Ingeniería Socia: ROBO Y SUPLANTACIÓN DE IDENTIDAD Y PHISHING

ROBO Y SUPLANTACIÓN DE IDENTIDAD Y PHISHING

Contenidos

• Qué es la Ingeniería social
• Métodos usados por los atacantes
• Ejemplos de ataques de Ingeniería Social
• Ingeniería Social y Seguridad Informática
• Técnicas de Ingeniería Social
• Consejos de prevención
• Qué es la suplantación de identidad
• ¿Quién es objetivo de la suplantación de Identidad?
• ¿Es delito la suplantación de Identidad?
• Cómo denunciar una suplantación de identidad

Tags: robo de identidad, suplantación de identidad, spear phishing, virus, gusano, troyano, espia, spyware, rootkit, scam, hoax, phishing , pharming, ingenieria social, botnet
Relacionados: Phishing, Rootkit, Spyware, Virus, Gusanos y Troyanos , Scam, Hoax, Phishing, Pharming e Ingenieria Social, Botnets: Redes Zombies

Qué es la Ingeniería social
Para algunos supone el mayor “agujero” de seguridad que podemos encontrarnos en Internet. Podríamos dar diversas definiciones más o menos académicas:

Explotación por medio de la manipulación y el engaño al eslabón más debil de la cadena de la seguridad: el factor humano. Se da cuando un estafador, en lugar de utilizar técnicas de hacking, manipula o engaña a la gente para que realice ciertas acciones o divulgue información personal.

En otra acepción Se definiría como el conjunto de técnicas psicológicas y habilidades sociales utilizadas de forma consciente y muchas veces premeditada para la obtención de información de terceros.

También como el arte de conseguir de un tercero aquellos datos de interés para el atacante por medio de habilidades sociales. Estas prácticas están relacionadas con la comunicación entre seres humanos. Describe un método de ataque, donde alguien hace uso de la persuasión, muchas veces abusando de la ingenuidad o confianza de un usuario, para obtener informacion que pueda ser utilizada para tener acceso autorizado a la información de las computadoras.

Usuarios expertos y profesionales de la seguridad en las tecnologías y la informática estan acostumbrados a escuchar infinidad de ataques hacia las infraestructuras de red, aplicaciones web, etc. tales como buffer overflow, remote file inclusion, cross site scripting, SQL injection, crackeo de passwords, robo de sesiones, shellcodes, sniffing, entre muchos más que constituyen la “Ingeniería Social”.

Pero en otras ocasiones el usuario internauta es también víctima de la Ingeniería Social conocida por otros términos mucho más simples y cotidianos pero que persiguen el mismo fin.

No existe una limitación en cuanto al tipo de información y tampoco en la utilización posterior de la información obtenida. Puede ser ingeniería social el obtener de un profesor las preguntas de un examen o la clave de acceso de la caja fuerte del Banco de España.

Sin embargo, el origen del término tiene que ver con las actividades de obtención de información de tipo técnico utilizadas por hackers.

Un hecho importante es que el acto de ingeniería social acaba en el momento en que se ha conseguido la información buscada. Las acciones que esa información pueda facilitar o favorecer no se enmarcan bajo este término. En muchos casos los ingenieros sociales no tocan un ordenador ni acceden a sistemas, pero sin su colaboración otros no tendrían la posibilidad de hacerlo.

Los ingenieros sociales toman ventaja del comportamiento humano con el objetivo de infectar con malware las PCs de sus víctimas y obtener información personal y/o dinero. Sus ataques se están volviendo cada vez más frecuentes y complejos según afirman expertos en seguridad.

“La naturaleza de las infecciones de malware ha cambiado durante los últimos años. Antiguamente, el malware y los virus se propagaban de forma mucho menos sofisticada. Actualmente, los autores de malware inventan constantemente nuevas formas intelectuales para manipular a las personas y comprometer sus máquinas”.


