Introducción a la ingeniería social.
Aquí vamos a comenzar a hablar sobre algunos aspectos relacionados con técnicas no emparentadas directamente
con la tecnología sino más bien que van a estar relacionadas con las relaciones entre personas y lo
que puedes obtener de ellas.
También vamos a ver algunos tipos de contacto que pueden darse y sus peligros asociados y por supuesto
algunas formas de protegerte de todo esto.
Recuerdas el principio cuando vimos el video de los hackers en una oportunidad se utilizó parte de lo
que es la ingeniería social y esto es una de las partes fundamentales de lo que es la seguridad o lo
que puede llegar a ser un ataque a través de Jakin.
Muchos tienen el concepto de que el hackeo es simple y llanamente el hecho de ingresar a una computadora
de otra persona y solventar este problema o ingresar directamente a ese sistema y verificar qué es lo
que tienes.
Sin embargo el hacking como tal contiene otras herramientas que también son sumamente importantes y
una de ellas es ésta la que es denominada la ingeniería social en este caso podemos decir que la ingeniería
social es un método que no es técnico y que es un método no técnico para observar información sobre
un sistema y está basado en un factor humano y que puede ser utilizado en el contexto de un ataque.
Esto incluye cosas como engañar a los usuarios para que brinden cierta información que no deberían brindar
por su importancia o sensibilidad.
Asimismo la ingeniería social también supone el uso de distintos métodos ya sea personales o que explotan
la tendencia natural de las personas a confiar y ayudar a otros.
En principio lo que te tengo aquí en pantalla es el principio que sustenta la ingeniería social y como
puedes darte cuenta tenemos tres eslabones sumamente importantes uno que son las redes otro que es el
proceso y por último el usuario cómo puede darte cuenta.
Aquí el usuario es el eslabón más débil de la cadena y esto es porque son más vulnerables como te acabo
de comentar hace algunos instantes.
1.
Muchas veces puede tender inclusive a confiar en las personas e inocentemente podemos llegar a confundir
o hacer presas de un ataque si no somos precavidos.
Ahora existen varios elementos que debo nombrarte en este momento que se aprovecha mucho en ingeniería
social para obtener mucha información.
Esto tiene que ver con características propias de las personas o actitudes que pueden forzar comportamientos.
Algunos de estos elementos son 1 la confianza que es el creer en las personas y esto hace que no dudemos
de su buena voluntad.
Asimismo también la ignorancia que es la falta de educación lo que promueve la manipulación fácil de
los individuos.
También tenemos un factor de miedo que es en el cual la amenaza por incumplimiento puede doblegar la
voluntad de cualquier persona.
También tenemos el factor de codicia el cual te lleva a aceptar algo en base a una falsa promesa.
También tenemos el factor de el deber moral que nos lleva al cumplimiento por una obligación moral más
no algo que debamos hacer.
Asimismo tenemos lo que es la intimidación que es la simulación de una figura de autoridad.
Esto ocurre bastante en más que todo en Latinoamérica.
Hay personas que a través de la intimidación tienden a simular autoridad y estos a su vez pueden conseguir
lo que desean.
Eso es parte de ingeniería social también tenemos algo que nunca falta que son los hablantes o la adulación
que es que evidentemente a todos les gusta que lo halaguen y estas personas son especialistas en adular
para conseguir lo que desean.
Asimismo también tenemos uno de los elementos es la ayuda que es el ofrecimiento de ayuda para generar
cierta confianza y así obtener información.
Hace unos años yo trabajé con un compañero de trabajo el cual era muy bueno en cuanto a lo que era la
o el romper o verificar la sistemas siempre tenemos nosotros a pensar que como te acabo de indicar hace
unos instantes el Jaqen es simple y llanamente ingresar por la computadora al equipo del otro pues esto
no es así.
Fíjate este compañero que yo tenía acostumbrábamos ir a un sitio de comidas en el cual él se dio cuenta
que cada vez que él llevaba una factura sin marcar digámoslo así la persona o el cajero le entregaba
un helado o unas papas fritas o lo que él deseara.
Dependiendo de lo que dijera la factura siempre y cuando no estuviese marcada.
