Ingeniería social (seguridad informática)


Ingeniería social (seguridad informática)
Para ver un termino similar en una disciplina diferente vea Ingeniería social (ciencias políticas).

En el campo de la seguridad informática, ingeniería social es la práctica de obtener información confidencial a través de la manipulación de usuarios legítimos. Es una técnica que pueden usar ciertas personas, tales como investigadores privados, criminales, o delincuentes computacionales, para obtener información, acceso o privilegios en sistemas de información que les permitan realizar algún acto que perjudique o exponga la persona u organismo comprometido a riesgo o abusos.

El principio que sustenta la ingeniería social es el que en cualquier sistema "los usuarios son el eslabón débil". En la práctica, un ingeniero social usará comúnmente el teléfono o Internet para engañar a la gente, fingiendo ser, por ejemplo, un empleado de algún banco o alguna otra empresa, un compañero de trabajo, un técnico o un cliente. Vía Internet o la web se usa, adicionalmente, el envío de solicitudes de renovación de permisos de acceso a páginas web o memos falsos que solicitan respuestas e incluso las famosas "cadenas", llevando así a revelar información sensible, o a violar las políticas de seguridad típicas. Con este método, los ingenieros sociales aprovechan la tendencia natural de la gente a reaccionar de manera predecible en ciertas situaciones, -por ejemplo proporcionando detalles financieros a un aparente funcionario de un banco- en lugar de tener que encontrar agujeros de seguridad en los sistemas informáticos.

Quizá el ataque más simple pero muy efectivo sea engañar a un usuario llevándolo a pensar que un administrador del sistema esta solicitando una contraseña para varios propósitos legítimos. Los usuarios de sistemas de Internet frecuentemente reciben mensajes que solicitan contraseñas o información de tarjeta de crédito, con el motivo de "crear una cuenta", "reactivar una configuración", u otra operación benigna; a este tipo de ataques se los llama phishing (pesca). Los usuarios de estos sistemas deberían ser advertidos temprana y frecuentemente para que no divulguen contraseñas u otra información sensible a personas que dicen ser administradores. En realidad, los administradores de sistemas informáticos raramente (o nunca) necesitan saber la contraseña de los usuarios para llevar a cabo sus tareas. Sin embargo incluso este tipo de ataque podría no ser necesario — en una encuesta realizada por la empresa Boixnet, el 90% de los empleados de oficina de la estación Waterloo de Londres reveló sus contraseñas a cambio de un bolígrafo barato.

Otro ejemplo contemporáneo de un ataque de ingeniería social es el uso de archivos adjuntos en e-mails, ofreciendo, por ejemplo, fotos "íntimas" de alguna persona famosa o algún programa "gratis" (a menudo aparentemente provenientes de alguna persona conocida) pero que ejecutan código malicioso (por ejemplo, usar la máquina de la víctima para enviar cantidades masivas de spam). Ahora, después de que los primeros e-mails maliciosos llevaran a los proveedores de software a deshabilitar la ejecución automática de archivos adjuntos, los usuarios deben activar esos archivos de forma explícita para que ocurra una acción maliciosa. Muchos usuarios, sin embargo, abren casi ciegamente cualquier archivo adjunto recibido, concretando de esta forma el ataque.

La ingeniería social también se aplica al acto de manipulación cara a cara para obtener acceso a los sistemas computacionales. Otro ejemplo es el conocimiento sobre la víctima, a través de la introducción de contraseñas habituales, lógicas típicas o conociendo su pasado y presente; respondiendo a la pregunta: ¿Qué contraseña introduciría yo si fuese la víctima?

La principal defensa contra la ingeniería social es educar y entrenar a los usuarios en el uso de políticas de seguridad y asegurarse de que estas sean seguidas.

Uno de los ingenieros sociales más famosos de los últimos tiempos es Kevin Mitnick. Según su opinión, la ingeniería social se basa en estos cuatro principios:

  1. Todos queremos ayudar.
  2. El primer movimiento es siempre de confianza hacia el otro.
  3. No nos gusta decir No.
  4. A todos nos gusta que nos alaben.

Véase también

Referencias

Enlaces externos


Wikimedia foundation. 2010.

Mira otros diccionarios:

  • Ingeniería social — puede significar: ● Ingeniería social (ciencias políticas) ● Ingeniería social (seguridad informática) …   Enciclopedia Universal

  • Ingeniería social (ciencia política) — Para otros usos de este término, véase Ingeniería social (seguridad informática). La Ingeniería social es un término empleado en ciencias políticas en un doble sentido. Primero: esfuerzos para influir actitudes; relaciones y/o acciones sociales… …   Wikipedia Español

  • Ingeniería social — La Ingeniería social hace referencia a: Ingeniería social (ciencias políticas); Ingeniería social (seguridad informática). Esta página de desambiguación cataloga artículos relacionados con el mismo título. Si llegaste aquí a través de …   Wikipedia Español

  • Seguridad informática — Este artículo o sección necesita referencias que aparezcan en una publicación acreditada, como revistas especializadas, monografías, prensa diaria o páginas de Internet fidedignas. Puedes añadirlas así o avisar …   Wikipedia Español

  • Glosario de seguridad informática — Saltar a navegación, búsqueda # Termino Termino Definicion Referencia 1 Activo Físico Activo que se caracteriza por poseer un valor intrínseco y está constituido por maquinas, equipos, edificios, y otros bienes de inversión, así como por las… …   Wikipedia Español

  • Ingeniería — El diseño de una turbina requiere de colaboración de ingenieros de diversas ramas. Los ingenieros de cada especialización deben tener conocimientos básicos de otras áreas afines para resolver problemas complejos y de disciplinas interrelacionadas …   Wikipedia Español

  • Ingeniería industrial (España) — Véase también: Ingeniería industrial Ingeniería industrial Áreas del saber física, química, matemáticas y ciencia de materiales Campo de aplicación industria en general, industria de automoción …   Wikipedia Español

  • Wikiproyecto:Ingeniería — Ingeniería Datos Inicio 19 de agosto de 2005 / 25 de enero de 2011 Objetivo …   Wikipedia Español

  • Inseguridad informática — La inseguridad informática es la falta o poca presencia de seguridad informática en un sistema operativo, aplicación, red o dispositivo, esto permite su demostración por hackers éticos (sombreros blancos) o su explotación por hackers mal… …   Wikipedia Español

  • Cortafuegos (informática) — «Firewall» redirige aquí. Para la película homónima, véase Firewall (película). Esquema de una soy red de computadoras que utiliza un Cortafuegos. Un cortafuegos (firewall en inglés) es una parte de un sistema o una red que está diseñada para… …   Wikipedia Español