Métodos usados por los atacantes

El objetivo de “el Ingeniero Social” es ganarse la confianza de la otra persona con el único fin de engañarla y/o manipularla mediante técnicas de persuasión. Su secreto no es preguntar, realmente, sino la forma de hacer la pregunta, en definitiva podría definirse como “yo te digo lo que tú quieres oír y tú me cuentas lo que yo quiero saber”.

Los ataques de ingeniería social destinados a usuarios domésticos usualmente se aprovechan de emociones humanas básicas para manipular y persuadir a las personas a caer en sus trucos, incluyendo la curiosidad, el miedo y la empatía.

- Curiosidad: La explotación de la curiosidad de una persona podría suponer el envío de un e-mail que supuestamente contiene un enlace para ver un vídeo sobre la historia de las últimas noticias sensacionalistas. El enlace, sin embargo, llevará a un sitio malicioso destinado a la instalación de malware o robar información privada.

- Miedo: La táctica de los ladrones cibernéticos para infundir miedo y persuadir a una persona a actuar de cierta manera es mediante el envío de correos electrónicos de phishing, supuestamente de un banco de la víctima. Utilizando el argumento de que su cuenta ha sido violada, el mensaje lleva al usuario a hacer clic en un enlace determinado para validar la cuenta. Una vez más, el enlace llevará a un sitio malicioso destinado a comprometer la computadora, o robar información confidencial.

- Empatía: Para tomar ventaja de los sentimientos de empatía de una persona hacia los demás, los hackers han sabido hacerse pasar por amigos de las víctimas o enfermos en redes sociales y solicitar el dinero con urgencia. En otro claro ejemplo, las recientes estafas de ingeniería social también se vieron a raíz del terremoto y tsunami en Japón, con los estafadores intentando aprovecharse de la tragedia. Más recientemente, en 2.013, con los atentados en la Maraton de Boston.

Aunque las tácticas anteriores son comunes, es importante tener en cuenta que hay muchos otros métodos utilizados por los estafadores, podemos esperar variaciones casi ilimitadas sobre los ataques.


Ejemplos de ataques de Ingeniería Social

Estos son simples ejemplos donde se ha utilizado el e-mail y una llamada telefónica.

- Ejemplo 1: Recibir un mensaje por e-mail, donde el remitente es el gerente o alguien en nombre del departamento de soporte de tu banco. En el mensaje dice que el servicio de Internet Banking está presentando algún problema y que tal problema puede ser corregido si ejecutas la aplicacion que está adjunto al mensaje. La ejecución de esta aplicación presenta una pantalla análoga a la que usted utiliza para tener acceso a la cuenta bancaria, esperando que usted teclee su contraseña. En verdad, esta aplicacion está preparada para robar tu contraseña de acceso a la cuenta bancaria y enviarla al atacante.

- Ejemplo 2: Recibir un mensaje de e-mail , diciendo que tu computadora está infectada por un virus. El mensaje sugiere que instales una herramienta disponible en un sitio web de Internet para eliminar el virus de tu computadora. La función real de esta herramienta no es eliminar un virus, sino permitir que alguien tenga acceso a tu computadora y a todos los datos almacenados.

- Ejemplo 3: Un desconocido llama a tu casa y dice ser del soporte técnico de tu proveedor de internet. En esta comunicacion te dice que tu conexión con internet está presentando algún problema y, entonces, te pide tu contraseña para corregirlo. Si le entregas tu contraseña, este supuesto técnico podrá realizar una infinidad de actividades maliciosas, utilizando tu cuenta de acceso internet y, por lo tanto, relacionando tales actividades con tu nombre.

- Ejemplo 4: Mediante una llamada telefónica alguien se hace pasar por nuestra compañía telefónica, nos pregunta si estamos contentos con el servicio recibido, nos dice que confirmemos nuestro domicilio para verificar que están hablando realmente con el titular de la línea. Llegan a decirnos que para comprobar que son quien realmente dicen no tenemos más que darles el número de nuestro D.N.I y ellos nos contestarán con la letra del mismo (esta letra se obtiene simplemente con una fórmula que asocia y relaciona el número del DNI O NIF con la letra a través de la suma de los diferentes dígitos que contiene) o sea algo que todos podríamos hacer con esa fórmula.

