Un vendedor que investiga las costumbres y
fanatismos de un cliente para poder vender con una mayor
facilidad sus productos o servicios.La persona en la puerta de una farmacia durante 4
meses con una misma "receta médica" de algún
medicamento, pidiendo dinero para poder comprarlo.La tarjeta trabada en el cajero automático y
que frente a la desesperación del dueño, una
persona amable se ofrece a ayudar a recuperarla, hasta
finalmente lograr que su víctima digite su
código secreto.
Así como estos, son miles lo casos en los que nos
vemos amenazados a diario por la astucia y mala intención
de estos "Ingenieros Sociales".
Las cualidades que tiene que tener el atacante para
estas actividades pueden ser varias, como sus relaciones
personales, ambición, conocimiento,
apariencia de inocencia, credibilidad, curiosidad, etc. No es
racional que pidiendo a una persona que nos
brinde la información que nos interesa, la obtengamos
de manera tan simple; sin embargo, esta habilidad es desarrollada
y utilizada por personas normales, hackers,
ladrones, y estafadores para lograr que otra persona ejecute una
acción
que generalmente repercute en un beneficio para el
atacante.
Desde el punto de vista de la psicología, hay
determinados procesos que
son automáticos tanto en el ser humano como en los
animales en
virtud de las relaciones con los demás.
Depende de quién lo analice puede ser una ventaja
o una desventaja. Estos procesos son comúnmente utilizados
en campañas de marketing y
negocios para
influenciar sobre la gente.
Una descripción de los procesos básicos
de la influencia, sería esta:
Reciprocidad ; una persona hace un favor a
otra, entonces la otra tiene que devolverle el
favor.Compromiso y Consistencia – una persona
dijo que haría una acción y se ve obligada a
hacerla, y debe ser consistente con su forma general de
pensar.Pruebas Sociales – es más
cómodo hacer lo mismo que hace la gente.Gustarse y ser Parecidos – le gusta cierta
gente, o aquellos que son parecidos a él/ella, y
tiende a ser influenciado/a por ellos.Autoridad – las personas reconocen
ciertos tipos de autoridad real o aparente, y los
respetan.Escasez – las personas se sienten
atraídas por lo que es escaso.
Ejemplos como Gillette, Coca-Cola, Mc
Donald"s, y otros grandes del marketing son una clara muestra del
alcance de los procesos de la influencia, ya que han logrado
introducir en la gente el uso verbal de sus productos como
si fueran el molde del producto en
si. Alguien se refiere a un "Tupper" cuando en realidad esta
refiriéndose a un envase o bol, lo mismo pasa al referirse
a una "Gillette" cuando en realidad lo que se quiere es una hoja
de afeitar. Todo esto, es posible con una adecuada
utilización del marketing y procesos de Influencia antes
mencionados.
Ingeniería
Social. ¡Un nuevo ataque a la seguridad
Informática!
En materia de
seguridad
informática, estas técnicas
son utilizadas para muchos fines específicos, algunos
ejemplos sencillos son:
El usuario recibe un correo con un título que
atrae su atención, o la dirección del
destinatario le suena familiar, y esto lo lleva a abrir el
archivo adjunto del correo, el cual podría tratarse de
un gusano, troyano o algún malware no identificado por
su antivirus actualizado, ni por la heurística
empleada por el mismo.El usuario es llevado a confiar información
necesaria para que el atacante realice una acción
fraudulenta con los datos obtenidos. Este es el caso del
phishing, cuando el usuario entrega información al
delincuente creyendo que lo hace a una entidad de
confianza.El usuario es atraído por un falso anuncio de
infección en un sitio web de seguridad
informática, donde se aconseja descargar una
aplicación antispyware que detecta un supuesto
malware, para el que sólo ofrece solución si se
compra una licencia.Los formularios que un usuario tiene que completar
al momento de crear una nueva casilla de correo, con valiosa
información tales como ingresos anuales promedio,
gustos y hobby, edad y otros datos personales con los que
fácilmente luego pueden hacerles "ofertas a
medida".La voz agradable de una mujer o en caso contrario la
voz de un hombre, que pertenece al soporte técnico de
la empresa del usuario, que le solicita
telefónicamente información para resolver un
inconveniente detectado en la red.
