Olvídese de la versión hollywoodense del hackeo. No se trata de códigos verdes brillantes ni de puertas traseras complejas cuando se trata de redes sociales. Los ataques reales de ingeniería social no requieren casi ninguna habilidad técnica. Se basan en algo mucho más peligroso: la psicología humana.
La mayoría de la gente confunde “piratería” con malware o explotación de código. Pero la ingeniería social en las redes sociales es diferente. Es un juego de confianza. Los atacantes utilizan los datos personales que usted carga voluntariamente para ganarse la confianza de extraños. No están entrando. Están siendo invitados a entrar.
El elemento humano es el eslabón más débil
Los sistemas de seguridad tradicionales son robustos. Los cortafuegos funcionan. El cifrado funciona. La gente no lo hace.
La ingeniería social explota el eslabón más débil de la seguridad de la información: tú y yo. Utiliza la persuasión, el miedo o la urgencia para eludir los controles de seguridad lógicos. Considere estos ejemplos clásicos:
- Una persona que llama haciéndose pasar por un ejecutivo enojado que olvidó su contraseña y exige acceso inmediato.
- Un empleado bancario falso que solicita los datos de su tarjeta de crédito para “verificar” una cuenta.
- Alguien que finge perder su tarjeta de identificación y pide que le abran la puerta de la oficina.
Estas no son tramas de ciencia ficción. Suceden a diario. El objetivo es simple: evitar la tecnología engañando al ser humano detrás de la pantalla.
Tu perfil público es un mapa del tesoro
Cuando creas un perfil en una red social, probablemente te concentras en la conexión. Rara vez se piensa en los riesgos de seguridad. Cada detalle que publique hace que sea más fácil para un atacante explotar esa confianza.
Imagina que eres ingeniero. Escribes un blog sobre un proyecto delicado e inédito en tu página de Facebook. Un atacante ve esto. Él sabe tu nombre. Él conoce tu papel. Él conoce su empresa.
Crea un perfil que imita a un colega de esa misma firma. Cuando él se acerca, ya estás predispuesto a confiar en él. Él es uno de “tu tipo”. Una vez que participe, podría intentar extraer una contraseña o robar datos de propiedad exclusiva para venderlos a sus competidores. Todo esto es posible porque compartiste públicamente tu contexto profesional.
La ilusión de “solo amigos”
La mayoría de las redes prometen seguridad. Afirman que sólo tus “amigos” pueden ver tu perfil completo. Esto suena seguro. No lo es.
Esta característica sólo funciona si eres extremadamente selectivo. Si aceptas solicitudes de amistad de todos, estás invitando al caos. Es probable que uno de esos extraños sea un atacante.
El principal problema de las redes sociales en línea es la falta de autenticación integrada. No existe ningún sistema que demuestre que alguien es quien dice ser. En una plataforma como LinkedIn, un atacante puede crear un perfil que coincida perfectamente con los intereses comerciales de su objetivo.
Una vez que acepta la conexión, él obtiene una vista de su red. Él ve tus conexiones. Él ve tus títulos de trabajo. Él ve tus afiliaciones. Con ese mapa, puede construir una elaborada estafa de robo de identidad. No necesita hackear el servidor. Sólo necesita que hagas clic en “Aceptar”.
La conciencia es tu única defensa
No existe ningún parche de software para la paranoia. La única defensa contra la ingeniería social en las redes sociales es la conciencia.
Debes saber que estos atacantes existen. Tienes que tener cuidado con lo que publicas. Pero lo más importante es que debe reconocer la estafa mientras ocurre. No después de que el daño esté hecho.
Si trata cada interacción en una red como una prueba potencial de su confianza, es posible que sobreviva al encuentro. O podrías ser simplemente la próxima estadística.
A continuación, veremos cómo los profesionales de TI pueden utilizar estas mismas redes para crecer profesionalmente sin caer en la trampa.
