Un programa de concientización sobre seguridad respaldado por autenticación multifactor puede ayudar a proteger sus activos críticos, dice NordVPN Teams.
Imagen: peshkov, Getty Images / iStockphoto
Una de las tácticas más efectivas utilizadas por los ciberdelincuentes no es de naturaleza técnica ni sofisticada. Es ingeniería social, específicamente una conciencia de cómo engañar y manipular a las personas para que entreguen información confidencial. Esta es la base detrás de los ataques de phishing y otras campañas maliciosas que logran convencer a las personas de caer en una estafa. Un informe publicado el jueves por el proveedor de VPN empresarial NordVPN Teams examina tres tipos diferentes de ataques de ingeniería social y ofrece consejos sobre cómo combatirlos.
VER: Política de formación y sensibilización sobre seguridad (TechRepublic Premium)
Los ataques de ingeniería social aumentaron durante la primera mitad de 2020, según NordVPN Teams. A principios de este año, el FBI informó que hasta el 28 de mayo había recibido casi la misma cantidad de quejas sobre ataques de ingeniería social que en todo 2019. Informe de investigaciones de violación de datos de Verizon 2020 descubrió que la ingeniería social ahora representa más de dos tercios de todos los ataques cibernéticos, y el 96% de los que se realizan a través de phishing.
En su informe, los equipos de NordVPN identificaron tres vectores de ataque diferentes relacionados con la ingeniería social.
Suplantación de identidad
El tipo más común de ataque de ingeniería social, las campañas de phishing, utilizan correo electrónico, mensajes de texto y sitios web para estafar a sus víctimas. Al hacerse pasar por alguna referencia familiar o fuente confiable, estos ataques funcionan engañando a alguien para que revele información personal confidencial o entregue dinero. Estas campañas suelen comenzar convenciendo al destinatario de que haga clic en un enlace malicioso en el correo electrónico o mensaje.
VER: No haga clic en ransomware disfrazado de anuncios políticos (TechRepublic)
“Los delincuentes podrían engañar a una persona haciéndose pasar por una empresa legítima o una agencia gubernamental”, dijo en el informe Juta Gurinaviciute, director de tecnología de NordVPN Teams. “Por ejemplo, podría recibir un correo electrónico solicitando donaciones que supuestamente provienen de una organización sin fines de lucro, o una llamada telefónica de su banco solicitando su número de seguro social”.
Pretextando
En este tipo de ataque, los ciberdelincuentes crean y utilizan una identidad falsa para convencer a las personas de que proporcionen información privada. Por ejemplo, un atacante podría hacerse pasar por un proveedor de servicios de TI que solicita los detalles de la cuenta y las contraseñas de la persona para ayudarla a resolver un problema técnico.
VER: Los hackers acaban de mojar su silbato. Espere más ransomware y violaciones de datos en 2021. (TechRepublic)
“La realidad es que los ciberdelincuentes están constantemente intentando manipular su camino hacia ubicaciones digitales seguras”, dijo Gurinaviciute. “A menudo comienza con un ‘Hola’ amistoso y termina con las empresas que pierden miles, a veces millones, de dólares”.
Ataques de cebo y quid pro quo
En un ataque de cebo, los ciberdelincuentes tientan a sus víctimas prometiéndoles algo, como una descarga gratuita o un consejo sobre COVID-19. En realidad, es probable que la descarga sea un archivo malicioso diseñado para infectar el sistema de la persona.
Un ataque quid pro quo es similar. Pero en lugar de ofrecer algo de valor, el atacante promete realizar una determinada acción a cambio de una acción de la víctima. Por ejemplo, el atacante puede llamar a diferentes extensiones de una organización fingiendo estar devolviendo una llamada sobre soporte técnico.
VER: La política de ciberseguridad es imprescindible en el gobierno (TechRepublic)
“El ataque quid pro quo más común ocurre cuando un pirata informático se hace pasar por un miembro del personal de TI en una organización grande y luego le ofrece algún tipo de actualización o instalación de software”, dijo Gurinaviciute. “Pretenden estar ayudando, pero instruyen a las víctimas para que realicen acciones que comprometerán su máquina”.
Cómo proteger su empresa contra estos ataques
Para proteger su organización contra ataques de ingeniería social, NordVPN Teams ofrece varios consejos.
- Conciencia de seguridad. Una forma de reducir la amenaza de ataques de ingeniería social es poner la conciencia de seguridad en la parte superior de su agenda. Los datos confidenciales, la propiedad intelectual y los sistemas digitales son tan seguros como los usuarios más débiles de su organización. Sin un programa de concienciación sobre seguridad, sus estrategias de gestión de riesgos no serán tan efectivas.
- Autenticación multifactor (MFA). Incluso con medidas de seguridad como software antivirus, firewalls, tecnología de cifrado y pruebas de vulnerabilidad periódicas, un atacante puede comprometer cuentas y datos si no tiene ningún tipo de MFA en su lugar.
- Privilegios permanentes cero. Gartner recomienda adoptar cero privilegios permanentes como parte de su postura de seguridad. Con este método, un usuario recibe derechos de acceso a un determinado sistema, archivo u otro activo solo para una tarea específica y solo durante el tiempo que sea necesario para completar esa tarea. Posteriormente, esos derechos quedan rescindidos. Incluso si un ciberdelincuente compromete las credenciales del usuario, no obtendrá acceso a ningún activo sensible.
“La ingeniería social y el software sin parches seguirán siendo las dos causas principales de exploits exitosos, como lo han sido durante más de 30 años”, dijo Gurinaviciute. “Los ciberdelincuentes aprovechan la inestabilidad, que es una de las razones por las que los ataques de ingeniería social están aumentando durante COVID-19. “
Tecnotraffic
Esperemos que te haya sido útil Comparte nuestro post . .
Nos vemos pronto!