El pretexto es un tipo de ataque de ingeniería social que implica una situación, o pretexto , creado por un atacante para atraer a una víctima a una situación vulnerable y engañarla para que proporcione información privada, específicamente información que la víctima normalmente no daría fuera del contexto del pretexto. [1] A lo largo de su historia, los pretextos han sido descritos como la primera etapa de la ingeniería social y han sido utilizados por el FBI para ayudar en las investigaciones. [2] Un ejemplo específico de pretexto es la ingeniería social inversa, en la que el atacante engaña a la víctima para que se comunique con el atacante primero.
Una razón para la prevalencia del pretexto entre los ataques de ingeniería social es su dependencia de la manipulación de la mente humana para obtener acceso a la información que el atacante desea, en lugar de tener que piratear un sistema tecnológico. Al buscar víctimas, los atacantes pueden prestar atención a una variedad de características, como la capacidad de confiar, la baja percepción de amenaza, la respuesta a la autoridad y la susceptibilidad a reaccionar con miedo o entusiasmo en diferentes situaciones. [3] [4] A lo largo de la historia, los ataques con pretextos han aumentado en complejidad, habiendo evolucionado desde la manipulación de operadores por teléfono en la década de 1900 hasta el escándalo de Hewlett Packard en la década de 2000, que involucró el uso de números de seguridad social , teléfonos y bancos . [5] Los marcos educativos actuales sobre ingeniería social se utilizan en las organizaciones, aunque investigadores del mundo académico han sugerido posibles mejoras a esos marcos. [6]
La ingeniería social es una táctica de manipulación psicológica que conduce a la respuesta involuntaria o inconsciente del objetivo/víctima. [7] Es una de las principales amenazas a la seguridad de la información en el mundo moderno y afecta a las organizaciones, la gestión empresarial y las industrias. [7] Los ataques de ingeniería social se consideran difíciles de prevenir debido a su raíz en la manipulación psicológica. [8] Estos ataques también pueden alcanzar una escala más amplia. En otros ataques a la seguridad, una empresa que posee datos de clientes podría verse vulnerada. Con los ataques de ingeniería social, tanto la empresa (específicamente los trabajadores dentro de la empresa) como el cliente directamente son susceptibles de ser atacados. [8]
Un ejemplo sería el sector bancario, donde no sólo se puede atacar a los empleados del banco, sino también a los clientes. Los culpables de la ingeniería social se dirigen directamente a los clientes y/o empleados para intentar piratear un sistema puramente tecnológico y explotar las vulnerabilidades humanas. [8]
Aunque su definición en relación con la ciberseguridad ha estado sesgada en diferentes publicaciones, un tema común es que la ingeniería social (en ciberseguridad) explota las vulnerabilidades humanas para violar entidades como las computadoras y la tecnología de la información. [2]
La ingeniería social tiene poca literatura e investigación al respecto actualmente. Sin embargo, una parte principal de la metodología al investigar la ingeniería social es establecer un pretexto inventado. Al evaluar qué ataques de ingeniería social son los más peligrosos o dañinos (es decir, phishing , vishing , water-holeing ), el tipo de pretexto es un factor en gran medida insignificante, ya que algunos ataques pueden tener múltiples pretextos. Por lo tanto, el pretexto en sí mismo se utiliza ampliamente, no sólo como un ataque propio, sino como un componente de otros. [9]
En ciberseguridad, los pretextos pueden considerarse una de las primeras etapas de evolución de la ingeniería social. Por ejemplo, mientras que el ataque de ingeniería social conocido como phishing se basa en elementos modernos como tarjetas de crédito y ocurre principalmente en el espacio electrónico, los pretextos se implementaron y se pueden implementar sin tecnología. [10]
El pretexto fue uno de los primeros ejemplos de ingeniería social. Acuñado por el FBI en 1974, el concepto de pretexto se utilizaba a menudo para ayudar en sus investigaciones. En esta fase, el pretexto consistía en que un atacante llamaba a la víctima simplemente para pedirle información. [2] Los ataques de pretexto suelen consistir en tácticas de persuasión. Después de esta fase inicial de la evolución de la ingeniería social (1974-1983), los pretextos cambiaron no sólo de tácticas de persuasión, sino también de tácticas de engaño. A medida que la tecnología se desarrolló, también se desarrollaron métodos de pretexto. Pronto, los piratas informáticos tuvieron acceso a una audiencia más amplia de víctimas gracias a la invención de las redes sociales. [2]
La ingeniería social inversa es un ejemplo más específico de pretexto. [11] Es una forma no electrónica de ingeniería social en la que el atacante crea un pretexto en el que se manipula al usuario para que se ponga en contacto con el atacante primero, y al revés.