él verificó esto y se dio cuenta de que había una brecha dentro del sistema con la cual él podía aprovecharse
y siempre que íbamos a comer porque éramos compañeros de trabajo él por lo general se llevaba dos helados
o tres papas fritas.
Entonces evidentemente era gordito y comía muchísimo y siempre vulneraba el sistema hasta que evidentemente
en un momento se dieron cuenta de esto y comenzaron a tachar las órdenes.
Eso es hacking es decir ingeniería social verificar las debilidades de las personas dentro de los sistemas
que pueden o no deben ser necesariamente computacionales o informáticos una técnica también muy común
consiste en simular ser un empleado de alto rango como por ejemplo ser un ejecutivo o un gerente o un
director el cual necesita una acción inmediata de parte de alguna persona.
Muchas veces la intimidación con la actitud correcta logra que nadie pueda cuestionar esta actitud y
menos la de un superior en posición de autoridad.
Estos se aprovechan también para obtener la información deseada así que debemos estar muy atentos a
todo esto que te estoy comentando.
En cuanto a la ingeniería social hay un término muy utilizado dentro de lo que es la ingeniería social
que es la paranoia para principiantes esto es un término utilizado en psiquiatría y describe un estado
de salud el cual se caracteriza por la presencia de delirios autorreferente.
Según la Real Academia Española ésta es una perturbación mental fijada una idea o un orden de ideas
y es habitual calificar de paranoico a alguien que sostiene relaciones radicales basadas en sospechas.
Aunque suele existir un núcleo de verdad en tanto que todos tenemos un poco de paranoia en una sana
proporción muchas veces las personas que trabajan o que trabajamos con seguridad tendemos a tener un
cierto grado mayor de paranoia a la de los demás y esto es motivado a que la seguridad se basa en parte.
A esta paranoia si yo como agente de seguridad bien sea informático yo debo verificar que mis sistemas
estén o que no sean totalmente vulnerados.
Qué tengo que pensar siempre en que el otro puede realizar algún tipo de maniobra para realizar el ataque
y siempre estar por encima de él.
No debo esperar que esta persona o el atacante realice el ataque ya que puede que me lleven la delantera
y esto ocasionar muchos problemas de seguridad o brechas dentro de mis sistemas.
Muchas veces encontrar la información depende también del uso correcto de ciertos métodos de hecho puede
suceder que los medios técnicos sean suficientes para obtener algo que por otras vías sí puede conseguirse.
En este caso vamos a traer algunas técnicas relacionadas con nuestros sentidos de la vista y el oído
más un poco de sagacidad.
Ahora si ves esta imagen vamos a realizar algo que se llama inspección visual.
En esta primera imagen esta es una simple técnica de inspección visual que está relacionado con los
descuidos de los usuarios como por ejemplo las páginas web y los correos personales abiertos.
Asimismo como documentos cargados y más cosas que pueden haber dentro de las computadoras en este caso
no es necesario ser demasiado sigiloso para verificar información visual que está a la vista directa
de cualquiera.
Incluso muchas personas se prestan o prestan sus equipos de trabajo por unos instantes a sus compañeros
y sus documentos.
Asimismo como aplicaciones permanecen abiertos a riesgo de que puedan revelar información.
Otro uso de la inspección visual es sobre la disposición de nuestros elementos de habla que habla mucho
de nuestra manera de comportarnos y de la organización que tenemos nosotros dentro de lo que puede ser
nuestro puesto de trabajo.
Una técnica conocida para causar muchas veces a usuarios incautos es dejar pendrives olvidados que incluyan
algún troyano que envía información al atacante que por curiosidad agarra este pendrive y lo conecta
a su equipo.
Lo más interesante de este método es que es sumamente sencillo y sólo cuesta un pendrive que su valor
es sumamente bajo en el mercado.
Ahora otra técnica es lo que llamamos el 2 o fin en inglés que sería el surfeo de hombro.
El surfeo de hombro consiste en espiar a los usuarios que en algún momento determinado como cuando ingresan
sus claves.
Esta consiste en algún momento determinado como cuando ingresa en las claves una ayuda para este ejemplo
que cuando tecleamos nuestra contraseña el equipo enmascara con asteriscos o algún otro carácter la
contraseña.
Sin embargo esto no evita que el teclado sea espiado en general y para complicar la tarea de los curiosos
atacantes se recomienda utilizar claves que sean rápidas y cómodas para escribir pero difíciles.
