Ingeniería social vs. sistemas DLP: cómo proteger a tu empresa de las fugas de datos

Entender la ingeniería social

¿Qué es la ingeniería social? Primero, veamos el término con más detalle. 

Es una técnica de manipulación y presión que usan los cibercriminales para engañar a los empleados de las compañías y obtener información confidencial que luego se emplea en nuevos ataques contra la empresa. Lo más habitual es que se intente conseguir usuarios y contraseñas para autenticarse en los sistemas corporativos. A diferencia del hackeo tradicional, que se basa en vulnerabilidades técnicas, la ingeniería social explota la psicología humana o, más precisamente, la vulnerabilidad de las personas ante la presión, la manipulación, los ajustes mentales y otras herramientas.

Te proponemos revisar las tácticas de la ingeniería social.

Phishing. Son correos o mensajes fraudulentos que se hacen pasar por otros usuarios para robar credenciales o instalar software malicioso.

Pretexting. Es una estrategia para presionar a la víctima usando un escenario falso que la obliga a realizar las acciones necesarias para franquear la seguridad de la empresa.

Baiting. Esquema de presión psicológica que se construye a partir de una oferta tentadora, gratuita y única, disponible supuestamente solo para la víctima. Por lo general se trata de software gratuito que termina siendo malicioso.

Acceso oportunista (tailgating). Es un método de penetración física en el perímetro de seguridad de una empresa, en el que el estafador entabla conversación para colarse en una zona restringida detrás de un empleado autorizado.

Vishing. Es la presión sobre los empleados de un negocio mediante llamadas telefónicas, en las que durante la conversación se provoca la divulgación de datos confidenciales.

Smishing. Envío de mensajes de texto fraudulentos para engañar a los destinatarios y hacer que hagan clic en un enlace malicioso.

Se requiere un enfoque integral de defensa, que incluya mayor conciencia de las amenazas entre los empleados, capacitación periódica, simulación de ataques y desarrollo de procedimientos estrictos de seguridad. Es importante implementar políticas de autenticación multifactor, minimización de privilegios y control de accesos, además de pruebas periódicas de resistencia a técnicas de ingeniería social como los ataques de phishing y los recursos manipulativos. 

Además de las medidas técnicas y educativas, es posible reducir de forma significativa la probabilidad de que un ataque de ingeniería social tenga éxito con la ayuda de paquetes de software —  los sistemas DLP (Data Leak Prevention). Es una de las pocas soluciones de software que realmente detiene la difusión de información fuera de la empresa.

El papel de los sistemas DLP en la lucha contra los ataques de ingeniería social

Los sistemas DLP están diseñados para prevenir el acceso, la transmisión o la fuga no autorizados de datos confidenciales de la compañía. Son una herramienta eficaz si una empresa quiere resguardar su información confidencial y reducir los riesgos de que se difunda en distintos escenarios. La mayoría de las tácticas de los estafadores que llevan a un intento de difundir información confidencial serán frenadas por el sistema DLP.

¿Por qué la herramienta de prevención de fugas de datos es relevante en la lucha contra la ingeniería social?

1. Adaptabilidad. Las políticas de seguridad de los sistemas DLP se ajustan a la particularidad de cada compañía. Eso significa que quedarán cubiertas las necesidades de seguridad relevantes para cada negocio en concreto.
2. Prevención de riesgos. Los sistemas DLP funcionan como una herramienta eficaz para prevenir los riesgos de difusión de la información de la compañía, incluso cuando la amenaza proviene de presiones y manipulaciones externas.
3. Escaneo social. Al monitorear la actividad web de los empleados con sistemas DLP, los especialistas en seguridad de la empresa pueden reaccionar ante los contactos frecuentes con personas ajenas al perímetro de seguridad, incluidos los estafadores que usan herramientas de manipulación para conseguir accesos o datos sensibles.
4. Clima del equipo. Algunas políticas de seguridad de DLP pueden detectar un clima negativo en el equipo, sobre todo si ese ánimo se alimenta con trucos psicológicos y presión.
5. Análisis morfológico. El sistema analiza todas las palabras y formas de palabra definidas dentro de la información que circula por la red corporativa. Eso significa que usar palabras poco comunes, abreviaturas, sinónimos y vocabulario propio del habla coloquial no les servirá a los estafadores para esquivar las políticas de seguridad ni para engañar al sistema.
6. Mensajes de audio y video. El sistema analiza no solo texto, sino también mensajes de audio y video, lo que reduce los riesgos de usar esos canales de comunicación.

Puedes conocer más sobre la funcionalidad de los sistemas DLP modernos con el ejemplo de Anexet en el sitio web.

