¿Qué es la Ingeniería Social?

Hoy en día, uno de los activos más valiosos para las organizaciones es la información. Compartir información con otras entidades, sugiere la mayoría de las veces una invasión de la privacidad.

Por ello, las instituciones (gubernamentales, educativas, financieras, etc.) buscan la manera de implementar controles de seguridad para proteger su información, como circuitos de cámaras, cajas fuertes, firewalls, etc., medidas que además resultan costosas.
Sin embargo, hay un recurso inseguro que almacena información muy sensible: la mente humana. Ya sea por olvido o por el reto que implica asegurar la información dentro de las cabezas de sus empleados, las organizaciones no le prestan mucha atención a este aspecto.
Sin importar cuántos candados físicos o lógicos haya para proteger un activo, al dar acceso a una persona, siempre existirá un riesgo humano presente, y por tanto, vulnerable a ingeniería social.

¿Qué es la Ingeniería Social?
La Ingeniería Social es el acto de manipular a una persona a través de técnicas psicológicas y habilidades sociales para cumplir metas específicas. Éstas contemplan entre otras cosas: la obtención de información, el acceso a un sistema o la ejecución de una actividad más elaborada (como el robo de un activo), pudiendo ser o no del interés de la persona objetivo.
La Ingeniería Social se sustenta en un sencillo principio: “el usuario es el eslabón más débil”. Dado que no hay un solo sistema en el mundo que no dependa de un ser humano, la Ingeniería Social es una vulnerabilidad universal e independiente de la plataforma tecnológica. A menudo, se escucha entre los expertos de seguridad que la única computadora segura es la que esté desenchufada, a lo que, los amantes de la Ingeniería Social suelen responder que siempre habrá oportunidad de convencer a alguien de enchufarla.
La Ingeniería Social es un arte que pocos desarrollan debido a que no todas las personas tienen “habilidades sociales”. Aún así, hay individuos que desde pequeños han demostrado tener la aptitud y con un poco de entrenamiento convertirla en el camino ideal para realizar acciones maliciosas. Por ejemplo, hay crackers que en vez de perder horas rompiendo una contraseña, prefieren conseguirla preguntando por teléfono a un empleado de soporte técnico.

Formas de ataque

Las formas de ataque son muy variadas y dependen de la imaginación del atacante y sus intereses. En general, los ataques de Ingeniería Social actúan en dos niveles: el físico y el psicosocial. El primero describe los recursos y medios a través de los cuales se llevará a cabo el ataque, y el segundo es el método con el que se engañará a la víctima.
Las formas usadas a nivel físico son:

• Ataque por teléfono. Es la forma más persistente de Ingeniería Social. En ésta el perpetrador realiza una llamada telefónica a la víctima haciéndose pasar por alguien más, como un técnico de soporte o un empleado de la misma organización. Es un modo muy efectivo, pues las expresiones del rostro no son reveladas y lo único que se requiere es un teléfono.

                                 
                           

• Ataque vía Internet. Desde que Internet se volvió uno de los medios de comunicación más importantes, la variedad de ataques en red se incrementaron tanto como la gran cantidad de servicios que existen en él. Los ataques más comunes son vía correo electrónico (obteniendo información a través de un phishing o infectando el equipo de la víctima con malware), web (haciendo llenar a la persona objetivo un formulario falso) o inclusive conversando con personas específicas en salas de chat, servicios de mensajería o foros.

• Dumpster Diving o Trashing (zambullida en la basura). Consiste en buscar información relevante en la basura, como: agendas telefónicas, organigramas, agendas de trabajo,  unidades de almacenamiento (CD’s, USB’s, etc.), entre muchas otras cosas.    

• Ataque vía SMS. Ataque que aprovecha las aplicaciones de los celulares. El intruso envía un mensaje SMS a la víctima haciéndola creer que el mensaje es parte de una promoción o un servicio, luego, si la persona lo responde puede revelar información personal, ser víctima de robo o dar pié a una estafa más elaborada.

