¿Están tus empleados preparados para responder ante un ataque de ingeniería social?
La información en las empresas, los datos y la seguridad de los mismos cada día son más importantes. Por eso las organizaciones son cada vez más celosas de su seguridad y buscan poner más barreras para reconocer ataques, frenarlos o actuar antes incluso de que se produzcan. Sin embargo, en muchas ocasiones el empleado que está detrás del teclado es el eslabón más débil de la seguridad. Es aquí donde entran los ataques de ingeniería social para lograr el acceso a la información.
Técnicas de ingeniería social, del phising al vishing
Se trata de una técnica que manipula al trabajador, que le engaña y convence de que haga algo que realmente no debería hacer. Para ello pueden suplantar la identidad de alguien conocido, ya sea un cliente, un proveedor o también incluso alguien de nuestra propia organización. Esto nos lleva a no desconfiar y pensar que lo que nos están pidiendo es algo normal en la relación que mantenemos, ya sea descargar una factura o realizar una transferencia para un pago si quien creemos que lo está solicitando es nuestro jefe.
Esté engaño que se realiza a los empleados suele llegar por diferentes canales y técnicas. Vamos a explicar brevemente algunos de ellos:
- El phishing es un término que viene del inglés fishing que significa “pesca”, y hace alusión al acto de ‘pescar’ usuarios mediante señuelos cada vez más sofisticados. Puede llegar por correo electrónico, suplantando la identidad de un proveedor que nos solicita nuestros datos de cuenta para hacernos una transferencia de un pago, por ejemplo. El objetivo es hacerse con nuestros datos no tanto introducirse en nuestro ordenador o dispositivos móviles.
- El smishing es una variedad de phishing, que en este caso utiliza el canal SMS como medio de transmisión. Suplantan la identidad de un destinatario legítimo, como un banco, una red social, una institución pública o una aplicación conocida para que el usuario realice una acción. Un ejemplo, los mensajes avisando de un paquete para recoger que nos piden enlazar a una página. Suplantan a la empresa de paquetería y en muchos casos, si tenemos alguna compra pendiente de entrega es muy fácil caer.
- En el vishing el canal de comunicación es una llamada telefónica. Se ponen en contacto con nosotros simulando un problema que no existe para que facilitemos acceso a nuestro ordenador o nuestros datos personales o financieros.
- En el fraude del CEO lo relevante no es el canal de comunicación por el que nos llega, sino más bien a quién intenta suplantar, en este caso un directivo o responsable de nuestra organización. Si un alto responsable de la empresa pide hacer una transferencia urgente para cerrar un trato comercial puede que muchos empleados no sospechen. Pero es posible que la persona que esté detrás de esta comunicación no sea quien nosotros pensamos. Hoy en día hay técnicas muy sofisticadas como el deepfake que hacen que este engaño sea más difícil de detectar.
La formación de los empleados es la mejor barrera de seguridad
Para poder defendernos adecuadamente los empleados necesitan estar formados y tener los conocimientos adecuados para sospechar de un correo, de un mensaje o incluso de una llamada que suplanta la identidad de su jefe. Esta labor de concienciación tiene que ser constante, alertando por ejemplo de las principales amenazas de cada momento, de las campañas que se están produciendo, ya que son masivas y anticiparnos nos puede ahorrar muchos disgustos. También mantenerse adecuadamente informado en espacios de confianza sobre la actualidad en el ámbito de la ciberseguridad.
El primer paso para mejorar esta formación es medir el grado de conocimiento de nuestros empleados, y con este sencillo test puedes descubrir el nivel de seguridad de tu compañía.
Test desarrollado con la colaboración de S2 Grupo.
