En un giro que se aleja de la narrativa habitual de "hacker conoce a víctima", está surgiendo un nuevo tipo de ciberataque. Uno en el que el adversario manipula piensa en ser tu propio atacanteSegún un artículo reciente de ZDNet titulado "Este nuevo ciberataque te engaña para que te hackees a ti mismo. Aquí te explicamos cómo detectarlo."La táctica es simple pero potente. Se trata de ingeniería social que te lleva a comprometer tu propio sistema o credenciales, en lugar de que alguien acceda a él desde fuera.
¿Qué es este ataque? ¿Cómo funciona?
En esencia, este ataque se aprovecha de la psicología humana, la confianza y las señales aparentemente inofensivas. En lugar de desplegar malware evidente o explotar vulnerabilidades de día cero, el atacante orquesta un escenario donde usted, el usuario, realiza las acciones que desbloquean sus propios datos, entregan credenciales o conceden acceso remoto; en efecto, usted se convierte en el instrumento de su propia intrusión.
Los ejemplos pueden incluir:
- Que te pidan “ayudar a solucionar problemas” concediendo acceso remoto al escritorio de tu propio ordenador, creyendo que se trata de una solicitud legítima del servicio de asistencia técnica.
- Recibir un correo electrónico o mensaje con un enlace/control que se le indica que es seguro, pero que en realidad es un pretexto para el robo de credenciales.
- Ser manipulado para usar tu cuenta privilegiada para ejecutar un comando (quizás “solo para solucionar este problema rápido”) que en realidad descarga una carga útil maliciosa.
Esto no es exactamente lo mismo que el phishing clásico; es más complejo: en parte ingeniería social, en parte autocompromiso, en parte abuso de confianza y permisos.
Por qué es importante
- Menor dependencia del malwareDado que usted ejecuta la acción (conceder acceso, cambiar la configuración), el atacante no necesita infiltrarse mediante malware sigiloso ni ataques de día cero complejos.
- Más difícil de detectar mediante herramientas convencionalesEs posible que las alertas tradicionales de antivirus o firewall no se activen, porque usted mismo otorgó el permiso.
- Amplificado por el trabajo remoto y los privilegios de administradorCon el aumento del teletrabajo en todo el mundo, a los atacantes les resulta más fácil convencer a un usuario remoto que trabaja solo en casa de que la solicitud proviene del servicio de asistencia técnica de la empresa. Lamentablemente, el departamento de TI sigue otorgando privilegios administrativos por defecto a los teletrabajadores, lo que permite que estos ataques tengan éxito cuando los usuarios hacen clic o siguen las instrucciones para conceder permisos.
- El comportamiento humano sigue siendo el eslabón más débil.No importa cuán sólidas sean sus defensas técnicas, si se concede un inicio de sesión o acceso remoto de forma voluntaria (por accidente o mediante engaño), la cadena se rompe.
Cómo detectarlo: indicadores clave
Aquí hay algunas señales de alerta prácticas a las que debe prestar atención:
- Solicitud inesperadaRecibes un mensaje/correo electrónico/mensaje instantáneo que te pide que hagas algo inusual (conceder acceso, instalar software, hacer clic en un enlace), incluso si parece provenir de alguien que conoces o parece legítimo.
- Presión o urgenciaLa solicitud viene acompañada de presión de tiempo (“necesitamos solucionar esto ahora”) o utiliza la autoridad (“mandato de TI”, “incidente de seguridad urgente”) para imponer un comportamiento.
- Herramientas remotas o acciones administrativasLa solicitud te pide que instales software de control remoto, otorgues permisos de administrador o cambies la configuración de tu cuenta. Eso es una señal de alerta.
- Solicitud de credenciales o transferencia de sesiónSi te piden que compartas tus credenciales o que “inicies sesión a través de este portal”, eso parece extraño para tu puesto.
- Contexto desconocidoAunque la solicitud parezca provenir de un colega de confianza, pregúntese: ¿es algo que este colega suele hacer? ¿Tiene sentido el flujo de trabajo?
Qué debes hacer (defensas)
- Trate con escepticismo todas las solicitudes de acceso/concesión.Incluso si miradas Si se trata de alguien dentro de su organización, valide a través de un canal separado (por ejemplo, llámelos a un número que ya conozca y que funcione).
- Utilice el principio del mínimo privilegioRestringir el acceso de administrador o de soporte remoto para que, incluso si un usuario es engañado, solo tenga un poder limitado.
- Educar a los usuarios sobre los riesgos del “autocompromiso”.La formación tradicional abarca el phishing o las descargas maliciosas; se hace hincapié en los escenarios en los que piensa Ejecutar algo que dé acceso.
- Implementar y hacer cumplir autenticación multifactor (MFA)Así que, si las credenciales se ven comprometidas mediante ingeniería social, todavía existe una barrera.
- Registrar y supervisar los patrones de accesoLas sesiones de acceso remoto repentinas, los cambios de credenciales o las ubicaciones de inicio de sesión inusuales deberían generar alertas.
- Mantenga un proceso claro para el acceso de TI/Soporte.Institucionalizar la forma en que se realiza el soporte remoto (por ejemplo, sistema de tickets, herramientas aprobadas, verificación) para que se puedan detectar las incidencias puntuales.
Ejemplo concreto e implicaciones
Los atacantes modernos dependen cada vez más de convertir a los usuarios internos en cómplices involuntarios. Los programas de ciberseguridad deben centrarse ahora no solo en prevenir las intrusiones externas, sino también en detenerlas. acceso autoinfligidosituaciones en las que se manipula a los empleados para que permitan la entrada a los atacantes.
Las organizaciones que dependen en gran medida de herramientas de acceso remoto, políticas de BYOD (Trae tu propio dispositivo) y equipos distribuidos corren un riesgo especial. Un usuario puede pensar: «Sí, reconozco esta solicitud de soporte», pero el contexto podría estar falsificado o la cuenta del remitente ya comprometida.
Reflexiones finales
Nuestro mundo está cambiando a un ritmo cada vez mayor. La amenaza a la que nos enfrentamos hoy no es solo que “el atacante irrumpa”, sino que ahora se está convirtiendo en que “el atacante convenza” piensa “Dejarlos entrar”. Reconocer este cambio es esencial tanto para los individuos como para las organizaciones en la batalla constante por proteger y defender nuestras redes, nuestros datos y nuestro futuro.
Lectura adicional:
ZDNet – Este nuevo ciberataque te engaña para que te hackees a ti mismo. Aquí te explicamos cómo detectarlo.
¡Proteja su negocio con CyberHoot hoy!
