Estafas De Ingeniería Social / Ingeniería Social
Probablemente Haya Escuchado El Término “Ingeniería Social” Antes, Pero ¿Qué Es?
La Ingeniería Social Es …
La ingeniería social, en el contexto de la seguridad de la información, se refiere a la manipulación psicológica de las personas para que realicen acciones o divulguen información confidencial.
Es un tipo de truco de confianza (estafa) con el propósito de recopilar información, fraude o acceso al sistema; se diferencia de una “estafa” tradicional en que a menudo es uno de los muchos pasos en un esquema de fraude más complejo.
El término “ingeniería social”, como un acto de manipulación psicológica de un ser humano, también está asociado con las ciencias sociales, pero su uso se ha popularizado entre los estafadores, los profesionales de seguridad informática y de la información.
La ingeniería social es el arte de manipular a las personas para que entreguen información confidencial. Los tipos de información que buscan estos delincuentes pueden variar, pero cuando las personas son atacadas, los delincuentes generalmente intentan engañarlo para que les dé sus contraseñas o información bancaria, o acceda a su computadora para instalar en secreto software malicioso, lo que les dará acceso a su contraseñas e información bancaria, además de darles control sobre su computadora.
Los delincuentes utilizan tácticas de ingeniería social porque generalmente es más fácil explotar su inclinación natural a confiar que descubrir formas de piratear su software. Por ejemplo, es mucho más fácil engañar a alguien para que le dé su contraseña que intentar piratear su contraseña (a menos que la contraseña sea realmente débil).
La seguridad se trata de saber en quién y en qué confiar. Es importante saber cuándo y cuándo no tomarle la palabra a una persona y cuándo la persona con la que se está comunicando es quien dice ser. Lo mismo ocurre con las interacciones en línea y el uso del sitio web: ¿cuándo confía en que el sitio web que está utilizando es legítimo o seguro para proporcionar su información?
Pregúntele a cualquier profesional de seguridad y le dirá que el eslabón más débil en la cadena de seguridad es el humano que acepta a una persona o escenario por su valor nominal. No importa cuántas cerraduras y cerrojos haya en sus puertas y ventanas, o si tienen perros guardianes, sistemas de alarma, focos, cercas con alambre de púas y personal de seguridad armado; si confías en la persona en la puerta que dice que es el repartidor de pizzas y lo dejas entrar sin verificar primero si es legítimo, estás completamente expuesto a cualquier riesgo que represente.
La Ingeniería Social Se Puede Utilizar Para Bien Y Para Mal
Como vector de ataque, la ingeniería social se ha utilizado en muchas áreas delictivas diferentes y el ciberdelito no es una excepción. De hecho, muchas empresas de seguridad en Internet destacan continuamente el factor humano como el eslabón más débil de la ciberseguridad. Influir en las personas para que actúen en contra de sus propios intereses o de los intereses de una organización suele ser una solución más sencilla que recurrir al malware o la piratería.
Tanto la aplicación de la ley como la industria financiera indican que la ingeniería social continúa permitiendo a los atacantes que carecen de las habilidades técnicas, la motivación para usarlos o los recursos para comprarlos o contratarlos. Además, la ingeniería social dirigida permite a aquellos técnicamente dotados orquestar ataques combinados sin pasar por las líneas de defensa tanto humanas como de hardware o software.
Amenazas clave en las que está involucrada la ingeniería social:
- Estafas románticas »
- Sextorsión »/ Extorsión en línea
- Estafas de fraude de CEO / compromiso de correo electrónico empresarial (BEC) »
- Phishing / Spearphishing »
- Fraude de tarifas anticipadas (419) »
CADA PERSONA EN EL MUNDO OCCIDENTAL CONOCE A ALGUIEN QUE HA CAÍDO POR ESTAFAS DE INGENIERÍA SOCIAL
Fraude De Ingeniería Social
Los delincuentes explotan la confianza de una persona para averiguar sus datos bancarios, contraseñas u otros datos personales.
Las estafas se llevan a cabo en línea, por ejemplo, por correo electrónico o a través de sitios de redes sociales, por teléfono o incluso en persona.
Algunos ejemplos de fraude de ingeniería social
El fraude de ingeniería social se puede dividir en dos categorías principales:
fraudes masivos, que utilizan técnicas básicas y están dirigidos a un gran número de personas;
Fraudes dirigidos, que tienen un mayor grado de sofisticación y están dirigidos a personas o empresas muy específicas.