Objetivos de la
Ingeniería Social
Estos pueden ser varios. Entre ellos:
Conseguir beneficios económicos para los
creadores de malware y estafadores debido al ínfimo
costo de implementación y el alto beneficio
obtenido.Realizar compras telefónicamente o por
Internet con medios de terceros, conociendo bastante sobre
ellos (datos personales, tarjeta de crédito,
dirección, etc).Acceder gratuitamente a Internet si lo que se
buscaba era nombre de usuario contraseña de
algún cliente que abone algún servicio de Banda
Ancha.
Un Ejemplo
Verídico
Aún las más grandes empresas que
invierten millones de dólares al año en la seguridad de sus
datos, fueron
víctimas de estos ataques de Ingeniería Social.
De una forma más específica, un excelente
ejemplo donde se muestra la imaginación de los
"Ingenieros Sociales", es la auditoria a la que fue
sometida en junio de este año, una empresa
estadounidense que se dedica a conceder créditos, siendo el objetivo el de
mostrar la inseguridad de
las memorias
USB.
La empresa
tomó 20 memorias USB de muestra, les pusieron archivos de
varios tipos, incluyendo un troyano que una vez ejecutado en
cualquier computadora
comenzaría a enviar información a los servidores de
la empresa
auditora, y los fueron dejando «olvidados» en el
estacionamiento, zonas de fumadores y otros sitios de la empresa
bajo auditoria.
De las veinte memorias, quince fueron encontrados por
empleados de la empresa en cuestión, y las quince
terminaron por ser enchufadas en computadoras
conectados a la red de la
compañía, que en seguida empezaron a enviar datos a
la empresa Auditora que les permitieron entrar en sus sistemas sin
ningún problema.
Con todo esto, es fácil deducir que aún
con la mejor tecnología, los
mejores profesionales a cargo de los datos de su empresa, no hay
forma alguna de protegerse contra la Ingeniería Social, ya
que tampoco hay usuarios ni expertos a salvo de estos ataques. La
Ingeniería Social, siempre existió, nunca pasa de
moda, día
a día se perfecciona, no va a morir nunca, y tiene un
limite…. la Imaginación Humana.
"La Seguridad muchas veces es una mera Ilusión.
Una compañía puede tener la mejor
tecnología, firewalls, sistemas de detección de
intrusos, dispositivos de autentificación avanzados como
tarjetas
biométricas, etc. y creen que están asegurados
100%. Viven una Ilusión. Sólo se necesita un
llamado telefónico y listo. Ya son vulnerables a un
ataque. La Seguridad no es un producto, es un Proceso".
Hay una única "salvación" y es la Educación. En
realidad es una forma efectiva de estar protegido contra la
Ingeniería Social.
La gente por no querer quedar mal o armar un
escándalo, brinda a cualquiera que le solicita,
"información sensible", y ahí es donde juega un
papel importante la educación, el
enseñarle a los empleados a decir no.
En este caso no se trata de una educación
estrictamente técnica, sino más bien una capacitación social que alerte a la persona
cuando está por ser blanco de este tipo de ataque. Si el
Ingeniero Social tiene la experiencia suficiente, puede
engañar fácilmente a un usuario en beneficio
propio, pero si este usuario conoce estas tretas no podrá
ser engañado. Además, la educación de los
usuarios suele ser una importante técnica de
disuasión.
Con todo lo dicho hasta ahora hay una conclusión
que salta a los ojos de cualquier lector, y es que el ser humano
es el eslabón más débil de cualquier
sistema. Los
encargados del mismo pueden haber tenido en cuenta hasta los
más ínfimos detalles en el armado de la red
(hablando en materia de seguridad informática) y aún así
siempre es un usuario quien está frente a una computadora,
tomando decisiones y haciendo uso del sistema. Los
diseñadores pueden haber tenido en cuenta todos los
patrones de seguridad al momento de diseñar el sistema y
aún así será siempre un humano quien
manipule en algún momento los datos.
Por ende, es el ser humano el objetivo y el medio para
acceder al sistema, entonces es de alta importancia la
capacitación para cada usuario con acceso al sistema, y
que internalicen que todos somos un eslabón más en
la cadena de la seguridad de los datos de la empresa.
Formas de
Ataque
Las formas de ataque son muy variadas, y dependen
única y exclusivamente del ingenio del atacante, pero las
más comunes hoy son utilizando el teléfono, vía e-mail, incluso el
mismo correo postal, los celulares a través de mensajes de
texto cortos
(sms) y los ataques personales valiéndose de la ingenuidad
de la gente o la falta de capacitación.
