Kevin Mitnick en su libro “The Art of Deception” dice que la Ingeniería Social “utiliza la influencia y la persuasión para engañar a las personas, convenciéndolas mediante la manipulación de que el atacante es alguien que no es. Como resultado, se obtiene información con o sin el uso de tecnología.”

Para llevar a cabo los ataques se utilizan diferentes técnicas, que pueden hacer a través de Internet, por teléfono, SMS, físicamente, etcétera.

Algunas técnicas de Ingeniería Social y sus variantes:

PHISHING

Técnica de ciberdelincuencia que utiliza el engaño y el fraude para obtener información de una víctima. El ciberdelincuente utiliza un cebo fraudulento y espera a que algún usuario caiga en la trampa, para de esta manera poder obtener credenciales u otro tipo de información sensible. Se podría decir que el cibercriminal tira el cebo y espera a “pescar” (fishing en inglés) víctimas. (de ahí su nombre)

• Smishing: (SMS+ phishing) Ataque de phishing realizado a través de un SMS. Por lo general, el contenido del mensaje invita a pulsar en un enlace que lleva a una web falsa, intentarán que la víctima introduzca información sensible o que descargue una aplicación que en realidad es un malware. Generalmente, con estos SMS se hacen pasar por servicios usados en la población, como bancos o servicios de reparto. Los usuarios saben de las estafas a través de email, pero no tanto con los SMS, es por eso que hay una falsa percepción de seguridad con la mensajería móvil y nos lleva a que este ataque sea más efectivo.

• Vishing: Ataque de phishing realizado por teléfono o a través de un sistema de comunicación por voz. El cibercriminal se pone en contacto con la víctima a través de una llamada, y por ejemplo, haciéndose pasar por un servicio técnico, le pide a la víctima determinados requisitos para resolver la incidencia. Así pues, dependiendo de la estafa, intentará que la víctima revele información sensible, se instale alguna aplicación maliciosa, realice un pago, etc.

• Spear phishing: Ataque de phishing concretamente dirigido a una víctima o conjunto de víctimas. El ataque busca los mismos propósitos que los casos citados previamente, con la variante de que están personalizados, lo cual los hace más complicados de detectar. El atacante emplea técnicas de OSINT para obtener toda la información disponible sobre la víctima, y de esta forma modelar y dirigir el ataque. Es de vital importancia ser consciente de la información que publicamos en Internet sobre nosotros mismos.

• Whaling: Se trata de un ataque de spear phishing cuyo objetivo es un directivo o personal con un alto puesto en la organización. Los ciberatacantes consideran a los ejecutivos “High level” como “whales” de ahí el nombre del ataque.

SPAM

Cualquier email o mensaje recibido no deseado. Su envío se produce de forma masiva a un gran número de direcciones. No siempre es malicioso, aunque constituye una perdida de tiempo y un gasto de recursos innecesario. Muchas veces puede tener enlaces maliciosos o difundir información que no es verdad.

• SPIM (spam over Internet messaging): Spam realizado sobre mensajería instantánea, es decir, mensajes que se reciben por Whatsapp, Telegram, DM de Facebook, etc. Suele ser más complicado de detectar que el spam “tradicional”.

Dumpster diving

Acción de “bucear” en la basura de una organización para obtener información de documentos. Una buena práctica es destruirlos para evitar que el reciclaje de estos documentos sea con un uso indeseado. Hay un dicho popular que define bien esta técnica: “La basura de una persona es el tesoro de otra”.

Shoulder surfing

Acción de mirar los datos que un usuario introduce por teclado y muestra en pantalla. De una manera aparentemente “casual”, el atacante puede obtener información sensible. Su nombre es muy descriptivo, ya que hace referencia a mirar por encima del hombro. Para evitar esto existen pantallas que se oscurecen o reflejan dependiendo del ángulo de visión, permitiendo que solo se vea correctamente desde el punto de vista del usuario del sistema.

Pharming

Redirección maliciosa hacia una web falsa, y de esta manera robar datos a las víctimas. Su nombre viene de la mezcla de phishing y farming. Generalmente, este ataque viene después de otros ataques sobre DNS, de manera que cuando se busca por el nombre de dominio, DNS traduce este nombre de dominio a una IP maliciosa de la que el atacante es dueño.

Fuente https://derechodelared.com/tecnicas-de-ingenieria-social/#google_vignette