• Ataque vía correo postal. Uno de los ataques en el que la víctima se siente más segura, principalmente por la fiabilidad del correo postal. El perpetrador envía correo falso a la víctima, tomando como patrón alguna suscripción de una revista, cupones de descuento, etc. Una vez que diseña la propuesta para hacerla atractiva, se envía a la víctima, quien si todo sale bien, responderá al apartado postal del atacante con todos sus datos.

• Ataque cara a cara. El método más eficiente, pero a la vez el más difícil de realizar. El perpetrador requiere tener una gran habilidad social y extensos conocimientos para poder manejar adecuadamente cualquier situación que se le presente. Las personas más susceptibles suelen ser las más “inocentes”, por lo que no es un gran reto para el atacante cumplir su objetivo si elige bien a su víctima.

Por otro lado, existen entornos psicológicos y sociales que pueden influir en que un ataque de ingeniería social sea exitoso. Algunos de ellos, son:

• “Exploit de familiaridad”. Táctica en que el atacante aprovecha la confianza que la gente tiene en sus amigos y familiares, haciéndose pasar por cualquiera de ellos. Un ejemplo claro de esto ocurre cuando un conocido llega a una fiesta con uno de sus amigos. En una situación normal nadie dudaría de que ese individuo pudiera no ser de confianza. Pero ¿de verdad es de fiar alguien a quien jamás hemos tratado?

• Crear una situación hostil. El ser humano siempre procura alejarse de aquellos que parecen estar locos o enojados, o en todo caso, salir de su camino lo antes posible. Crear una situación hostil justo antes de un punto de control en el que hay vigilantes, provoca el suficiente estrés para no revisar al intruso o responder sus preguntas.

• Conseguir empleo en el mismo lugar. Cuando la recompensa lo amerita, estar cerca de la víctima puede ser una buena estrategia para obtener toda la información necesaria. Muchas pequeñas y medianas empresas no realizan una revisión meticulosa de los antecedentes de un nuevo solicitante, por lo que obtener un empleo donde la víctima labora puede resultar fácil.

• Leer el lenguaje corporal. Un ingeniero social experimentado puede hacer uso y responder al lenguaje corporal. El lenguaje corporal puede generar, con pequeños, detalles una mejor conexión con la otra persona. Respirar al mismo tiempo, corresponder sonrisas, ser amigable, son algunas de las acciones más efectivas. Si la víctima parece nerviosa, es bueno reconfortarla. Si está reconfortada, ¡al ataque!

• Explotar la sexualidad. Técnica casi infalible. Las mujeres que juegan con los deseos sexuales de los hombres, poseen una gran capacidad de manipulación, ya que el hombre baja sus defensas y su percepción. Probablemente suene asombroso, pero es aprovechar la biología a favor.

¿Cómo defenderse contra la Ingeniería Social?
La mejor manera de enfrentar el problema, es concientizar a las personas al respecto. Educarles sobre seguridad y fomentar la adopción de medidas preventivas. Otros mecanismos sugeridos son:

• Nunca divulgar información sensible con desconocidos o en lugares públicos (como redes sociales, anuncios, páginas web, etc.).
• Si se sospecha que alguien intenta realizar un engaño, hay que exigir se identifique y tratar de revertir la situación intentando obtener la mayor cantidad de información del sospechoso.
• Implementar un conjunto de políticas de seguridad en la organización que minimice las acciones de riesgo.
• Efectuar controles de seguridad física para reducir el peligro inherente a las personas.
• Realizar rutinariamente auditorías y pentest usando Ingeniería Social para detectar huecos de seguridad de esta naturaleza.
• Llevar a cabo programas de concientización sobre la seguridad de la información.

Conclusiones

La seguridad de la información no sólo debe entenderse como un conjunto de elementos técnicos y físicos, sino como un proceso cultural de personas y organizaciones. Si el usuario es el eslabón más débil, deben existir controles que ayuden a disminuir el riesgo que éste pueda representar.
Kevin Mitnick, el hacker más reconocido a nivel mundial y experto en Ingeniería Social, concluye: “Puedes gastar una fortuna en tecnología y servicios… y como sea, tu infraestructura de red podría estar vulnerable a la forma más vieja de manipulación”.