Normalmente, los ataques de ingeniería inversa implican que el atacante anuncie sus servicios como un tipo de ayuda técnica, estableciendo credibilidad. Luego, se engaña a la víctima para que se comunique con el atacante después de ver anuncios, sin que el atacante se comunique directamente con la víctima en primer lugar. Una vez que un atacante logra con éxito un ataque de ingeniería social inversa, se puede establecer una amplia gama de ataques de ingeniería social debido a la confianza falsificada entre el atacante y la víctima (por ejemplo, el atacante puede darle a la víctima un vínculo dañino y decirle que es una solución al problema de la víctima. Debido a la conexión entre el atacante y la víctima, la víctima se inclinará a creerle al atacante y hacer clic en el enlace dañino). [12]
Los pretextos fueron y siguen siendo vistos como una táctica útil en los ataques de ingeniería social. Según los investigadores, esto se debe a que no dependen de la tecnología (como piratear sistemas informáticos o violar la tecnología ). Los pretextos pueden ocurrir en línea, pero dependen más del usuario y de los aspectos de su personalidad que el atacante puede utilizar en su beneficio. [13] Los ataques que dependen más del usuario son más difíciles de rastrear y controlar, ya que cada persona responde a los ataques de ingeniería social y pretexto de manera diferente. Sin embargo, atacar directamente a una computadora puede requerir menos esfuerzo para resolverlo, ya que las computadoras funcionan relativamente de manera similar. [13] Hay ciertas características de los usuarios que los atacantes identifican y atacan. En el ámbito académico, algunas características comunes [14] son:
Si la víctima es "preciada", significa que tiene algún tipo de información que el ingeniero social desea. [3]
La confiabilidad va de la mano con la simpatía, ya que, por lo general, cuanto más agrada a alguien, más se confía en él. [14] De manera similar, cuando se establece confianza entre el ingeniero social (el atacante) y la víctima, también se establece credibilidad. Por lo tanto, es más fácil para la víctima divulgar información personal al atacante si es más fácil para la víctima confiar. [4]
Con qué facilidad reacciona una persona ante los acontecimientos y en qué medida se puede utilizar a favor de un ingeniero social. En particular, emociones como la excitación y el miedo se utilizan a menudo para persuadir a las personas a divulgar información. Por ejemplo, se podría establecer un pretexto en el que el ingeniero social se burla de un premio interesante para la víctima si acepta darle su información bancaria al ingeniero social. El sentimiento de excitación se puede utilizar para atraer a la víctima al pretexto y persuadirla de que le dé al atacante la información que busca. [14]
A pesar de comprender que existen amenazas al hacer cualquier cosa en línea, la mayoría de las personas realizarán acciones que van en contra de esto, como hacer clic en enlaces aleatorios o aceptar solicitudes de amistad desconocidas. [14] Esto se debe a que una persona percibe la acción como de baja amenaza o consecuencia negativa. Esta falta de miedo/amenaza, a pesar de ser consciente de su presencia, es otra razón por la que prevalecen los ataques de ingeniería social, especialmente los pretextos. [15]
Si la víctima es sumisa y dócil, entonces es más probable que un atacante tenga éxito en el ataque si se establece un pretexto en el que la víctima piensa que el atacante se hace pasar por algún tipo de figura autorizada. [14]
El artículo de octubre de 1984 Centros de conmutación y operadores detallaba un ataque de pretexto común en ese momento. Los atacantes a menudo contactaban con operadores que trabajaban específicamente para personas sordas utilizando teletipos. La lógica era que estos operadores eran a menudo más pacientes que los operadores normales, por lo que era más fácil manipularlos y persuadirlos para obtener la información que el atacante deseaba. [2]
Un ejemplo notable es el escándalo de Hewlett Packard . La empresa Hewlett Packard quería saber quién filtraba información a los periodistas. Para hacerlo, proporcionaron a investigadores privados información personal de los empleados (como números de seguro social) y los investigadores privados, a su vez, llamaron a compañías telefónicas haciéndose pasar por esos empleados con la esperanza de obtener registros de llamadas. Cuando se descubrió el escándalo, el director general dimitió. [dieciséis]
En general, los socialbots son perfiles de redes sociales falsos operados por máquinas y empleados por atacantes de ingeniería social. En sitios de redes sociales como Facebook, los socialbots se pueden utilizar para enviar solicitudes de amistad masivas con el fin de encontrar tantas víctimas potenciales como sea posible. [5] Utilizando técnicas de ingeniería social inversa, los atacantes pueden utilizar robots sociales para obtener cantidades masivas de información privada sobre muchos usuarios de redes sociales. [17] En 2018, un estafador se hizo pasar por el empresario Elon Musk en Twitter , alterando su nombre y su foto de perfil. Procedieron a iniciar una estafa de obsequio engañoso, prometiendo multiplicar la criptomoneda enviada por los usuarios. Posteriormente, el estafador retuvo los fondos que les envió. Este incidente sirve como ejemplo de cómo se empleó el pretexto como táctica en un ataque de ingeniería social. [18]
Los marcos educativos actuales sobre el tema de la ingeniería social se dividen en dos categorías: sensibilización y formación. La concientización es cuando la información sobre ingeniería social se presenta a la parte prevista para informarle sobre el tema. La capacitación consiste específicamente en enseñar las habilidades necesarias que las personas aprenderán y utilizarán en caso de que se encuentren en un ataque de ingeniería social o puedan encontrarse con uno. [6] La sensibilización y la formación pueden combinarse en un proceso intensivo a la hora de construir marcos educativos.
Si bien se han realizado investigaciones sobre el éxito y la necesidad de los programas de capacitación en el contexto de la educación en ciberseguridad, [19] hasta el 70% de la información se puede perder cuando se trata de capacitación en ingeniería social. [20] Un estudio de investigación sobre la educación en ingeniería social en bancos de Asia Pacífico , encontró que la mayoría de los marcos solo abordaban la concientización o la capacitación. Además, el único tipo de ataque de ingeniería social que se enseñó fue el phishing. Al observar y comparar las políticas de seguridad en los sitios web de estos bancos, las políticas contienen lenguaje generalizado como "malware" y "estafas", al tiempo que omiten los detalles detrás de los diferentes tipos de ataques de ingeniería social y ejemplos de cada uno de esos tipos. . [6]
Esta generalización no beneficia a los usuarios que reciben educación mediante estos marcos, ya que falta una profundidad considerable cuando el usuario solo recibe educación en términos amplios como los ejemplos anteriores. Además, los métodos puramente técnicos para luchar contra la ingeniería social y los ataques de pretexto, como los cortafuegos y los antivirus , resultan ineficaces. Esto se debe a que los ataques de ingeniería social normalmente implican explotar las características sociales de la naturaleza humana, por lo que combatir puramente la tecnología es ineficaz. [21]