Con este tipo de artimañas pueden llegar, y de hecho lo hacen, a conseguir toda nuestra información, incluso nuestra información bancaria.
Estos casos muestran ataques típicos de ingeniería social, pues los discursos presentados en los ejemplos buscan inducir el usuario arealizar alguna tarea y el éxito del ataque depende única y exclusivamente de la decisión del usuario en suministrar informacion o ejecutar programas.

El éxito de este tipo de técnicas, que como veis no tienen mucho que ver con la informática, se refuerza con el aprovechamiento de las “vulnerabilidades humanas” y me refiero a la curiosidad, a la inocencia, a la ambición, a la confianza, y sobre todo al desconocimiento.

Otros casos reales podrían ser:

- Una página web o programa que nos proporciona el historial de conversaciones de nuestros contactos, o simplemente quien nos ha suprimido como contactos de nuestro cliente de mensajería preferido. Para obtener esta información solo tenemos que acceder a dicha web con nuestro usuario y password.

- Un banco nos dice que hemos recibido una cierta cantidad de dinero, y para poder disponer de ese dinero debemos acceder a una página web con nuestras credenciales bancarias.

- Nos ha tocado la lotería (aunque no hayamos jugado) somos multimillonarios y para hacerlo realidad solo tenernos que pagar, en concepto de tasas, una insignificante cantidad de dinero en comparación con el premio.

Ingeniería Social y Seguridad Informática

La seguridad informática tiene por objetivo el asegurar que los datos que almacenan nuestros ordenadores se mantengan libres de cualquier problema, y que el servicio que nuestros sistemas prestan se realice con la mayor efectividad y sin caídas. En este sentido, la seguridad informática abarca cosas tan dispares como:

- Los aparatos de aire acondicionado que mantienen los sistemas en las temperaturas adecuadas para trabajar sin caídas.

- La calificación del equipo de administradores que deberá conocer su sistema lo suficiente como para mantenerlo funcionando correctamente.

- La definición de entornos en los que las copias de seguridad han de guardarse para ser seguros y como hacer esas copias.

- El control del acceso físico a los sistemas.

- La elección de un hardware y de un software que no de problemas.

- La correcta formación de los usuarios del sistema.

- El desarrollo de planes de contingencia.

Debemos tener en cuenta que una gran parte de las intrusiones en sistemas se realizan utilizando datos que se obtienen de sus usuarios mediante diferentes métodos y con la intervención de personas especialmente entrenadas, los ingenieros sociales.

Técnicas de Ingeniería Social
Tres tipos, según el nivel de interacción del ingeniero social:

Técnicas Pasivas:

- Observación
- Técnicas no presenciales:
- Recuperar la contraseña
- Ingeniería Social y Mail
- IRC u otros chats
- Teléfono
- Carta y fax

Técnicas presenciales no agresivas:

- Buscando en La basura
- Mirando por encima del hombro
- Seguimiento de personas y vehículos
- Vigilancia de Edificios
- Inducción
- Entrada en Hospitales
- Acreditaciones
- Ingeniería social en situaciones de crisis
- Ingeniería social en aviones y trenes de alta velocidad
- Agendas y teléfonos móviles
- Desinformación

Métodos agresivos

- Suplantación de identidad
- Chantaje o extorsión
- Despersonalización
- Presión psicológica

Consejos de prevención
(Más sobre Consejos de Prevención TIC)

Simplemente tenemos que “analizar” la situación, no es necesario ser expertos en nada, solo debemos hacernos algunas preguntas lógicas como si nuestro banco se pondría en contacto con nosotros de esa manera, o el motivo que nos toque un premio de la lotería si no hemos jugado.