Ahora que conoces más sobre la ingeniería social y la seguridad de la información, la próxima vez que sientas que tu información está completamente segura, recuerda que no todas las intrusiones son siempre tan obvias.

Leer mas...

Un hacker demuestra como consigue dinero de forma no ética.

Un hacker demuestra en la defcon como obtiene dinero de forma no ética.

Leer mas...

Dos años de cárcel en Japón por descargar piratería

Mientras tanto, en Panamá, las descargas ilegales serán penadas dentro de poco con multas de US$ 100 mil

Japón tiene una de las leyes antipiratería más duras del mundo: quienes hacen descargas ilegales reciben hasta dos años de prisión. Sin embargo, penas excesivas no son solo exclusivas del país del sol naciente: en Panamá están a punto de promulgar una ley que puede acabar con multas de hasta 100 mil dólares para los culpables de este delito.

La BBC da cuenta que la Asociación de Industria Discográfica japonesa impulsó un cambio en la ley que pena con dos años de cárcel a quienes descarguen material pirata.

La ley contempla también multas que van de dos a tres millones de yenes (de US$ 1,1 millones hasta US$ 2,2 millones).

Anteriormente, las leyes japonesas contemplaban cárcel de hasta 10 años a quienes subían piratería a Internet.

Mientras tanto, Fayerwayer informa que en Panamá una dura ley fue redactada “para hacer que las regulaciones estuvieran de acuerdo al tratado de libre comercio entre Panamá y Estados Unidos”.

Esta ley contempla que la Dirección General de Derechos de Autor (DGDA) abra procesos de oficio que pueden terminar con multas de hasta US$ 100 mil, dinero que llegará a la DGDA y a sus empleados, convirtiéndose en un peligroso incentivo.

Leer mas...

Crackers roban los datos de la mitad de los clientes de un operador de Corea del Sur

Una de las responsabilidades que adquieren las empresas que manejan datos personales de sus clientes es la de preservar toda esta información y evitar que caiga en manos de terceros, poniendo con tal fin las medidas de seguridad oportunas. Casos como el de PlayStation Network o los sistemas de auto-venta de billetes de Renfe (del que hemos hablado hace un rato) ponen de manifiesto la necesidad de establecer auditorías y análisis de vulnerabilidades de manera periódica en entidades públicas y empresas para evitar que se puedan producir robos de datos como éstos o como el que hace poco sufrió LinkedIn. Parece que a esta poco honorable lista de empresas que necesitan realizar auditorías de sus sistemas se va a sumar el segundo operador móvil de Corea del Sur, KT Telecom, que ha sufrido el robo de datos de aproximadamente la mitad de sus clientes y, lo peor de todo, es que éstos han terminado en manos de empresas de telemarketing.

