Famosos ataques de ingeniería social: 12 estafas ingeniosas
Famosos ataques de ingeniería social: 12 estafas ingeniosas
Los seres humanos son criaturas esencialmente sociales. Nos gusta ayudarnos unos a otros. Generalmente favorecemos a las personas que están en posiciones más altas de la jerarquía que nosotros. Tendemos a confiar en que las otras personas son honestas, quieren decir lo que dicen y son quienes dicen ser, porque cuestionar cualquiera de esas cosas sin un buen motivo es descortés.
Lamentablemente, estas sutilezas sociales pueden convertirnos en el eslabón más débil de la seguridad de la información. Con frecuencia, los hackeos no resultan de fallas técnicas, sino de lo que se conoce como ingeniería social: seres humanos que se dejan convencer de bajar la guardia. Muchas de las técnicas son tan antiguas como el propio arte del engaño, pero fueron actualizadas para la era digital.
Considere los ejemplos de ataques de ingeniería social a continuación como historias de advertencia.
La carrera salvaje de Kevin Mitnick
Kevin Mitnick fue uno de los hackers más notorios de la era informática de los años 80 y 90. Sus hazañas estaban motivadas por la curiosidad, no por el lucro, y la ingeniería social era su superpoder. Este es un truco clásico de Mitnick: en 1979, con apenas 16 años, se hizo amigo de algunos hackers que habían encontrado el número de un módem dial-up del sistema que Digital Equipment Corporation (DEC) usaba para el desarrollo de su sistema operativo, pero le dijeron que era inútil porque no tenían un nombre de cuenta ni contraseña. Mitnick simplemente llamó al gerente de sistemas de DEC, afirmó ser Anton Chernoff, uno de los principales desarrolladores de la empresa, y dijo que tenía problemas para iniciar sesión; de inmediato recibió un inicio de sesión que proporcionaba acceso de alto nivel al sistema . (Mitnick, ya reformado,.)
Hermanos en el crimen
Los hackers más famosos de Oriente Medio en la década de 1990 fueron Muzher, Shadde y Ramy Badir, tres hermanos árabes israelíes que eran ciegos de nacimiento. Los objetivos favoritos de los Badir eran las compañías telefónicas – en cierto momento operaban sus propias telecomunicaciones clandestinas y le cobraban a una estación de radio del ejército israelí todo el ancho de banda – y muchas de sus estafas se lograron mediante técnicas de ingeniería social, como llamar a las sedes de compañías telefónicas afirmando ser ingenieros de campo o conversar con secretarias para obtener detalles sobre sus jefes que les ayudarían a adivinar contraseñas. Pero los Badir tenían habilidades absolutamente únicas: podían causar estragos imitando voces a la perfección (la del investigador de fraudes que les seguía la pista, por ejemplo) y podían identificar el PIN de un teléfono solo con oír a alguien marcarlo desde el otro lado de la sala.
Manchando la reputación de HP
En 2005 y 2006, Hewlett-Packard (HP) se vio atormentada por luchas internas corporativas y la dirección estaba convencida de que un miembro del consejo filtraba información privilegiada a los medios. HP contrató investigadores privados para investigar las comunicaciones de su propio consejo, lo que hicieron mediante pretextos, un término para una forma de ingeniería social que el escándalo posterior llevó a la atención nacional. Armados solo con los nombres de los miembros del consejo y los últimos cuatro dígitos de sus números de seguridad social, los investigadores lograron llamar a AT&T y convencerlos de proporcionar acceso a los registros detallados de llamadas de las víctimas. Aunque la dirección de HP afirmó no haber autorizado estas técnicas, la caída provocó varias renuncias; y aunque usar pretextos para obtener registros financieros ya era ilegal, el escándalo también resultó en una ley federal más estricta contra la práctica.
