Seguridad

Señales de alerta y consejos de ingeniería social para capacitar a los usuarios

La ingeniería social puede dar lugar a peligrosas infracciones de seguridad y es notoriamente difícil de prevenir. Asegúrese de que los usuarios de su organización puedan detectar las señales de alerta más evidentes.

Si bien existen métodos probados y medios técnicos para prevenir ataques y detectar malware, cuando se trata de ingeniería social, puede ser más difícil discernir qué buscar o predecir la forma que podría tomar un ataque. Es por eso que la ingeniería social es tan efectiva. Si un servidor web se fortalece para evitar la entrada, no importa con qué frecuencia alguien intente ingresar, siempre obtendrá el mismo resultado.

Al jugar con la naturaleza humana, los saboteadores potenciales pueden apuntar a todos en una organización. Aunque la mayoría de las personas están entrenadas para no ser víctimas de estos ataques, lo único que necesitan los malos es alguien que no preste atención y proporcione información crítica. Echemos un vistazo a algunas señales de alerta que los usuarios (e incluso los profesionales de TI) deben tener en cuenta, consejos de capacitación para usuarios y algunas políticas y procedimientos para implementar como estrategia para prevenir la ingeniería social.

Banderas rojas: proceda con precaución

La mayoría de los empleados no tienen una buena comprensión de cuán sensible es cierta información. Esto es muy claro cuando vemos cuántas personas escriben sus contraseñas en notas adhesivas, o cuán dispuestas están a entregar todos sus inicios de sesión a cualquier persona que llame y diga ser del soporte técnico. La confidencialidad de dicha información debe repetirse periódicamente. Pero la carga no debe recaer solo sobre los hombros de los empleados individuales. Las investigaciones muestran que pedirles a los empleados que cambien sus contraseñas con demasiada frecuencia hace que sea más probable que las olviden, por lo que es más probable que las escriban. Es importante que los usuarios sepan que hay muy pocas circunstancias, si las hay, en las que deben compartir sus credenciales de inicio de sesión. Edward Snowden incluso hizo que los empleados de la NSA entregaran los suyos. Si alguien les pide una contraseña, ¡una bandera roja!

LEER  La guerra de Google contra el terrorismo: 4 formas en que el gigante de las búsquedas lucha contra el extremismo en línea

Hay muchos trucos utilizados en la ingeniería social para acceder a la web. En un caso, la llave USB se dejó en un estacionamiento. ¡Un empleado curioso tomó uno, lo enchufó y vio lo que había en él!

Además de emitir políticas con respecto al uso de sus propios dispositivos no autorizados, se debe enseñar a los usuarios a sospechar de cualquier USB u otros dispositivos «perdidos» y remitirlos a la administración designada o al personal de TI. No hace falta decir que todos sabemos cuán dañina puede ser una red completa cuando se ve comprometida por malware. Nuevamente, TI puede mitigar fácilmente este riesgo bloqueando el sistema y evitando que el disco o la llave USB funcionen. Los dispositivos inalámbricos de cualquier tipo siempre deben estar correctamente bloqueados. El filtrado activo de dispositivos desconocidos será la única forma de proteger su red de tales intrusiones.

Más sobre ingeniería social:

Incluso las redes de alta seguridad se han visto comprometidas en ataques de ingeniería social. El phishing sigue siendo el método de ataque más común. Un empleado recibió un correo electrónico que parecía provenir de una fuente legítima con contenido creíble, pero contenía un enlace malicioso o un documento que explotaba una vulnerabilidad sin parchear. Algunos intentos de phishing son descuidados, pero algunos son lo suficientemente sofisticados como para engañar a los profesionales. No es completamente infalible informar a los usuarios que deben tratar todos los enlaces y archivos adjuntos con un alto grado de escepticismo, pero es un mensaje que debe repetirse con regularidad.

Se utilizan muchos otros métodos, desde seguir a alguien a áreas restringidas hasta hacerse pasar por un compañero de trabajo o contratista, o simplemente tentar a alguien con una recompensa a cambio de información clave. Debe haber políticas claras a seguir para los empleados, los usuarios deben estar protegidos para que su información no caiga en manos de terceros no autorizados, y cualquier medida de seguridad que implemente TI debe asumir que los intrusos provienen del interior.

La capacitación no ayudará a sus clientes

Los empleados son particularmente vulnerables a los ataques de ingeniería social, pero se les puede capacitar. Aún más difícil es capacitar a sus clientes y clientes. Es por esto que cualquier organización que preste servicios a usuarios externos debe hacer todo lo que esté a su alcance para protegerlos de sí misma. Un punto de entrada particularmente vulnerable es el formulario de restablecimiento de contraseña. Si está creando un servicio en línea y creando una función de restablecimiento de contraseña, tenga mucho cuidado con lo que pregunta cuando un usuario intenta recuperar una contraseña perdida. Muchos sitios solicitan información común que solía ser segura, como el nombre de su mascota o su dirección anterior, pero que las personas comparten en las redes sociales en estos días. En su lugar, intente utilizar información que los usuarios probablemente mantengan en privado, como el último dígito de una tarjeta de crédito. Cualquier cambio sensible en las cuentas de usuario, como cambiar las direcciones de envío o la información financiera, requiere una confirmación de seguridad adicional.

margen de mejora

A muchos profesionales de TI no les gusta lidiar con ataques sociales porque son mucho menos predecibles y están más asociados con errores humanos que los sistemas informáticos. Tiene que ver con entrenar a los usuarios para que sean escépticos y usen el buen juicio. Cada parte de la organización debe revisarse en busca de posibles problemas de seguridad, desde los sistemas telefónicos y de correo electrónico hasta los sistemas de eliminación de desechos, y los documentos confidenciales siempre deben destruirse adecuadamente. Finalmente, así como las pruebas de penetración ahora son comunes para las redes informáticas, los empleados también deben ser evaluados al azar para ver si siguen los procedimientos. Esta es una de esas áreas de seguridad que TI no puede hacer solo. Todos deben conocer su rol y estar involucrados en el proceso.

¿Qué tácticas de ingeniería social has presenciado? Agregue sus propias recomendaciones de capacitación y prevención, e identifique otras señales de alerta en la discusión a continuación.

LEER  A medida que crecen las compras navideñas móviles, también crece la amenaza de las aplicaciones minoristas falsificadas

Deja una respuesta

Tu dirección de correo electrónico no será publicada.

Botón volver arriba