Ataques Telefónicos
Es uno de los más eficientes, debido a que las
expresiones del rostro no son reveladas y el atacante puede
utilizar todo su potencial de persuasión.
A continuación se cita un claro ejemplo de su
funcionamiento:
Janie Acton llevaba trabajando más de tres
años para una empresa en Washington, D.C., como
representante de servicios al
cliente. Era
considerada una de las mejores en su rubro. Todo iba bastante
bien cuando esta llamada tomó curso. Desde el otro lado
del teléfono se oyó:
"Soy Eduardo del Sector de Facturación. Tengo a
una mujer esperando
en el teléfono, me está preguntando por cierta
información y no puedo utilizar mi computadora por que al
parecer está infectada con algún virus. De
cualquier forma,
¿Podrías buscar cierta información
de clientes para
mí por favor?
J- "Por supuesto" contestó Janie.
J- "¿En que te puedo ayudar?" Preguntó
Janie
Aquí el atacante buscó información
que había recopilado con su investigación para sonar creíble y
auténtico. Aprendió que la información que
buscaba estaba almacenada en algo llamado "Sistema de
Información sobre Facturación de Clientes", y
también se dio cuenta como los empleados se
referían al sistema. Entonces él
preguntó:
E- "¿Me podrías buscar una cuenta del
SIFC?"
J- "Sí claro, ¿cuál es el
número de cuenta?"
E- "No tengo el número; Necesito que lo busques
por el nombre del cliente."
J- "Bueno, ¿Cuál es el nombre
entonces?"
E- "Es Heather Marning." Deletreó el nombre, y
Janie lo escribió…
J- "Perfecto, aquí lo tengo."
E- "Genial. ¿La cuenta sigue vigente?"
J- "Sí, está vigente."
E-"¿Cuál es el número de cuenta,
dirección y teléfono?"
J- "Número de Cuenta BAZ6573NR27Q." y así
Janie le suministró el resto de los datos que el atacante
había solicitado.
Ataques Vía Web
Hoy, sólo hacen falta pocas cosas para causar
pánico,
una conexión a Internet y malas
intenciones.
Es en este tipo de ataque, cuando el Ingeniero Social
juega con la desinformación y sentimientos de las
personas, ya que pone en marcha un plan
estratégico, que sólo los análisis estadísticos pueden mostrar
la eficiencia y
eficacia que
obtienen al realizarlos.
No se trata de otra cosa que un simple correo
electrónico del cual no se sospecha y puede venir
disfrazado de muchas formas, ya sea que la dirección de
correo electrónico resulte familiar o el asunto del e-mail
de cierta forma "ataque" los sentimientos como la curiosidad, la
avaricia, el sexo, la
compasión o el miedo y es donde el usuario se vuelve
susceptible a abrirlo… ¡ERROR! Fue la peor
decisión que se podría haber tomado, pero por otro
lado la que en ese momento predominó.
En este punto, podrían aplicarse varias estrategias como
medios de
ataque, estas son algunas:
1. Se trata de algún código
malicioso en un archivo adjunto (virus, troyano, etc.) de un
e-mail que algún conocido ha enviado.2. Una cadena reenviada (muchos usuarios no
piensan que es malo), pero tampoco es cierto nada de lo
ahí descrito. Ni Hotmail va a cerrar, ni la persona
que amas va a llamarte si envías ese correo a mil
amigos, mucho menos Microsoft va a donar a niños de
África U$S 1.00 por cada e-mail que envíes.
Sólo logran que pierdas tiempo, crear bases de datos
de correos electrónicos para luego venderlas a
empresas que te llenaran la casilla de "basura", conocidos
como Hoax.3. Una llamada telefónica o mensaje de
texto (SMS) de un banco, informando que han cerrado o
suspendido tu cuenta por falta de pago o cualquier excusa, no
es otra cosa que vishing (phishing a través del
teléfono) y esta vez lo hacen utilizando voz sobre IP
(VoIP), telefonía móvil y telefonía
terrestre.
Para hacerlo mas claro, se plantea un ejemplo a
continuación:
Ataques Vía Correo Postal
De esta manera se obtiene de forma precisa datos de la
persona a quien se desea atacar.
