Incluso cuando los ciberdelincuentes en el escenario mundial orquestan elaborados hackers corporativos y robos de criptomonedas, sigue prevalecendo una táctica más simple pero eficaz: la ingeniería social.

Este enfoque a menudo resulta más rentable y, según algunos profesionales de TI, más fácil que el hacking técnico directo. Tomemos Corea del Norte, por ejemplo, una nación acusada de usar ingeniería social y ataques de phishing para robar miles de millones de criptomonedas a lo largo de los años.

Los expertos recomiendan construir defensas contra la ingeniería social, aunque esto requiere trabajo y colaboración entre varios equipos. Como dice el dicho, “la prevención es la mejor medicina”.

Adam Marrè, CISO de la empresa de seguridad cibernética Arctic Wolf y ex agente especial del FBI en materia de ciberseguridad, hace hincapié en dos aspectos clave de la protección: controles técnicos y capacitación de sensibilización.

Los controles técnicos incluyen la configuración de autenticación multi-factor, contraseñas fuertes, gestores de contraseña e incluso la confianza del dispositivo (requiring login from specific devices).

“En el lado de la identidad”, dice Marrè, “los filtros de correo electrónico y los filtros del tráfico pueden ayudar a capturar algunos comportamientos sospechosos”.

Sin embargo, la concienciación es crucial porque el mundo en línea no es inherentemente seguro. “Al igual que en el mundo real, no podemos confiar en todo el mundo en línea”, subraya. “Tengan cuidado, como si estuvieran caminando solos por la noche.”

Mike Mestrovich, ex CISO en funciones de la CIA y actual CISO de la empresa de gestión de datos Rubrik, aconseja el doble control de los correos electrónicos. Las personas a menudo caen víctimas de esquemas de ingeniería social por curiosidad.

“Para los correos electrónicos”, sugiere Mestrovich, “escanear archivos adjuntos, verificar los encabezados de correo electrónico, establecer un entorno seguro para abrir enlaces incorporados, aplicar la autenticación multi-factor, y proporcionar maneras verificables para que el personal de la oficina de ayuda autentique a los llamados”.

Los ciberdelincuentes explotan comportamientos comunes. Podrían atraer a las víctimas a hacer clic en un enlace disfrazado de pago de factura o atraerlos con una hoja de cálculo aparentemente legítima.

Erin Plante, Vicepresidenta de Investigaciones en Chainalysis, explica cómo las criptomonedas robadas pueden permanecer sin ser detectadas durante años.

“Los hackers podrían usar el phishing y la ingeniería social para robar criptomonedas, luego moverlas y almacenarlas en carteras frías durante años antes de que cualquier actividad desencadene una alerta”.

Marrè sugiere crear “reglas” personales fuera de línea y en un estado de ánimo tranquilo. Esto podría incluir evitar los enlaces de correo electrónico en su totalidad o verificar con los colegas cuando reciben enlazos inesperados de Google Doc.

“Las interacciones en línea, la ejecución de negocios y las valiosas comunicaciones online siempre crearán oportunidades para que los ingenieros sociales aprovechen la confianza humana”, concluye Marrè. “Pero al aplicar estas estrategias, podemos reducir significativamente el riesgo”.