Ingeniería social
La ingeniería social utiliza contexto, confianza, urgencia, autoridad u otros incentivos para conseguir que una persona realice una acción que beneficia al atacante. El phishing es solo uno de los canales que puede utilizar.
Anatomía de un intento
Sección titulada «Anatomía de un intento»- Objetivo: credenciales, ejecución, información, pago o acceso físico.
- Pretexto: historia que hace parecer razonable la solicitud.
- Canal: correo, mensajería, llamada, red social, soporte, medio físico o interacción presencial.
- Palanca: urgencia, miedo, curiosidad, recompensa, autoridad o deseo de ayudar.
- Acción: abrir, autenticar, transferir, revelar, instalar o permitir acceso.
Términos como pretexting, baiting, tailgating o quid pro quo describen patrones, pero analizar el objetivo y la acción solicitada suele ser más útil que memorizar etiquetas.
Defensa en capas
Sección titulada «Defensa en capas»- reducir información pública y procesos fáciles de suplantar
- autenticar solicitudes sensibles por un canal independiente
- usar MFA resistente al phishing y gestores de contraseñas
- proteger correo y dominios con SPF, DKIM y DMARC, protocolos que ayudan a autenticar el origen y definir el tratamiento de mensajes no autorizados
- limitar privilegios y exigir doble control para acciones de alto impacto
- facilitar el reporte rápido sin castigar el error honesto
- detectar autenticaciones, reglas de correo, cambios de pago y actividad anómala.
La formación aislada no compensa un proceso que obliga a confiar en correos urgentes o en llamadas sin verificación.
Antes de simular ingeniería social
Sección titulada «Antes de simular ingeniería social»Una campaña autorizada debe definir población, datos recogidos, pretextos prohibidos, exclusiones, tratamiento de credenciales, soporte a personas afectadas y criterios de parada. No deben utilizarse temas traumáticos, humillación pública ni datos personales innecesarios.
El porcentaje de clics no explica por sí solo si la organización resistió el ejercicio. También importan el reporte, el tiempo de detección y si los controles limitaron la acción solicitada.
Preguntas de repaso
Sección titulada «Preguntas de repaso»- ¿Qué componentes forman un pretexto operativo?
- ¿Por qué la formación no sustituye controles de proceso?
- ¿Qué métricas son más útiles que contar clics?