LA INGENIERIA SOCIAL Y SUS IMPLICACIONES
Para empezar a hablar de este tema, quiero empezar citando a uno de los más famosos hackers de los últimos tiempos, Kevin Mitnick, quien comentaba que hacia la mayor parte de su trabajo usando ingeniería social, y que sólo el último 15% era con la ayuda de un computador, hace varios años el explico ante el Senado Norteamericano, cómo violó sistemas de servicios financieros y de la administración y concluyo diciendo, "Las empresas gastan millones de dólares en cortafuegos, cifrado y mecanismos de seguridad, y es dinero malgastado porque ninguna de estas medidas se dirige al eslabón más débil: la gente que utiliza, administra y cuida los sistemas donde está la información protegida". Atacar a los sistemas de computación obteniendo información por medio de interacción social es una forma de ingeniería social, y no nos debe sorprender que la Ingeniería Social sea una técnica muy utilizada ya que los atacantes saben que es más fácil engañar a miembros de una organización, que lidiar con las complejas protecciones. Definiciones de Ingeniería Social se pueden encontrar muchas: El arte y ciencia de hacer que la gente haga lo que se desea", o "Ataque realizado por un hacker con trucos psicológicos en usuarios de una red para que entreguen información de acceso al sistema" con el fin de conseguir información valiosa (Un password por ejemplo) de una persona en lugar de intentar acceder a su PC. En realidad la Ingeniería social puede ser todo esto, dependiendo la óptica con que se mire. En lo único en que todas las personas coinciden es en que la Ingeniería Social es la manipulación de la tendencia humana de la confianza, y el objetivo de la persona que ejerce esta acción es obtener la información necesaria para acceder a la información sensible de una organización. “
La seguridad se fundamenta en la confianza: confianza en la protección y en la autenticación. Generalmente aceptado como el eslabón más débil en la cadena de la seguridad, las personas y su tendencia a confiar en las demás personas abren las puertas a muchísimas vulnerabilidades. No importa cuantos artículos se publiquen sobre vulnerabilidades en redes, parches de actualización y firewalls, siempre podremos reducir las amenazas detectando la ingeniera social. El propósito básico de la Ingeniería Social es el mismo que el de un hacker, obtener acceso no autorizado a un sistema o a información con el propósito de cometer un fraude, una intrusión, espionaje industrial, robo de identidad, o simplemente inhabilitar los sistemas. Los blancos mas usuales de estos ataques incluyen a proveedores de internet, grandes multinacionales, entidades financieras, agencias militares y gubernamentales, y entidades de salud.
Encontrar buenos ejemplos de la vida real de ingeniería social es complicado. Las empresas que han sido víctimas de estos ataques pueden no querer admitirlo (una falla en seguridad no solo es vergonzoso, también afectaría el buen nombre de la compañía), y también es muy probable que el ataque no esté bien documentado por lo cual no hay forma de estar seguros de que haya sido un ataque de ingeniería social o no. Los ataques de ingeniería social se ejecutan en dos niveles; físico y sicológico. Observemos inicialmente la parte física de estos ataques: En el sitio de trabajo, el teléfono, la cesta de basura, o inclusive ataques en línea. En el sitio de trabajo el hacker puede simplemente entrar por la puerta y simular ser un empleado de mantenimiento quien puede entrar a la Compañía. Una vez el intruso lograr acceder a la Compañía, simplemente con desplazarse por los corredores podrá encontrar escritos usuarios y contraseñas los cuales aprovechara desde la comodidad de su casa . Ahora observemos Los Ataques Sicológicos en que consisten:
Telefónico: Este es el tipo de ingeniería social que más se realiza. Un atacante puede llamar e imitar la voz de un funcionario con cierto nivel de autoridad y obtener información de un supuesto subalterno. Los Helpdesk son particularmente vulnerables a este tipo de ataques. Los atacantes simulan llamar desde el interior de la compañía atacando el PBX o la compañía de teléfonos, con lo cual un identificador de llamadas queda burlado por completo. En la Red: Internet es el sitio preferido por los atacantes que buscan obtener nombres de usuario y passwords. La debilidad principal de los usuarios es repetir el mismo password en todas las aplicaciones, páginas, correo etc. que utilizan. Una vez que el atacante obtiene un password probablemente podrá acceder a múltiples sitios bajo la identidad de su víctima. Una forma que utilizan los atacantes para obtener passwords es a través de un formulario en línea en el cual le piden a la victima que digite sus datos como email y un password, y así obtienen acceso a todos los sistemas, redes sociales, email corporativo, etc. de dicha persona.
De Persuasión: Los atacantes siempre realizan sus ataques enfatizando en crear el ambiente psicológicamente perfecto para el ataque. Métodos básicos de persuasión incluyen la suplantación, simular ser una persona muy agradable o la falsa amistad. Sin importar el método que se utilice, el objetivo principal es convencer a la victima de que el atacante es en realidad una persona a quien confiarle información sensible. Otro punto importante en estos ataques es que no buscan obtener toda la información en un solo ataque, pero si conseguirla toda en varios ataques en diferentes ocasiones.