En Estados Unidos
uno puede contratar una casilla postal donde se recibe y desde
donde se envía toda la correspondencia.
Se toma como patrón a alguna suscripción
de revista o
cupones de descuento de la zona donde vive la víctima e
imita los formularios
correspondientes (lo más similar posible) modificando
sólo la dirección original por la reciente creada
casilla de correo. Se crea una propuesta muy atractiva para al
menos detonar curiosidad en la víctima. El atacante
solicita una clave en el formulario donde aclara que esta le
servirá para reclamar su premio (ya que esta comprobado
que el usuario promedio utiliza la misma clave para
múltiples usos)
En el siguiente paso, la victima completará los
formularios y los enviará a la casilla de correo del
atacante. Teniendo este último, los datos de la
víctima, ya está en condiciones de llevar a cabo el
verdadero ataque.
Ataques Vía SMS
Estos son, quizá los más novedosos por que
la gente piensa que está más protegida, piensa que
es un medio de alta seguridad, y es por eso que los hace
más vulnerables, los ataques son muy parecidos a los de
otros medios. Por lo general, felicitando por haber ganado
mensajes de texto (sms) gratis de tu empresa prestadora de
teléfono, o haberte ganado algún premio en un
sorteo o alguien que te enseña como hacer para que tu
línea tenga más crédito. Con sólo mandar un simple
mensaje obtendrás este regalo.
No se trata de ningún regalo en absoluto, sino
que estás transfiriendo parte del saldo de tu línea
a la persona que te envió el mensaje. Es un servicio que
brindan las compañías de telefonía
celular a sus clientes para transferir crédito a otra
persona.
Para verlo más claro, aquí va un
ejemplo:
En este mensaje, se está enviando al celular con
característica de Buenos Aires
(011) y número 15x-xxxxx52 la suma de $18. Los cuales
serán restados del saldo de quien envía el mensaje
por la codicia de recibir crédito gratis.
Ataques Cara a Cara
Estos son los mas eficientes, pero los mas
difíciles de realizar, la víctima ha de ser alguien
con un alto nivel de desinformación y de conocimientos,
también son susceptibles aquellos en los que su mente no
está preparada para tal maldad (ancianos, niños,
personas insanas).
Caso 1:
Los niños son muy susceptibles a aceptar casi
cualquier cosa que un adulto le diga como verdad y por el mismo
camino responden ante cualquier pregunta que un extraño le
pueda hacer. Imagine a un chico en la escuela, que
confía en sus maestros, la potencial víctima que es
al contestar preguntas referentes a sus padres (horarios de
trabajo,
posición económica, orientaciones religiosas,
políticas, lugar dónde guardan su
dinero, etc.)
Si bien esas preguntas son muy puntuales, si el chico conoce las
respuestas y quien se lo pregunta le inspira confianza, es muy
probable que el chico le otorgue esa valiosa
información.
Por otro lado es muy fácil ganarse la confianza
de un niño. Todo el mundo conoce por ejemplo la debilidad
de ellos por las golosinas y los juegos.
Caso 2:
Una persona insana puede poseer información
valiosa, ya sea almacenada en su cabeza como en otro sitio, y
tras un trabajo de persuasión adecuada podría
llegar a revelarla a un desconocido, debido a que probablemente
no se encuentre en un estado
conciente de sus actos.
Caso 3:
Una persona que trabaja como secretaria/o de una empresa
maneja y dispone de información sensible, pero que
quizá desconozca tal importancia, entonces se le presenta
un Ingeniero Social haciéndose pasar por alguien que
trabaja dentro del área de cómputos de la empresa,
y le solicita su nombre de usuario y contraseña para
realizar un control rutinario
de seguridad, al que otros empleados colaboraron. Y con
amabilidad y firmeza logra obtener la confianza del empleado/a
obteniendo la información deseada.
Introducción
al Malware
El Malware (termino formado a partir de combinar las
palabras Software Malicioso) es un
programa
diseñado para hacer algún daño a
un sistema. Puede presentarse en forma de virus, gusanos,
caballos de Troya, etc., y se ejecuta automáticamente sin
consentimiento ni conocimiento por parte de la
víctima.
Este malware puede parecer totalmente indefenso, incluso
presentarse como un archivo .doc o
.xls o cualquier otro programa que tenga funcionalidad de
macros, por
ejemplo.
