Soluciones de seguridad para la empresa: ingeniería social y fraude

La ingeniería social no es nada nuevo, el arte del engaño y la persuasión, es tan antiguo como el hombre. En el mundo de las tecnologías de la información, la ingeniería social se ha convertido en una herramienta fundamental para los ciberdelincuentes, puesto que les permite superar las barreras de seguridad tomando un “atajo”: el usuario. En el mundo de la seguridad informática se solía decir qué: el usuario es el eslabón más débil de la cadena de la seguridad y este axioma, sigue siendo cierto en la actualidad.

En los primeros años de la informática, las amenazas de seguridad se enfocaban en conseguir el acceso a los sistemas a través de medios técnicos, por ejemplo, a través de soportes de almacenamiento como los disquetes. Por otro lado, el objetivo de este tipo de incidentes eran los propios sistemas, inutilizándolos o provocando la pérdida de información. Finalmente, las personas que provocaban estos incidentes de seguridad tenían motivaciones que poco tienen que ver con las motivaciones de los ciberdelincuentes actuales.

Hoy día, el objetivo no son los sistemas, sino los usuarios. Las motivaciones son fundamentalmente de tipo económico, aunque también hay otras, como la suplantación de identidad o la venganza, y las personas detrás de estos incidentes, son profesionales dedicados al cibercrimen o delincuentes que han pasado de actuar en el mundo real al mundo de Internet. La motivación económica supone un peligro enorme: por dinero, las personas son capaces de cualquier cosa, y en Internet no es diferente.

La motivación económica detrás de la mayoría de los incidentes de seguridad que se producen en Internet, implica que todos los usuarios son un objetivo potencial, no importa si es un usuario de una empresa, una organización o incluso un gobierno. Todos están en el punto de mira y los cibercriminales han demostrado que usan todo aquello que está a su alcance y contra objetivos que les puedan proporcionar beneficio. Los cibercriminales explotan la ingeniería social a través de cualquier canal de comunicación que les permita llegar hasta un usuario. Por ejemplo, las redes sociales, la mensajería instantánea, los mensajes de móvil, el correo electrónico, los sitios web, las aplicaciones móviles, los juegos, etc. Cualquier canal de comunicación o todo tipo de información que viaja por estos canales, es susceptible de ser utilizada para el engaño.

Actualmente, existen muchas soluciones de seguridad destinadas a la protección contra la ingeniería social y el fraude en las empresas y las organizaciones, y las podemos dividir en dos grandes grupos:
•
Soluciones de seguridad para el puesto de trabajo. Son aquellas que son implantadas en el propio puesto de trabajo, que puede ser un ordenador de sobremesa o un portátil y cuyo ámbito de protección es precisamente el puesto de trabajo. Estas soluciones son similares a las que podemos encontrar en el ámbito doméstico, aunque aquellas que están destinadas a la empresa, incorporan características adicionales (soporte, actualizaciones con mayor frecuencia, etc.).

Hasta hace poco tiempo, las soluciones de seguridad para el puesto de trabajo se comercializaban por separado, como por ejemplo, soluciones anti-spam, anti-fraude o anti-phishing. Hoy día, la tendencia es la unificación de soluciones de seguridad que permiten luchar contra diversas amenazas de forma unificada. Esta tendencia responde al hecho de que las amenazas se están volviendo cada vez más complejas y son capaces de realizar distintos tipos de ataques, por lo que la industria ha tenido que adaptarse combinando las distintas soluciones de seguridad en lo que se conocen como “Suites” o paquetes de seguridad para proteger ante las distintas formas o técnicas que puede emplear una amenaza.

Soluciones de seguridad corporativa. Son soluciones que son implantadas en sistemas corporativos, es decir, equipos y sistemas que proporcionan servicios a muchos usuarios dentro de una organización o también pueden ser contratadas como servicios (externos), lo que se conoce también como Servicios de Seguridad Gestionada. El ámbito de protección es la organización o sus departamentos o áreas. Las soluciones de seguridad corporativa son soluciones que ofrecen un nivel de protección similar a las soluciones para el puesto de trabajo, pero que son capaces de brindar esa protección a decenas o miles de usuarios y sistemas al mismo tiempo.

La función principal de estas soluciones es filtrar las comunicaciones de una organización. Este tipo de soluciones trabajan a diferentes niveles, a nivel de red, filtrando direcciones ip sospechosas o a nivel de aplicación o incluso a nivel de contenidos, analizando correos electrónicos o direcciones URL. Una de las características de este tipo de soluciones es que permiten la aplicación de distintas políticas de seguridad y permisos en función de roles, áreas departamentos o actividades, por lo que su configuración y puesta en marcha, requiere de personal especializado, que debe adecuar la solución de seguridad a las exigencias de la organización.


En realidad, los dos tipos de soluciones anteriores pueden formar parte de una misma solución, y de hecho, existen aplicaciones para el mundo de la empresa que combinan ambos.

El usuario: la última barrera de seguridad

Pero lo cierto es que además de estos dos tipos de soluciones de seguridad o de otros, en el caso de la ingeniería social, el usuario es posiblemente, uno de los factores en seguridad más importantes, puesto que en última instancia, es él quien decide qué desea ver, enviar o descargar, por lo que, en muchos casos, tiene la última palabra. Es verdad que hay riesgos muy difíciles de detectar por éstos, pero también es cierto que no es posible automatizar la detección de todo tipo de amenazas, por lo que el usuario sigue siendo, una línea de defensa fundamental.

Por todo ello, la formación, sensibilización y educación en seguridad de todos los empleados debe ser parte fundamental tanto del proceso de implantación de soluciones de seguridad en la empresa, como parte de un de un plan general de formación continua, de manera que todos los usuarios dispongan de información y formación en seguridad que les ayude a ser una barrera de seguridad más eficaz contra las amenazas y realizar un uso adecuado de los recursos e infraestructuras que pone la empresa a su disposición.

Fuente: http://cert.inteco.es/cert/Notas_Actualidad/soluciones_seguridad_empresa_ingenieria_social_fraude_20120403?origen=boletin