Pruebas de ingeniería social
Cada control técnico que haya adquirido parte de la base de que un ser humano hará lo correcto en el momento adecuado. Las pruebas de ingeniería social le permiten averiguar si esa suposición es cierta, antes de que alguien con malas intenciones lo descubra por usted.
Llevo a cabo estas operaciones tal y como las planificaría un adversario real: un pretexto basado en la información de su organización disponible públicamente, una solicitud creíble y una vía que conduce a algo real —el acceso con tarjeta a una puerta, un restablecimiento de contraseña por teléfono, un enlace que descarga una carga maliciosa—. El phishing acapara la mayor parte de la atención, pero el vishing (pretextos telefónicos), el «tailgating» físico y la inserción de dispositivos USB forman parte del mismo panorama, ya que un atacante decidido tampoco se limitará al correo electrónico.
Lo que realmente estoy probando
No se trata de «si alguien ha hecho clic». Esa métrica, por sí sola, no le aporta prácticamente nada. Estoy comprobando si sus procesos de detección y respuesta detectan el intento, si la persona que ha caído en la trampa sabía qué hacer a continuación y si una credencial comprometida o una puerta dejada abierta se convierte en un problema mucho mayor. El informe que entrego relaciona las deficiencias concretas —en la formación, en los procesos, en los controles físicos— con soluciones específicas, no con una recomendación genérica del tipo «sensibilizar».
Dónde encaja esto
Si nunca ha llevado a cabo una prueba de ingeniería social, comience con algo sencillo y de alcance limitado: un único pretexto dirigido a un solo equipo, de modo que la organización no se sienta emboscada y usted pueda evaluar con claridad un riesgo cada vez. Si ya dispone de un programa consolidado, puedo diseñar escenarios más complejos y de varias fases que encadenen una llamada telefónica con una visita física y, a continuación, con el establecimiento de un punto de acceso a la red, lo cual se aproxima más a cómo se desarrolla realmente una intrusión real.
En cualquier caso, el objetivo no es pillar a nadie en un renuncio. Se trata de averiguar, de forma controlada, qué ocurre cuando alguien lo intenta —y de solucionarlo antes de que suceda de verdad.
Si desea analizar cómo sería un proyecto con alcance definido para su organización, Contacte conmigo.