solicitudes sospechosas, las personas agresivas o cualquier cosa que simplemente no cuadre. Esta vigilancia es fácilmente transferible a su vida diaria, pero depende de su capacidad para identificar solicitudes de información que sean confidenciales..

Si bien los ataques en línea a través del correo electrónico y la mensajería instantánea son cada vez más frecuentes, los ataques de ingeniería social por teléfono (y VoIP, lo que hace que sea más difícil rastrear la fuente) siguen siendo una amenaza real. La forma más sencilla de evitar un ataque es terminar la llamada en el momento en que sospeche algo.

Es posible que su banco lo llame, pero es raro que le pidan su contraseña u otra información directamente. Si se realiza dicha llamada, solicite el número de teléfono del banco, verifíquelo dos veces y vuelva a llamar. Puede tomar cinco minutos adicionales, pero sus fondos e información personal están seguros y el banco será entender. Del mismo modo, es poco probable que una compañía de seguridad llame para advertirle de problemas con su computadora. Trate todas las llamadas como una estafa, sospeche y no comprometa su PC. Técnicos informáticos que llaman en frío: no caiga en una estafa como esta [¡Alerta de estafa!] Técnicos informáticos que llaman en frío: no caiga en una estafa como esta [ ¡Alerta de estafa!] Probablemente hayas escuchado el término "no engañes a un estafador", pero siempre me ha gustado "no engañar a un escritor técnico". No estoy diciendo que somos infalibles, pero si su estafa involucra Internet, Windows ... o compra lo que están vendiendo.!

La educación es la mejor defensa, por lo que mantenerse al día con las técnicas de seguridad y las noticias lo ayudará a detectar un posible ataque. Recursos como Social-Engineer.org intentan educar a las personas sobre las técnicas utilizadas por los ingenieros sociales, y hay mucha información disponible.

Algunas cosas para recordar

La confianza es la táctica principal de un ingeniero social y se utilizará para obtener acceso a ubicaciones físicas, información confidencial y, en una escala mayor, datos confidenciales de la empresa. Un sistema es tan fuerte como su defensa más débil, y en el caso de la ingeniería social, esto significa personas que desconocen las amenazas y las técnicas utilizadas.

Conclusión

Para citar a Kevin Mitnick, que logró deambular por la conferencia de seguridad más grande del mundo, sin restricciones ni control (RSA 2001): “Podría gastar una fortuna comprando tecnología y servicios de cada expositor, orador y patrocinador en la Conferencia RSA, y su infraestructura de red podría seguir siendo vulnerable a la manipulación tradicional.”. Esto es cierto para las cerraduras de sus puertas y la alarma de su casa, así que esté atento a las tácticas de ingeniería social en el trabajo y en el hogar..

¿Has experimentado tales ataques? ¿Trabaja para una empresa que recientemente comenzó a educar a los empleados sobre los peligros? Háganos saber lo que piensa, en los comentarios a continuación.

Créditos de imagen: Wolf in Sheep's Clothing (Shutterstock) Paper Shredder (Chris Scheufele), Hard Drive (jon_a_ross), Phone on Desk (Radio.Guy), Mozilla Reception (Niall Kennedy),