Ángela Cubillos
Cyber Risk Senior Consultant en Marsh Latinoamérica
-
Colombia
El 2020 experimentó un incremento significativo de ataques cibernéticos relacionados con el phishing debido, en gran parte, al aumento de trabajadores remotos. De acuerdo a nuestro reporte Estado del Riesgo Cibernético en Latinoamérica en tiempos de COVID-19, realizado por Marsh y Microsoft, la exposición a algún tipo de incidente cibernético aumentó considerablemente debido a que el 70% de las organizaciones en nuestra región permitió que su fuerza laboral trabajara con dispositivos personales.
El phishing es una de las técnicas de ingeniería social más utilizadas para distribuir malware y robar credenciales, lo que derivará en cometer fraude. Recordemos que la ingeniería social es el arte de explotar la psicología humana para ganar acceso a edificios, sistemas o información sensible
El uso de esta técnica implica ejercer poder social sobre los individuos para inducirlos a tomar una decisión equivocada a favor del atacante. Se habla de 6 tipos de poder social que les permiten a los atacantes pasar desapercibidos y entender cómo explotar las vulnerabilidades de las personas para así lograr que el ataque resulte exitoso:
Una vez que el atacante ejerce la presión necesaria sobre la víctima, selecciona el método de ataque que más lo beneficie para lograr sus objetivos. Algunas de las técnicas de ataque más comunes son:
Baiting: se distingue por la promesa de un objeto para atraer al objetivo.
Tailgating: técnica que se aprovecha de las oportunidades para obtener acceso sin tener la autenticación necesaria.
Además de las técnicas mencionadas anteriormente, el Business Email Compromise es un tipo de ataque que se desprende del spear phishing. Consiste en que un atacante suplanta la identidad de un empleado de la compañía para robar dinero o información sensible, pidiendo a otros empleados que realicen acciones específicas como envío de documentación confidencial o transferencias bancarias.
Muchos de estos ataques se materializan a través de transferencias a cuentas falsas por supuestos cambios en los números de cuenta de proveedores, sin una adecuada validación.
Las diferentes técnicas de ataque contra las vulnerabilidades humanas siguen el patrón que presentamos abajo, el cual les permite explotar el proceso de toma de decisiones:
La manera en la que se utilizan las técnicas depende de los escenarios, pero lo cierto es que son creados específicamente para sus objetivos y así no dejan espacio para el error.
En la siguiente entrega, conoceremos cómo se debe construir una cultura de la ciberseguridad en las empresas orientada a las personas y sus vulnerabilidades.
Para conocer cómo puede ayudar Marsh a mejorar la cultura de ciberseguridad en su organización, contacte a nuestros profesionales.
Cyber Risk Senior Consultant en Marsh Latinoamérica
Colombia
Cyber Risk Senior Consultant en Marsh Latinoamérica