Ingeniería social y defensa contra phishing

Cómo funcionan los ataques

• Phishing: un mensaje engañoso (correo, SMS, chat) que lleva a la víctima a hacer clic, ingresar credenciales o ejecutar algo.
• Spear phishing y business email compromise: mensajes investigados y dirigidos, a menudo haciéndose pasar por un ejecutivo o un proveedor para desviar un pago.
• Vishing y smishing: lo mismo por llamada telefónica o mensaje de texto, incluidas las falsas llamadas de soporte.
• Pretexting: un escenario inventado que hace que una solicitud parezca legítima.
• MFA fatigue y kits adversary-in-the-middle: enviar solicitudes de aprobación repetidas, o retransmitir un inicio de sesión en vivo para robar la sesión.
• Físico: tailgating, dispositivos dejados como señuelo, suplantación de personal.

Controles que no dependen de un juicio perfecto

• Autenticación multifactor resistente al phishing (llaves de seguridad FIDO2 o passkeys): la credencial solo funciona en el sitio real, así que una página parecida no obtiene nada.
• Autenticación de correo para que nadie pueda falsificar tu dominio: SPF, DKIM y DMARC con una política de aplicación.
• Filtrado y sandbox de adjuntos y enlaces, y avisos para remitentes externos.
• Controles de proceso para dinero y acceso: un segundo canal para confirmar cambios de pago, reglas de aprobación para solicitudes sensibles.
• Mínimo privilegio y detección en endpoints, para que un clic no se convierta en una brecha.

example.com.            TXT  "v=spf1 include:_spf.mail-provider.example -all"
_dmarc.example.com.     TXT  "v=DMARC1; p=reject; rua=mailto:dmarc-reports@example.com; adkim=s; aspf=s"
selector1._domainkey.example.com.  TXT  "v=DKIM1; k=rsa; p=<public key>"

Simulaciones hechas de forma ética

• Solo con autorización por escrito, alcance definido y aprobación de RR. HH. y legal; muchas jurisdicciones tienen reglas sobre pruebas con empleados.
• Apunta a aprender, no a castigar: nunca expongas nombres y no uses escenarios crueles (bonos falsos, despidos falsos, emergencias familiares).
• Mide lo que importa: la tasa de reporte y el tiempo para reportar importan más que la tasa de clics. Una cultura en la que las personas reportan rápido es un control de detección.
• Facilita el reporte: un botón, una respuesta rápida y amable, y agradecimiento por los reportes (incluidas las falsas alarmas).
• Da orientación corta, específica y en el momento oportuno a quienes hacen clic, en lugar de capacitaciones largas y obligatorias.

Prepararse para el día en que funcione