Unos de los más difundidos son los virus y
gusanos, no por eso hay que despreocuparse del resto (rootkits,
troyanos, spyware, exploits). Los virus y gusanos tienen como
semejanza la capacidad de que se auto-replican y pueden (en
efecto lo hacen) copiarse e infectar una red completa. Sin
embargo, la diferencia consiste en que el virus necesita un
portador para replicarse, o sea algún archivo en el que
incluirse, en cambio los
gusanos no necesitan de un portador.
Los portadores mas comunes que utilizan los virus son
varios, entre ellos los archivos ejecutables que incorporan las
aplicaciones, los antiguos discos de 3 ¼ (en el sector de
booteo), las memorias USB, y los archivos que contengan macros.
En el caso de los archivos ejecutables, cuando el usuario corre
la aplicación se ejecuta el código
del virus, y por lo general la aplicación portadora
funciona correctamente.
Los gusanos (worms) son muy parecidos a los virus, pero
estos no dependen de un archivo portador para funcionar. Muchas
veces se basan en las flaquezas del objetivo o utilizan
Ingeniería Social para lograr que los ejecuten los
usuarios.
Un Troyano (Trojan Horse) es un programa dañino,
utilizado normalmente como herramienta para espiar, que suele
presentarse disfrazado de otro programa o como pequeña
parte de un archivo que parece indefenso como ser un archivo
multimedia, un
documento, una planilla de calculo, etc.
Estos no tienen la capacidad de auto-replicarse, pero
pueden ser adheridos a cualquier tipo de software. El problema
muchas veces es que a la vista del usuario el archivo o programa
funciona correctamente, el problema está en lo que no se
ve. Lo que ocurre a escondidas del usuario.
Por ejemplo, un archivo adjunto recibido en un correo
que dicen ser ofertas de un comercio de la
zona especializado en electrónicos. Al abrir la imagen que
contiene las ofertas, este es abierto correctamente y
efectivamente muestra las ofertas pero a su vez se ejecuta un
programa que el usuario no conoce, el cual busca
información almacenada en la
computadora, como ser números y claves de tarjetas de
crédito.
Un spyware es un software que tras recopilar
información de usuarios la envía al servidor de la
empresa a la cual le interesa conocer información de
usuarios. Muy utilizado para que las corporaciones conozcan los
hábitos de las personas, como ser las páginas que
visitan, la información que buscan, el tipo de productos
que le interesa comprar por Internet, etc. Con ello podrán
luego ofrecerles publicidades a medida o vender esa
información a otras empresas.
Un keylogger es un programa malicioso que registra cada
vez que se pulsa una tecla en el teclado y se
almacenan en un archivo de texto. Estos programas
están pensados para robar información privada de
una persona, como por ejemplo números de
identificación personal (DNI,
CI, LC, LE), nombres de usuarios y contraseñas,
números de tarjetas de crédito con sus respectivas
claves o PIN.
Estos pueden ser detectados por un antivirus
actualizado, algún anti-spyware o en el mejor de los casos
un anti-keylogger.
Para el usuario que no posee una computadora aún,
y tiene que hacer uso de las mismas en un cibercafé
(usuario nómade) es un problema de gran
preocupación, debido a que estos poseen un escaso
mecanismo de seguridad (muchos no tienen un antivirus instalado
en sus PCs siquiera)
Esto resulta una gran amenaza a la privacidad de los
usuarios, y más aún, una amenaza hacia la sociedad por
un problema tan elemental como la carencia de educación y
respeto hacia el
resto.
Un exploit es un software que aprovecha alguna debilidad
de un sistema
operativo. Los exploits no necesariamente son maliciosos.
Generalmente los crean expertos para demostrar que existe un
fallo en la seguridad del sistema.
Un rootkit, es un programa que utiliza un atacante luego
de andar ilegalmente por un sistema, para ocultar su presencia y
a su vez dejarle garantizado el ingreso nuevamente en un futuro.
Por otro lado también permiten esconder procesos activos, archivos
en uso y modificaciones al sistema.
