Una noticia reciente me hizo darme cuenta de cómo las emociones y los pensamientos humanos pueden ser (o son) utilizados en beneficio de los demás. Casi todos ustedes conocen a Edward Snowden , el denunciante de la NSA que husmea en todo el mundo. Reuters informó que consiguió que entre 20 y 25 personas de la NSA le entregaran sus contraseñas para recuperar algunos datos que filtró más tarde [1]. ¡ Imagínese^(Imagine) cuán frágil puede ser su red corporativa, incluso con el mejor y más sólido software de seguridad!

¿Qué es la ingeniería social?

La debilidad humana^(Human) , la curiosidad, las emociones y otras características a menudo se han utilizado para extraer datos ilegalmente, ya sea en cualquier industria. Sin embargo, la industria de TI le ha dado el nombre de ingeniería social. ^{(IT Industry)}Defino ingeniería social como:

“The method whereby an external person gains control over one or more employees of any organization by any means with intention to obtain the organization’s data illegally”

Aquí hay otra línea de la misma noticia [1] que quiero citar: " Las agencias de seguridad están teniendo dificultades con la idea de que el tipo en el cubículo de al lado puede no ser confiable^{(Security agencies are having a hard time with the idea that the guy in the next cubicle may not be reliable)} ". Modifiqué un poco la declaración para que encaje en el contexto aquí. Puede leer la noticia completa usando el enlace en la sección de Referencias^(References) .

En otras palabras, no tiene un control completo sobre la seguridad de sus organizaciones, ya que la ingeniería social evoluciona mucho más rápido que las técnicas para hacerle frente. La ingeniería social^(Social) puede ser algo así como llamar a alguien diciendo que usted es soporte técnico y pedirle sus credenciales de inicio de sesión. Debe haber estado recibiendo correos electrónicos de phishing sobre loterías, personas ricas en Medio Oriente^{(Mid East)} y África^(Africa) que buscan socios comerciales y ofertas de trabajo para pedirle sus detalles.

A diferencia de los ataques de phishing, la ingeniería social es una gran interacción directa de persona a persona. El primero (phishing) emplea un cebo, es decir, la gente que "pesca" le ofrece algo con la esperanza de que caiga en la trampa. La ingeniería social^(Social) se trata más de ganarse la confianza de los empleados internos para que divulguen los detalles de la empresa que necesita.

Leer: ^(Read:) Métodos populares de Ingeniería Social .

Técnicas conocidas de ingeniería social

Hay muchos, y todos utilizan tendencias humanas básicas para ingresar a la base de datos de cualquier organización. La técnica de ingeniería social más utilizada (probablemente obsoleta) es llamar y conocer gente y hacerles creer que son del soporte técnico que necesitan revisar su computadora. También pueden crear tarjetas de identificación falsas para establecer confianza. En algunos casos, los culpables se hacen pasar por funcionarios estatales.

Otra técnica famosa es emplear a su persona como empleado en la organización objetivo. Ahora, dado que este estafador es su colega, puede confiarle los detalles de la empresa. Puede que el empleado externo te ayude en algo, entonces te sientes obligado, y es entonces cuando pueden sacar el máximo provecho.

También leí algunos informes sobre personas que usan regalos electrónicos. Una elegante memoria USB^(USB) entregada en la dirección de su empresa o un pen drive en su automóvil pueden resultar un desastre. En un caso, alguien dejó algunas unidades USB deliberadamente en el estacionamiento como cebo [2].

Si la red de su empresa tiene buenas medidas de seguridad en cada nodo, está bendecido. De lo contrario, estos nodos proporcionan un paso fácil para el malware, en esos pendrives de regalo u “olvidados”, a los sistemas centrales.

Como tal, no podemos proporcionar una lista completa de métodos de ingeniería social. Es una ciencia en el centro, combinada con arte en la parte superior. Y sabes que ninguno de los dos tiene límites. Los ingenieros sociales^(Social) siguen siendo creativos mientras desarrollan software que también puede hacer un mal uso de los dispositivos inalámbricos para obtener acceso al Wi-Fi de la empresa .

