Penetration Testing de Ingeniería Social: Evaluando la Capa Humana

Esta guía proporciona todo lo que necesita para comprender, delimitar y ejecutar este tipo de pruebas, con orientación práctica que puede aplicar de inmediato.

Por qué Probar la Capa Humana

Los controles tecnológicos son tan fuertes como las personas que interactúan con ellos. La ingeniería social (el arte de manipular a las personas para que realicen acciones que comprometan la seguridad) representa un porcentaje significativo de los vectores de acceso inicial en las filtraciones de datos. El *phishing* por sí solo es responsable de la mayor parte de las brechas en el sector de la salud, las finanzas y el *SaaS*. Probar sus defensas humanas es tan importante como probar las técnicas.

Simulaciones de Phishing

La prueba de ingeniería social más común simula ataques de *phishing* por correo electrónico contra su plantilla. Los evaluadores crean correos electrónicos de *phishing* realistas, haciéndose pasar por proveedores, ejecutivos, soporte de TI o proveedores de servicios, y miden las tasas de clics, las tasas de envío de credenciales y las tasas de notificación. Los resultados identifican qué departamentos son más vulnerables y dónde se debe centrar la capacitación.

Pretexting y Phishing por Voz

Más allá del correo electrónico, los evaluadores pueden utilizar el *pretexting* telefónico (*vishing*) para extraer información o manipular a los empleados para que realicen acciones: transferir fondos, restablecer contraseñas, proporcionar credenciales de VPN. Estas pruebas evalúan si su personal verifica la identidad de la persona que llama y sigue los procedimientos establecidos bajo presión.

Ingeniería Social Física

Para las organizaciones con locales físicos, los evaluadores pueden intentar obtener acceso no autorizado al edificio mediante *tailgating*, suplantación de identidad o *pretexting*. Esto pone a prueba los sistemas de tarjetas de identificación, los procedimientos para visitantes y la voluntad de los empleados de cuestionar rostros desconocidos.

Integración con Pruebas Técnicas

Las pruebas de ingeniería social más valiosas se integran con los *Penetration Testing* técnicos. Un correo electrónico de *phishing* entrega un *payload*; el evaluador utiliza las credenciales capturadas para acceder a los sistemas internos; el *Penetration Testing* técnico continúa desde dentro de la red. Esto demuestra toda la cadena de eliminación, desde la ingeniería social inicial hasta la explotación técnica y el acceso a los datos.