El caso se ha conocido este fin de semana, sin embargo, esta infiltración es algo más antigua y llevaría produciéndose unos 5 meses en los que un grupo de crackers (que ya ha sido detenido por las autoridades coreanas) habría estado sustrayendo datos de los clientes de este operador de telefonía móvil (el segundo del país en cuanto a cuota de mercado) y luego habría vendido los datos recopilados a empresas de telemarketing (con la consiguiente molestia para los clientes). De hecho, la filtración ha estado activa hasta que ésta fue detectada el pasado 13 de julio, momento en el que el operador puso el caso en manos de las autoridades del país y decidió mantener el asunto en secreto hasta que se produjesen las correspondientes detenciones.
Entrando en cifras, se habrían visto afectados 8,7 millones de clientes (algo más de la mitad) que han recibido una disculpa por parte del operador tras haber visto cómo sus nombres y apellidos, su número de teléfono y su número de identificación habrían sido utilizados como moneda de cambio entre los crackers y las empresas de publicidad en un lucrativo negocio que les habría llevado a amasar algo más de 800.000 dólares. Además de las detenciones a los supuestos cabecillas de esta trama, las autoridades han efectuado otras 7 detenciones a los supuestos compradores de estos datos personales que, por ahora, parecen dedicarse única y exclusivamente al spam telefónico y no parecen que hayan utilizado los datos para otros fines.
Lógicamente, cómo han podido acceder a la base de datos de clientes del operador es algo que no se ha hecho público y que, seguramente, tardemos en conocer (si es que se llega a hacer público alguna vez). La verdad es que son muchos los casos de empresas que terminan siendo víctimas del robo de datos de sus clientes y, bajo mi punto de vista, el cliente final es el que sale más perjudicado puesto que, además de verse expuesto (recordemos los números de tarjeta de crédito en el caso de Sony) lo único que perciben es una simple disculpa y, en el caso que nos ocupa, no es precisamente agradable que no paren de llamarte por teléfono empresas de telemarketing.

Leer mas...

Cuidado con lo que escribes, te vigilan

Siempre has sido parte de las estadísticas. De los bajos o de los altos, de los que compran o de los que no. Ahora que te manifiestas en la red, que escribes en Twitter o en Facebook, muchas organizaciones saben más de ti. Los sistemas automáticos comienzan a extraer conclusiones de tu rastro en la red. Como en un nuevo estudio en el que se correlaciona la tendencia psicopática con determinados rasgos de Twitter.

Un análisis de cómo escribes en Twitter puede revelar si eres narcisista, maquiavélico o psicópata, de acuerdo con una investigación reciente. Algunos de los rasgos definitorios son: maldiciones, respuestas enojadas a otras personas incluyendo insultos y la palabra “odio”, el uso de la palabra “nosotros” en lugar de “yo”, el uso de puntos o el uso de palabras de relleno como bla, bla o ummm.
El autor del estudio, Chris Sumner piensa que

El FBI puede usarlo para señalar a los posibles infractores, pero creo que es mucho más útil para que los psicólogos lo usen para comprender a los grandes grupos de personas

El estudio es una respuesta a otro similar llamado “Hambriento como un lobo: un análisis de los patrones de palabras en el lenguaje de los psicópatas.”
El estudio se ha realizado con casi 3000 participantes que se puntuaban a sí mismos en la llamada Triada Oscura: narcisismo, psicopatía y maquiavelismo. Los resultados mostraron un número de correlaciones estadísticamente significativas entre la personalidad oscura del individuo y la actividad en Twitter. El estudio usó un modelo de aprendizaje automático para ir mejorando las predicciones. La actividad en Twitter fue traducida a números, en concreto 337 puntos numéricos que mostraban la frecuencia de tweets o las características lingüísticas entro otros. Los datos alimentaron un modelo de datos que se explotó con técnicas de datawarehouse o Big Data.
¿Hasta donde puede llegar este análisis? El propio Sumner es reticente. Técnicamente aparece el problema de los falsos positivos, las personas que aparecen como psicópatas y no lo son. Y en general, pasar de los estudios generales a los casos particulares es científicamente dudoso, además de plantear problemas morales y de privacidad.

Sólo porque alguien puntúe alto no quiere decir que sea un criminal. Usar esto para tratar de localizar a alguien que va a cometer un delito va a dar lugar a la captura de personas que no van a hacerlo. Pero en general es interesante. Se puede utilizar para ver grandes grupos de personas y preguntarse si cada vez somos más antisociales.

Hemos pasado a un mundo donde la privacidad escasea y nos hemos desnudado ante el público. Lo que escribo en la red puede permanecer en ella muchos años. Algunas conductas no son muy recomendables. Se da el caso de quien escribe: “Mañana tengo una entrevista para un trabajo espantoso en una empresa horrible” y resulta que el entrevistador ha leído el mensaje. Sin embargo, todo el mundo tiene derecho a ser un troll sin que por ello le persiga la policía. El debate está abierto: cada día somos más libres, pero los vigilantes automáticos no descansan.

