La ingeniería social es el arte de manipular a las personas con el fin de obtener información confidencial o inducirlas a realizar determinadas acciones. A pesar de la creciente concienciación sobre las amenazas a la seguridad de la información, muchas personas siguen siendo víctimas de diversos esquemas de ingeniería social.
Mecanismos psicológicos que nos hacen vulnerables
1. Confianza y autoridad
Nuestra inclinación a confiar en figuras de autoridad suele ser utilizada por los ingenieros sociales. El psicólogo Robert Cialdini, en su obra «Influencia: la psicología de la persuasión», describe el principio de autoridad como una herramienta poderosa de persuasión.
Ejemplo:
Un atacante llama a una empresa presentándose como empleado del departamento de TI. Dice que es urgente actualizar el sistema de seguridad y solicita acceso al equipo. Muchos empleados, sin pensarlo, cumplen esa solicitud, percibiendo al que llama como una figura de autoridad en TI.
2. Miedo y urgencia
Muchos ataques de ingeniería social se basan en crear una sensación de urgencia o miedo. En estado de estrés o pánico, las personas tienden a actuar impulsivamente, desconectando el pensamiento crítico.
Ejemplo:
Un correo de phishing que informa que su cuenta en una red social será eliminada en 24 horas si no confirma su identidad siguiendo un enlace. El miedo a perder información valiosa y contactos puede llevar al usuario a actuar con precipitación.
3. Reciprocidad
El principio de reciprocidad es otro aspecto importante de la psicología humana que usan los ingenieros sociales. Nos sentimos obligados a devolver un favor cuando alguien nos hace uno.
Ejemplos:
- Un atacante se acerca a usted en la calle y le regala una flor o un pin gratis. Luego le pide que haga una donación para cierta organización.
- En un juego en línea, un jugador desconocido le regala un objeto virtual valioso. Más tarde le pide un pequeño favor, por ejemplo, que le preste su cuenta de juego por un breve período.
4. Prueba social
Las personas tienden a seguir el ejemplo de otros, especialmente en situaciones de incertidumbre. Los ingenieros sociales pueden aprovechar este principio creando la ilusión de que muchas personas ya han realizado cierta acción.
Ejemplo:
Un esquema fraudulento de inversiones en el que los atacantes crean la ilusión de que todo el mundo está ganando dinero. Los delincuentes pueden usar reseñas falsas, perfiles falsos en redes sociales e incluso contratar actores para crear vídeos testimoniales.
5. Sesgos cognitivos
Nuestro cerebro está lleno de diversos sesgos cognitivos que pueden volverse en nuestra contra:
- Efecto de familiaridad: tendemos a confiar más en lo que nos resulta familiar.
- Sesgo de confirmación: buscamos información que confirme nuestras creencias existentes.
- Efecto de verosimilitud: tendemos a creer información que parece verosímil, incluso si es falsa.
Ejemplos:
- Un sitio de phishing que se parece casi idéntico al sitio oficial del banco.
- Una falsa advertencia de antivirus que explota las preocupaciones existentes del usuario sobre la seguridad del equipo.
- Una historia falsa de recaudación de fondos para víctimas de un desastre natural que usa noticias y fotografías reales.
6. Manipulación emocional
Los ingenieros sociales a menudo apelan a nuestras emociones: compasión, curiosidad, avaricia o vanidad.
Ejemplos:
- Un estafador envía un correo electrónico haciéndose pasar por un colega que está en apuros en el extranjero.
- Un correo malicioso con el asunto «¡Mira lo que dicen tus colegas sobre ti!»
- Una lotería falsa que comunica un gran premio.
7. Sobrecarga de información
En el mundo moderno nos enfrentamos continuamente a un enorme flujo de información. Esto puede conducir a la «fatiga por la toma de decisiones», un estado en el que nuestra capacidad para evaluar críticamente la información disminuye.
Ejemplo:
Un correo de phishing que contiene gran cantidad de información técnica y términos legales. El receptor, saturado de información, puede pasar por alto detalles importantes y seguir instrucciones dañinas.
8. Automatismo del comportamiento
Muchas de nuestras acciones cotidianas están automatizadas. No solemos cuestionarnos cuando abrimos un mensaje de un remitente conocido o introducimos la contraseña en un sitio familiar.
Ejemplos:
- Un correo de phishing que imita una notificación de un servicio en la nube popular sobre un nuevo documento compartido.
- Una ventana emergente maliciosa que imita un mensaje del sistema Windows sobre la necesidad de una actualización.
Cómo protegerse de la ingeniería social
- Desarrolle el pensamiento crítico. Aprenda a cuestionar la información y las solicitudes, especialmente si desencadenan emociones fuertes o sensación de urgencia.
- Aumente la concienciación sobre los métodos de ingeniería social. Cuanto más sepa sobre las distintas tácticas, más fácil será reconocerlas.
- Verifique las fuentes de información. No se fíe solo de los signos visibles de autoridad: compruebe contactos y credenciales.
- Utilice medios técnicos de protección, como filtros antiphishing y autenticación de dos factores.
- Cree una cultura de seguridad de la información en su entorno. Hable sobre las amenazas y los métodos de protección con colegas, amigos y familiares.
- Confía, pero verifica. Una dosis saludable de escepticismo puede protegerle de muchos problemas.
Conclusión
La ingeniería social es un fenómeno complejo basado en un profundo conocimiento de la psicología humana. Al ser conscientes de nuestras vulnerabilidades psicológicas y conocer las tácticas típicas de los manipuladores, podemos aumentar significativamente nuestra resiliencia frente a los ataques. Es importante recordar que incluso las personas más inteligentes y precavidas pueden, a veces, ser víctimas de un engaño. Por eso, la clave de la seguridad no es solo la vigilancia individual, sino también crear una sociedad en la que la alfabetización informativa y el apoyo mutuo sean la norma.
