Módulo El factor humano en la ciberseguridad
Introducción:
Variados estudios apuntan a que, un descuido o un ataque intencionado de un trabajador o
trabajadora de la propia empresa, son los responsables de las mayores pérdidas de datos de las
empresas u organizaciones. Aunque menores en número, estos ataques son mucho más dañinos
para la organización que los ataques maliciosos externos, por ejemplo, los realizados por
hackers. Según datos de la Open Security Foundation, más de dos tercios de los datos expuestos
en los últimos años son por causa interna.
El objetivo de este módulo es conocer cómo influye el factor humano en la ciberseguridad y
cuáles son los riesgos, amenazas y vulnerabilidades a las que se ven enfrentados los usuarios.
Riesgos, amenazas y vulnerabilidad
Un sistema seguro es un sistema para el que existe una garantía de que se comportará de
acuerdo con aquello para lo que fue diseñado. Sin embargo, es prácticamente imposible que un
sistema sea seguro al 100%. A continuación, revisaremos tres importantes conceptos:
• Riesgo: Es la probabilidad de que ocurra un incidente de seguridad
• Amenaza: Es una acción que podría tener un potencial efecto negativo sobre un activo
• Vulnerabilidad: Es una debilidad o fallo en el sistema que permite la materialización de
una amenaza
Amenazas que aprovechan el factor humano
Se trata habitualmente de técnicas psicológicas que, combinadas con ciertas habilidades
sociales, se aprovechan de la buena (o mala) fe de las personas de dentro de una empresa u
organización, para que realicen determinadas acciones (como por ejemplo instalar software
malicioso) u obtener de ellas información o acceso a zonas restringidas, y poder así llevar a cabo
un ataque con éxito.
Diferentes expertos en seguridad han demostrado con distintas pruebas y experimentos que es
muy sencillo obtener información confidencial de empresas, bancos, hospitales, entre otros; con
tan sólo una búsqueda en Internet de algunos datos del objetivo y una simple y convincente
llamada de teléfono.
Es así como muchos de los ataques a la ciberseguridad personal o de una empresa u organización
comienzan por una recogida de información sobre el potencial objetivo. Para esta recogida se
emplean técnicas de ingeniería social, estos pueden ser No presenciales y Presenciales.
Ciberataque
Los ciberataques son actos en los cuales se cometen agravios, daños o perjuicios en contra de
las personas o grupos de personas, empresas u organizaciones y que por lo general son
ejecutados por medio de computadoras y a través de la Internet.
Existen varios tipos de ciberataque, entre ellos: Malware, Phishing, Ataques de inyección AQL,
Vishing, Cross-site scripting (XSS), Denegación de servicios (DOS), entre otros. En los siguientes
contenidos revisaremos cada uno de ellos en detalle.
Malware
Malware es cualquier software o fragmento de código malintencionado, que tiene como
objetivo infiltrarse (instalarse, ejecutarse) en un computador para realizar actividades no
autorizadas por su dueño y que pueden estar relacionadas con el sabotaje, el robo de
información, la toma de control del sistema, entre otros.
En la actualidad se pueden agrupar los malwares en tres grandes categorías: Malware infeccioso
(Virus y gusanos); Malware oculto (Troyanos, backdoor o puerta trasera y rootkits); Malware
para obtener beneficios económicos directos (Spyware, adware, keyloggers, stealers y
ransomware.
Phishing
El Phishing consiste en el envío masivo de comunicaciones (normalmente correos electrónicos)
desde lo que parece un origen de confianza, con el aspecto de un escrito real en el que se
requiere al receptor que facilite determinada información, ya sea respondiendo al email o
conectándose a una página web que parece real donde introducirá sus datos.
Algunas versiones del phishing son: Spear-phishing; Whaling y Watering-holes.
Vishing
El vishing es una combinación de las palabras “voz” y “phishing”. Se refiere a estafas de phishing
que se hacen por teléfono. A los individuos se les intenta engañar para que revelen información
crucial de carácter financiero o personal. En este sentido, el vishing funciona igual que el
phishing, pero no siempre ocurre por internet y se lleva a cabo mediante tecnología de voz.
Los estafadores más hábiles en técnicas de vishing logran orquestar una serie de factores que
los hacen sonar legítimos. Entre ellos:
• Información correcta: tienen el nombre, dirección, número telefónico e información
bancaria de la víctima.
• Urgencia: se le hace creer a la víctima que su dinero está en peligro, y que debe actuar
con rapidez. El miedo suele llevar a las personas a actuar sin pensar.
• Habilidades telefónicas: el número de teléfono parece provenir de otro sitio parecido
convincente.
• Atmósfera empresarial: se escucha mucho ruido de fondo, de modo que da la impresión
de ser un “call center”.
Ataque de inyección SQL
Un ataque de inyección SQL apunta específicamente a este tipo de servidor, utilizando algún
código malicioso para extraer su información. Esto es especialmente problemático si el
almacenamiento incluye datos privados de clientes, como números de tarjetas de crédito,
nombres de usuario y contraseñas.
Cross-site scripting (XSS)
Una de las formas más comunes para implementar este tipo de ataque entre sitios es mediante
la inyección de código malicioso en un comentario o un script que se puede ejecutar
automáticamente.
Los ataques de secuencias de comandos en sitios cruzados pueden dañar significativamente la
reputación de un sitio web al poner en riesgo la información de los usuarios sin ninguna
indicación de que haya ocurrido algo malicioso.
Denegación de servicio (DOS)
Consiste en saturar de tráfico un sitio web, sobrecargando su servidor para que le sea imposible
publicar su contenido a los visitantes. Aunque esto puede ocurrir porque el enlace de una noticia
masiva se haya roto, a menudo es provocado con fines maliciosos.
En algunos casos, estos ataques DoS son realizados por muchos computadores al mismo tiempo.
Son muy difíciles de superar debido a que el atacante aparece simultáneamente desde
diferentes direcciones IP en todo el mundo, lo que dificulta aún más la determinación del origen.