Si bien las estafas en sí difieren, los métodos utilizados por los delincuentes generalmente siguen los mismos cuatro pasos:
- Reuniendo información
- Desarrollando una relación
- Explotar las vulnerabilidades identificadas
- Ejecución
Categorias
Entre Los Tipos Más Conocidos De Estafas De Ingeniería Social Se Encuentran:
FRAUDE DE TELECOMUNICACIONES
Los estafadores obtienen el número de teléfono de un individuo, a menudo una persona mayor, luego lo llaman pretendiendo ser un miembro de la familia o un servicio público y alegando que necesitan dinero en efectivo con urgencia.
Piden que se deposite dinero en una cuenta bancaria designada o que se entregue en mano para resolver un reclamo por accidente de tráfico, una deuda de usurero u otra necesidad financiera urgente.
ESTAFAS POR CORREO ELECTRÓNICO
Pretextar implica crear un escenario para involucrar a una víctima objetivo; por ejemplo, hacerse pasar por un director de banco o un inspector de impuestos para convencer al objetivo de que comparta información personal como números de cuenta o contraseñas. Este tipo de estafa requiere que el criminal lleve a cabo una investigación sobre la víctima para que la historia parezca plausible.
El phishing utiliza un escenario más genérico que se envía a un gran número de personas en un intento de atraer a tantas víctimas como sea posible. Esto generalmente se hace por correo electrónico y parece que proviene de una fuente legítima que mucha gente frecuenta, como sitios web populares de compras en línea, empresas de correo electrónico o empresas de soporte técnico informático. Las mismas técnicas también se pueden ejecutar por teléfono (Vishing) o por mensaje de texto (SMishing).
BEC / FRAUDE DE CEO / FRAUDE DE DIRECTOR
Los estafadores recopilan información disponible públicamente, generalmente a través de Internet, sobre la empresa a la que se dirigen.
Averiguan los detalles del director de la empresa y de los gerentes y empleados autorizados para manejar transferencias de efectivo.
Los delincuentes utilizan estos datos para hacerse pasar por el jefe de la empresa y obligar a los empleados a realizar una transferencia de efectivo urgente y de alto valor a una cuenta bancaria designada.
HACKING DE CUENTAS DE CORREO ELECTRÓNICO
Un ciberdelincuente hackea la cuenta de correo electrónico de una persona y envía mensajes a sus amigos, parientes o colegas que afirman estar en problemas, por ejemplo, y que necesitan dinero.
El destinatario no es consciente de que el correo electrónico no proviene en realidad de la persona que conoce, lo que lo hace más dispuesto a ayudar y, por lo tanto, a ayudar al delincuente a obtener dinero o acceder a sus cuentas.
SORTEOS O LOTERIAS
Una persona recibe un mensaje con las siguientes líneas: ‘¡Felicitaciones, usted es el ganador del gran premio! Para reclamar su premio, todo lo que necesita hacer es pagar una tarifa de procesamiento para que podamos liberar sus ganancias ‘.
Muy a menudo, los nombres de empresas u organizaciones populares se utilizan indebidamente para dar a la lotería una impresión de confianza.
A pesar de realizar el pago solicitado, las víctimas nunca reciben los premios esperados.
Otros tipos de ingeniería social a nivel local – las técnicas de estafador incluyen:
-
- Recuperación forense : análisis de materiales desechados de forma no segura (llaves USB, discos duros);
- Quid Pro Quo – Intercambio de información confidencial bajo un malentendido o pretextos falsos;
- Cebo : dejar un dispositivo de almacenamiento infectado para que lo recojan y lo conecten a una computadora;
- Tailgating : seguir a alguien para acceder a instalaciones seguras;
- Robo de desvío : redireccionamiento de un mensajero o transporte de entrega a otra ubicación.
¿Qué Aspecto Tiene Un Ataque De Ingeniería Social?
CORREO ELECTRÓNICO DE UN AMIGO
Si un delincuente logra piratear o diseñar socialmente la contraseña de correo electrónico de una persona, tiene acceso a la lista de contactos de esa persona y, dado que la mayoría de la gente usa una contraseña en todas partes, probablemente también tenga acceso a los contactos de las redes sociales de esa persona.
