Preguntas Frecuentes Contra Estafas: ¿Qué Es Un Ataque De Ingienería Social?

Respuesta:

En un ataque de ingeniería social, un atacante utiliza la interacción humana (habilidades sociales) para obtener o comprometer información sobre una organización o sus sistemas informáticos. Un atacante puede parecer modesto y respetable, posiblemente afirmando ser un nuevo empleado, reparador o investigador e incluso ofreciendo credenciales para respaldar esa identidad. Sin embargo, al hacer preguntas, él o ella puede reunir suficiente información para infiltrarse en la red de una organización. Si un atacante no puede recopilar suficiente información de una fuente, puede comunicarse con otra fuente dentro de la misma organización y confiar en la información de la primera fuente para aumentar su credibilidad.

¿Qué es un ataque de phishing?

El phishing es una forma de ingeniería social. Los ataques de phishing usan correo electrónico o sitios web maliciosos para solicitar información personal haciéndose pasar por una organización confiable. Por ejemplo, un atacante puede enviar un correo electrónico aparentemente de una compañía de tarjetas de crédito o una institución financiera de buena reputación que solicita información de la cuenta, lo que a menudo sugiere que hay un problema. Cuando los usuarios responden con la información solicitada, los atacantes pueden usarla para obtener acceso a las cuentas.

También puede parecer que los ataques de phishing provienen de otros tipos de organizaciones, como organizaciones benéficas. Los atacantes a menudo aprovechan los eventos actuales y ciertas épocas del año, como

  • Desastres naturales (p. ej., el huracán Katrina, el tsunami de Indonesia)
  • Epidemias y amenazas de salud (p. ej., H1N1, COVID-19)
  • Preocupaciones económicas (p. ej., estafas del IRS )
  • Grandes elecciones políticas
  • Días festivos

¿Qué Es Un Ataque Vishing ?

Vishing es el enfoque de ingeniería social que aprovecha la comunicación de voz. Esta técnica se puede combinar con otras formas de ingeniería social que incitan a la víctima a llamar a un determinado número y divulgar información confidencial. Los ataques de vishing avanzados pueden tener lugar completamente a través de comunicaciones de voz al explotar las soluciones de Voz sobre Protocolo de Internet ( VoIP ) y los servicios de transmisión. VoIP permite falsificar fácilmente la identidad de la persona que llama (ID), lo que puede aprovechar la confianza indebida del público en la seguridad de los servicios telefónicos, especialmente los servicios de línea fija. La comunicación de línea fija no puede ser interceptada sin acceso físico a la línea; sin embargo, esta característica no es beneficiosa cuando se comunica directamente con un actor malicioso.

¿Qué Es Un Ataque De Smishing ?

Smishing es una forma de ingeniería social que explota los mensajes SMS o de texto. Los mensajes de texto pueden contener enlaces a cosas como páginas web, direcciones de correo electrónico o números de teléfono que, al hacer clic, pueden abrir automáticamente una ventana del navegador o un mensaje de correo electrónico o marcar un número. Esta integración de la funcionalidad de correo electrónico, voz, mensajes de texto y navegador web aumenta la probabilidad de que los usuarios sean víctimas de actividades maliciosas diseñadas.

¿Cuáles Son Los Indicadores Comunes De Los Intentos De Phishing?

  • Dirección Del Remitente Sospechoso. La dirección del remitente puede imitar un negocio legítimo. Los ciberdelincuentes suelen utilizar una dirección de correo electrónico que se parece mucho a la de una empresa de renombre alterando u omitiendo algunos caracteres.
  • Saludos Genéricos Y Firma. Tanto un saludo genérico, como “Estimado cliente valioso” o “Señor/señora”, como la falta de información de contacto en el bloque de la firma son fuertes indicadores de un correo electrónico de phishing. Una organización de confianza normalmente se dirigirá a usted por su nombre y le proporcionará su información de contacto.
  • Hipervínculos Y Sitios Web Falsificados.  Si pasa el cursor sobre cualquier enlace en el cuerpo del correo electrónico y los enlaces no coinciden con el texto que aparece al pasar el cursor sobre ellos, es posible que el enlace sea falsificado. Los sitios web maliciosos pueden parecer idénticos a un sitio legítimo, pero la URL puede usar una variación en la ortografía o un dominio diferente (por ejemplo, .com vs. .net). Además, los ciberdelincuentes pueden utilizar un servicio de acortamiento de URL para ocultar el verdadero destino del enlace.
  • OrtografíA Y Diseño. La gramática y la estructura de las oraciones deficientes, las faltas de ortografía y el formato inconsistente son otros indicadores de un posible intento de phishing. Las instituciones acreditadas cuentan con personal dedicado que produce, verifica y corrige la correspondencia de los clientes.
  • Archivos Adjuntos Sospechosos. Un correo electrónico no solicitado que solicita que el usuario descargue y abra un archivo adjunto es un mecanismo de entrega común para el malware . Un ciberdelincuente puede usar una falsa sensación de urgencia o importancia para persuadir a un usuario de que descargue o abra un archivo adjunto sin examinarlo primero.

¿Cómo Evitar Ser Víctima?

  • Sospeche de llamadas telefónicas, visitas o mensajes de correo electrónico no solicitados de personas que preguntan sobre empleados u otra información interna. Si un individuo desconocido dice ser de una organización legítima, intente verificar su identidad directamente con la empresa.
  • No proporcione información personal o información sobre su organización, incluida su estructura o redes, a menos que esté seguro de la autoridad de una persona para obtener la información.
  • No revele información personal o financiera por correo electrónico, y no responda a solicitudes de correo electrónico para obtener esta información. Esto incluye los siguientes enlaces enviados por correo electrónico.
  • No envíe información confidencial a través de Internet antes de verificar la seguridad de un sitio web.
    • Preste atención al Localizador Uniforme de Recursos (URL) de un sitio web. Busque direcciones URL que comiencen con “https”, una indicación de que los sitios son seguros, en lugar de “http”.
    • Busque el ícono de un candado cerrado, una señal de que su información será encriptada.
  • Si no está seguro de si una solicitud de correo electrónico es legítima, intente verificarla comunicándose directamente con la empresa. No utilice su información de contacto proporcionada en un sitio web conectado a la solicitud; en su lugar, consulte las declaraciones anteriores para obtener información de contacto. La información sobre ataques de phishing conocidos también está disponible en línea de grupos como el Grupo de Trabajo Anti-Phishing. (Consulte los  documentos de investigación sobre delitos electrónicos del APWG).
  • Instale y mantenga software antivirus , cortafuegos y filtros de correo electrónico para reducir parte de este tráfico.
  • Aproveche las funciones antiphishing que ofrece su cliente de correo electrónico y su navegador web.
  • Hacer cumplir la autenticación multifactor (MFA).

¿Qué Haces Si Crees Que Eres Una Víctima?

  • Si cree que podría haber revelado información confidencial sobre su organización, informe a las personas adecuadas dentro de la organización, incluidos los administradores de red. Pueden estar alerta ante cualquier actividad sospechosa o inusual.
  • Si cree que sus cuentas financieras pueden verse comprometidas, comuníquese con su institución financiera de inmediato y cierre cualquier cuenta que pueda haberse visto comprometida. Esté atento a cualquier cargo inexplicable en su cuenta.
  • Cambie inmediatamente cualquier contraseña que haya revelado. Si usó la misma contraseña para varios recursos, asegúrese de cambiarla para cada cuenta y no use esa contraseña en el futuro.
  • Esté atento a otros signos de robo de identidad .
  • Considere informar el ataque a la policía y presente un informe ante la  Comisión Federal de Comercio..