Cuando el hacker se hace pasar por un colega: Preparación de ciberataques mediante ingeniería social
Se denomina ingeniería social al método por el que se manipula a los empleados para que revelen datos confidenciales. Casi una de cada dos empresas alemanas (45%) ha sufrido incidentes de este tipo en un año. El 30 por ciento informa de intentos aislados, el 15 por ciento incluso de intentos frecuentes. Estos son los resultados de una encuesta entre 1003 empresas con diez o más empleados encargada por la asociación digital Bitkom.
"Por un lado, los ciberdelincuentes utilizan la ingeniería social para acceder a los sistemas informáticos. Por otro, puede que inicialmente sólo se trate de recopilar información importante, como los nombres de los superiores directos o el software utilizado. Esa información también puede ayudar a preparar otro ataque de ingeniería social o a llevar a cabo un ciberataque", afirma Felix Kuhlenkamp, experto en seguridad informática de la asociación digital Bitkom.
Bitkom da cuatro consejos sobre cómo las empresas pueden protegerse mejor contra la ingeniería social:
(1) Las empresas deben organizar cursos de formación periódicos para sensibilizar a los empleados sobre los peligros de la ingeniería social. Pueden aprender a reconocer y denunciar mensajes o solicitudes sospechosos.
(2) Definir claramente los procesos y organizarlos de forma segura: Las empresas deben definir directrices sobre qué información puede transmitirse y por qué medios -por ejemplo, por teléfono o correo electrónico- y cuál no puede transmitirse nunca, como las contraseñas. Además, deben implantarse mecanismos de doble seguridad, como la comprobación y confirmación de las transferencias o decisiones sensibles por al menos dos o más personas en distintas áreas de la empresa. Esto minimiza enormemente los riesgos de manipulación por parte de personas o de acceso no autorizado.
(3) La autenticación multifactor, que requiere un código en el smartphone o una tarjeta llave además de la contraseña, por ejemplo, dificulta el uso de información obtenida mediante ingeniería social. Por tanto, los atacantes no pueden penetrar tan fácilmente en los sistemas informáticos.
(4) En principio, las empresas deberían utilizar software de seguridad como filtros de spam o software antiphishing para filtrar al menos los ataques sencillos. Además, se pueden utilizar sistemas especiales basados en software para detectar actividades inusuales en la propia red que indiquen ataques de ingeniería social. La inteligencia artificial y la detección de anomalías suelen detectar comportamientos sospechosos y activar una alarma a tiempo.
DE
EN
ES
