Ingeniería social y el spear phishing
El spear phishing o phishing selectivo es un ataque cibernético de ingeniería social que se enfoca en una persona o grupo específico.
A diferencia del phishig tradicional, dirigido a una gran cantidad de personas.
Manipulando las emociones y reflejos de los usuarios, los cibercriminales pueden conseguir acceso a información útil.
Principalmente se enfocan en:
- Curiosidad.
- Pena.
- Miedo.
- Avaricia.
No se les considera vulnerabilidades, más bien ‘canales de influencia‘. De tal forma que el cerebro actúe de forma automática, sin el uso del pensamiento crítico.
Para conseguirlo, los atacantes cuentan con un buen arsenal de trucos bajo la manga. Evidentemente, algunas estrategias funcionan mejor en unas personas que en otras.
Estrategias comunes
Respeto a la autoridad
Los sesgos cognitivos son patrones sistemáticos de desviación de comportamiento, percepción y pensamiento.
Este es uno de ellos y está fundamentado en la tendencia a obedecer sin cuestionar, sobretodo a aquellos que tenga cierto nivel de experiencia o poder. Ignorando las opiniones propias sobre la propia conveniencia de dicha acción.
En la práctica, puede ser un correo electrónico phishing procedente de tu jefe, supuestamente.
La presión del tiempo
Una de las técnicas de manipulación psicológicas más frecuente es generar una situación de urgencia.
Cuando se toma una decisión racional e instruida, es una buena idea examinar detenidamente la información relevante. Esto lleva un tiempo y justo eso intentan negar los estafadores a sus víctimas.
Despiertan el miedo en la víctima: “Alguien ha intentado acceder a tu cuenta. Si no has sido tú, haz clic en el enlace inmediatamente…”
O intentan conseguir dinero fácil: “Solo los 10 primeros se harán con el descuento, no te lo pierdas…”.
El tiempo corre en tu contra y la probabilidad de sucumbir al instinto y tomar una decisión emocional e irracional aumenta.
Los mensajes que incluyen “urgente” e “importante” forman parte de esta categoría.
Las palabras importantes suelen destacarse en rojo, el color del peligro, para intensificar el efecto.
Automatismos
En psicología, los automatismos son acciones que se toman sin la intervención directa de la conciencia.
Pueden ser primarios (innatos, no considerados) o secundarios (ya no se consideran, después de pasar por la conciencia). Además, los automatismos se clasifican como motor, habla o mental.
Los ciberdelincuentes intentan desencadenar automatismos cuando envían mensajes que en algunos receptores pueden producir una respuesta automática.
Por ejemplo, los mensajes:
- “No se ha podido entregar el correo electrónico, haga clic para reenviarlo”.
- Las newsletter con un botón de “Cancelar suscripción” tentador.
- Las notificaciones falsas sobre nuevos comentarios en redes sociales.
La reacción es el resultado del motor secundario y de los automatismos mentales.
Revelaciones inesperadas
Este es otro tipo muy común de manipulación. Explota el hecho de que la información clasificada se percibe de manera menos crítica como una admisión honesta, que cuando se descubre de forma independiente.
En la práctica, podría ser algo como:
“Lamentamos informarle que hemos sufrido una filtración de contraseñas. Compruebe si se encuentra en la lista de los afectados”.
Qué hacer
Las distorsiones de la percepción, que juega a favor de los cibercriminales, son biológicas. Aparecen durante la evolución del cerebro para ayudarnos a adaptarnos al mundo y ahorrar tiempo o energía.
En gran parte, las distorsiones surgen de la falta de habilidades de pensamiento crítico y muchas adaptaciones no son adecuadas para la realidad actual.
Se puede evitar la manipulación conociendo la psique humana. Algunos consejos:
1. Prestar especial atención a los mensajes de los superiores:
- ¿Por qué quiere tu jefe que abras un archivo protegido con contraseña y que le envíes la clave en el mismo mensaje?
- ¿Por qué un director con acceso a la cuenta te pide que transfieras dinero a un nuevo socio?
- ¿Por qué iba alguien a asignarte una tarea nueva por correo electrónico, en vez de por teléfono, como de costumbre?
Si algo huele mal, intenta aclararlo por un canal de comunicación diferente.
2. No reaccionar inmediatamente a los mensajes que soliciten una reacción urgente. Mantén la calma, sea cual sea el contenido del mensaje.
Asegúrate de comprobar el remitente, el dominio y el enlace antes de hacer clic. Si sigues teniendo dudas, ponte en contacto con el equipo informático.
3. Si percibes que respondes automáticamente a ciertos tipos de mensajes, intenta controlar tu secuencia típica de acciones.
Esto podría ayudarte a dejar de automatizar tu respuesta, la clave está en activar la conciencia en el momento correcto.
4. Recuerda algunos consejos previos para evitar las consecuencias del phishing:
5. Utilizar soluciones de seguridad con tecnología antiphishing. La mayoría de los intentos de intrusión caerán en el primer obstáculo.
Fuente https://www.kaspersky.es/blog/phishing-psychology/17724/
Hablemos de tu proyecto