Los Sesgos del Arte del Engaño

Hace unos días atrás, un compañero escribía una entrada en el post explicando “Los seis principios de la influencia que utilizan los cibercriminales para hackear tu cerebro” y también en algunas ediciones de los #11PathsTalks hemos conversado sobre la Ingeniería Social en algunas ediciones como A la Pesca de Víctimas y El Arte del Engaño entre otros…
A partir de haber definido en varias ocasiones que la Ingeniería Social es una mezcla de ciencia, psicología y arte, como "cualquier acto que influya en una persona para tomar una acción que puede o no ser lo mejor para él”, creemos que la ingeniería social no siempre es negativa y abarca el cómo nos comunicamos con nuestros padres, terapeutas, hijos, cónyuges y otros como lo define el propio Kevin Mitnick en su libro “The Art of Deception”

En la entrada anterior nuestro compañero comentaba sobre las formas de influir, pero en esta queríamos tratar sobre los sesgos. Los sesgos no son más que las desviaciones de un estándar de racionalidad o buenos juicios, y hay muchos tipos de sesgos diferentes, sin embargo, estos 7 son los más importantes que queremos mencionar:

Fig 2, Ingeniería Social

Quid Pro Quo: Significa algo para algo, muy utilizado por policías y agencias de inteligencias, pero también por ingenieros sociales.Un atacante llama a números aleatorios en una empresa que reclama llamar desde el soporte técnico. Eventualmente llegaran a alguien con un problema legítimo, agradecidos de que alguien los llame para ayudarlos. El atacante "ayudará" a resolver el problema y, en el proceso, la victima tendrá que escribir comandos que le den acceso al atacante o inicien la instalación de algún código malicioso (malware).

Baiting: Es como el caballo de Troya contemporáneo, se utilizan medios físicos, por lo general periféricos y se basa en la curiosidad o la codicia de la víctima.En este ataque, el atacante deja un pendrive USB infectado con malware o un disco duro externo USB en una ubicación segura (baño, ascensor, acera, estacionamiento), le da una etiqueta de aspecto legítimo y curioso, y simplemente espera a que la víctima use el dispositivo. Hoy en día no es necesaria la interacción del usuario para tomar control del computador de la victima, solo es necesario que lo conecte para que se ejecute el payload.

Pretexting: Es el acto de crear y usar un escenario inventado para involucrar a una víctima específica de manera que aumente la posibilidad de que la víctima divulgue información o realice acciones que serían poco probables en circunstancias normales. Esta técnica se puede utilizar para engañar a una empresa para que divulgue información del cliente, así como por investigadores privados para obtener registros telefónicos, registros de servicios públicos, registros bancarios y otra información directamente de los representantes del servicio de la compañía. La información puede ser utilizada para establecer una legitimidad aún mayor bajo un cuestionamiento más intenso con un gerente, por ejemplo, para hacer cambios en la cuenta, obtener saldos específicos, etc.

Diversion Theft: También conocido como "Corner Game" o "Juego de la esquina", originado en el East End of London, el robo de diversión es una "estafa" ejercida por ladrones profesionales, normalmente en contra de una empresa de transporte o mensajería. El objetivo es persuadir a las personas responsables de una entrega legítima de que el envío se solicita en otro lugar, algo así como "a la vuelta de la esquina". Además es la técnica principal ocupada por magos para desviar la atención en otra cosa.

Tailgaiting o Piggybacking: Un atacante busca ingresar a un área restringida donde el acceso es desatendido o controlado por un control de acceso electrónico. Esta técnica consiste en simplemente entrar detrás de una persona que tiene acceso legítimo, mayormente utilizada en organizaciones donde se tiene más de una puerta o tal vez una salida secundaria al estacionamiento. Siguiendo una cortesía común, la persona legítima generalmente mantendrá la puerta abierta para el atacante. La persona legítima generalmente no solicita la identificación y asume que atacante ha olvidado o perdido la tarjeta de identidad correspondiente.

Phishing: Técnica de Suplantación de identidad, mediante correos electrónicos fraudulentos que conducen a sitios Web falsos. Objetivo: Robo de credenciales y datos sensibles. Infección del equipo y la red.

Phishing Genérico, Características:

El phishing no es necesariamente dirigido.
El phishing se cuelga de servidores y dominios existentes y envía spam masivamente.
Su efectividad es baja, pero debido al alto numero de la muestra lo hace viable.

Spear Phishing, Características:

El phishing es dirigido.
El phishing cuenta con dominio personalizado.
Es altamente efectivo debido a que si el atacante se dedica a autenticar el correo este llegaría a la bandeja de entrada a la victima.
Registro SPF, Firma DKIM, DMARC, etc.

En los 2 últimos reportes DBIR queda muy claro que la Ingeniería Social es una de las amenazas mas utilizadas, una de las conclusiones principales a las que llega el DBIR del 2018, indica lo siguiente, este año vimos, una vez más, que los cibercriminales siguen teniendo éxito con las mismas técnicas probadas y comprobadas y sus víctimas siguen cometiendo los mismos errores.

En el DBIR del 2019 la Ingeniería Social ocupa el 2do puesto dentro de las técnicas ocupadas para producir brechas. Lamentablemente hoy en día, las personas siguen cayendo en campañas de phishing.

Vishing: Esta técnica utiliza un sistema de respuesta de voz (IVR) fraudulento para recrear una copia legítima de un sistema de IVR de un banco u otra institución. Se le solicita a la víctima (generalmente a través de un correo electrónico de suplantación de identidad) que llame al "banco" a través de un número (idealmente gratuito) proporcionado para "verificar" la información o puede hacer la llamada directamente haciéndose pasar por el ejecutivo del banco.

Recomendaciones:

Las personas deben establecer marcos de confianza. (es decir, cuándo / dónde / por qué / cómo se debe manejar la información privada y confidencial).
Verificar siempre las fuentes de información de los correos y llamadas entrantes.
Nunca ingresen a un link directamente desde el correo.
Revisa periódicamente tus cuentas bancarias.
Pedir detalles siempre sobre la identidad de quien llama, si alguien llama y no puede acreditar quien es o de que empresa habla, no mantengas la conversación.
No debes sentir obligación/urgencia/felicidad de recibir un correo/llamada y proporcionar información privada o información de tu tarjeta bancaria, por lo general si lo sientes, es un phishing

“Usted puede contar con procesos bien definidos y robustos, además de la mejor y última tecnología disponible, sin embargo, lo único que necesita es un llamado a un usuario no capacitado o desprevenido, para vulnerar toda la seguridad de una compañía".

Kevin Mitnick

Ya sabes, debes tener mucho cuidado cuando recibes un correo de un desconocido o una llamada de un extraño, ya que las personas somos el eslabón mas débil de la ciberseguridad. Para despedirme, los invito a nuestro blog donde pueden encontrar artículos y noticias de Ciberseguridad y muchos otros interesantes temas.

Fuentes: https://es.wikipedia.org/wiki/Kevin_Mitnick, https://www.social-engineer.org,

Gabriel Bergel

CSA - Chief Security Ambassador

@gbergel

gabriel.bergel@11paths.com