Una vez que el delincuente tiene esa cuenta de correo electrónico bajo su control, envía correos electrónicos a todos los contactos de la persona o deja mensajes en todas las páginas sociales de sus amigos, y posiblemente en las páginas de los amigos del amigo de la persona.
Aprovechando su confianza y curiosidad, estos mensajes:
-
- Contengan un enlace que solo tiene que verificar, y debido a que el enlace proviene de un amigo y tiene curiosidad, confiará en el enlace y hará clic, y se infectará con malware para que el delincuente pueda apoderarse de su máquina y recopilar su información de contactos y engañarlos como a ti te engañaron
- Contiene una descarga de imágenes, música, películas, documentos, etc., que tiene incrustado software malicioso. Si descarga, lo que probablemente hará ya que cree que es de un amigo, se infectará. Ahora, el delincuente tiene acceso a su máquina, cuenta de correo electrónico, cuentas de redes sociales y contactos, y el ataque se extiende a todos los que conoce. Y así sucesivamente.
CORREO ELECTRÓNICO DE OTRA FUENTE DE CONFIANZA
Los ataques de phishing son un subconjunto de la estrategia de ingeniería social que imita una fuente confiable y elabora un escenario aparentemente lógico para entregar credenciales de inicio de sesión u otros datos personales confidenciales. Según los datos de Webroot, las instituciones financieras representan la gran mayoría de las empresas suplantadas y, según el Informe anual de Investigaciones de Violación de Datos de Verizon, los ataques de ingeniería social que incluyen phishing y pretextos (ver más abajo) son responsables del 93% de las violaciones de datos exitosas.
Usando una historia o un pretexto convincente, estos mensajes pueden:
-
- Pide tu ayuda urgentemente. Su ‘amigo’ está atrapado en el país X, ha sido asaltado, golpeado y está en el hospital. Necesitan que envíes dinero para que puedan llegar a casa y te digan cómo enviar el dinero al delincuente.
- Utilice intentos de phishing con un trasfondo aparentemente legítimo. Por lo general, un phisher envía un correo electrónico, mensajería instantánea, comentario o mensaje de texto que parece provenir de una empresa, banco, escuela o institución legítima y popular.
- Pedirle que haga una donación para su recaudación de fondos de caridad o alguna otra causa. Probablemente con instrucciones sobre cómo enviar el dinero al delincuente. Aprovechando la bondad y la generosidad, estos phishers piden ayuda o apoyo para cualquier desastre, campaña política o caridad que sea momentáneamente lo más importante.
- Presente un problema que requiera que “verifique” su información haciendo clic en el enlace que se muestra y proporcionando información en su formulario. La ubicación del enlace puede parecer muy legítima con todos los logotipos y el contenido correctos (de hecho, los delincuentes pueden haber copiado el formato y el contenido exactos del sitio legítimo). Debido a que todo parece legítimo, confía en el correo electrónico y en el sitio falso y proporciona cualquier información que el delincuente solicite. Estos tipos de estafas de phishing a menudo incluyen una advertencia de lo que sucederá si no actúa pronto porque los delincuentes saben que si pueden hacer que actúe antes de pensar, es más probable que caiga en su intento de phishing.
- Notificarle que es un ‘ganador’. Tal vez el correo electrónico dice ser de una lotería, de un familiar muerto o de la millonésima persona en hacer clic en su sitio, etc. Para poder darle sus ‘ganancias’, debe proporcionar información sobre el enrutamiento de su banco para que sepan cómo envíelo o dé su dirección y número de teléfono para que puedan enviar el premio, y también se le puede pedir que demuestre quién es usted, incluido su número de seguro social. Estos son los ‘phishing codiciosos’ en los que, incluso si el pretexto de la historia es escaso, la gente quiere lo que se ofrece y se deja engañar por revelar su información, luego vaciar su cuenta bancaria y robar su identidad.
- Posa como un jefe o un compañero de trabajo. Es posible que solicite una actualización sobre un proyecto propietario importante en el que su empresa está trabajando actualmente, para obtener información de pago relacionada con una tarjeta de crédito de la empresa o alguna otra consulta que se haga pasar por negocios del día a día.
ESCENARIOS DE CEBO
Estos esquemas de ingeniería social saben que si cuelgas algo que la gente quiere, mucha gente morderá el anzuelo. Estos esquemas se encuentran a menudo en sitios Peer-to-Peer que ofrecen la descarga de algo como una nueva película o música. Pero los esquemas también se encuentran en sitios de redes sociales, sitios web maliciosos que se encuentran a través de los resultados de búsqueda, etc.
