Ingeniería Social.

Ensayo #01

-INGENIERÍA SOCIAL-

[pic 1]

CONTENIDO

INTRODUCCIÓN        

¿Qué es la Ingeniería Social?        

Técnicas utilizadas en la Ingeniería Social y ejemplos        

Medidas de Contingencia        

Conclusiones        

BIBLIOGRAFÍA        

INTRODUCCIÓN

En este  ensayo se tratará acerca de la manipulación a la que puede verse sometido un usuario de ordenador, a través de elementos psicológicos que le influencian a hacer una determinada tarea de la cual no es consciente. Este ataque recibe el nombre de ingeniería social.

Se hablará acerca de los fundamentos de los ataques de ingeniería social   en los sistemas informáticos al igual de cómo es que se ejemplifica. El objetivo principal es lograr comprender su naturaleza y ser capaces de valorarlos como la amenaza que representan.

¿Qué es la Ingeniería Social?

“La Ingeniería Social es un proceso planificado que consiste en atacar las   vulnerabilidades humanas para conseguir un beneficio, considerando que el eslabón más débil es la persona y no la máquina…” (Sebastián, 2011).

Según Goméz Vieites (2011), menciona que es el conjunto de técnicas y trucos empleados ya sea por intrusos o hackers^[1] para la extracción de información sensible de los usuarios de un sistema informático, pero, ¿Qué es lo que hace tan efectiva la práctica de esta técnica?

Kevin D. Mitnick mejor conocido mejor como “El Condor” o “El Chacal de la Red”, quien es el cracker^[2] más famoso de la historia de la informática después de un historial delictivo en los 80s y 90s, se ha dedicado los últimos años a dar conferencias, platicas y a escribir algunos libros sobre Seguridad Informática, hay uno en especial llamado “El Arte del Engaño” (2006) en el cual se describen las fases de la Ingeniería Social pero en especial menciona:

“…el factor humano es realmente el eslabón más débil de seguridad. La seguridad es a menudo más que una ilusión, una ilusión a veces incluso peores cuando la credulidad, ingenuidad, ignorancia entran en juego…”

Es aquí donde el ser humano pasa a convertirse en victima fruto de la credibilidad y la falta de información y es donde realmente se origina esta no tan nueva práctica. Kevin D. Mitnick también nos habla acerca de que así se tenga el más alto sistema de seguridad informático en alguna empresa, mientras los empleados desde bajo nivel o los CEO^[3] estén mal informados el sistema será y seguirá siendo altamente vulnerable.

Técnicas utilizadas en la Ingeniería Social y ejemplos

Existen diversas técnicas dentro de las organizaciones que los intrusos o hackers utilizan para llevar a cabo una exitosa ingeniería social. Podemos encontrar desde lo más simples hasta lo más complejas podemos encontrar:

• Intrusos que se hacen pasar por empleados de otros departamentos de la empresa o por proveedores de servicios informáticos así como podría ser:

• Un supuesto técnico que solicita permiso a un empleado para reparar el ordenador, reemplazando algún disco supuestamente dañado y cambiándolo justo en frente de él sin problemas.

• Correos electrónicos que suplantan la identidad de otra persona u organización.

• “Shoulder surfing”: (técnica de mirar por encima del hombro), espionaje mediante la observación directa de lo que teclean en el ordenador y así obtener usuario y contraseña.

• “Dumpster diving”: es la revisión de papeles y documentos que se tiran a la basura y no son destruidos de forma segura.

• Desarrollo de sitios web maliciosos que tratan de engañar a usuarios.

• Microsoft en noviembre de 2004 consiguió cerrar varios sitios web que se aprovechaban de los errores de digitación por parte de los usuario interesados en actualizar Windows, instalaban en sus sistemas programas espía y puertas traseras.

• La facilidad de los usuarios del sistema con la que pueden revelar sus contraseñas u otros datos sensibles a terceros.

• Tendencias de los usuarios al escribir sus claves y contraseñas supuestamente secretas en “post-it”^[4] que las dejan a la vista de todo mundo al lado de su equipo.

Por otro lado es bueno tener en cuenta la posible compra de datos y documentos con información sensible de la empresa a empleados desleales.

Medidas de Contingencia

        Una de las más eficaces medidas de contingencia para prevenir el robo o usurpación de datos mediante la ingeniería social es contemplar una adecuada preparación a todas aquellas personas que se incorporen a la organización, sobre todo a las personas que tendrán acceso a datos y recursos sensibles y a determinados ficheros con información personal.

...