Algún día vendrá mi Príncipe
Los correos de «príncipes nigerianos» que piden ayuda para sacar grandes sumas de dinero del país son tema común de bromas en internet – pero también son trampas de ingeniería social que han atraído a incautos, incluso a quienes deberían saber más. En 2007, el tesorero de un condado poco poblado de Michigan robó hasta US$ 1,2 millones de dinero público como parte de un fraude nigeriano de pago por adelantado, diciendo a sus amigos que pronto se jubilaría cómodamente y que volaría a Londres para recibir el dinero que creía haber «ganado». Regresó a EE. UU. con las manos vacías y pronto fue arrestado.
Turbulencia en los tabloides
De 2009 a 2011, el panorama de los medios del Reino Unido fue sacudido por revelaciones de que los tabloides británicos habían contratado investigadores durante años para invadir el buzón de voz del celular de diversos objetivos en busca de historias; las víctimas iban desde estrellas de cine hasta cortesanos reales. Particularmente impactante fue la revelación de que los investigadores podrían haber borrado mensajes de voz dejados a una niña asesinada , dando a sus padres falsas esperanzas de que estaba viva.
Aunque las técnicas empleadas variaban, uno de los métodos principales era el uso de pretextos, conocido en la jerga británica como «blagging»; por ejemplo, un investigador convenció al personal de Vodafone de restablecer el PIN del buzón de voz de la actriz Sienna Miller afirmando ser » John del control de crédito «. (En otros casos, los investigadores simplemente pudieron adivinar el PIN , que muchos usuarios nunca cambian del predeterminado.)
Un pequeño phishing abre grandes agujeros
El phishing , aunque algo impersonal, es definitivamente un tipo de ingeniería social, ya que se centra en intentar persuadir a la víctima de abrir un archivo o ejecutar una aplicación que no debería mediante algún tipo de cebo tentador. En 2011, en una violación extremadamente vergonzosa para la potencia de seguridad de la información RSA, al menos dos empleados de bajo nivel abrieron un archivo llamado » Plan de reclutamiento 2011.xls » de un remitente desconocido (la perspectiva de una oferta de empleo es un cebo de phishing común). La hoja de cálculo contenía una macro que instaló una puerta trasera en sus computadoras, un compromiso que redujo la eficacia del producto principal SecurID de RSA y le costó a la empresa US$ 66 millones.
Presa bebiendo en el abrevadero
La ingeniería social funciona en parte al comprender los comportamientos de las víctimas, como dónde les gusta pasar el tiempo – y eso también puede incluir el tiempo en línea. Los ataques watering hole se consideran un ataque de ingeniería social en el sentido de que los hackers comprometen sitios web donde saben que sus objetivos permanecen. En 2013, los hackers lograron insertar JavaScript malicioso en la página Site Exposure Matrices (SEM) del Departamento de Trabajo de EE. UU., que contiene datos sobre sustancias tóxicas presentes en las instalaciones del Departamento de Energía. Obviamente, la página era visitada con frecuencia por empleados del Departamento de Energía – y los atacantes lograron infectar algunas de sus computadoras con Poison Ivy, un troyano de acceso remoto .
Conozca al nuevo «jefe»
En 2015, Ubiquiti Networks, fabricante de equipos de red, fue víctima de lo que se conoce como «compromiso del correo electrónico empresarial» – o, más comúnmente, un » fraude del CEO «. Los atacantes enviaron correos a los empleados del departamento financiero de la filial de Ubiquiti en Hong Kong, afirmando ser un alto ejecutivo, y solicitaron transferencias electrónicas a cuentas de «terceros» – cuentas bajo el control de los criminales. Ubiquiti no quiso revelar exactamente cómo fue engañado el personal de finanzas; como la empresa dijo que no había «ninguna evidencia de que nuestros sistemas fueron invadidos», es probable que los hackers hayan usado una técnica como una URL similar para lograr el engaño.