La mejor herramienta para protegerse de los ataques de ingeniería social es el sentido común. Con un pequeño esfuerzo de análisis de los ejemplos anteriores puede encontrar rápidamente preguntas sin respuesta:

- ¿Es posible que un servicio usado por millones de usuarios como MSN tenga una vulnerabilidad que permita acceder al historial de conversaciones?
- ¿Es creible que una entidad bancaria necesite confirmación para recibir dinero en una cuenta?
- ¿De verdad cree que una compañía telefónica puede perder sus datos bancarios?
- ¿Es posible ser el ganador de un premio de lotería sin haber jugado?

Unos pequeños consejos pueden ayudarle a identificar las estrategias usadas en la ingeniería social y por tanto a evitar ser víctima de este tipo de ataques :

- Nunca revele por teléfono o e-mail datos confidenciales (como claves de acceso, números de tarjetas de crédito, cuentas bancarias, etc.).

- Nunca haga click en un enlace a una página web que le llegue a través de un e-mail en el que le piden datos personales.

- Desconfíe de cualquier mensaje de e-mail en el que se le ofrece la posibilidad de ganar dinero con facilidad.

- Si es usuario de banca electrónica o de cualquier otro servicio que implique introducir en una web datos de acceso, asegúrese de que la dirección de la web es correcta.

- No confíe en las direcciones de los remitentes de e-mail o en los identificadores del número llamante en el teléfono: pueden falsearse con suma facilidad.

- Instale en su ordenador un buen software de seguridad que incluya si es posible funcionalidad antivirus, antiphising, antispyware y antimalware para minimizar los riesgos.

- Cuando accedamos a nuestro sistema de banca online deberemos verificar que estamos haciéndolo a la página correcta y no en una página simulada o copiada, normalmente accederemos mediante “https” (Hypertext Transfer Protocol Secure, que es una combinación del protocolo HTTP y protocolos criptográficos.

Se emplea para lograr conexiones más seguras en la WWW, generalmente para transacciones bancarias o de pagos o cada vez que se intercambie información sensible en Internet).

- Utilice el sentido común y pregúntese siempre que reciba un mensaje o llamada sospechosa si alguien puede obtener algún beneficio de forma ilícita con la información que le solicitan.

Por último una breve reflexión: la ingeniería social existe desde que el hombre es hombre : a fin de cuentas simplemente se trata de conseguir que otra persona haga o diga lo que nosotros deseamos.

Además, mucho antes del nacimiento de la red Internet ya se utilizaban esas técnicas con propósitos deshonestos y con excelentes resultados, aunque nadie las acuñó con el término de "Ingeniería Social" : eran conocidas con nombres que seguro que nos suenan como "El timo de la estampita", "El tocomocho", "El nazareno"...

Resumiendo: las mejores herramientas para protegerse de los ataques de ingeniería social son el sentido común y la Lógica, la Educación y la Información.


Qué es la suplantación de identidad
Se conoce la suplantación de identidad como la actividad maliciosa en la que un atacante se hace pasar por otra persona por distintos motivos como: cometer un fraude, realizar ciberbullying o grooming… Un caso típico de suplantación de identidad es, en las redes sociales, crear un perfil de otra persona e interactuar con otros usuarios haciéndose pasar por ella.


Los seres humanos con frecuencia solemos pecar de vanidosos. La vanidad es la que no nos permite ver lo sencillo que puede resultar engañarnos. La vanidad no nos permite ver lo obvio: nosotros sabemos algo que por algún motivo puede ser útil para alguien más.

La vanidad está relacionada con la Seguridad Informática ya que es harto conocido el dicho “que una computadora apagada es un computadora segura” y si la computadora está apagada adivine quien es el objetivo: nosotros. No hay un sólo sistema en el mundo que no dependa de un ser humano, lo cual es una vulnerabilidad independiente de la plataforma tecnológica.

