¿Qué es un ataque de ingeniería social?

En un ataque de ingeniería social, un atacante utiliza la interacción humana (habilidades sociales) para obtener o comprometer información sobre una organización o sus sistemas informáticos. Un atacante puede parecer modesto y respetable, posiblemente afirmando ser un nuevo empleado, persona de reparación o investigador e incluso ofrecer credenciales para respaldar esa identidad. Sin embargo, al hacer preguntas, él o ella puede juntar suficiente información para infiltrarse en la red de una organización. Si un atacante no puede recopilar suficiente información de una fuente, él o ella puede comunicarse con otra fuente dentro de la misma organización y confiar en la información de la primera fuente para aumentar su credibilidad.

 

¿Qué es un ataque de phishing?

El phishing es una forma de ingeniería social. Los ataques de phishing usan correos electrónicos o sitios web maliciosos para solicitar información personal haciéndose pasar por una organización confiable. Por ejemplo, un atacante puede enviar un correo electrónico aparentemente de una compañía de tarjetas de crédito o institución financiera acreditada que solicita información de la cuenta, lo que suele sugerir que existe un problema. Cuando los usuarios responden con la información solicitada, los atacantes pueden usarla para obtener acceso a las cuentas.

Los ataques de phishing también pueden parecer provenir de otros tipos de organizaciones, como organizaciones benéficas. Los atacantes a menudo aprovechan los acontecimientos actuales y ciertas épocas del año, como:

       Desastres naturales (por ejemplo, huracán Katrina, tsunami de Indonesia)

       Epidemias y temores de salud (por ejemplo, H1N1)

       Preocupaciones económicas (por ejemplo,crisis en Grecia)

       Elecciones políticas importantes

       Vacaciones

 

¿Cómo evitas ser una víctima?

       Sospecha de las llamadas telefónicas no solicitadas, las visitas o los mensajes de correo electrónico de personas que te preguntan acerca de los empleados u otra información interna. Si un individuo desconocido afirma ser de una organización legítima, intenta verificar su identidad directamente con la empresa.

 

       No proporciones información personal o información sobre tu organización, incluida su estructura o redes, a menos que esté seguro de la autoridad de una persona para tener la información.

 

       No reveles información personal o financiera en el correo electrónico, y no respondas a las solicitudes de correo electrónico para esta información. Esto incluye los enlaces enviados por correo electrónico.

 

       No envíes información confidencial a través de Internet antes de verificar la seguridad de un sitio web. Presta atención a la URL de un sitio web. Los sitios web maliciosos pueden parecer idénticos a un sitio legítimo, pero la URL puede usar una variación en la ortografía o un dominio diferente (por ejemplo, .com vs. .net).

 

       Si no estás seguro de si una solicitud por correo electrónico es legítima, intenta verificarla contactando a la compañía directamente. No utilices la información de contacto proporcionada en un sitio web que viene en el mismo correo.

 

       Instala y mantén un software antivirus, firewalls y filtros de correo electrónico para reducir parte de este tráfico.

 

       Aprovecha todas las funciones anti-phishing ofrecidas por su cliente de correo electrónico y navegador web.

 

 

¿Qué haces si crees que eres una víctima?

 

       Si crees que puedes haber revelado información confidencial sobre tu organización, informa a las personas adecuadas dentro de la organización, incluidos los administradores de red. Pueden estar alertas ante cualquier actividad sospechosa o inusual.

 

       Si crees que tus cuentas financieras pueden verse comprometidas, comunicate con tu institución financiera de inmediato y cierra todas las cuentas que puedan haber sido comprometidas. Estate atento a cualquier cargo inexplicable en tu cuenta.

 

      Cambia inmediatamente las contraseñas que puedas haber revelado. Si usaste la misma contraseña para múltiples recursos, asegurate de cambiarla para cada cuenta y no la uses en el futuro.

 

Estate atento a otros signos de robo de identidad.