La suplantación generalmente significa crear uno o varios personajes e interpretar sus roles. Entre más sencillo el personaje, mejor. Usualmente los atacantes estudian a sus víctimas, esperando por ejemplo que se ausenten de la ciudad para suplantarlos al teléfono. Algunos de los papeles más comúnmente interpretados por los atacantes es el de un tecnico, soporte en Sistemas, un Gerente, un tercero de toda confianza (por ejemplo, el presidente de una compañía) o un compañero de trabajo. En una compañía grande, esto no resulta tan difícil de realizar, pues no hay forma de conocer a todos los empleados, los carnets pueden ser falsificados, etc. Un factor común que se puede obtener de estas suplantaciones es el de personas con algún rango o posición jerárquica en la compañía, lo cual nos lleva a la complacencia. Todo empleado desea impresionar a su jefe, asi que suministrara sin problema cualquier información que le sea solicitada por un superior.
Espionaje Basura: El Espionaje Basura es otro popular método de ingeniería social. Una gran cantidad de información puede ser encontrada entre la basura de una compañía. Que información puede llegar allí? Agendas telefónicas, organigramas, manuales de las políticas de la compañía, agendas de trabajo, eventos o vacaciones de empleados, manuales de sistemas, planos de las instalaciones, impresiones de códigos fuente, CDs, DVDs. Toda esta "basura" se puede constituir en una enorme fuente de información para el atacante. Las agendas telefónicas pueden dar información de posibles blancos o personas a suplantar. Los organigramas revelan quienes están en cargos con autoridad en la organización. Manuales de políticas pueden darle idea de que tan segura o insegura es una compañía. Los calendarios pueden indicar que empleado va a estar fuera de la oficina. Los manuales de sistemas pueden brindar información exacta de como desbloquear una red. El hardware desactualizado, por ejemplo discos duros pueden ser restaurados para obtener toda clase de información. Ingeniería Social Inversa: Para terminar, el método mas avanzado de obtener acceso no autorizado a un sistema o información es conocido como "Ingeniería Social Inversa". Esta se realiza cuando el atacante suplanta a una persona que se encuentra en una posición con autoridad suficiente para que los empleados le pidan a el información en vez de el pedir información. Si se investiga, planea y ejecuta adecuadamente, este ataque puede brindarle al atacante mayores oportunidades de obtener información valiosa de los propios empleados; sin embargo este ataque requiere de un alto grado de preparación e investigación para culminarlo con éxito. Este ataque frecuentemente se compone de 3 etapas: sabotaje, intromisión, y el ataque en si. Observemos en que consiste: Un atacante sabotea una compañía de la cual quiere obtener información, ocasionando que se presente un problema. Al materializarse el problema, el mismo atacante se presenta en la Organización argumentando que es el candidato ideal para solucionar ese problema (Intromisión), y una vez que se le da acceso a la Organización realiza su ataque obteniendo la información, acceso a la red o lo que esté buscando. Lo más
asombroso del ataque es que en la Organización víctima del ataque son incapaces de identificar al atacante como tal por que el problema del que fueron víctimas fue solucionado y se recupero la normalidad; o peor aún, no saben que fueron víctima de un ataque por que todo está operando normalmente.
Para concluir este tema, debemos tener en cuenta que una gran parte de las intrusiones en sistemas se realizan utilizando datos que se obtienen de sus usuarios mediante diferentes métodos y con la intervención de personas especialmente entrenadas, los ingenieros sociales. También se dice que la computadora más segura es la que permanece apagada, y que el eslabón mas débil en cualquier política de seguridad es el factor humano, ya que no existe un sistema informático que no dependa de algún dato ingresado por un operador humano. Esta debilidad es la que se trata de explotar con la aplicación de la Ingeniería Social; por tal razón, es que se debe de concientizar sobre el rol que jugamos no sólo con la seguridad sino con todos los órdenes de la vida. Se puede decir que no hay información, independientemente de su carácter personal o emocional, que esté fuera de los límites de un ingeniero social que busca hacer daño. Con frecuencia la persona que piensa que está más segura es la que posee la mayor vulnerabilidad. Adicionalmente la política de seguridad es solo tan buena como lo sea su aplicación. Los delincuentes suelen jugar con la naturaleza buena de un empleado y el deseo de ser útil. La ingeniería social puede ser parte de la estrategia de defensa de una organización. Para terminar como empezamos este tema de Ingeniería Social, cabe mencionar a Kevin Mitchnick quien comenta. Usted puede gastar una fortuna en tecnología y “
servicios mas actualizados de seguridad. Pero su organización aun puede ser vulnerable a ser manipulada a la antigua ".
