La psicología detrás de los delitos, como la ingeniería social

Los ciberdelitos ocurren cada 39 segundos y se encuentran entre las amenazas globales más graves. Una de las preguntas más cuestionadas en ciberseguridad es: ¿Por qué la gente pincha en enlaces maliciosos?, este comportamiento tan habitual por parte de los usuarios aumenta el riesgo de ataque en las organizaciones. En España hacer clic en estos links o descargar archivos comprometidos se sitúa como una de las vulnerabilidades humanas más comunes en el ámbito empresarial.

«Todavía hay quien piensa que los ciberdelincuentes son esos individuos algo siniestros que se atrincheran en un sótano oscuro, delante de su ordenador, para confabular contra el mundo y romper la seguridad de grandes empresas. Pero lo cierto es que detrás de la mayoría de los ataques hay un error humano”, aclara Andrew Rose, CISO interno de Proofpoint en la región de EMEA. “La tecnología es hoy lo bastante eficaz como para resistir los ataques, por lo que los atacantes han decidido centrarse en el eslabón más vulnerable: los usuarios”.

Según Rose, “los atacantes recurren una y otra vez a los mismos clichés como cebo y a toda la inversión que hacen las organizaciones en formación y concienciación de seguridad a sus empleados”. Debemos tratar de entender cómo piensa la víctima potencial y cómo puede lograr que responda de determinada manera. Por ejemplo, estas podrían ser las palancas psicológicas que usa el delincuente para obtener la respuesta deseada en diferentes tipos de ciberataques:

• Ransomware: el delincuente explota el miedo, la angustia y la incertidumbre de la víctima ante la posibilidad de perder el acceso a información valiosa para ella.
• Estafa nigeriana: aquí se juega con la escasez y las recompensas. El ciberatacante desencadena en la víctima la respuesta deseada al ofrecerle la posibilidad de obtener algo a cambio de nada.
• Atrapado en el extranjero: se crea la sensación de urgencia y se aprovechan los lazos emocionales con un ser querido que necesita ayuda.
• Phishing: generan confianza en la víctima para obtener fácilmente y de manera voluntaria información crítica.

Los piratas informáticos son consciente de estos impulsores psicológicos, se meten en la psiquis de las potenciales víctimas y tratan de comprender ante qué estímulos responderían mejor.

La confianza como objetivo

“Lo que persiguen los ciberdelincuentes es que los empleados de distintas organizaciones se olviden de todo lo que han aprendido sobre ciberseguridad y tomen una mala decisión que les ayude a avanzar en su intento de ataque. Para ello se aprovechan de factores como las emociones, la confianza o, incluso, el cansancio que tienen esos usuarios”, afirma el experto de Proofpoint.

Las palanca en la que mayormente se basan los atacantes es la confianza que, a su vez, sirve de atajo en el cerebro humano en la toma de decisiones. Si el usuario ve una marca o persona de su confianza, el mensaje adquiere mayor credibilidad y el umbral necesario para que interactúe se reduce. “Esa es la razón por la que circulan emails fraudulentos supuestamente en nombre de compañías como DHL o Amazon, por citar algunos ejemplos. A los ciberdelincuentes les gusta apoderarse de esa confianza depositada en terceros, y lo hacen comprometiendo cuentas de personas conocidas en una determinada empresa para luego utilizarlas para fines maliciosos. Si recibes el correo electrónico de alguien de tu empresa, es mucho más probable que hagas clic en él que si te llega de un remitente extraño. Y lo mismo ocurre con la ubicación del malware”, comenta Rose.

La educación sobre las ciberamenazas y comprender la forma cómo piensa un delincuente cibernético es el comienzo de la solución al problema.