A medida que las amenazas de ciberseguridad siguen evolucionando, los CISO y los profesionales de TI deben mantenerse por delante de tácticas de ingeniería social cada vez más sofisticadas. En este blog analizamos algunas de las principales amenazas de ingeniería social en las que hay que fijarse, con un enfoque en los métodos avanzados impulsados por IA y los enfoques tradicionales que explotan vulnerabilidades humanas.

1. ataques de phishing impulsados por IA

El phishing sigue siendo una amenaza importante, pero la IA ha hecho estos ataques más sofisticados y eficaces. Los Modelos de Lenguaje Multimodal (MLLM) permiten a los atacantes crear mensajes de phishing altamente personalizados que son difíciles de distinguir de las comunicaciones legítimas. Estos correos generados por IA pueden eludir las medidas de seguridad tradicionales imitando el estilo y el contexto esperados por el destinatario.
Contramedidas:
• Implementar soluciones avanzadas de filtrado de correo electrónico que utilicen IA para detectar patrones de phishing.
• Realizar ejercicios regulares y dirigidos de simulación de phishing.
• Formar a los empleados para reconocer y reportar correos sospechosos, incluso si parecen legítimos.

2. deepfakes y contenidos generados por IA

Los avances en IA han permitido la creación de vídeos y audios deepfake realistas que pueden usarse para suplantar a directivos o figuras públicas. Estas herramientas pueden difundir desinformación, cometer fraudes o manipular la opinión pública. El creciente acceso a esta tecnología significa que incluso atacantes con pocas habilidades pueden utilizarla.
Contramedidas:
• Invertir en tecnologías de detección de deepfakes.
• Educar a los empleados sobre los riesgos y señales de los contenidos deepfake.
• Verificar la autenticidad de vídeos y audios a través de múltiples canales.

3. vishing y smishing

El voice phishing (vishing) y el SMS phishing (smishing) siguen siendo frecuentes. El vishing implica que los atacantes se hagan pasar por entidades de confianza por teléfono para extraer información personal, mientras que el smishing utiliza mensajes de texto para enviar enlaces maliciosos. Estos métodos explotan la confianza que la gente deposita en las comunicaciones telefónicas.
Contramedidas:
• Implementar sistemas de autenticación por voz para transacciones sensibles.
• Usar soluciones de filtrado de SMS para bloquear enlaces maliciosos conocidos.
• Educar a los empleados sobre los riesgos e indicadores de los ataques vishing y smishing.

4. compromiso de correo electrónico empresarial (BEC)

Los ataques BEC consisten en suplantar a directivos o socios de confianza para engañar a los empleados y que transfieran dinero o datos sensibles. A menudo incluyen una investigación exhaustiva del objetivo para crear correos convincentes. Más de una cuarta parte de los 10,9 mil millones de dólares en pérdidas reportadas al IC3 del FBI en 2023 se atribuyeron directamente al BEC.
Contramedidas:
• Usar protocolos de autenticación de correo electrónico como DMARC, DKIM y SPF.
• Implementar autenticación multifactor (MFA) para el acceso al correo electrónico.
• Establecer procedimientos estrictos de verificación para transacciones financieras y solicitudes de información sensible.

5. pretexting

El pretexting consiste en crear un escenario ficticio para ganarse la confianza de la víctima y manipularla para que proporcione información. Los atacantes suelen hacerse pasar por figuras de autoridad o colegas de confianza, haciendo que la víctima se sienta cómoda compartiendo datos confidenciales.
Contramedidas:
• Desarrollar y aplicar políticas para verificar identidades antes de compartir información sensible.
• Ofrecer formación regular sobre los riesgos y señales del pretexting.
• Fomentar una cultura de escepticismo saludable y verificación entre los empleados.

6. baiting

El baiting explota la curiosidad humana ofreciendo algo atractivo para atraer a las víctimas a una trampa. Puede ser una descarga gratuita o un objeto físico como un USB etiquetado de forma intrigante. Una vez tomada el anzuelo, el sistema de la víctima se infecta con malware (AuraSafe).
Contramedidas:
• Usar soluciones de protección de endpoints para detectar y bloquear malware.
• Educar a los empleados sobre los riesgos de dispositivos desconocidos y ofertas no solicitadas.
• Implementar políticas para gestionar dispositivos encontrados y reportar objetos sospechosos.

7. soborno de empleados

El soborno consiste en ofrecer dinero u otros incentivos a empleados a cambio de información sensible o acceso a zonas seguras. Esta táctica explota las vulnerabilidades financieras o la insatisfacción de los empleados, convirtiéndola en una amenaza potente (AuraSafe) (CommSec Cyber Security).
Contramedidas:
• Fomentar un ambiente de trabajo positivo para reducir la insatisfacción.
• Implementar mecanismos anónimos de denuncia de intentos de soborno.
• Realizar formación ética regular para reforzar la importancia de la integridad.

8. ataques quid pro quo

En los ataques quid pro quo, el atacante ofrece un servicio o beneficio a cambio de información. Por ejemplo, puede hacerse pasar por personal de soporte técnico que ofrece solucionar un problema a cambio de credenciales de acceso. Este método se aprovecha de la tendencia humana a devolver favores (AuraSafe).
Contramedidas:
• Establecer protocolos claros para solicitudes y verificaciones de soporte técnico.
• Educar a los empleados sobre los riesgos de compartir información a cambio de ofertas no solicitadas.
• Implementar controles de acceso basados en roles para limitar el impacto de credenciales comprometidas.

A medida que las amenazas de ingeniería social se vuelven más sofisticadas, es crucial que los CISO y los profesionales de TI se mantengan vigilantes y proactivos. Al comprender estas amenazas e implementar contramedidas sólidas, las organizaciones pueden protegerse mejor frente al panorama cambiante de amenazas cibernéticas.

La formación regular, las tecnologías de seguridad avanzadas y una cultura de concienciación y verificación son claves para mitigar los riesgos de los ataques de ingeniería social. Si quieres proteger tu organización contra las amenazas de ingeniería social, ponte en contacto con nuestros expertos.