Ingeniería social

Resumen

La ingeniería social es el nombre general de las técnicas que atacan la psicología humana en lugar de las vulnerabilidades de los sistemas. Aprovechan emociones como la confianza, el miedo, la curiosidad o la urgencia para que la víctima revele información o realice operaciones indebidas. Por muy sólida que sea la seguridad técnica, si una persona se deja engañar, a veces se puede romper.

Técnicas habituales

El phishing es una técnica habitual que roba datos de inicio de sesión con correos o sitios web que se hacen pasar por servicios legítimos. El pretexting es una técnica que se gana la confianza inventando una persona o una situación ficticia, con excusas como «Soy del departamento de informática y necesito comprobar tu contraseña».

El baiting es una técnica que aprovecha la curiosidad para que alguien ejecute malware, por ejemplo dejando una memoria USB tirada en un aparcamiento. El tailgating es una técnica física que consiste en pasar un control de seguridad pegado detrás de una persona autorizada a entrar. Ninguna se basa en la sofisticación técnica, sino en lo predecible de los patrones de conducta humanos.

Ingeniería social a través de preguntas anónimas

Los servicios de preguntas anónimas pueden usarse de forma abusiva como vía de ingeniería social. Es un método en el que el atacante envía preguntas anónimas y recopila información personal y patrones de conducta a partir de las respuestas del dueño del buzón. Por ejemplo, envía preguntas como «¿Cuál es tu estación más cercana?» o «¿A qué horas sueles estar activo?» repartidas en varias veces y va acumulando información fragmentada.

En los casos más hábiles, la pregunta en sí parece inofensiva. A partir de la respuesta a una pregunta como «¿Me recomiendas alguna cafetería?» se puede deducir la zona por la que se mueve alguien, o a partir de «¿Qué actividad extraescolar hacías de estudiante?» se puede acotar en qué centro estudió. Al responder, el dueño del buzón necesita ser consciente de hasta qué punto se le podría identificar si esa información se acumula.

Cómo plantear la defensa

Para defenderse de la ingeniería social, las medidas técnicas no bastan, y es imprescindible mejorar la alfabetización de los usuarios. Hace falta concienciar a los dueños de buzones de preguntas para que no incluyan en sus respuestas información que pueda identificarlos.

Como medida del lado del servicio, se puede pensar en un mecanismo que analice los patrones de preguntas desde una misma IP y detecte series de preguntas destinadas a recopilar información. También es útil que el filtrado de contenido marque con un aviso las preguntas que piden información personal de forma directa. Sin embargo, es difícil juzgar de forma totalmente automática la intención de una pregunta, y al final mucho depende del propio criterio del dueño del buzón.