Leer mas...

Vulnerabilidades de las máquinas de billetes de Renfe y Metro de Madrid expuestas en Defcon

Estos días se ha estado celebrando en las vegas la DEF CON Hacking Conference, un congreso de hacking que congrega a expertos e investigadores en materia de seguridad de todo el mundo y a la que, por ejemplo, ha asistido el General Keith Alexander, director de la Agencia de Seguridad Nacional de Estados Unidos, para impartir una ponencia y quizás captar talento para su agencia. En eventos como éste, la mayoría de las charlas y ponencias no suelen pasar desapercibidas pero, entre todas ellas, hay una que tocó directamente algo que nos es muy cercano: las vulnerabilidades presentes en los sistemas de venta de billetes de Renfe o el Metro de Madrid.

 

Alberto García Illera, un experto en seguridad español, puso sobre la mesa lo vulnerables que pueden llegar a ser sistemas tan típicos como las máquinas de auto-venta de billetes que podemos encontrar en el Metro de Madrid o en las estaciones de tren (cuyo operador en España es Renfe). Cada vez es más habitual que “el factor humano”, es decir, las taquillas atendidas por empleados sean sustituidas (o reforzadas) por medios electrónicos como las máquinas expendedoras de billetes; lógicamente, dado que se potencia este tipo de medios, el número de usuarios que los utiliza también va en aumento pero, ¿son realmente seguros estos medios de pago? Según mostró este investigador 24 años , parece ser que la respuesta es que no y, por tanto, los datos de las tarjetas de crédito de los usuarios podían verse comprometidos e, incluso, los propios sistemas del Metro de Madrid.
En base a su experiencia, este tipo de sistemas tienen errores de diseño que pueden aprovecharse, por ejemplo, para aplicar descuentos en las compras y ésta fue una de las acciones que llevó a cabo en el Metro de Madrid. Si bien no ha querido hacer públicos los vídeos con las demostraciones prácticas (para no montar un caos en el metro), Alberto consiguió aplicar los descuentos de la tercera edad en su billete de tarifa normal, pagando menos por éste y, dado que todos los sistemas parecen estar en la misma red, conectar con la red de cámaras de videovigilancia o acceder remotamente a otros terminales.
En el caso de las estaciones de tren, los sistemas de auto-venta de billetes de Renfe son terminales basados en Windows XP cuyas vulnerabilidades no se parchean mediante actualizaciones y, por tanto, son potencialmente inseguros. Durante su presentación mostró a los asistentes cómo pudo acceder al sistema operativo de la máquina de venta de billetes, obtener permisos de administrador y escudriñar los datos de la aplicación para obtener un listado de las tarjetas de crédito utilizadas en las transacciones y ventas realizadas desde la máquina.
Lógicamente estos dos ejemplos ponen de manifiesto problemas de seguridad en sistemas que, seguramente, usemos en nuestro día y día y que, claro está, necesitan un profundo análisis para atajar estas vulnerabilidades. Alberto comentó en su charla que se puso en contacto con ambas entidades públicas para comunicarles este hecho y los problemas detectados y, según parece, en ambos casos están analizando los problemas detectados.
El hallazgo, bajo mi punto de vista, es más que interesante puesto que deja en bastante mal lugar a ambas entidades públicas (y a sus proveedores), aunque afortunadamente para Renfe y Metro de Madrid, todo esto es una investigación y no un ataque con fines malintencioandos.
De todas formas, casos como estos ponen de manifiesto la necesidad de que tanto empresas privadas como entidades públicas realicen revisiones técnicas y análisis de vulnerabilidades de manera periódica a sus sistemas, sobre todo si éstos manejan datos críticos (datos personales, tarjetas bancarias, etc). Cuesta creer que después de todo lo que hemos visto tras el ataque a la PlayStation Network, se sigan dando casos de este tipo.

Leer mas...