En el mundo actual, las pequeñas y medianas empresas (PyMEs) no solo enfrentan amenazas cibernéticas tradicionales como el malware o los ataques de denegación de servicio (DDoS), sino que también son cada vez más vulnerables a ataques de ingeniería social. La ingeniería social es una técnica de manipulación psicológica que utilizan los ciberdelincuentes para engañar a las personas y obtener información confidencial, acceso a sistemas o incluso dinero.

¿Cómo funciona la ingeniería social?

Los ciberdelincuentes que utilizan ingeniería social suelen seguir un proceso de seis pasos:

1. Reconocimiento: El ciberdelinciente identifica a su víctima y reúne información sobre ella, como su nombre, cargo, empresa, intereses y hábitos en línea.
2. Enganche: El uso de dispositivos personales para acceder a recursos empresariaEl ciberdelinciente establece contacto con la víctima, haciéndose pasar por una persona o entidad de confianza, como un empleado de soporte técnico, un cliente o un familiar.
3. Creación de urgencia: l ciberdelinciente crea una sensación de urgencia o necesidad para que la víctima actúe sin pensar, por ejemplo, diciéndole que su cuenta bancaria está en peligro o que necesita instalar un software urgentemente.
4. Explotación: El ciberdelinciente aprovecha la urgencia o necesidad creada para obtener lo que desea, como una contraseña, información confidencial o acceso a un sistema.
5. Recompensa: El ciberdelinciente obtiene su recompensa, que puede ser dinero, información confidencial o acceso a sistemas informáticos.
6. Escape: El ciberdelinciente desaparece sin dejar rastro, dificultando su identificación y captura.

Las MiPyMEs son particularmente vulnerables a la ingeniería social por varias razones:

Menos recursos para seguridad:

Las MiPyMEs suelen tener menos recursos para invertir en seguridad cibernética, lo que las hace más fáciles de atacar.

Menor conocimiento sobre seguridad:

Los empleados de las PyMEs pueden tener menos conocimiento sobre las tácticas de ingeniería social, lo que los hace más propensos a caer en engaños.

Mayor acceso a información confidencial:

Las MiPyMEs suelen almacenar información confidencial, como datos financieros o información de clientes, que es muy atractiva para los ciberdelincuentes.

Utilizar una VPN (Red Privada Virtual):

Una VPN encripta la conexión a internet del empleado remoto, protegiendo la información confidencial al acceder a la red de la empresa.

Segmentar la red:

Si es posible, las MiPyMEs deben segmentar su red para que los empleados remotos tengan acceso limitado a la información confidencial.

Realizar copias de seguridad regulares:

Es fundamental realizar copias de seguridad de la información de la empresa de forma regular para garantizar su recuperación en caso de un ataque cibernético.

Implementar un plan de respuesta a incidentes:

Las MiPyMEs deben tener un plan de respuesta a incidentes que defina los pasos a seguir en caso de un ataque cibernético.

Formas de ataques de ingeniería social contra PyMEs:

Los ciberdelincuentes que utilizan ingeniería social suelen seguir un proceso de seis pasos:

1. Ataques de phishing: Los ciberdelincuentes envían correos electrónicos fraudulentos que imitan la identidad de remitentes legítimos para engañar a los empleados y que revelen información confidencial o hagan clic en enlaces maliciosos.
2. Ataques de smishing: Los ciberdelincuentes envían mensajes de texto fraudulentos que imitan la identidad de empresas o entidades de confianza para engañar a los empleados y que revelen información confidencial o hagan clic en enlaces maliciosos.
3. Ataques de vishing: Los ciberdelincuentes realizan llamadas telefónicas fraudulentas que imitan la identidad de empresas o entidades de confianza para engañar a los empleados y que revelen información confidencial o realicen pagos no autorizados.
4. Spear Phishing: Una forma más dirigida de phishing, donde los atacantes personalizan los mensajes para una persona específica dentro de la empresa.
5. Pretexting: Los atacantes se hacen pasar por otra persona, como un colega o proveedor, para obtener información confidencial.
6. Baiting: Los atacantes utilizan un cebo, como una unidad USB infectada, para engañar a las víctimas a que lo utilicen y comprometan sus sistemas.
7. Tailgating (Seguimiento): Los atacantes siguen a una persona autorizada para acceder a áreas restringidas sin identificación propia.

¿Qué pueden hacer las PyMEs para protegerse de la ingeniería social?

• - Capacitar a los empleados: Los empleados deben ser capacitados para reconocer ataques de ingeniería social, identificar tácticas de engaño y seguir los protocolos de seguridad de la empresa.
• - Implementar una política de seguridad contra la ingeniería social: La política debe establecer las reglas para la comunicación con personas externas, el manejo de información confidencial y el reporte de incidentes sospechosos.
• - Utilizar herramientas de seguridad: Existen herramientas de seguridad que pueden ayudar a detectar y bloquear ataques de ingeniería social, como firewalls de correo electrónico y sistemas de detección de intrusos.
• - Crear una cultura de seguridad cibernética: Es importante crear una cultura de seguridad cibernética en la empresa donde los empleados se sientan cómodos para reportar incidentes sospechosos y hacer preguntas sobre seguridad.
• - Soluciones de Cifrado de Datos: El cifrado de datos en reposo y en tránsito protege la información sensible contra el acceso no autorizado.
• - Sistemas de Detección y Respuesta a Incidentes (EDR): Las herramientas EDR monitorean continuamente los dispositivos para detectar y responder rápidamente a amenazas de seguridad.
• - Uso de Autenticación de Múltiples Factores (MFA): La MFA agrega una capa adicional de seguridad al requerir más de una forma de verificación antes de conceder acceso a los sistemas.
• - Políticas de Seguridad Rigorosas: Implementar políticas que limiten la divulgación de información y requieran verificación de identidad antes de compartir datos sensibles.
• Recomendación: Establecer procedimientos claros para la verificación de solicitudes inusuales, como transferencias de fondos.
• - Simulaciones de Ingeniería Social: Realizar pruebas periódicas para evaluar la capacidad de respuesta de los empleados ante ataques de ingeniería social y mejorar las defensas.
• Recomendación: Contratar servicios de pruebas de penetración que incluyan técnicas de ingeniería social.

Estadísticas de interes

• - El 91% de los ataques cibernéticos exitosos comienzan con un ataque de ingeniería social.
• - El 75% de las PyMEs han experimentado un ataque de ingeniería social en el último año.

Conclusión

La ingeniería social representa una amenaza significativa para las MiPYMEs, pero con la capacitación adecuada, políticas de seguridad rigurosas y el uso de tecnologías avanzadas, estas empresas pueden protegerse contra estos ataques. Invertir en ciberseguridad no solo protege a la empresa, sino que también fortalece la confianza de los clientes y socios comerciales.