Ingeniería social y el spear phishing
Ingeniería social y el spear phishing
El spear phishing o phishing selectivo es un ataque cibernético de ingeniería social que se enfoca en una persona o grupo específico, en lugar de a una gran cantidad de personas como en el phishig tradicional.
Jugando con los miedos, emociones, sentimientos y reflejos de los usuarios, los cibercriminales pueden conseguir acceso a información muy útil. Y es en gran parte esta “ciencia” la que reside en el núcleo de la mayoría de los ataques dirigidos actuales.
Los principales sentimientos que suelen explotar los estafadores:
- Curiosidad
- Pena
- Miedo
- Avaricia
A estos sentimientos no los estamos considerando vulnerabilidades, simplemente son emociones humanas.
Puede que una definición mucho más acertada fuera “canales de influencia”. A través de los cuales intentan influir a sus víctimas. De tal forma que el cerebro actúe de forma automática, sin el uso del pensamiento crítico.
Para conseguirlo, los cibercriminales cuentan con un buen arsenal de trucos bajo la manga. Evidentemente, algunas estrategias funcionan mejor en unas personas que en otras.
A continuación, cómo se utilizan algunas de las estrategias más comunes:
Respeto a la autoridad
Los sesgos cognitivos son patrones sistemáticos de desviación de comportamiento, percepción y pensamiento.
Este es uno de ellos y está fundamentado en la tendencia de obedecer sin cuestionar a aquellos que tenga cierto nivel de experiencia o poder. Ignorando las opiniones propias sobre la propia conveniencia de dicha acción.
En la práctica, puede ser un correo electrónico phishing procedente de tu jefe, supuestamente.
La presión del tiempo
Una de las técnicas de manipulación psicológicas más frecuente es generar una situación de urgencia.
Cuando se toma una decisión racional e instruida, es una buena idea examinar detenidamente la información relevante. Esto lleva un tiempo y justo eso es lo que los estafadores intentan negar a sus víctimas.
Los estafadores despiertan el miedo en la víctima (“Alguien ha intentado acceder a tu cuenta. Si no has sido tú, haz clic en el enlace inmediatamente…”) o intentan conseguir dinero fácil (“Solo los 10 primeros se harán con el descuento, no te lo pierdas…”).
El tiempo corre en tu contra y la probabilidad de sucumbir al instinto y tomar una decisión emocional e irracional aumenta.
Los mensajes que incluyen “urgente” e “importante” forman parte de esta categoría. Las palabras importantes suelen destacarse en rojo, el color del peligro, para intensificar el efecto.
Automatismos
En psicología, los automatismos son acciones que se toman sin la intervención directa de la conciencia.
Pueden ser primarios (innatos, no considerados) o secundarios (ya no se consideran, después de pasar por la conciencia). Además, los automatismos se clasifican como motor, habla o mental.
Los ciberdelincuentes intentan desencadenar automatismos cuando envían mensajes que en algunos receptores pueden producir una respuesta automática.
Por ejemplo, los mensajes “No se ha podido entregar el correo electrónico, haga clic para reenviarlo”, las newsletter con un botón de “Cancelar suscripción” tentador y las notificaciones falsas sobre nuevos comentarios en redes sociales.
En este caso, la reacción es el resultado del motor secundario y de los automatismos mentales.
Revelaciones inesperadas
Este es otro tipo muy común de manipulación. Explota el hecho de que la información clasificada se percibe de manera menos crítica como una admisión honesta, que cuando se descubre de forma independiente.
En la práctica, podría ser algo como: “Lamentamos informarle que hemos sufrido una filtración de contraseñas. Compruebe si se encuentra en la lista de los afectados”.
Qué hacer
Las distorsiones de la percepción, que desafortunadamente juega a favor de los cibercriminales, son biológicas. Aparecen durante la evolución del cerebro para ayudarnos a adaptarnos al mundo y ahorrar tiempo o energía.
En gran parte, las distorsiones surgen de la falta de habilidades de pensamiento crítico y muchas adaptaciones no son adecuadas para la realidad actual. Pero no temas, puedes evitar la manipulación conociendo la psique humana y siguiendo estos consejos:
- Prestar especial atención a los mensajes de los superiores. ¿Por qué quiere tu jefe que abras un archivo protegido con contraseña y que le envíes la clave en el mismo mensaje? ¿Por qué un director con acceso a la cuenta te pide que transfieras dinero a un nuevo socio? ¿Por qué iba alguien a asignarte una tarea nueva por correo electrónico, en vez de por teléfono, como de costumbre? Si algo huele mal, intenta aclararlo por un canal de comunicación diferente.
- No reaccionar inmediatamente a los mensajes que soliciten una reacción urgente. Mantén la calma, sea cual sea el contenido del mensaje. Asegúrate de comprobar el remitente, el dominio y el enlace antes de hacer clic. Si sigues teniendo dudas, ponte en contacto con el equipo informático.
- Si percibes que respondes automáticamente a ciertos tipos de mensajes, intenta controlar tu secuencia típica de acciones. Esto podría ayudarte a dejar de automatizar tu respuesta, la clave está en activar la conciencia en el momento correcto.
- Recuerda algunos consejos previos para evitar las consecuencias del phishing:
5. Utilizar soluciones de seguridad con tecnología antiphishing. La mayoría de los intentos de intrusión caerán en el primer obstáculo.
Le invitamos a ponerse en contacto con nosotros para proveerle más información respecto al apoyo que Adaptix Networks puede brindar a su empresa en software de seguridad y las herramientas corporativas de Kaspersky Lab.
Fuente https://www.kaspersky.es/blog/phishing-psychology/17724/
