Kevin Mitnick en su libro The Art of Deception dice que la ingeniería social “utiliza la influencia y la persuasión para engañar a las personas, convenciéndolas mediante la manipulación de que el atacante es alguien que no es. Como resultado, se obtiene información con o sin el uso de tecnología.”

Actualmente, algunas técnicas de ingeniería social y sus variantes:

Técnica de ciberdelincuencia que utiliza el engaño y el fraude para obtener información de una víctima. El ciberdelincuente utiliza un cebo fraudulento y espera a que algún usuario caiga en la trampa, para de esta manera poder obtener credenciales u otro tipo de información sensible. Se podría decir que el cibercriminal tira el cebo y espera a “pescar” (fishing) víctimas.

SMS+phishing, Ataque de phishing realizado a través de un SMS.

Por lo general, el contenido del mensaje invita a pulsar en un enlace que lleva a una web falsa, intentarán que la víctima introduzca información sensible o que descargue una aplicación que en realidad es un malware.

Generalmente, con estos SMS se hacen pasar por servicios usados en la población, como bancos o servicios de reparto. Los usuarios saben de las estafas a través de email, pero no tanto con los SMS, es por eso que hay una falsa percepción de seguridad con la mensajería móvil y nos lleva a que este ataque sea más efectivo.

Ataque de phishing realizado por teléfono o a través de un sistema de comunicación por voz. El cibercriminal se pone en contacto con la víctima a través de una llamada, y por ejemplo, haciéndose pasar por un servicio técnico, le pide a la víctima determinados requisitos para resolver la incidencia. Dependiendo de la estafa, intentará que la víctima revele información sensible, instale alguna aplicación maliciosa, realice un pago, etc.

Ataque de phishing concretamente dirigido a una víctima o conjunto de víctimas. El ataque busca los mismos propósitos que los casos citados previamente, con la variante de que están personalizados, lo cual los hace más complicados de detectar. El atacante emplea técnicas de OSINT para obtener toda la información disponible sobre la víctima, y de esta forma modelar y dirigir el ataque. Es de vital importancia ser consciente de la información que publicamos en Internet sobre nosotros mismos.

Se trata de un ataque de spear phishing cuyo objetivo es un directivo o personal con un alto puesto en la organización. Los ciberatacantes consideran a los ejecutivos high level como whales de ahí el nombre del ataque.

Cualquier email o mensaje recibido no deseado. Su envío se produce de forma masiva a un gran número de direcciones. No siempre es malicioso, aunque constituye una pérdida de tiempo y un gasto de recursos innecesario. Muchas veces puede tener enlaces maliciosos o difundir información que no es verdad.

Spam over Internet Messaging: Spam realizado sobre mensajería instantánea, es decir, mensajes que se reciben por Whatsapp, Telegram, DM de Facebook, etc. Suele ser más complicado de detectar que el spam “tradicional”.

Acción de “bucear” en la basura de una organización para obtener información de documentos. Una buena práctica es destruirlos para evitar que el reciclaje de estos documentos sea con un uso indeseado. Hay un dicho popular que define bien esta técnica: “La basura de una persona es el tesoro de otra”.

Su nombre es muy descriptivo, ya que hace referencia a mirar por encima del hombro. Acción de mirar los datos que un usuario introduce por teclado y muestra en pantalla. De una manera aparentemente “casual”, el atacante puede obtener información sensible. Para evitar esto existen pantallas que se oscurecen o reflejan dependiendo del ángulo de visión, permitiendo que sólo se vea correctamente desde el punto de vista del usuario del sistema.

Redirección maliciosa hacia una web falsa para robar datos a las víctimas. Su nombre viene de la mezcla de phishing y farming. Generalmente, este ataque viene después de otros ataques sobre DNS, de manera que cuando se busca por el nombre de dominio, DNS traduce este nombre de dominio a una IP maliciosa de la que el atacante es dueño.

Fuente https://derechodelared.com/tecnicas-de-ingenieria-social/

Whaling es un tipo de phishing dirigido (spearphishing) que buscan engañar a personas con cargos de alto nivel dentro de una organización (los llamados peces gordos).

Estos ataques combinan técnicas de Ingeniería Social avanzada, en consecuencia, la víctima sin percatarse, puede entregar datos confidenciales de la empresa, descargar malware en la red, incluso, podría aprobar transferencias hacia las cuentas de los cibercriminales.

Este tipo de ataques hacen necesario aumentar la conciencia de que toda la información pública puede ayudarles a los cibercriminales a cometer estos ataques en los que suplantan la identidad de una persona o entidad.

A los atacantes le serán útiles los perfiles públicos de las personas, tanto en redes personales como Facebook, Instagram, Twitter, o perfiles profesionales en LinkedIn.

Los ataques de whaling siguen una secuencia estratégica y bien estructurada para garantizar la máxima efectividad. Los pasos clave incluyen:

1. Investigación sobre la organización y sus ejecutivos. A partir de fuentes públicas, como redes sociales, sitios web corporativos e informes de medios de comunicación, con el fin de comprender la estructura organizacional e identificar posibles debilidades.
2. Creación de correos electrónicos falsos altamente personalizados con la información obtenida, diseñados para parecer que provienen de fuentes confiables. A menudo imitando direcciones de correo electrónico de colegas, socios comerciales u otras entidades acreditadas, mediante la técnica de spoofing, con la cual pueden ocultar la verdadera dirección de correo electrónico y cambiarla por una que parece legítima.
3. Envío del correo electrónico con un sentido de urgencia para inducir una respuesta rápida. Puede incluir solicitudes para transferir fondos, compartir información confidencial, o hacer clic en un enlace malicioso.

La defensa contra estos ataques comienza con la educación de quienes trabajen o colaboren en la organización. Principalmente, para mantenerse en alerta y al corriente sobre las tácticas que los cibercriminales intentan y cómo estas van mutando.

•  Tener especial cuidado cuando se comparte información personal y profesional en las redes sociales, ya que estos datos pueden ser utilizados por los delincuentes para crear ataques más persuasivos.
• Implementar procedimientos claros para verificar las solicitudes, especialmente aquellas que impliquen transmisión de datos sensibles, o ejecución de movimientos de dinero.
• Agregar un nivel adicional de confirmación para las transacciones críticas, como las reuniones en persona o llamadas telefónicas que podrían proporcionar una capa adicional de seguridad.
• Activar la autenticación multifactor y utilizar herramientas de seguridad avanzadas, son parte fundamental de las políticas de seguridad.
• Utilizar reglas de marcado de correos electrónicos externos, ayuda a detectar y bloquear intentos de fraude.

Por último, es esencial que las empresas se mantengan al día sobre las nuevas técnicas y tendencias en cibercrimen, inviertan en tecnologías emergentes de ciberseguridad y colaboren con expertos de la industria para anticipar y neutralizar las amenazas antes de que causen daños significativos.

Fuente https://www.welivesecurity.com/es/phishing/que-es-whaling-proteger-organizacion/