Lea: ^(Read:) ¿Qué es el malware de ingeniería social ?

Prevenir la ingeniería social

Personalmente, no creo que haya ningún teorema que los administradores puedan usar para evitar ataques de ingeniería social. Las técnicas de ingeniería social siguen cambiando y, por lo tanto, se vuelve difícil para los administradores de TI realizar un seguimiento de lo que sucede.

Por supuesto, es necesario estar al tanto de las noticias de ingeniería social para estar lo suficientemente informado como para tomar las medidas de seguridad adecuadas. Por ejemplo, en el caso de los dispositivos USB , los administradores pueden bloquear las unidades USB en nodos individuales permitiéndoles solo en el servidor que tiene un mejor sistema de seguridad. Del mismo modo^(Likewise) , Wi-Fi necesitaría un mejor cifrado que el que proporcionan la mayoría de los ISP^(ISPs) locales .

Capacitar a los empleados y realizar pruebas aleatorias en diferentes grupos de empleados puede ayudar a identificar los puntos débiles de la organización. Sería fácil entrenar y advertir a los individuos más débiles. El estado de alerta^(Alertness) es la mejor defensa. El énfasis debe ser que la información de inicio de sesión no debe compartirse ni siquiera con los líderes del equipo, independientemente de la presión. Si un líder de equipo necesita acceder al inicio de sesión de un miembro, puede usar una contraseña maestra. Esa es solo una sugerencia para mantenerse seguro y evitar los ataques de ingeniería social.

La conclusión es que, además del malware y los piratas informáticos en línea, la gente de TI también debe ocuparse de la ingeniería social. Mientras identifican los métodos de una violación de datos (como escribir contraseñas, etc.), los administradores también deben asegurarse de que su personal sea lo suficientemente inteligente como para identificar una técnica de ingeniería social para evitarlo por completo. ¿Cuáles crees que son los mejores métodos para prevenir la ingeniería social? Si te has encontrado con algún caso interesante, por favor compártelo con nosotros.

Descargue este libro electrónico sobre ataques de ingeniería social publicado por Microsoft y aprenda cómo puede detectar y prevenir tales ataques en su organización.^{(Download this ebook on Social Engineering Attacks released by Microsoft and learn how you can detect and prevent such attacks in your organization.)}

Referencias^(References)

[1] Reuters , Snowden convenció a los empleados de la NSA para que obtuvieran su ^{(NSA Employees Into)}información^(Info) de inicio de sesión

[2] Boing Net , Pen Drives utilizados para propagar malware^{(Spread Malware)} .

Understand Social Engineering - Protection against Human Hacking

A piece of recent news made me realize how human emotions and thoughts can be (or, are) used for оthers’ benefіt. Almost every one of you knows Edward Ѕnowden, the whistleblower of NSA snooping the world over. Reuterѕ reported that he got around 20-25 NSA peoplе to hand ovеr their passwords to him for recoverіng some data he leaked later [1]. Imagine how fragіle your corporate network can be, even with the ѕtrongest and best of security ѕoftware!

What is Social Engineering

Human weakness, curiosity, emotions, and other characteristics have often been used in extracting data illegally – be it any industry. The IT Industry has, however, given it the name of social engineering. I define social engineering as:

“The method whereby an external person gains control over one or more employees of any organization by any means with intention to obtain the organization’s data illegally”

Here is another line from the same news story [1] that I want to quote – “Security agencies are having a hard time with the idea that the guy in the next cubicle may not be reliable“. I modified the statement a bit to fit it into the context here. You can read the full news piece using the link in the References section.

In other words, you do not have complete control over the security of your organizations with social engineering evolving much faster than techniques to cope with it. Social engineering can be anything like calling up someone saying you are tech support and ask them for their login credentials. You must have been receiving phishing emails about lotteries, rich people in Mid East and Africa wanting business partners, and job offers to ask you your details.