Inteligencia insegura
En 2015 y 2016, el adolescente británico Kane Gamble logró acceder a cuentas de internet de hogar y de trabajo de importantes figuras de la inteligencia de EE. UU. usando la ingeniería social como punto de entrada . Por ejemplo, llamó a Verizon y los convenció de concederle acceso a la cuenta de correo electrónico del director de la CIA, John Brennan, a pesar de no poder responder la pregunta de seguridad de Brennan (su primera mascota); llamó a un help desk del FBI afirmando ser el subdirector Mark Giuliano y los convenció de concederle acceso a la cuenta de Giuliano, aunque la agencia sabía que había un hackeo en curso. Una vez dentro de las computadoras de sus objetivos, filtró información confidencial y causó otros estragos; por ejemplo, desviaba las llamadas telefónicas del director de Inteligencia Nacional, Dan Coats, al Movimiento Palestina Libre.
El spear phishing que cambió una elección
El spear phishing es una variante especializada del phishing en la que los atacantes intentan engañar a un objetivo de alto valor para que revele información confidencial y, para los hackers patrocinados por Rusia en 2016, no había objetivo de mayor valor que el jefe de campaña de Hillary Clinton, John Podesta. Podesta recibió un correo falso de «restablecimiento de cuenta» que parecía ser de Google, pidiéndole que iniciara sesión y cambiara su contraseña; el dominio real del enlace, oculto detrás de un acortador bit.ly, era myaccount.google.com-securitysettingpage.ml.
Podesta desconfió, pero uno de los asesores que consultó cometió el error de tipeo más importante de la historia en un correo, diciendo «este es un correo legítimo» cuando quería escribir «ilegítimo». Podesta introdujo la información de su cuenta y los hackers rusos lograron acceder y filtrar sus correos, lo que ayudó a hundir la campaña de Clinton.
La excusa de «es mi primer día»
En 2016, un hacker anónimo invadió una red interna del Departamento de Justicia de EE. UU. y divulgó en línea miles de registros personales de agentes del FBI y del DHS. El ataque comenzó cuando el hacker de alguna forma obtuvo el control de una dirección de correo del DoJ, pero pudo hacer el movimiento más importante mediante ingeniería social, como se jactó ante Motherboard . Cuando no logró entrar al portal del DoJ para empleados, «llamé, les dije que era nuevo y que no entendía cómo pasar [eso]», dijo. «Me preguntaron si tenía un código de token, dije que no, y me dijeron que no había problema – que usara el de ellos.» De inmediato tuvo acceso a la intranet del DoJ.
Ceguera ante los cuadros de diálogo
A estas alturas, todos estamos acostumbrados a los cuadros de diálogo que aparecen en nuestra computadora pidiéndonos confirmar alguna acción potencialmente riesgosa – y pueden adaptarse para manipularnos durante un ataque de ingeniería social. En 2017, una ola de correos de phishing alcanzó a objetivos ucranianos e incluía un documento de Microsoft Word adjunto con código de macro malicioso. Si las macros estaban deshabilitadas, los usuarios veían un cuadro de diálogo especialmente creado , diseñado para parecerse específicamente a uno de Microsoft, para persuadirlos de permitir la ejecución del código de la macro. (Si se ejecutaba, el código instalaba una puerta trasera en la computadora que permitía a los atacantes escuchar a través del micrófono del usuario.) La lección, como en todos estos incidentes: mire siempre dos veces antes de hacer clic o decir que sí.
FUENTES: CSO ONLINE
Preguntas Frecuentes
¿Qué son los ataques famosos de ingeniería social?
Los ataques famosos de ingeniería social son un concepto importante abordado en este artículo. Entienda sus fundamentos y aplicaciones prácticas.
¿Cómo aplicar estas lecciones en la práctica?
Siga las recomendaciones de esta guía para proteger su empresa contra la ingeniería social de forma eficiente y segura.
¿Cuáles son los principales beneficios de conocer estos ataques?
Conocer los ataques de ingeniería social aporta ganancias en concientización, seguridad y reducción de costos.