En palabras de Kevin Mitnick, uno de los hackers más famosos del mundo por conocidas estafas utilizando Ingeniería Social como principal arma y actual dueño de una consultora de seguridad que lleva el nombre de Mitnick Security: "Usted puede tener la mejor tecnología, firewalls, sistemas de detección de ataques, dispositivos biométricos, etc. Lo único que se necesita es un llamado a un empleado desprevenido e ingresar sin más. Tienen todo en sus manos".

Dejando el parafraseo de lado es hora de entrar de lleno en el tema de hoy: la Ingeniería Social. Dícese de una acción o conducta social destinada a conseguir información de las personas cercanas a un sistema.

Es el arte de conseguir lo que nos interese de un tercero por medio de habilidades sociales. Estas prácticas están relacionadas con la comunicación entre seres humanos. Las acciones realizadas suelen aprovecharse de engaños, tretas y artimañas para lograr que un usuario autorizado revele información que, de alguna forma, compromete al sistema.

Las personas padecemos las mismas debilidades dentro y fuera de la red y las técnicas conocidas sólo deben ser adaptadas al nuevo medio deseado. Las cualidades que pueden ser utilizadas son propias de la persona: como sus relaciones personales, inocencia, credibilidad, curiosidad, ambición, conocimiento, etc.

Parece poco creíble que preguntando a una persona por la información en la que estamos interesados, obtengamos lo que nosotros deseamos; sin embargo esta habilidad es desarrollada y utilizada por personas corrientes, hackers, ladrones, timadores y estafadores para lograr que otra persona ejecute una acción que generalmente repercute en un beneficio para el “atacante”.

Este arte puede ser utilizado en todos los niveles, desde un vendedor averiguando necesidades de sus compradores para ofrecerle un servicio más personalizado (éticamente correcto), llamar a alguien a su casa para averiguar si se encuentra y hasta engañar a un usuario para que revele su contraseña de acceso a un sistema (algo éticamente cuestionable).

En el mundo de la seguridad informática, este arte es utilizado, entre otros, para dos fines específicos:
el usuario es tentado a realizar una acción necesaria para dañar el sistema: este es el caso en donde el usuario recibe un mensaje que lo lleva a abrir un archivo adjunto o abrir la página web recomendada. Un caso de “éxito” es el virus Sober que mediante un sencillo mensaje logró ser el gusano de mayor propagación del año 2005.

El usuario es llevado a confiar información necesaria para que el atacante realice una acción fraudulenta con los datos obtenidos. Este es el caso del phishing, en donde el usuario entrega información al delincuente creyendo que lo hace a una entidad de confianza.
La Ingeniería Social es ampliamente utilizada por creadores de malware y estafadores debido al alto nivel de eficacia logrado engañando al usuario.

Y aquí notamos otra característica importante: la excelente relación costo-beneficio obtenida de su aplicación, ya que a un costo ínfimo (una llamada telefónica o un correo electrónico) corresponde un beneficio incalculable (acceso a la información o a un sistema).

Si bien podríamos entrar en particularidades de cada caso, es fundamental comprender que no hay tecnología capaz de protegernos contra la Ingeniería Social, como tampoco hay usuarios ni expertos que estén a salvo de esta forma de ataque. La Ingeniería Social no pasa de moda, se perfecciona y sólo tiene nuestra imaginación como límite.

Asimismo existe una única y efectiva forma de estar protegido contra ella: la educación. En este caso no estamos hablando de una educación estrictamente técnica sino más bien una capacitación social que alerte a la persona cuando está por ser blanco de este tipo de ataque.

Si el atacante tiene la experiencia suficiente, puede engañar fácilmente a un usuario en beneficio propio, pero si este usuario conoce estas tretas, no podrá ser engañado. Además, la educación de los usuarios suele ser una importante técnica de disuasión.

Paradójica y lamentablemente nuestra vanidad no nos permite ver que el ser humano es el elemento permanente y más débil en todo sistema. El ser humano es el objetivo y el medio para acceder a ese sistema; por eso es sumamente importante la capacitación y entender que todos somos un eslabón en la cadena de la seguridad.