En cuanto a los caracteres que contienen esto también vamos a hablar un poco más adelante en el curso
también tenemos lo que es el trajín que implica la recolección de residuos de cestos bolsas y contenedores
y que se utiliza para encontrar bienes o datos en lugares públicos o privados en general quienes lo
realizan trabajan para otras personas y la práctica no se relaciona necesariamente con la pobreza o
la falta de recursos.
En ciertos países esta es una práctica ilegal no puedes sacar nada del cesto de basura de ninguna persona
dentro de la oficina.
Los recolectores por lo general buscan información que les permita conocer datos privados en el descarte
de pertenencias bien sea arrojando cosas a la basura anotaciones claves números telefónicos de personas
de contacto indicadores de red etcétera.
Pero al fin y al cabo quién no ha arrojado su vida laboral algo al cesto de basura o alguna información
importante al cesto de basura.
Entonces siempre debemos estar atentos a esto.
Por eso muchas veces antes de votar las cosas papeles o anotaciones que tendemos a hacer en la oficina
es buena práctica romper cada uno de los papeles que nosotros tenemos en la oficina para de esta manera
evitar esta parte de trajín.
Ahora hay otra técnica que es evidente que escucha cotidiana.
Esta técnica requiere cierto nivel de sutileza y es necesario también tiene un oído muy afinado ya que
la escucha de conversaciones lo que implica prestar atención a diálogos entre personas.
éstas pueden ser accesibles ya que en cualquier restaurante bar comedor la distancia entre las personas
suele ser tan corta que permite oír alrededor.
Lo mismo ocurre en ascensores de muchas que hay muchas voces la gente habla y cuenta cosas personales
y de trabajo.
En líneas generales suele aplicarse esto en cualquier lugar concurrido como lo es la sala de espera
las oficinas los pasillos e incluso en transportes públicos.
Es por esto que debemos tener sumo cuidado al comunicarnos entre desconocidos.
Hay algunas personas que también han desarrollado la habilidad de leer los labios ya que estas personas
tienen un don natural para saber qué es lo que estamos diciendo y recordar cada una de las conversaciones.
Algunas técnicas avanzadas de lo que es ingeniería social incluyen todo tipo de tretas así como trucos
que actúan en pos de obtener información sobre personas y organizaciones.
Claro que se pueden desarrollar técnicas como te acabo de indicar.
Mucho más refinadas pero se requieren muchas veces cierto grado de experiencia para ser utilizadas también
dentro de lo que es la ingeniería social.
Tenemos algo que seguramente has escuchado que es la programación neurolingüística que es un modelo
de funcionamiento entre la mente y el procesamiento de la información.
Así una experiencia para lo que es el desarrollo personal y se aplica en áreas como lo que es la psicoterapia
y la educación.
Hay estudios de la estructura de la experiencia subjetiva que hacen referencia a procesos y no contenidos
y proporcionan herramientas para la comunicación.
También esto estudia la percepción a través de los sentidos como lo es el olfato el gusto el tacto.
Asimismo estudia todo lo que es nuestra organización del mundo y cómo lo percibimos.
Respecto a esto te permite conocer la percepción de otras personas sobre su realidad por lo que hace
posible conocer datos que ni las propias personas saben de sí mismas.
La programación neurolingüística es sumamente importante en esta fase de Jakin y muchas personas no
saben que esto es jaquear piensan que no que con el manejo de la información es simple y llanamente
a través de la computadora y como te acabo de indicar hace unos instantes eso no es verdad.
También tenemos algo que se llama la lectura en frío que también tenemos algo que se llama la lectura
en frío que es un conjunto de técnicas para obtener información sobre las personas.
Decimos que es enfrío porque empezamos sin conocimiento previo y comenzamos a interpretar ciertas características
de la persona.
Para ello se utilizan especulaciones de alta probabilidad sobre el sujeto recogiendo detalles sobre
los aciertos.
Asimismo como haciendo conjeturas y luego reforzando lo que las personas reconozcan como formas válidas
alguien experimentado puede conseguir rápidamente información acerca de un sujeto mediante el análisis
y la observación de elementos superficiales tales como por ejemplo lo que es el lenguaje corporal la
forma de hablar la vestimenta la apariencia el género la edad la religión.
