#NoHacked: Cómo reconocer y protegerse contra la ingeniería social

Lunes, 3 de agosto de 2015

Hoy en nuestra campaña #NoHacked hablaremos de ingeniería social. Sigue los debates en Twitter y
Google+
usando el hashtag #nohacked. (Parte 1)

Si has pasado algún tiempo en la web, es muy probable que hayas encontrado alguna forma de
ingeniería social. La ingeniería social intenta extraer información confidencial de ti manipulándote o engañándote de alguna manera.

Phishing

Es posible que estés familiarizado con el phishing, una de las formas más comunes de ingeniería social. Los sitios y correos electrónicos de phishing imitan sitios legítimos y te engañan para que ingreses información confidencial, como tu nombre de usuario y contraseña, en estos sitios. Un
estudio reciente de Google
descubrió que algunos sitios de phishing pueden engañar a las víctimas el 45% de las veces. Una vez que un sitio de phishing tiene tu información, esta se venderá o se utilizará para manipular tus cuentas.

Otras formas de ingeniería social

Como propietario de un sitio, el phishing no es la única forma de ingeniería social de la que debes cuidarte. Otra forma de ingeniería social proviene del software y las herramientas utilizadas en tu sitio. Si descargas o utilizas algún
Sistema de Gestión de Contenidos
(CMS), complementos o añadidos, asegúrate de que provengan de fuentes confiables, como directamente del sitio del desarrollador. El software de sitios no confiables puede contener exploits maliciosos que permiten a los hackers obtener acceso a tu sitio.

Por ejemplo, la webmaster Wanda fue contratada recientemente por Brandon’s Pet Palace para ayudar a crear un sitio. Después de esbozar algunos diseños, Wanda comienza a compilar el software que necesita para construir el sitio. Sin embargo, descubre que Photo Frame Beautifier, uno de sus complementos favoritos, ha sido retirado del sitio oficial de complementos de CMS y que el desarrollador ha decidido dejar de dar soporte al complemento. Hace una búsqueda rápida y encuentra un sitio que ofrece un archivo de complementos antiguos. Descarga el complemento y lo usa para terminar el sitio. Dos meses después, una notificación en Search Console le avisa a Wanda que el sitio de su cliente ha sido hackeado. Se apresura a arreglar el contenido hackeado y encuentra la fuente de la vulneración. Resulta que el complemento Photo Frame Beautifier fue modificado por un tercero para permitir que partes malintencionadas accedieran al sitio. Eliminó el complemento, arregló el contenido hackeado, aseguró su sitio contra futuros ataques y presentó una solicitud de reconsideración en Search Console. Como puedes ver, un descuido involuntario de Wanda provocó que el sitio de su cliente fuera vulnerado.

Protegiéndose contra los ataques de ingeniería social

La ingeniería social es efectiva porque no es obvio que haya algo mal en lo que estás haciendo. Sin embargo, hay algunas cosas básicas que puedes hacer para protegerte de la ingeniería social.

• Mantente alerta: Siempre que ingreses información confidencial en línea o instales software de sitios web, mantén una saludable dosis de escepticismo. Revisa las URL para asegurarte de que no estás ingresando información confidencial en sitios maliciosos. Al instalar software para sitios web, asegúrate de que provenga de fuentes conocidas y confiables, como el sitio del desarrollador.
• Usa la autenticación de dos factores: La autenticación de dos factores como la de Google
  Verificación en dos pasos añade otra capa de seguridad que ayuda a proteger tu cuenta incluso si tu contraseña ha sido robada. Debes usar la autenticación de dos factores en todas las cuentas posibles. La próxima semana hablaremos más a fondo sobre los beneficios de la autenticación de dos factores.

Recursos adicionales sobre ingeniería social:

• Más información sobre
  cómo protegerse de los ataques de phishing
• Informar sobre una página de phishing
• Evitar e informar sobre estafas de Google
• Identificar correos electrónicos de “phishing” y “spoofing”

Si tienes alguna pregunta adicional, puedes publicarla en los
Foros de ayuda para webmasters
donde una comunidad de webmasters puede ayudarte a responder tus preguntas. También puedes unirte a nuestro
Hangout on Air sobre seguridad
el 26 de agosto.

Publicado por Eric Kuan, especialista en relaciones con webmasters y Yuan Niu, analista de webspam