Ingeniería social: Así funcionan los ataques de phishing

En los últimos años se ha oído mucho hablar de varios conceptos y técnicas habituales que los ciberdelincuentes emplean para perpetrar sus ataques, como el phishing, el smishing o el vishing, pero no todo el mundo tiene claro lo que son, y mucho menos qué se esconde detrás de ellas. Este tipo de ataques se caracterizan por su intento de obtener datos personales, contraseñas e información financiera de forma fraudulenta, a través del engaño y la manipulación, más específicamente de técnicas de ingeniería social. 

Para comprender cómo funcionan estos ataques y cómo poder enfrentarlos o evitarlos, es crucial comprender el funcionamiento de la ingeniería social, que explica cómo los ciberdelincuentes consiguen persuadir a las personas para que revelen su información más confidencial o para que hagan clic en enlaces maliciosos. 

¿Qué es la ingeniería social?

La tecnología está en constante evolución. Casi a diario conocemos nuevos servicios, soluciones o capacidades que las empresas tecnológicas nos ofrecen para mejorar nuestra vida y nuestro desarrollo personal. Del mismo modo, los ciberdelincuentes también investigan y desarrollan nuevas formas y herramientas para no solo afrontar los avances en materia de ciberseguridad, si no para mejorar su capacidad de ataque. 

La ingeniería social se ha convertido en una de las herramientas más efectivas y populares que los ciberdelincuentes utilizan para engañar a las personas y robar información confidencial. Aunque el término «ingeniería» sugiere un enfoque técnico o científico, en este contexto se refiere más bien a la manipulación psicológica y social de las personas en lugar de la manipulación de sistemas informáticos o mecánicos. Los ciberataques basados en ingeniería social se centran en la psicología humana y explotan la confianza y la ingenuidad de las personas.

La ingeniería social puede manifestarse de varias formas, como la manipulación emocional, la persuasión, el pretexting (crear una historia falsa para obtener información), el baiting (proporcionar un incentivo para que alguien realice una acción específica) y la suplantación de identidad. Sin embargo, la forma de ataque más habitual y desarrollada es el conocido phishing. 

El phishing es una técnica de ingeniería social que implica el envío de mensajes falsos o engañosos para hacer que las personas revelen información personal o financiera. Los ciberdelincuentes suelen hacerse pasar por una entidad legítima, como un banco, una empresa o un perfil de una red social. En estos mensajes, los atacantes suelen incluir enlaces maliciosos o archivos adjuntos diseñados para robar información cuando el destinatario hace clic en ellos o los descarga. Esta técnica tiene diferentes vertientes como el vishing (llamadas telefónicas) o el smishing (mensajes de texto). 

¿Cómo funcionan los ataques de ingeniería social?

Los ciberataques realizados a través de técnicas de ingeniería social son tan variados como abundantes. Algunos son más sofisticados, otros están peor trabajados y son más perceptibles. Para detectar si se está siendo víctima de uno de estos tipos de estafa, estos son los pasos que suelen seguir y sobre los que se pueden vislumbrar algunas anomalías.

Investigación y selección de objetivos

Los ciberdelincuentes suelen seleccionar objetivos basados en la industria a la que pertenecen, su posición en una organización o su historial de navegación online. Su desempeño comienza por investigar a las posibles víctimas, recopilando información personal a través de fuentes públicas como redes sociales, sitios web corporativos o bases de datos filtradas de otros ataques. Si se sospecha desde el primer contacto, por ser algo totalmente inesperado, preguntar detalles concretos puede desvelar la verdadera intención del persuasor. 

Creación de un mensaje convincente

Una vez que los ciberdelincuentes tienen una idea clara de quiénes son sus objetivos, el siguiente paso es crear un mensaje con el que captar a la víctima. Estos mensajes pueden tener forma de correos electrónicos, mensajes de texto, mensajes en redes sociales o incluso llamadas telefónicas falsas. También pueden tener una motivación emocional o, por el contrario, una motivación profesional o financiera. Anteriormente, detectar un mensaje desarrollado para este tipo de ataques solía ser más sencillo, ya que eran habituales las faltas de ortografía, las discordancias visuales y los errores conceptuales. Sin embargo, con la aparición de la inteligencia artificial generativa, con herramientas como ChatGPT para la creación de texto, cada vez se está haciendo más y más complicado detectarlos. 

Engañar a la víctima

El éxito de este tipo de ciberataques depende en gran medida de la capacidad de los estafadores para engañar a la víctima. Algunos mensajes suelen incluir un llamado a la acción urgente, como «verifique su cuenta» o «cambie su contraseña de inmediato» o una solicitud inesperada de alguien haciéndose para por un amigo o familiar con una necesidad económica urgente. De esta forma, ya desde un inicio, los ciberdelincuentes utilizan tácticas psicológicas para presionar a la víctima y hacer que actúe rápidamente sin pensar demasiado. Si se recibe un mensaje de este tipo, es fundamental verificar la fuente. Por ejemplo, si nos llega un mensaje de nuestro banco solicitando una acción urgente, es recomendable contactar directamente con un contacto habitual de la entidad o con el teléfono de una oficina oficial. 

Establecimiento de la trampa

Los ciberdelincuentes incluyen en sus mensajes enlaces maliciosos o archivos adjuntos que parecen inofensivos, pero que están a un clic de robar la información de los usuarios o de infectar los dispositivos con diferentes malwares. Al igual que con el anterior punto, es crucial estar seguros de cualquier movimiento que vayamos a realizar y evitar pinchar en este tipo de documentos, a no ser que ya hayamos comprobado su veracidad. 

Uso de la información robada

Como ya hemos adelantado, los ciberdelincuentes pueden recopilar información confidencial como nombres de usuario, contraseñas, números de tarjeta de crédito o cualquier otro dato sensible. Una vez que han obtenido esta información, pueden utilizarla para cometer fraudes financieros, robo de identidad, extorsión o cualquier otro tipo de actividad delictiva. Si finalmente se es víctima de ello, es primordial cancelar todas las cuentas que hayan podido ser afectadas y comunicárselo a las autoridades pertinentes. 

Además de todo lo anterior, es esencial mantener la calma si se está siendo víctima de un ciberataque, habilitar la autenticación de dos factores (2FA) para agregar una capa adicional de seguridad, mantener los sistemas operativos, navegadores web y software de seguridad actualizados con los últimos updates y parches de seguridad, y, sobre todo, tener el conocimiento necesario para poder afrontarlo. 

En este sentido, desde MIOTI Tech & Business School, en colaboración con Hack by Security, hemos desarrollado el Máster en Cibersecurity para formar futuros profesionales de la ciberseguridad a través del conocimiento avanzado de las técnicas y herramientas de vanguardia, bajo la supervisión de renombrados expertos en el campo de la ciberseguridad. Durante este máster, los alumnos adquieren una fuerte comprensión de los desafíos intrínsecos y las soluciones más efectivas en el emocionante campo de la ciberseguridad, capacitándolos para acceder a las nuevas y llamativas oportunidades de empleo que ofrece este sector.