Ingeniería Social
Se refiere a la aplicación de mecanismos de influencia psicológica con el objetivo deliberado de coaccionar a un sujeto. El fin último es lograr que el individuo manipulado realice una serie de acciones específicas que, aunque deseadas por el atacante, están intrínsecamente ligadas a un propósito malicioso o perjudicial.
ENTIDAD
1 - Humano
INTENCIÓN
1 - Intencional
TIEMPO
2 - Post-despliegue
ID del riesgo
mit463
Linea de dominio
4. Actores Maliciosos y Mal Uso
4.3 > Fraude, estafas y manipulación dirigida
Estrategia de mitigacion
1. Implementar programas de concienciación en seguridad exhaustivos y establecer una cultura de seguridad abierta Desarrollar y mantener programas de capacitación continua para empleados enfocados en la identificación de tácticas de ingeniería social (como phishing, pretexting y el uso de autoridad o urgencia) y el fomento de una cultura organizacional donde se empodere a los individuos para cuestionar peticiones inusuales o sospechosas sin temor a represalias, reforzando la noción de que el elemento humano es la "última línea de defensa". 2. Desplegar salvaguardas tecnológicas multinivel Asegurar la implementación de controles técnicos obligatorios, destacando la autenticación multifactor (MFA) para todas las cuentas críticas y el despliegue de sistemas avanzados de filtrado de correo electrónico (anti-phishing) y monitoreo de seguridad. Adicionalmente, aplicar el principio de mínimo privilegio para el acceso a sistemas y datos, restringiendo el nivel de daño potencial de un compromiso. 3. Documentar y hacer cumplir políticas y protocolos de comunicación estrictos Establecer políticas corporativas claras y estrictas para la verificación de identidad antes de proceder con acciones de alto riesgo, tales como restablecimientos de contraseñas, cambios en la información de cuentas bancarias, transferencias de fondos o escalamiento de privilegios. Estas políticas deben especificar y limitar los canales de comunicación aceptados para solicitudes sensibles y requerir verificación independiente (p. ej., a través de un canal "conocido y seguro") para cualquier solicitud que se desvíe de la norma.
EVIDENCIA ADICIONAL
A diferencia del mal uso propagandístico, que típicamente se dirige a figuras públicas o celebridades (e incluso a entidades no humanas como eventos o ideas) y cuyo motivo puede ser arbitrario, los ataques de ingeniería social se enfocan habitualmente en un individuo específico (que no necesita ser una celebridad) con una motivación financiera o de compromiso de seguridad. Este tipo de ataque, además, suele implicar la suplantación de identidad, es decir, el atacante finge ser una persona con la que la víctima está familiarizada o en quien confía.