Ingeneria Social

Ingeniería Social

La ingeniería social también aprovecha procesos mal diseñados. Si todo depende de que una persona jamás se equivoque, el ritual tiene un punto de fallo demasiado humano.

La ingeniería social utiliza el engaño o la manipulación de personas para lograr acciones o acceso que favorezcan al atacante. Puede ocurrir en línea o en persona; no requiere que quien la use sea programador.

Etapas de un Ataque de Ingeniería Social:

Este es un esquema didáctico posible, no una secuencia obligatoria de todos los ataques.

1. Preparación:

   • Recolección de información para determinar la mejor forma de explotar el objetivo.

2. Pretexto:

   • Establecimiento de confianza mediante la suplantación de identidad para crear una falsa sensación de confianza.

3. Persuasión:

   • Manipulación del objetivo para que entregue información voluntariamente, utilizando datos específicos de la organización.

4. Desconexión:

   • El atacante puede cortar el contacto o continuar la operación. Que deje de hablar no implica que no haya rastros.

Métodos para Mitigar Ataques de Ingeniería Social:

• Usar procedimientos de verificación de identidad y canales conocidos para confirmar solicitudes sensibles. SP 800-40 trata gestión de parches; no es una guía específica de ingeniería social. OWASP: autenticación.

• Mantenerse informado y actualizado.

• Compartir conocimientos para educar a otros sobre las señales de ataque.

---

Ataques Comunes de Ingeniería Social:

Esta lista reúne engaños y técnicas relacionadas. Reconocimiento, observación, spam o compromiso de un sitio no implican necesariamente manipular a una persona en cada caso.

Baiting:

• Incita a poner en riesgo la seguridad por curiosidad, como el cebo USB.

Phishing:

• Suplantación de identidad a través de comunicaciones digitales, comúnmente por correo electrónico.

Quid pro quo:

• Ofrece recompensa a cambio de acceso o información. Como por ejemplo las estafas bancarias donde ofrecen tasas de interés más bajas pero debes dar tus datos para acceder a ellas.

Tailgating:

• Ganar acceso siguiendo a alguien autorizado. Como el pedirle a la persona delante tuyo que te sujete la puerta de un condominio privado.

Watering Hole:

• Compromete sitios web visitados frecuentemente por un grupo específico.

Spam y Spim:

• Spam: Envío masivo de correos electrónicos no solicitados, generalmente por publicidad o maliciosos
• Spim: Lo mismo, pero a través de mensajes instantáneos.

Shoulder Surfing:

• Observar directamente contraseñas o PINS por sobre el hombro de la víctima

Dumpster Diving:

• Literalmente sumergirse en los basureros buscando información sensible como documentos mal eliminados o hardware desechado de forma incorrecta

Recon:

• Realizado Online como Offline
• Offline implica visitar el lugar físico para obtener información que ayude a lograr ataques. El reconocimiento implica también utilizar alguno de los anteriores mencionados, como dumpster diving, shoulder surfing, etc.

Impersonamiento:

• Hacerse pasar por otra persona, ya sea por teléfono, On Site, email, etc. con el fin de obtener información o acceso.

Pretexting:

• Generar un escenario ficticio para engañar a la víctima

Typo Squatting:

• Registro de dominios similares a los de sitios web populares, aprovechando errores tipográficos de los usuarios para redirigirlos a sitios maliciosos.

---

Recursos Adicionales:

• OUCH!: Boletín mensual del Instituto SANS sobre tendencias de ingeniería social y temas relacionados.

• Scamwatch: Información y herramientas para reconocer, evitar y denunciar estafas de ingeniería social.

Contraste conceptual: NIST, ingeniería social y MITRE, drive-by y watering hole. Los ejemplos son didácticos, no incidentes observados.

+----------------------------------------+
| Floure &                               |
| Tachibana's guild                      |
| [Hikari · Nozomi]                      |
| SEAL: sha256/12: 8c84e308adca          |
| STATUS: LITURGY_IN_PROGRESS            |
+----------------------------------------+