Asimismo el origen étnico y muchas otras características más.
Por otra parte también debemos lo que es la ingeniería social inversa ingeniería social inversa.
A diferencia de lo que ya te he explicado describe una situación en la que la víctima realiza un contacto
inicial y ofrece al atacante la información que éste deseaba.
Por ejemplo una persona tiene un problema y contacta a alguien que le pueda brindar una solución cuando
en realidad esta persona es quien creó el problema y la situación está bajo control absoluto de este
último.
En este caso es el atacante.
Esta técnica de crear problemas es muy usual y se aplica en la mayoría de los casos ya que sea de manera
activa provoca el problema o pasiva que está esperando que el problema surja.
La defensa contra esta técnica es un gran desafío debido a que es la víctima la que busca al atacante
eliminando sospechas sobre su buena o mala conducta.
También tenemos lo que es el robo de identidad el robo de identidad se refiere a un delito donde la
persona utiliza la documentación y datos identificatorios de otras para realizar operaciones.
Muchas veces son financieras que evidentemente son conductas delictivas.
Asimismo como de pasaportes de documentos de identidad y es importante destacar que muchas leyes no
brindan suficiente protección para los casos de identidad robada y esto es algo que ha ocurrido desde
hace muchísimo tiempo.
También tenemos por otra parte que recordar que el contacto es todo el contacto entre el atacante y
la víctima puede realizarse de distintas maneras como por ejemplo por medio de Internet teléfono o bien
sea directamente de persona a persona.
Cada caso tiene ventajas y desventajas.
Cómo te voy a mostrar a continuación el contacto online.
En el caso del contacto on line este incluye la navegación del correo electrónico los sistemas de mensajería
instantánea así como lo que son las redes sociales y las comunidades virtuales.
Los peligros asociados son similares pero deben ser tenidos en cuenta por separado no puedes ligar uno
con otro lo que es el sitio web y el phishing los sitios web pueden ser simples páginas para navegar
o completos sistemas de recolección de datos dependiendo del objetivo con el que fueron programados.
Muchas veces los sitios maliciosos pueden incluir una verificación de vulnerabilidades en el equipo
del cliente para así explotarla o bien inyectar algunos scripts spyware o otro tipo de malware para
infectar y así robar sus datos personales.
Debemos estar atentos a esta práctica la cual se ha utilizado se incrementó muchísimo recientemente
en el correo electrónico.
Evidentemente muchos o gran parte del phishing se realizan en el correo electrónico.
Muchas veces se tienden a recibir mensajes de email a través de cuentas supuestamente por ejemplo actual
20 está muy de moda Netflix y asimismo algunos sistemas de pago y tienden a enviarte correos electrónicos
indicando por ejemplo que tu cuenta fue suspendida por una razón o motivo y esto es con el fin de que
tu introduzca tus datos de tarjeta de crédito tus contraseñas para Netflix y todos este tipo de información
lo cual ellos utilizan para realizar ciertas fechorías.
En el caso de las redes sociales debemos recordar que las redes sociales es una estructura social en
la que hay individuos y también existen relaciones de distintos tipos entre ellos.
Al aparecer sitios web que brindan la funcionalidad de interconectar personas nacen estas redes sociales
virtuales.
Ellas debemos recordar que presentan un medio ideal para conectarse con amigos posibles socios comerciales
y también para averiguar ciertos datos por ejemplo cuando vamos a incluir aplicaciones de terceros.
Se ha convertido por ejemplo las redes sociales en lugares muy peligrosos ya que no son del todo controladas
ni controlables aunque sí se limitarán en ciertos aspectos se restaría cierto atractivo y funcionalidad
a estas redes.
Lo que hace único al problema es la solución del compromiso existente dentro de la necesidad de estar
presente en la red pero a la vez estar protegido.
Por lo tanto debemos mantener cierta privacidad para que nadie pueda utilizar maliciosamente nuestra
información.
Muchas veces ocurre que en el caso de personas que tienen mucha fama o que son personajes públicos tienden
a tener por seguridad dos cuentas.
Por ejemplo en las redes sociales una como su personaje o la personalidad que puedan tener y la otra
siempre tiende a hacer su cuenta original que es donde él realiza sus actividades con sus compañeros
o sus amigos.