Relacionados:
¿Qué es la suplantación de identidad? 

¿Quién es objetivo de la suplantación de Identidad?

Muchos podrían pensar que los más vulnerables son los menores y adolescentes, y ciertamente lo son, porque es sabido que las consecuencias de su vulnerabilidad pueden llegar a ser nefastas y que los ciberdepredadores utilizan la Ingeniería Social para acceder a la información de los menores. Pero no son únicamente a ellos los vulnerables. En internet podemos llegar a serlo todos, incluso los más preparados técnicamente, porque todos podemos ser víctimas de técnicas de Ingeniería Social si no prestamos la suficiente atención.

Cualquier podría ser víctima de Ingeniería social o ser suplantado en Internet. Nadie está a salvo de esta práctica. Aunque se tiende a pensar que sólo se suplanta la identidad de personas conocidas, famosas o influyentes, como por ejemplo celebrities y políticos, esta es una idea equivocada, los usuarios anónimos también son susceptibles de ser suplantados. La realidad es que el número de personas que desean denunciar una suplantación de identidad ha incrementado de una forma exponencial en los últimos tiempos.



¿Es delito la suplantación de Identidad?

Vamos a clasificar varios casos de suplantación que se puedan dar en Internet para así ver más fácilmente a qué tipo de pena jurídica está(n) expuesta(s) la(s) persona(s) suplantadora(s):

• Si la suplantación consiste únicamente en el registro de un perfil falso en el que no se utiliza información personal del suplantado como por ejemplo una fotografía, la única acción legal que puede tomarse es notificar esta situación a la red social implicada para que elimine dicho perfil de su página. Suplantar únicamente el nombre de una persona, si no lleva también la publicación de alguna imagen, no se considera delito.
• Si se crea un perfil falso suplantando la identidad de una persona y en este caso sí se utilizan datos personales de la persona suplantada, como la fotografía, se estaría vulnerando el derecho a la propia imagen de una persona, que recoge el artículo 18 de la Constitución Española. Además, en este caso, se produce una usurpación de la identidad de una persona y podría ser penado por la ley con castigo de cárcel de hasta 3 años según el artículo 401 del código penal.
• Si alguien accede al servicio de un usuario y se hace pasar por él, por ejemplo, correo electrónico, Facebook, Twitter… Claramente se está infringiendo la ley y es denunciable, ya que se traspasa la barrera de la privacidad de una persona (usurpación de la identidad). Además, el suplantador está cometiendo un delito al haber tenido que utilizar alguna práctica no lícita para acceder a dicho servicio del usuario: robo de contraseñas, entrometerse en sistemas informáticos, etc.

Cómo denunciar una suplantación de identidad

Aquí ofrecemos vínculos de denuncia.

Suplantación en correos electrónicos:
Gmail: http://www.osi.es/es/te-ayudamos/denunciar-suplantacion-identidad/suplantacion-gmail
Hotmail: http://www.osi.es/es/te-ayudamos/denunciar-suplantacion-identidad/suplantacion-hotmail

Suplantación en redes sociales:
Facebook: http://www.osi.es/es/te-ayudamos/denunciar-suplantacion-identidad/suplantacion-facebook
Twitter: http://www.osi.es/es/te-ayudamos/denunciar-suplantacion-identidad/suplantacion-twitter
Tuenti: http://www.osi.es/es/te-ayudamos/denunciar-suplantacion-identidad/suplantacion-tuenti
LinkedIn: http://www.osi.es/es/te-ayudamos/denunciar-suplantacion-identidad/suplantacion-linkedin

Relacionados:

- Traducción (no oficial) del Programa de Seguridad Cibernética de la OEA/CICTE sobre la “Metodología de Respuesta a Incidentes” (IRM, por sus siglas en inglés)IRM10: Ingenieria Social (Fuente de la OEA, Organización de Estados Americanos en Español e Inglés) (Más sobre la OEA)