Hackear al hacker. Roger A. Grimes
suma de dinero o alguien a quien quiere irá a una cárcel extranjera; tiene que cambiar la contraseña de su jefe o tendrá problemas con él.
Uno de mis ardides de ingeniería social favoritos cuando estoy probando una intrusión es enviar un correo electrónico a los empleados de una empresa haciéndome pasar por el CEO o el CFO para anunciar que la empresa se fusionará con su mayor rival. Yo les digo que pulsen sobre el archivo adjunto trampa para ver si sus trabajos están afectados por la fusión. O bien envío un correo electrónico que parezca legal a los empleados varones haciéndome pasar por el abogado de sus exesposas solicitando más pensión para los niños. Os divertiría ver el éxito que tienen estos dos trucos.
Defensas ante la ingeniería social
Defenderse contra los ataques de ingeniería social implica una combinación de formación y tecnología.
Educación
La formación contra la ingeniería social es una de las mejores y más esenciales defensas contra este método. Dicha formación debe incluir ejemplos de los tipos más comunes de ingeniería social y de cómo las posibles víctimas pueden detectar las señales de ilegitimidad. En mi empresa actual, todos los empleados están obligados a visionar un vídeo contra la ingenierá social cada año y realizar una pequeña prueba. La formación más exitosa incluye a otros empleados inteligentes, de confianza y apreciados que comparten sus experiencias personales de haber sido engañados por un tipo concreto común de ingeniería social.
Creo que todas las empresas deberían tener campañas de phishing falsas en las cuales sus empleados reciban correos eléctronicos como si fueran de phishing en los que les pidan sus credenciales. Los empleados que faciliten sus credenciales necesitarán una formación adicional. Existe una gran variedad de recursos, tanto gratuitos como de pago, para crear campañas de phishing falsas. Evidentemente, las de pago proporcionan un uso más sencillo y más sofisticación.
Todos los usuarios de ordenador necesitan aprender las tácticas de la ingeniería social. Las personas que compran y venden cosas por Internet necesitan ser educadas acerca de los fraudes por compras: ellos deben utilizar solo servicios depositarios legítimos y seguir todas las recomendaciones del sitio web para evitar transacciones contaminadas.
Cuidado al instalar software desde sitios web de terceros
Los usuarios deberían saber que nunca se debe instalar un programa directamente desde un sitio web que estén visitando, a menos que sea el sitio web del fabricante legítimo del programa. Si un sitio web dice que tienes que instalar un programa de terceros para continuar navegando por él y crees que se trata de una solicitud legítima, sal de este sitio y dirígete al del fabricante para instalarlo. No instales nunca cualquier software de un fabricante desde un sitio web que no sea el suyo. Podría tratarse de un software legítimo, pero el riesgo es demasiado grande.
Certificados digitales con validación extendida (EV)
Los que navegan por la web deberían saber buscar los certificados digitales con validación extendida (EV) (https://en.wikipedia.org/wiki/Extended_Validation_Certificate) en muchos de los sitios web más populares. Los sitios web EV se suelen indicar de alguna manera (normalmente con la barra de direcciones en verde o el nombre destacado también en verde) para confirmar al usuario que la URL y la identidad del sitio web han sido confirmadas por terceros de confianza. Para ver un ejemplo de EV, dirígete a https://www.bankofamerica.com.
Deshazte de las contraseñas
El phishing de credenciales no puede funcionar si el empleado no proporciona sus credenciales de acceso. Los nombres de inicio de sesión simples están desapareciendo a favor de la autenticación de dos factores (2FA), certificados digitales, dispositivos de inicio de sesión, autenticación fuera de banda y otros métodos de conexión que no pueden ser víctimas del phishing.
Tecnologías contra la ingeniería social
La mayoría de las soluciones antimalware, de filtrado web y de correo electrónico contra el correo no deseado intentan minimizar los efectos de la ingeniería social con ordenadores. El software antimalware intenta detectar la ejecución de archivos maliciosos. Los programas de filtrado web tratan de identificar sitios web maliciosos cuando el navegador del visitante intenta cargar una página. Y las soluciones de correo electrónico contra el correo no deseado suelen filtrar los correos de ingeniería social. Sin embargo, la tecnología no siempre tiene un éxito completo, por lo que es preciso combinarla con la formación del usuario y otros métodos.
La ingeniería social es un método de hackeo que tiene mucho éxito. Algunos expertos en seguridad informática te dirán que no puedes hacer la suficiente formación para conseguir que todos los empleados estén atentos a las tácticas de ingeniería social. Se equivocan. Una combinación de una formación suficiente y las tecnologías correctas puede disminuir significativamente el riesgo de ingeniería social.
En el siguiente capítulo, se muestra el perfil del experto en ingeniería social Kevin Mitnick. Sus experiencias como hacker de ingeniería social lo han ayudado a defender mejor a sus clientes durante décadas.
5
Perfil: Kevin Mitnick
Cuando aparece el término hacker informático, todo el mundo piensa en Kevin Mitnick. En los 70, 80 y 90, Kevin Mitnick era el hacker. Mitnick utilizaba una combinación de ingeniería social y búsqueda de sistemas operativos de bajo nivel para llevar a cabo todo tipo de maniobras indignantes, aunque el daño general que causaba es discutible, especialmente si se compara con los ataques APT y ransomware mundiales de nuestros días.
Tanto él como sus explotaciones han servido de argumento para muchos libros y muchas películas y han generado una peculiar subcultura de excéntricas historias de hackers que se le atribuyen, pero que él nunca ha protagonizado. El Gobierno temía tanto a Mitnick que ha sido el único prisionero americano que no tenía permitido utilizar el teléfono mientras estuvo en la cárcel y permaneció en confinamiento solitario por miedo a que, con solo una palabra o un sonido, fuera capaz de lanzar un misil nuclear. Si alguna vez has visto una película en la cual el protagonista pronunciaba una palabra por teléfono e, inmediatamente después, ocurrían un montón de maldades cibernéticas, dicha escena surgió de la paranoia que existía alrededor de Mitnick.
He incluido a Mitnick como uno de los primeros del libro porque, a partir de esos años de daños cibernéticos, ha dedicado su vida a luchar contra los delitos informáticos y es uno de los pocos sombreros blancos de largo recorrido reformados en los que yo confío plenamente. Mitnick ha escrito varios libros sobre seguridad informática y, actualmente, trabaja para distintas empresas (como KnowBe4), cuenta con su propia firma de consultoría de seguridad (Mitnick Security Consulting), tiene una agenda de charlas más llena que cualquier otra persona que conozca, colabora con el programa de comedia y sátira política estadounidense The Colbert Report y ha tenido un cameo en la popular serie de televisión Alias. Las lecciones de Mitnick a la industria han tenido como resultado un fuerte reconocimiento del papel que juega la ingeniería social en el mundo del hackeo y del modo en que se debe combatir. Después de todo, si vas a detener a un criminal, no puede hacer ningún daño aprender de uno inteligente y reformado.
Le pregunté a Mitnick qué le había llevado a interesarse por el mundo del hackeo. Me contestó: «Desde niño me interesaba la magia. Me encantaba la magia. En la escuela, un niño me mostró algunos trucos con el teléfono, por ejemplo, cómo realizar llamadas de larga distancia, cómo localizar la dirección de alguien solo con su número de teléfono, cómo reenviar llamadas, etc.