O bien, el esquema puede aparecer como una oferta increíblemente buena en sitios clasificados, sitios de subastas, etc. Para disipar sus sospechas, puede ver que el vendedor tiene una buena calificación (todo planeado y elaborado con anticipación).
Las personas que muerden el anzuelo pueden estar infectadas con software malintencionado que puede generar cualquier número de nuevas vulnerabilidades contra ellos mismos y sus contactos, pueden perder su dinero sin recibir el artículo comprado y, si fueron lo suficientemente tontos como para pagar con un cheque, pueden encontrar su cuenta bancaria vacía.
RESPUESTA A UNA PREGUNTA QUE NUNCA TUVO
Los delincuentes pueden pretender responder a su solicitud de ayuda de una empresa y al mismo tiempo ofrecer más ayuda. Eligen empresas que utilizan millones de personas, como una empresa de software o un banco. Si no usa el producto o servicio, ignorará el correo electrónico, la llamada telefónica o el mensaje, pero si utiliza el servicio, es muy probable que responda porque probablemente desee ayuda con un problema. .
Por ejemplo, aunque sepa que originalmente no hizo una pregunta, probablemente tenga un problema con el sistema operativo de su computadora y aproveche esta oportunidad para solucionarlo. ¡Gratis! En el momento en que respondes, has comprado la historia del ladrón, les has dado tu confianza y te has abierto a la explotación.
El representante, que en realidad es un delincuente, tendrá que ‘autenticarlo’, que inicie sesión en ‘su sistema’ o que inicie sesión en su computadora y les dé acceso remoto a su computadora para que puedan ‘arreglarlo’ por usted, o le dirá los comandos para que pueda solucionarlo usted mismo con su ayuda, donde algunos de los comandos que le dicen que ingrese abrirán un camino para que el delincuente vuelva a su computadora más tarde.
CREANDO DESCONFIANZA
Alguna ingeniería social tiene que ver con crear desconfianza o iniciar conflictos; Estos a menudo los llevan a cabo personas que conoces y que están enojadas contigo, pero también lo hacen personas desagradables que solo intentan causar estragos, personas que primero quieren crear desconfianza en tu mente sobre los demás para luego intervenir como un héroe y ganarse su confianza, o por extorsionistas que quieren manipular información y luego amenazarlo con revelarla.
Esta forma de ingeniería social a menudo comienza obteniendo acceso a una cuenta de correo electrónico u otra cuenta de comunicación en un cliente de mensajería instantánea, red social, chat, foro, etc. Lo logran mediante piratería, ingeniería social o simplemente adivinando contraseñas realmente débiles.
-
- La persona malintencionada puede alterar las comunicaciones confidenciales o privadas (incluidas imágenes y audio) utilizando técnicas de edición básicas y reenviarlas a otras personas para crear drama, desconfianza, vergüenza, etc. Pueden hacer que parezca que se envió accidentalmente o que parezca le están haciendo saber lo que “realmente” está sucediendo.
- Alternativamente, pueden usar el material alterado para extorsionar a la persona que piratearon o al supuesto destinatario.
Hay literalmente miles de variaciones en los ataques de ingeniería social. El único límite al número de formas en que pueden diseñar socialmente a los usuarios a través de este tipo de exploits es la imaginación del criminal. Y puede experimentar múltiples formas de exploits en un solo ataque. Entonces, es probable que el delincuente venda su información a otros para que ellos también puedan ejecutar sus hazañas contra usted, sus amigos, los amigos de sus amigos, etc., ya que los delincuentes aprovechan la confianza fuera de lugar de las personas.
COMPARTE NUESTROS ARTÍCULOS CON TUS AMIGOS Y FAMILIA
AYUDE A OTROS A MANTENERSE SEGUROS EN LÍNEA: ¡SU CONOCIMIENTO PUEDE HACER LA DIFERENCIA!
Equipo SCARS|LATINOAMERICA™
Una División SCARS™
Monterrey, Nuevo León, México
Society of Citizens Against Relationship Scams Inc.
Una organización mundial sin fines de lucro de asistencia a las víctimas de delitos
Para obtener más información o donar, visite: www.AgainstScams.org
Contacta con nosotras Contacto@ContraEstafas.org
Leave A Comment