"Herramientas que
brindan ayuda a la Ingeniería Social"
Quiénes y con qué objetivo las
crean
Hay diferentes "herramientas y
técnicas" que se crearon no hace mucho y se siguen creando
por Ingenieros Sociales, programadores de malware, estafadores,
etc. Algunos con el fin de atraer usuarios a determinadas paginas
donde se les ofrece algún producto lícitamente,
otros con el fin de llevarlos engañados a una página web
"idéntica" a la de algún banco, o entidad
que permita hacer pagos por Internet como PayPal, donde se le
solicita al usuario el ingreso de sus datos personales para luego
utilizarlos de manera ilegal. Otros recopilan información
del usuario sin que este se de cuenta, etc.
Estas herramientas son algunas de las nuevas amenazas
que hoy están "disponibles". Estas no siempre van a ser
malas, puede haber ocasiones en los que exista una herramienta
que sirva para recopilar información de sospechosos o
delincuentes.
Algunas Herramientas:
Phishing
El phishing es un engaño tan dañino y
eficaz como se pueda imaginar, utilizado siempre para fines
delictivos. Básicamente consiste en algún e-mail
que procede al parecer de un negocio o empresa legítima y
digna de confianza (un banco o compañía de
crédito) solicitando "verificación" de los datos y
advirtiendo sobre consecuencias que traerían si no se
hiciera dicha verificación.
El mensaje y/o notificación por lo general tiene
un enlace que conduce a un sitio web fraudulento
que a simple vista es idéntico al legítimo, incluso
con todos los logotipos propios de la empresa, contenido imágenes,
y un formulario que solicita muchos datos (que van desde la
dirección hasta la contraseña de acceso de la
tarjeta de crédito o débito) que una vez ingresados
estos datos por el usuario, van directo a las manos del
falsificador.
El phishing tiene como gran aliado al spam, ya que
este e-mail fraudulento se envía indiscriminadamente a
miles de usuarios tomados de bases de datos,
donde siempre alguno (un poco crédulo) ingresará
sus datos en esta falsa página web y probablemente los
daños que sufrirá serán de un alto impacto.
Podría perder todo el dinero de
su cuenta bancaria o tarjeta de crédito.
Virus, gusanos y
caballos de Troya
Virus, Gusanos y Troyanos
Los virus, gusanos y troyanos son programas
malintencionados que pueden provocar daños en el equipo y
en la información del mismo. También pueden hacer
más lento Internet e, incluso, pueden utilizar su equipo
para difundirse a amigos, familiares, colaboradores y el resto de
la Web. La buena noticia es que con un poco de prevención
y algo de sentido común, es menos probable ser
víctima de estas amenazas.
Siga leyendo para obtener información acerca de
las características y las diferencias de virus, gusanos y
troyanos.
¿Qué es un virus?
Un virus es código informático que se
adjunta a sí mismo a un programa o archivo para propagarse
de un equipo a otro. Infecta a medida que se transmite. Los virus
pueden dañar el software, el hardware y los
archivos.
Virus Código escrito con la
intención expresa de replicarse. Un virus se adjunta a
sí mismo a un programa host y, a continuación,
intenta propagarse de un equipo a otro. Puede dañar el
hardware, el software o la información.
Al igual que los virus humanos tienen una gravedad
variable, desde el virus Ébola hasta la gripe de 24 horas,
los virus
informáticos van desde molestias moderadas hasta
llegar a ser destructivos. La buena noticia es que un verdadero
virus no se difunde sin la intervención humana. Alguien
debe compartir un archivo o enviar un mensaje de correo
electrónico para propagarlo.
¿Qué es un gusano?
Un gusano, al igual que un virus, está
diseñado para copiarse de un equipo a otro, pero lo hace
automáticamente. En primer lugar, toma el control de las
características del equipo que permiten transferir
archivos o información. Una vez que un gusano esté
en su sistema, puede viajar solo. El gran peligro de los gusanos
es su habilidad para replicarse en grandes números. Por
ejemplo, un gusano podría enviar copias de sí mismo
a todos los usuarios de su libreta de direcciones de correo
electrónico, lo que provoca un efecto dominó de
intenso tráfico de red que puede hacer más lentas
las redes
empresariales e Internet en su totalidad. Cuando se lanzan nuevos
gusanos, se propagan muy rápidamente. Bloquean las redes y
posiblemente provocan esperas largas (a todos los usuarios) para
ver las páginas
Web en Internet.
Gusano Subclase de virus. Por lo general, los
gusanos se propagan sin la intervención del usuario y
distribuye copias completas (posiblemente modificadas) de
sí mismo por las redes. Un gusano puede consumir memoria o ancho
de banda de red, lo que puede provocar que un equipo se
bloquee.
