Ingeniería social física: tailgating y baiting

No todos los ataques ocurren de forma remota. La ingeniería social física consiste en manipular a las personas y eludir los controles de seguridad física para obtener acceso no autorizado a edificios, salas de servidores o zonas sensibles. Las consecuencias pueden ser graves: un atacante con acceso físico a un servidor puede instalar un keylogger de hardware, robar unidades, conectar un dispositivo no autorizado a la red interna o salir con cintas de respaldo sin cifrar. La seguridad física y la lógica deben considerarse conjuntamente: una defensa de red perfecta queda neutralizada por la puerta sin cerrar de un centro de datos.

El tailgating ocurre cuando una persona no autorizada sigue a un empleado autorizado a través de una puerta protegida antes de que se cierre, sin que el empleado lo sepa. El atacante puede llevar cajas, vestir un uniforme o simplemente aparentar que pertenece al lugar para evitar que le cuestionen. El piggybacking es similar, pero la persona autorizada es consciente de la situación y da su consentimiento (equivocado); por ejemplo, un empleado mantiene abierta la puerta para alguien que afirma ser un visitante que está esperando a que tramiten su credencial. Ambos métodos eluden los controles de acceso físico sin explotar ninguna vulnerabilidad técnica. Las esclusas de seguridad evitan ambos ataques al garantizar que solo pase una persona cada vez.

El baiting explota la curiosidad humana dejando medios físicos maliciosos (unidades USB, CD o tarjetas SD) en lugares donde los objetivos los encontrarán. Un estudio de 2016 descubrió que los empleados conectaron el 48 % de las unidades USB abandonadas en los aparcamientos de organizaciones. Las unidades pueden llevar etiquetas con nombres atractivos («Salarios del cuarto trimestre», «Proyecto X confidencial» o el nombre de la empresa) para aumentar la curiosidad. Al conectarlas, pueden ejecutar malware automáticamente, mostrar una encuesta falsa que capture credenciales o instalar silenciosamente un troyano de acceso remoto. La defensa consiste en aplicar políticas estrictas sobre medios extraíbles y deshabilitar la ejecución automática.

El dumpster diving consiste en buscar información confidencial en materiales desechados: documentos en papel, discos duros, unidades USB, pizarras y notas adhesivas. Las organizaciones desechan enormes cantidades de información útil, como organigramas, números de cuenta, diagramas de red, impresiones de código fuente y contraseñas escritas en notas. La trituración de documentos y la desmagnetización o destrucción de los medios eliminan este riesgo. Las políticas de seguridad deben abarcar la eliminación de datos en todo tipo de medios, y los empleados deben entender que los documentos físicos que contienen información confidencial requieren destrucción, no reciclaje.

Mirar por encima del hombro consiste en observar la pantalla o el teclado de otra persona para obtener información confidencial —contraseñas, PIN y documentos confidenciales— sin que lo sepa. Puede ocurrir en persona (mirando por encima del hombro de alguien en la sala de espera de un aeropuerto) o mediante cámaras ocultas. Las zonas públicas muy concurridas, como cafeterías, aeropuertos y oficinas de planta abierta, presentan un riesgo considerable de este tipo de espionaje visual. Entre las medidas de defensa se incluyen las pantallas de privacidad, que reducen el ángulo de visión; las políticas de bloqueo de pantalla (bloqueo automático tras un periodo de inactividad); introducir los PIN rápidamente y cubrir el teclado numérico con una mano; y colocar las pantallas de modo que no sean visibles para el público.

Los ingenieros sociales que realizan ataques físicos suelen suplantar a figuras de autoridad o al personal de servicio para justificar su presencia en zonas restringidas. Entre las identidades habituales se encuentran técnicos de soporte de TI, trabajadores de mantenimiento de climatización o ascensores, inspectores de seguridad contra incendios, repartidores y personal de administración del edificio. Elementos como uniformes, portapapeles, bolsas de herramientas y credenciales de identificación (falsificaciones de aspecto real) aumentan enormemente la credibilidad de la suplantación. El atacante confía en que los empleados no cuestionarán a alguien que parece y actúa como si tuviera derecho a estar allí, especialmente si transmite seguridad y autoridad.

