Pretexting, una estrategia de ingeniería social
El pretexting es una estrategia de ingeniería social, que involucra a un estafador que se hace pasar por una autoridad (personal de la ley, colegas, instituciones bancarias, contribuyentes, investigadores de seguros, etc.) para ganarse la confianza de la víctima y, en última instancia, su valiosa información. Lo que diferencia al pretexting de otras formas de ingeniería social es la historia muy detallada que crea el estafador, permitiéndole manipular a la víctima para que crea la historia y facilite datos confidenciales, contraseñas de cuentas bancarias e incluso información sobre tarjetas de crédito.
La Gerencia de las TIC, generando conciencia sobre la seguridad de la información, te indica cómo funciona y las técnicas que emplean los estafadores para llevar a cabo este tipo de ataque y así conozcas cómo evitarlos.
Funcionamiento de los ataques de pretexting:
- Selección de víctima: Los atacantes investigan a sus posibles víctimas, recopilando información personal disponible públicamente, como perfiles en redes sociales, datos de contacto y roles en organizaciones.
- Creación de pretexto: Los atacantes crean una historia falsa y creíble para engañar a la víctima. Puede involucrar la simulación de ser una figura de autoridad, un colega o una entidad confiable, como un banco o una empresa.
- Establecimiento de confianza: El atacante busca establecer una relación de confianza con la víctima, utilizando técnicas de persuasión, empatía y conocimiento de información personal.
- Solicitud de información o acción: El atacante presenta una solicitud que parece legítima, como pedir información confidencial, contraseñas, códigos de verificación u otros datos que puedan usarse para acceder a sistemas o realizar transacciones.
- Manipulación emocional: Los atacantes pueden explotar emociones como el miedo, la urgencia o la curiosidad para presionar a la víctima y obtener lo que quieren.
- Obtención y explotación: Una vez que la víctima proporciona la información o realiza la acción solicitada, el atacante puede usarla para acceder a cuentas, sistemas o realizar estafas financieras.
Técnicas comunes utilizadas en ataques de pretexting:
- Suplantación de identidad: Los atacantes se hacen pasar por alguien en quien la víctima confiaría, como un colega, un supervisor o una figura de autoridad.
- Investigación exhaustiva: Los atacantes recopilan información detallada sobre la víctima y su entorno para hacer que el pretexto sea más creíble.
- Ingeniería social en línea: Los atacantes pueden usar información disponible en línea para construir una historia convincente y personalizada.
- Creación de escenarios de urgencia: Los atacantes pueden simular situaciones urgentes que requieren una acción rápida, lo que disminuye la capacidad de la víctima para pensar con claridad.
Cómo evitar formar parte de ataques de pretexting:
- Verificación de identidad: Siempre que alguien solicite información confidencial o acciones inusuales, verifica su identidad comunicándote directamente con ellos a través de canales confiables.
- Cautela con la información personal: Limita la cantidad de información personal que compartes en línea y en las redes sociales.
- Educación y concienciación: Aprende sobre las técnicas de ingeniería social y comparte esta información con amigos y colegas para estar alerta.
- Desconfía de la urgencia: Si te presionan para tomar decisiones rápidas, tómate tu tiempo y verifica la legitimidad de la solicitud.
- Utiliza autenticación de dos factores (2FA): Habilita la autenticación de dos factores siempre que sea posible, ya que proporciona una capa adicional de seguridad.
- Confirma solicitudes con fuentes confiables: Si alguien te pide realizar una acción inusual o proporcionar información sensible, comunícate con ellos a través de canales de comunicación confiables para confirmar la solicitud.
- Mantén el software actualizado: Mantén tus sistemas y aplicaciones actualizados para evitar vulnerabilidades que los atacantes puedan explotar.
Recuerda que la prevención y la concienciación son esenciales para evitar caer en ataques de pretexting u otras formas de ingeniería social.