Debido a que los gusanos no tienen que viajar mediante
un programa o archivo "host", también pueden crear un
túnel en el sistema y permitir que otro usuario tome el
control del equipo de forma remota. Entre los ejemplos recientes
de gusanos se incluyen: Sasser y Blaster.
¿Qué es un
troyano?
Del mismo modo que el caballo de Troya mitológico
parecía ser un regalo pero contenía soldados
griegos que dominaron la ciudad de Troya, los troyanos de hoy en
día son programas informáticos que parecen ser
software útil pero que ponen en peligro la seguridad y
provocan muchos daños. Un troyano reciente apareció
como un mensaje de correo electrónico que incluye archivos
adjuntos que aparentaban ser actualizaciones de seguridad de
Microsoft,
pero que resultaron ser virus que intentaban deshabilitar el
software antivirus y de servidor de seguridad.
Troyano Programa informático que parece
ser útil pero que realmente provoca
daños.
Los troyanos se difunden cuando a los usuarios se les
engaña para abrir un programa porque creen que procede de
un origen legítimo. Para proteger mejor a los usuarios,
Microsoft suele enviar boletines de seguridad por correo
electrónico, pero nunca contienen archivos adjuntos.
También publicamos todas nuestras alertas de seguridad en
nuestro sitio Web de seguridad antes de enviarlas por correo
electrónico a nuestros clientes.
Los troyanos también se pueden incluir en
software que se descarga gratuitamente. Nunca descargue software
de un origen en el que no confíe. Descargue siempre las
actualizaciones y revisiones de Microsoft de los sitios Microsoft
Windows Update
o Microsoft Office
Update.
¿Cómo se transmiten los
gusanos y otros virus?
Prácticamente todos los virus y muchos gusanos no
se pueden transmitir a menos que se abra o se ejecute un programa
infectado.
Muchos de los virus más peligrosos se
difundían principalmente mediante archivos adjuntos de
correo electrónico, los archivos que se envían
junto con un mensaje de correo electrónico. Normalmente se
puede saber que el correo electrónico incluye un archivo
adjunto porque se muestra el icono de un clip que representa el
archivo adjunto e incluye su nombre. Algunos tipos de archivos
que se pueden recibir por correo electrónico habitualmente
son fotos, cartas escritas
en Microsoft Word
e, incluso, hojas de
cálculo de Excel. Un
virus se inicia al abrir un archivo adjunto infectado
(normalmente se hace clic en el icono de archivo adjunto para
abrirlo).
¿Cómo puedo saber si tengo un
gusano u otro virus?
Al abrir y ejecutar un programa infectado, es posible
que no sepa que ha contraído un virus. Su equipo puede
hacerse más lento o bloquearse y reiniciarse cada pocos
minutos. En ocasiones, un virus ataca los archivos que necesita
para iniciar un equipo. En este caso, puede presionar el
botón de encendido y estar mirando una pantalla
vacía.
Todos estos síntomas son signos
habituales de que el equipo tiene un virus, aunque se pueden
deber a problemas de
hardware o software que nada tengan que ver con un
virus.
Preste atención a los mensajes que indiquen que ha
enviado correo electrónico con virus. Puede significar que
el virus ha incluido su dirección de correo como el
remitente de un correo electrónico infectado. Esto no
significa necesariamente que tenga un virus. Algunos virus tienen
la capacidad de falsificar las direcciones de correo
electrónico.
A menos que tenga instalado software antivirus
actualizado en el equipo, no existe un modo seguro de saber
si tiene un virus. Si no dispone de software antivirus actual o
si desea instalar otra marca de software
antivirus, visite nuestra página de descargas de software
de seguridad.
Conclusiones
Resumiendo todo lo visto hasta ahora, se puede inferir
que los programadores de amenazas han elegido la
Ingeniería Social como técnica de infección
principal. Valiéndose de la inocencia de las personas,
consiguen sembrar caos por todas partes.
Si bien es de vital importancia la correcta
conservación y cuidado de los datos de una empresa, dentro
de ella debe considerarse como factor muy importante al hombre, que es
el eslabón más débil en la cadena de
seguridad.