Los incidentes de seguridad crean oportunidades únicas para la ingeniería social. Durante un simulacro de incendio o una emergencia, los empleados salen rápidamente y dejan las puertas abiertas —un momento ideal para el tailgating. Durante una interrupción importante de TI, los empleados pueden mostrarse especialmente dispuestos a colaborar con el supuesto «personal de soporte» que ofrece ayuda. Los atacantes vigilan las noticias en busca de crisis organizativas (fusiones, despidos y filtraciones de datos) y programan sus campañas de ingeniería social cuando la organización está distraída o sometida a presión. Los procedimientos de seguridad deben mantenerse rigurosamente incluso durante emergencias aparentes, especialmente porque los atacantes pueden provocar emergencias de forma deliberada.

El wardriving consiste en desplazarse en automóvil (o a pie) por una zona mientras se buscan redes inalámbricas. Los atacantes registran los nombres de las redes, la configuración de seguridad y los patrones de intensidad de la señal. Este reconocimiento sirve de base para ataques posteriores: permite identificar redes WEP o abiertas, confirmar nombres de SSID para ataques de evil twin o localizar AP no autorizados. Las variantes modernas incluyen el warwalking y el warflying (drones con adaptadores inalámbricos). Además de las redes inalámbricas, el reconocimiento físico puede incluir fotografiar los puntos de entrada, los diseños de las credenciales, la ubicación de las salas de servidores y la disposición de las cámaras de seguridad antes de intentar una intrusión física planificada.

Una política de escritorio limpio exige que los empleados protejan todo el material confidencial al abandonar su puesto de trabajo, aunque sea por poco tiempo. Los documentos deben guardarse en cajones cerrados con llave, las pantallas deben bloquearse, las pizarras deben borrarse y los medios extraíbles deben protegerse. Una política de pantalla despejada se centra específicamente en bloquear las estaciones de trabajo cuando están desatendidas. Estas políticas evitan tanto el robo oportunista de información (por ejemplo, que un transeúnte vea un documento confidencial) como el reconocimiento físico selectivo por parte de un atacante que se haya infiltrado en la oficina. Las inspecciones periódicas y sin previo aviso permiten auditar el cumplimiento.

Los guardias de seguridad son la última línea de defensa contra el tailgating y la suplantación de identidad. Una gestión eficaz de visitantes incluye el registro previo de todas las visitas previstas, la verificación de un documento de identidad con fotografía al llegar, la entrega de una credencial de visitante diferenciada y con limitación temporal, y el acompañamiento obligatorio de un empleado en todo momento dentro de las zonas seguras. Todas las visitas deben registrarse en un registro de acceso. Los contratistas y proveedores externos requieren comprobaciones de antecedentes y solo deben recibir acceso a las zonas y sistemas específicos que necesiten para su trabajo; dicho acceso debe revocarse inmediatamente al finalizarlo.

Los controles de seguridad física deben probarse periódicamente mediante ejercicios de red team y pruebas de penetración física. Los especialistas en pruebas de penetración física intentan entrar en las instalaciones utilizando las mismas técnicas que emplearían los atacantes: tailgating, suplantación de identidad, ganzuado o elusión de lectores RFID. Los resultados suelen revelar que los empleados cuestionan a los visitantes con menos frecuencia de lo que exige la política, o que los fumadores dejan abiertas las salidas laterales. Estos hallazgos impulsan actualizaciones de la formación, revisiones de las políticas y mejoras de los controles físicos. Nunca omita las pruebas de seguridad física al evaluar la postura de seguridad general de una organización.

Compruebe sus conocimientos sobre los conceptos de CompTIA Security+ (SY0-701) tratados en esta lección.

En esta lección ha aprendido que el tailgating y el piggybacking permiten obtener acceso físico siguiendo a usuarios autorizados a través de puertas protegidas, y se contrarrestan mediante esclusas de seguridad y una cultura de cuestionamiento; el baiting explota la curiosidad mediante unidades USB u otros medios maliciosos, y se mitiga desactivando la ejecución automática y bloqueando los dispositivos de almacenamiento no autorizados; y el dumpster diving y mirar por encima del hombro extraen información confidencial de materiales desechados o mediante la observación visual, y se mitigan con la destrucción segura de documentos, las políticas de escritorio limpio y las pantallas de privacidad. A continuación, exploraremos la formación de concienciación sobre seguridad y los controles contra el phishing.