INGENIERIA SOCIAL

REALIZACIÓN DE INGENIERÍA SOCIAL

Infosecurity Europe, llevo a cabo una encuesta a trabajadores de oficinas en Londres. Según un
artículo publicado por ZDNet el 20 de abril de 2004, el estudio descubrió que las tres cuartas partes
de los trabajadores encuestados están dispuestos a revelar su contraseña de acceso a la red a
cambio de una barra de chocolate.
Este estudio demuestra lo fácilque es acceder a las redes sin tocar una sola pieza de equipo. Al final
del día, no importa cuánto de encriptación y tecnología de seguridad se haya puesto en práctica,
una red nunca es completamente segura. Uno nunca puede deshacerse del eslabón más débil, el
factor humano. No importa la tecnología utilizada como firewalls, redes privadas virtuales (VPN), o
dispositivos de encriptación quetiene, si sus empleados están dispuestos a dar acceso a los
sistemas a cualquier persona que lo solicita.
En la Prueba de Intrusión a menudo se pide a hacer precisamente esto, empleando tácticas de
ingeniería social para descubrir si los empleados están siguiendo las políticas internas y no revelan
información sensible.
Un ingeniero social es alguien que utiliza el engaño, persuasión, y lainfluencia para obtener
información que de otro modo no estará disponible.
Existen dos tipos de ingeniería social:
•

Basadas en la tecnología

•

Basadas en Humanos

La ingeniería social basada en la tecnología, utiliza la tecnología para engañar a los usuarios en dar
información sensible.
Un ejemplo clásico de una tecnología basada en ataque es tener una ventana emergente en lacomputadora de un usuario y pedir su contraseña, como se demuestra en la Figura 4-1. Aquí el
usuario es informado de que su sesión ha finalizado, y se le pedirá que introduzca su nombre de
usuario y contraseña nuevamente. Después de que el usuario hace clic en el botón Enviar, el
nombre de usuario y contraseña son enviadas al ordenador del hacker malicioso. El hacker malicioso
puede utilizar esainformación más adelante para acceder a la red de la víctima.
Figura 4-1. Ejemplo de tecnología basada en la ingeniería social

En cambio, la ingeniería social en base a humanos no emplea la tecnología, sino que se hace en
persona, o a través de una llamada telefónica. Ambas técnicas se basan en la comportamiento
previsible del ser humano que quiere ayudar a otro ser humano.

La psicologíahumana
La ingeniería social, no trabaja con el hardware o software, pero si con el wetware. Wetware es el
elemento humano de la informática. La gente por naturaleza es muy confiada y el ingeniero social
aprovecha esta ventaja.
La Ingeniería social es esencialmente el arte de la persuasión.
La psicología social define siete tipos de persuasión:
•

Basada en la Conformidad

•

Basada enLógica

•

Basada en necesidad

•

Basada en la Autoridad

•

Basada en reciprocidad

•

Basada en similitud

•

Basada en Información

Persuasión por Conformidad
La persuasión por conformidad depende de la presión de los pares. Si el persona victima cree que
todo el mundo lo está haciendo, es probable que se conforme a hacer lo mismo. Ejemplo, un
servicio de asistencia personalpara obtener acceso a un ordenador:
Auditor: Hola, mi nombre es Juan, soy de la Mesa de Ayuda, y estoy llamando para hacer el mantenimiento rutinario en su
sistema.
Victima: ¿De verdad? No he oído hablar que la asistencia a los usuarios realiza el mantenimiento rutinario en nuestros
ordenadores.
Auditor: Sí, hemos comenzado haciéndolo el último trimestre. Hemos venido haciendo para todos elpersonal. Acabo de
terminar de hacer todas las computadoras en la región noreste. De hecho, la mayoría de ellos han informado una mejora
significativa en la velocidad de su computadora.
Victima: ¿De verdad? Bueno, si los demás están viendo mejores resultados, quiero ser una parte de ella, también. ¿Qué
tengo que hacer?
Auditor: Oh, usted no tiene que hacer nada. Soy capaz de hacerlo todo a...