Unlike phishing attacks, social engineering is much of direct person-to-person interaction. The former (phishing) employs a bait – that is, the people “fishing” is offering you something hoping that you will fall for it. Social engineering is more about winning the confidence of internal employees so that they divulge the company details you need.

Read: Popular methods of Social Engineering.

Known Social Engineering Techniques

There are many, and all of them use basic human tendencies for getting into the database of any organization. The most used (probably outdated) social engineering technique is to call and meet people and making them believe they are from technical support who need to check your computer. They can also create fake ID cards to establish confidence. In some cases, the culprits pose as state officials.

Another famous technique is to employ your person as an employee in the target organization. Now, since this con is your colleague, you might trust him with company details. The external employee might help you with something, so you feel obliged, and that is when they can make out the maximum.

I also read some reports about people using electronic gifts. A fancy USB stick delivered to you at your company address or a pen drive lying in your car can prove disasters. In a case, someone left some USB drives deliberately in the parking lot as baits [2].

If your company network has good security measures at each node, you are blessed. Otherwise, these nodes provide an easy passage for malware – in that gift or “forgotten” pen drives – to the central systems.

As such we cannot provide a comprehensive list of social engineering methods. It is a science at the core, combined with art on the top. And you know that neither of them has any boundaries. Social engineering guys keep on getting creative while developing software that can also misuse wireless devices gaining access to company Wi-Fi.

Read: What is Socially Engineered Malware.

Prevent Social Engineering

Personally, I do not think there is any theorem that admins can use to prevent social engineering hacks. The social engineering techniques keep on changing, and hence it becomes difficult for IT admins to keep track on what is happens.

Of course, there is a need to keep a tab on social engineering news so that one is informed enough to take appropriate security measures. For example, in the case of USB devices, admins can block USB drives on individual nodes allowing them only on the server that has a better security system. Likewise, Wi-Fi would need better encryption than most of the local ISPs provide.

Training employees and conducting random tests on different employee groups can help identify weak points in the organization. It would be easy to train and caution the weaker individuals. Alertness is the best defense. The stress should be that login information should not be shared even with the team leaders – irrespective of the pressure. If a team leader needs to access a member’s login, s/he can use a master password. That is just one suggestion to stay safe and avoid social engineering hacks.

The bottom line is, apart from the malware and online hackers, the IT people need to take care of social engineering too. While identifying methods of a data breach (like writing down passwords etc.), the admins should also ensure their staff is smart enough to identify a social engineering technique to avoid it altogether. What do you think are the best methods to prevent social engineering? If you have come across any interesting case, please share with us.

Download this ebook on Social Engineering Attacks released by Microsoft and learn how you can detect and prevent such attacks in your organization.

References

[1] Reuters, Snowden Persuaded NSA Employees Into Obtaining Their Login Info

[2] Boing Net, Pen Drives Used to Spread Malware.

Related posts

• Internet and Social Networking Sites addiction

• Fake News sitios web: Un problema creciente y lo que significa en el mundo de hoy

• Cómo configurar, grabar, editar, publicar Instagram Reels

• Cómo habilitar la autenticación de dos factores para Reddit account

• Conectar con el Windows Club

• Cómo administrar la Facebook Ad Preferences y optar por OUT OUT DE Ad Tracking

• Mejor Yammer Tips and Tricks para el power user

• Cómo convertirse en un influyente de YouTube

• Cómo buscar Reddit de la manera más eficiente

• Lista de cosas que no debe share or post a Facebook or Social Media

• 10 Instagram Tips and Tricks necesitas saber

• Cómo eliminar de forma permanente o deshabilitar temporalmente Instagram account

• Cómo convertirse en un Pinterest Influencer

• Eliminar el acceso de terceros a partir Instagram, LinkedIn, Dropbox

• Cómo usar Facebook para convertirse en un Media Influencer social

• 5 mejores alternativas de Facebook que quieres ver

• Peligros y consecuencias de sobrevalorar en Social Media

• Cómo convertirse en un Influencer en Instagram

• Best PLANTAS DE Canva gratis para presentación

• Cómo crear un Group en Telegram y usar Voice Chat feature