Aunque las soluciones DLP ofrecen una protección sólida frente a las filtraciones de datos internas y externas, no siempre son efectivas contra los ataques de ingeniería social. Si un empleado entrega sus credenciales a un atacante, el sistema DLP puede no ser capaz de impedir el acceso no autorizado.

Cómo proteger a tu compañía de las fugas de datos: protección integral

Como mencionamos arriba, en la lucha contra la ingeniería social es importante garantizar una protección integral de la información, con medidas de seguridad que combinen soluciones técnicas y acciones orientadas a prevenir incidentes por error humano. Veamos con más detalle las medidas, más allá de los sistemas DLP, que ayudan a reducir los riesgos de fuga de información.

Capacitación y concientización de los empleados sobre los riesgos de difundir información en línea

Es importante que los empleados comprendan las amenazas que existen en el espacio en línea y que ellos mismos pueden ser tanto víctima como fuente de software malicioso. Las principales formas de capacitar a los empleados son:

• capacitaciones y seminarios profesionales sobre cómo reconocer y contrarrestar los ataques a la información de la compañía;
• reciclaje y desarrollo profesional de los empleados, en especial de los responsables de la seguridad de la información;
• mentoría, tanto mediante la transferencia de experiencia entre empleados como recurriendo a la experiencia de expertos externos en ciberseguridad;
• evaluación de conocimientos y corrección de brechas según los resultados de las pruebas, entre otros métodos.

Autenticación multifactor (MFA)

¿Qué es la autenticación multifactor? Es una solución especial que agrega varias etapas de verificación de la legitimidad de las acciones, lo que reduce de forma significativa el riesgo de acceso no autorizado, incluso si las credenciales fueron comprometidas. Se puede implementar mediante confirmación por correo electrónico, SMS, ingreso de un código PIN, etcétera.

Control de accesos y aplicación del modelo de seguridad Zero Trust

La necesidad de control de accesos en la empresa se debe dividir en dos tipos: control del ingreso físico y control del acceso a los soportes de información. Los estafadores que usan la ingeniería social como excusa para entrar a la empresa pueden aprovechar cualquiera de esos dos tipos de control de ingreso.

El modelo Zero Trust es la práctica de minimizar el acceso de los usuarios a la información sensible, tratando cada solicitud de acceso por igual y otorgando permisos según el rol y las responsabilidades dentro de la organización.

Simulación de ataques de phishing

Se recomienda hacer pruebas internas de phishing para comprobar qué tan actualizado está el conocimiento de los empleados sobre la seguridad de la información de la empresa. Esto ayuda a detectar a los empleados susceptibles a los ataques que tienen brechas en su comprensión de la seguridad corporativa y a reforzar después su preparación.

Optimización del uso de los sistemas DLP

Además de instalar y activar el software de prevención de fugas de información (los sistemas DLP), es necesario mejorar y actualizar de forma periódica la configuración de las políticas de seguridad de acuerdo con la agenda vigente de la empresa. Eso aumenta la efectividad de las políticas aplicadas para detectar filtraciones de datos. También conviene implementar respuestas automatizadas a las amenazas, que pueden reforzar la defensa. Esto incluye avisar en tiempo real a los empleados responsables sobre los incidentes por correo o mensajería, un sistema de respuesta en forma de bloqueo de las transferencias de archivos y otras funciones.

Plan de respuesta a incidentes

Todo negocio debe tener un plan de acción claro y definido para el caso de una filtración de datos. Eso permite responder rápido a los incidentes y minimizar el daño potencial que provoquen. Los empleados deben saber a quién contactar en esa situación y qué pasos seguir si se sospecha una fuga.

Análisis del comportamiento y detección de anomalías

Cuando sea posible, se recomienda que las empresas usen algoritmos de IA para analizar el comportamiento de los empleados. Esta medida ayuda a detectar actividad sospechosa, como intentos de acceso no autorizado o desvíos respecto del comportamiento laboral habitual del empleado.

Canales de comunicación seguros

También se recomienda usar plataformas de mensajería cifrada y VPN para proteger las comunicaciones corporativas internas de los ataques de intermediario (man-in-the-middle).

Reglas básicas de seguridad para que los empleados no sean víctimas de ataques de ingeniería social

Los empleados deben:

• actuar con cautela al recibir correos inesperados o solicitudes de datos sensibles;

• verificar la autenticidad de las solicitudes por canales oficiales antes de transmitir información;

• reportar la actividad sospechosa al área de seguridad de TI;

• conocer las distintas formas de ataques de ingeniería social y cómo contrarrestarlas.