Ingeniería Social: El hacking Psicológico

En el ámbito de la seguridad informática, una verdad se repite una y otra vez: los usuarios somos el eslabón más débil en la cadena de seguridad. La ingeniería social se sustenta en esta premisa para, de manera artesanal y casi imperceptible, extraernos información que creemos privada. Este artículo repasa el concepto de ingeniería social como herramienta hacker, sus características, las razones de su efectividad y algunas precauciones para no caer en sus redes.

Un espía en traje de gala

Imagina una fiesta exclusiva donde la élite comparte lujos y secretos. En medio del bullicio, un hombre se mueve con naturalidad, habla con los asistentes como uno más. Su porte, su tono de voz, la seguridad de sus afirmaciones, su excesiva disposición a resolver problemas ajenos y la precisión de sus preguntas lo convierten en alguien a quien incluso se le podría confiar un pequeño secreto. Misión cumplida. Esta escena, habitual en el cine de espías, es la esencia de la ingeniería social: revelar lo que conscientemente resguardamos y que inconscientemente acabamos mostrando. Un dato insignificante para la mayoría puede ser la llave que abre la caja de Pandora de la seguridad personal. Pero, ¿qué es realmente y cómo funciona?

¿Qué es y cómo funciona la ingeniería social?

En pocas palabras, la ingeniería social es un conjunto de técnicas psicológicas y habilidades sociales —como la influencia, la persuasión y la sugestión— que se aplican a un usuario, directa o indirectamente, para lograr que este revele información sensible o datos útiles sin ser consciente de su maliciosa utilización. Puede llevarse a cabo mediante tecnología y ordenadores o a través del trato personal. El objetivo es evadir o facilitar el acceso a los sistemas de seguridad tradicionales, obteniendo la información desde la fuente más confiable pero más vulnerable: la propia persona.

Dos modos de ingeniería social y un debate interno

Se suele distinguir entre dos tipos de ingeniería social. La primera, llamada IS basada en computadoras, aprovecha los descuidos de los usuarios al caer en trampas como cadenas de correos, hoaxes, spam, ventanas emergentes o correos con infecciones. Sin embargo, esta denominación no resulta representativa para muchos puristas, incluido yo, de la ingeniería social clásica, la que se centra en los recursos humanos y en el trato directo con los datos del afectado. Es una cuestión de purismo por el trabajo artesanal frente a lo automatizado de los métodos informáticos, que recopilan datos masivos mediante spyware, troyanos, etc. Cada técnica tiene sus debates internos, y este es uno de ellos con mi postura al respecto. Dicho esto, la ingeniería social que aquí tratamos es la basada en humanos, que por sus propiedades y su independencia de la tecnología a gran escala puede utilizarse —como decía un profesor de ingeniería social— tanto para hacer confesar pistas sobre un examen como para obtener la clave de acceso a la red informática de una financiera.

La psicología como herramienta principal

La ingeniería social explota características psicológicas humanas como la curiosidad, que nos impulsa a mirar, responder o tocar donde no deberíamos; el miedo, que nos lleva a buscar ayuda de cualquier manera o a caer más fácilmente en trampas porque no razonamos con claridad; y la confianza, que nos hace sentir seguros ante la menor muestra de autoridad. Es el arte de aprovechar circunstancias intencionales, pero también las azarosas. Por eso los expertos están atentos a cualquier error que cometas sin darte cuenta. Aquí reside parte de su efectividad: lo que dices frente a cualquier persona puede parecer irrelevante, pero para un cracker que usa este método, el nombre de tu prima o la secundaria a la que asististe pueden convertirse en la clave de acceso a tu correo y, de ahí, a tus servicios financieros, por citar un ejemplo.

Métodos y técnicas de la ingeniería social

Las técnicas de ingeniería social se dividen en categorías según el grado de interacción con la persona dueña de la información.

Técnicas pasivas

Las técnicas pasivas se basan simplemente —aunque no sea fácil— en la observación de las acciones de la persona. En la ingeniería social, cada caso es diferente, por lo que el experto debe adaptarse al ambiente, la naturaleza y el contexto donde se mueve la información. El primer paso es la observación, que incluye formar un perfil psicológico tentativo de la persona a abordar, conocer sus conductas informáticas, obtener datos simples como cumpleaños, nombres de familiares, etc. Cualquier cosa sirve, y lo verás cuando comentemos un caso más adelante.

Técnicas no presenciales

Otras técnicas son las no presenciales, donde a través de medios como carta, IRC, correo electrónico, teléfono y otros se intenta obtener información útil según el caso. Son los más comunes y los que mayores casos de éxito muestran, porque las personas tienden a sobreconfiar datos luego de ver un texto bien escrito con algún emblema, sello o firma que le da falsa legitimidad.

Técnicas presenciales no agresivas

Las técnicas presenciales no agresivas incluyen seguimiento de personas, vigilancia de domicilios, inmersión en edificios, acceso a agendas y dumpster diving (buscar información como notas, boletas, recibos, resúmenes de cuenta, etc., en la basura de la persona investigada).