Esto es muy importante también tenemos lo que es el contacto directo que la persona proporciona un medio
de comunicación más completo que es el diálogo y puede ser un arma implacable.
Hay personas que desarrollan mucho esta parte de lo que es el diálogo y tienden a sacar información
si tú no tienes un oído bien preparado y no estás atento a las partes de la conversación pueden sacar
mucha información con respecto a ti.
Debes estar atento a si mismos también tenemos lo que es el contacto telefónico el teléfono.
Muchas veces representa un medio más impersonal y a la vez más familiar que el contacto directo por
lo que suele utilizarse para tomar acciones que no se tomarían en persona.
Dado que cada individuo realiza una representación mental diferente de su interlocutor y esto permite
simular personalidades con distintas características.
Asimismo las adecúa para distintas personas no es lo mismo hablar con un joven que con un adulto o un
anciano.
La tonalidad de los temas de conversación inclusive la velocidad al hablar puede llegar a ser hasta
diferente.
Tenemos también algunas estrategias de protección cómo podemos suponer si no existe un fallo ni tampoco
tenemos un sistema de detección de intrusos ni tampoco un antivirus que nos proteja contra la ingeniería
social sin embargo podemos apoyarnos en protecciones asociadas a las políticas procedimientos y reglas
administrativas que están directamente relacionadas con lo que es la capacitación del personal en este
caso debemos realizar como te acabo de decidir o como te he dicho en otras clases lo que es educación
y concientización esta es el arma más poderosa en cuanto a los programas de concientización y estos
se basan en instruir a las personas a que puedan reconocer los comportamientos potencialmente peligrosos
para ellos y para las organizaciones de manera que eviten caer en trampas que inteligentemente colocan
los especialistas en este tema.
Por supuesto que de manera más general la educación es la respuesta por excelencia a los problemas que
tienen que ver con personas que caen engañadas frente a otras que abusan de su desconocimiento con respecto
a algo.
En el caso de las organizaciones es realmente difícil controlar los entornos complejos donde hay muchas
personas en un ataque a una empresa se selecciona una víctima previa identificación de empleados como
vimos en el video de la introducción.
Muchas veces estos empleados se encuentran frustrados inconformes incrédulos.
Son principiantes etcétera y esto luego se intenta crear una relación con el empleado y aprovecharla
para alcanzar algún objetivo.
En general las primeras víctimas son las o los recepcionistas y las personas de los demás.
En un caso extremo los atacantes se podrían presentar en una búsqueda laboral o una entrevista y así
aprovechar algún empleado descontento que quiera colaborar con ellos.
Luego de conseguir acceso físico se puede simular ser un empleado de limpieza o entregar comida guardias
de seguridad etcétera.
Todo lo que pudiste ver en la clase de introducción es lo que te estoy comentando en este momento en
el entorno personal.
Por ejemplo en el entorno hogareño en que entorno personal el problema se suscita de una manera similar
a las descritas a lo largo de esta clase solo que con las técnicas enfocadas a una persona o grupo familiar
en particular.
Esto puede deberse a que el individuo forma parte de una estrategia de ataque y se requieren de sus
datos personales o bien de un ataque dirigido donde la información de la persona es relevante a los
fines de un atacante.
El problema principal se da por el hecho de que en los hogares el eslabón más débil pueden ser los niños
que por razones obvias constituyen un eslabón aún más débil que los mismos adultos dado a la naturaleza
o a su natural inocencia o algún otro miembro de la familia.
Ahora aquí nos hemos centrado en una rama de la seguridad que no es específicamente técnica y que se
basa en la interacción humana.
Por qué con lo que está en el curso por qué es importante que lo sepas y que hemos descrito muchos comportamientos
típicos que son vulnerables y hacen que las principales técnicas que son utilizadas por los atacantes
puedan ser a través de el trato entre las personas o el trato con ellos.
También hemos analizado lo que son varias vías de comunicación que son empleadas por estas personas
y por supuesto contramedidas que son sumamente importantes.
También conocerlas.
Mismo como algunas estrategias de protección que te van a ser de mucha ayuda a lo largo de tu vida y
de tu carrera profesional.
Esto es todo hasta esta clase.
Nos vemos en el siguiente comando.