Es increíble que estas cosas sucedan hoy… que
nos hemos dedicado con tanto énfasis a avanzar en la
tecnología, y no podamos resolver este eslabón
previo: ¡la debilidad del ser humano! Primero habría
que capacitar a quienes estén frente a cualquier sistema o
dispositivo electrónico tanto para poder operarlo
como para que valore que la información que ahí se
almacena o gestiona, es de vital importancia para la empresa.
Claro está que no somos maquinas, somos seres racionales,
y con muchos sentimientos, y es ahí justamente donde hay
que poner énfasis, en preparar al personal de manera que
NO REVELEN ninguna información a nadie por mas que sientan
la necesidad de ayudar. Esta gente (Ingenieros Sociales) son
capaces de cualquier cosa, y van a usar lo que este a su alcance
para hacerles creer algo que no es, como hacerse pasar por
personal de sistemas, o un empleado que perdió su clave y
necesita que sea reestablecida, etc.
"La verdad es que no hay tecnología en el mundo
capaz de prevenir un ataque de Ingeniería
Social".
Hoy, según análisis revelados por un
estudio sobre amenazas de seguridad de la información, se
infiere que de 574 organizaciones
encuestadas, el 59% de ellas indicó que su última
grieta de seguridad fue por un error humano.
Existen un sinfín de consejos para disminuir
estas amenazas. Va a depender de las necesidades y lo que este
dispuesta a invertir una empresa en seguridad. Algunos
son:
A la hora de contratar un nuevo empleado, buscar
preferentemente el que tenga conocimientos de seguridad
informática, o en su defecto invertir para capacitar y
concientizar al mismo.Asegurarse de concientizar y capacitar
también a los empleados antiguos sobre las nuevas
amenazas, los métodos de acceso inseguros a sus
computadoras, y también por supuesto en
políticas y procedimientos de seguridad.Lograr que los empleados asimilen de que manera son
susceptibles ante los métodos de engaño de los
Ingenieros Sociales y mostrarles con ejemplos reales (cuya
repercusión haya sido muy grande) de manera que logren
medir el peligro de brindar cualquier información a un
extraño. De esta manera estarán mucho mas
preparados ante cualquier intento de
manipulación.Usar la tecnología apropiada de seguridad y
combinarla con políticas bien definidas sobre pautas
de comportamiento de los empleados. Algunas políticas
pueden ser:No ejecutar ningún programa sin conocer su
origen y sin previa autorización de un
superior.No informar a nadie por teléfono o correo
electrónico, sobre características de la red,
ubicación de las mismas, datos del encargado de la
red, etc. Antes corroborar que esa persona es realmente
quién dice ser.No tirar información técnica a la
basura, sino utilizar los trituradores de papel
correspondientes o destruirlos con cualquier
medio.No crear contraseñas fáciles de intuir
conociendo a la victima. Ej.: nombre de la esposa o hijos,
número de DNI, fechas importantes, etc. Sino
contraseñas combinadas alfanuméricamente,
incluso con caracteres especiales. Y a su vez acostumbrarlos
a modificar dicha clave periódicamente.
Es de esperar que en poco tiempo
contemos con la legislación que respalden y protejan las
medidas de seguridad informática antes sugeridas y que
garanticen la confidencialidad de los datos. La aplicación
de las sanciones desalentaría a jóvenes deseosos de
demostrar su supuesta habilidad y conocimientos
técnicos.
Bibliografía
Sitios web consultados:
La Seguridad Total
Amenazas Deliberadas a la Seguridad de
la Información
http://www.iec.csic.es/criptonomicon/amenazas.html
La Seguridad Informática en las
Redes
www.geocities.com/SiliconValley/Bit/7123/la.htm
The Teacher, Lester (2002) "Curso de
Ingeniería Social", http://lestertheteacher.cjb.netCaruana, Pablo M. (2001) "Breves
Conceptos sobre la Ingeniería Social",
http://virusattack.xnetwork.com.ar/articulos/VerArticulo.php3?idarticulo=4Fernández Gómez, Jaime
(2000) "Ingeniería Social",
http://www.iec.csic.es/criptonomicon/articulos/expertos72.html
Autor:
Daniel Salazar
Lluén
Facultad de ingeniería, arquitectura y
urbanismo
Escuela de ingeniería de
sistemas
Chiclayo, Abril del 2009
 Página anterior | Volver al principio del trabajo | Página siguiente  |