Técnicas agresivas

En los métodos agresivos, el trabajo de los expertos se vuelve más intenso y surge la suplantación de identidad (hacerse pasar por personal de IT, servicios técnicos, seguridad, etc.), la despersonalización y la más efectiva de las presiones psicológicas. Según los expertos en seguridad, la combinación de estas técnicas con la explotación de los tres factores psicológicos mencionados puede ser altamente efectiva en el cara a cara entre víctima y victimario.

Un caso de ingeniería social en fases

La primera fase al realizar un trabajo de ingeniería social artesanal implica un acercamiento para generar confianza en el usuario. Esto se logra a través de correos haciéndose pasar por representantes técnicos de algún servicio o mediante una presentación formal en una charla coloquial, mostrando empatía y sacándonos de una eventual situación de alerta ante el extraño (aunque bien podría ser un compañero de trabajo o un amigo de un conocido). La atención puesta en esta etapa es fundamental para captar cualquier información que digamos y tomarla como valiosa.

Lo siguiente es generar una preocupación, interés o necesidad en la otra persona. Basándose en la curiosidad o el deseo, esta estará predispuesta a brindar información. El experto observará nuestra reacción y actuará en consecuencia con alguna técnica más agresiva si el dato tiene un alto nivel de preservación. El resto será prueba y error según el caso.

Por ejemplo, si un investigador quiere acceder a tu correo electrónico, podría bastarle con saber que tienes un blog donde escribes cosas personales, sacar nombres de parientes, instituciones y hechos importantes, e ir a tu inicio de sesión y pedir que se le recuerde la contraseña porque la olvidó. Si en la pregunta de seguridad pusiste “Cuál es mi mejor amigo de la infancia”, probablemente el experto ya haya entrado en tu correo con información que tú mismo le diste.

Si no lo consigue, su trabajo no ha terminado y buscará técnicas más agresivas o repetirá el proceso. Todo está supeditado al caso. Si un cracker intenta derribar el sistema informático de un Estado, no irá a revisar los blogs personales de los encargados de limpieza del lugar.

Efectividad de la ingeniería social

Como dice el famoso phreaker y hacker Kevin Mitnick, la ingeniería social tiene cuatro principios por los cuales su efectividad como herramienta hacker resulta inmensurable. El primero es que, ante alguien que inspira el mínimo respeto o incluso lástima, todos queremos ayudar, por lo que nos mostramos dispuestos a dar un poco más de lo que se nos pide.

Esto lleva al segundo principio: el primer movimiento es siempre de confianza hacia el otro, que se explica por sí solo. El tercer principio es que no nos gusta decir 'no', lo que nos lleva a mostrarnos menos reacios a ocultar información y a cuestionarnos si no estaremos siendo demasiado paranoicos al negar todo y cómo afectará esto a la opinión que los demás tienen de nosotros. El último punto es indiscutible: a todos nos gusta que nos alaben.

Si alguien conoce a Dale Carnegie y su best seller “Cómo ganar amigos e influir sobre las personas” sabrá a lo que se refiere. Aplicando estos principios sociológicos junto con las técnicas de ingeniería social mencionadas sobre un individuo vulnerable por su ignorancia, despreocupación o impericia, el trabajo de los ingenieros sociales se vuelve no solo efectivo, sino también indetectable, ya que generalmente no dejan trazas útiles para investigaciones.

Conocer cómo trabaja es saber defenderte de ella

Por sus características y porque su principal herramienta es la adaptación a diferentes escenarios y personalidades, la ingeniería social es de las técnicas más complejas de evitar, y a menudo es indetectable o cuestionable porque maneja aspectos de psicología que no pueden evidenciarse fácticamente. Lo que sí podemos hacer es informarnos sobre cómo funciona y estar atentos a las intenciones ajenas sin volvernos paranoicos. La gente en general es buena, o al menos quiero morir creyéndolo. Pero eso no debe impedirnos tomar precauciones: no introducir contraseñas con gente cerca, ser más inteligente con nuestras contraseñas y, sobre todo, con la forma de recuperarlas si las perdemos, no anotar contraseñas ni información sensible en papeles que puedan desecharse. Confía en quien debas confiar y mantente alerta ante quienes intentan ayudarte por vías peligrosas.

Recuerda que está estudiado que siempre es mejor dos o tres argumentos sólidos que quince. No abras correos de desconocidos y nunca, nunca te ganarás un coche solo por tener un móvil y enviar tu identificación personal. Además, muchas veces una búsqueda en cualquier motor puede revelar la peligrosidad de un correo, una oferta o una sugerencia técnica.

Epílogo

Esto ha sido todo sobre este humilde informe de lo que conozco y puedo contar sobre la ingeniería social como herramienta hacker, pero también como herramienta para la vida cotidiana, ya que para sufrir sus consecuencias no hace falta tener un ordenador de por medio. No seas paranoico, estate más atento e infórmate, recordando que el eslabón más vulnerable de cualquier sistema de seguridad somos nosotros mismos.

Fuente consultada:

Wikipedia: