Ingeniería social

Nota:

• Ingeniería Social es una manera de influir en personas para que ellos hagan cosas que, en circunstancias normales, no harían. Son técnicas de manipulación, usadas por teléfono o también en un contacto directo con la victima.

1. Porque usar la I.S.

   Nota:

   • Ingeniería Social se usa para de atacar los eslabones mas débiles en una cadena de seguridad: Las personas operando en ella.
2. Perfil del Ingeniero Social

   Nota:

   •  Ingenieros Sociales en general son muy buenos actores y embusteros.  Un Ing. Soc. tiene que ser atento por los sentimientos de otras  personas y tiene que usar este conocimiento para adaptar su propia  actitud. • Es menos sobre IQ (intelligence quotient) y mas sobre EQ  (emocional quotient). • Ingenieros Sociales intentan perfeccionar el arte de leer lo mas posible sobre una persona solo con observarla o charlar con ella. • Actúan espontáneamente y son muy flexibles, así se presentan en  una manera simpática o por lo menos confiable.
   1. Conocimiento Técnico

      Nota:

      • • Información solo tiene valor para un Ing. Soc. si esta sabe como  usarla. En el contexto de un ataque esto será muy probablemente de  una manera técnica. • Muchos Ingenieros Sociales también tienen suficiente conocimiento  sobre la materia técnica para usar la información obtenida  directamente. Esta  combinación de ataques psicológicos contra  la gente y técnicos contra equipos hace que los Ingenieros Sociales sean bastante peligrosos. • Kevin Mitnick dice que ha conseguido más en su “carrera” como un  Hacker por su conocimiento sobre Ingeniería Social que sobre sus  conocimientos técnicos.

Nota:

• • No existe información “sin valor”, esto es solo una evaluación personal. • Toda información puede ser útil de una manera o otra si uno sabe como usarla. • No solo Ingenieros Sociales son especializados en extraer esta clase de información. • Se necesita atención a que información se pasa a otra gente y si esta tiene derechos saberla.

1. Pedir Ayuda
   1. Insider (Desde adentro)

      Nota:

      • Un colega preguntando por ayuda • Dentro de una gran empresa es imposible que todos conozcan a  todos. Las  personas entran y salen, trabajadores temporales y visitantes dificultan el intento de saber quien es parte de la empresa  y quien no, sin ofender a nadie. • Durante una ataque un Ing. Soc. introduce mucho paja en la  conversación y dentro de esto meten unas pocas  preguntas que en  realidad son la razón porque han venido a hablar con nosotros. La paja tapando toda la  conversación solo es para que esto no se note.
   2. Outsider (Desde afuera)

      Nota:

      •  Hay unos roles bastante populares cuando un Ing. Soc. so pone de “Outsider”. 1. El investigador 2. El empleado de otra empresa 3. El socio
2. Ofrecer Ayuda

   Nota:

   • • Una manera lista de atacar es causar un problema (o hacer que  aparezca que hay uno) para luego ofrecer ayuda en resolverlo.
3. Name-Dropping

   Nota:

   • • Para tener éxito con un ataque es esencial para un Ing. Soc. saber  con que persona tiene que hablar como la “Chain of command” en  una empresa. • Name-dropping es una manera para asegurar a la victima que el atacante es en verdad quien dice quien es. • Name-dropping tambien ayuda el atacante con algunas personas que tienen una tendencia de hacer lo que hacen los demás, pensando “Que lo que es bueno para otros, seguro que también será bueno  para mi”.

1. Factor Tecnológico
   1. E-mail

      Nota:

      • • La gente que manda estos mensajes intenta captar la atención de los  recipientes de varias maneras. Principalmente por medio de ofertas • Suplantando la identidad de un conocido
   2. Telefono

      Nota:

      • • Persona haciendose pasar por alguien de la empresa o conocido (name dropping) que tiene influencia para accesar a información confidencial
   3. Paginas Web falsas (Phishing)

      Nota:

      • Estas páginas Web intentan, en combinación con los E-mails, a engañar a una victima para que crea que esta en una pagina Web  de, por ejemplo un banco o una compañía bien conocida para robar sus datos personales.
2. Factor Humano
   1. Recepcionistas

      Nota:

      • Son quienes facilitan la comunicación del "exterior" con el "interior" de una empresa, pero pueden filtrar información valiosa a un Ingeniero Social sin saberlo.
   2. Depto Recursos Humanos

      Nota:

      • Es el blanco preferido de los I.S. ya que tienen la base de datos de los empleados.
   3. Empleados y ex-empleados Descontentos

      Nota:

      • Estos son a menudo quienes pueden poner en riesgo a la empresa donde trabajan ya que son vulnerables a la I.S.
   4. Empleados sin informacion sobre la I.S.

      Nota:

      • Personas que no creen que puedan ser victimas de robo de datos o de la I.S., o que simplemente ignoran que estos problemas existen.

1. Medidas Tecnicas
   1. •Directorio electrónico de empleados
   2. Identificación de llamada telefonica
   3. Contraseñas seguras
   4. Seguridad física en áreas sensitivas
2. Formación y entrenamiento
   1. Concientización
   2. Interés en la temática de seguridad
      1. Politicas de seguridad