Esta guía proporciona todo lo que necesita para comprender, delimitar y ejecutar este tipo de pruebas, con orientación práctica que puede aplicar de inmediato.
Por qué Probar la Capa Humana
Los controles tecnológicos son tan fuertes como las personas que interactúan con ellos. La ingeniería social (el arte de manipular a las personas para que realicen acciones que comprometan la seguridad) representa un porcentaje significativo de los vectores de acceso inicial en las filtraciones de datos. El phishing por sí solo es responsable de la mayor parte de las brechas en el sector de la salud, las finanzas y el SaaS. Probar sus defensas humanas es tan importante como probar las técnicas.
Simulaciones de Phishing
La prueba de ingeniería social más común simula ataques de phishing por correo electrónico contra su plantilla. Los evaluadores crean correos electrónicos de phishing realistas, haciéndose pasar por proveedores, ejecutivos, soporte de TI o proveedores de servicios, y miden las tasas de clics, las tasas de envío de credenciales y las tasas de notificación. Los resultados identifican qué departamentos son más vulnerables y dónde se debe centrar la capacitación.
Pretexting y Phishing por Voz
Más allá del correo electrónico, los evaluadores pueden utilizar el pretexting telefónico (vishing) para extraer información o manipular a los empleados para que realicen acciones: transferir fondos, restablecer contraseñas, proporcionar credenciales de VPN. Estas pruebas evalúan si su personal verifica la identidad de la persona que llama y sigue los procedimientos establecidos bajo presión.
Ingeniería Social Física
Para las organizaciones con locales físicos, los evaluadores pueden intentar obtener acceso no autorizado al edificio mediante tailgating, suplantación de identidad o pretexting. Esto pone a prueba los sistemas de tarjetas de identificación, los procedimientos para visitantes y la voluntad de los empleados de cuestionar rostros desconocidos.
Integración con Pruebas Técnicas
Las pruebas de ingeniería social más valiosas se integran con los Penetration Testing técnicos. Un correo electrónico de phishing entrega un payload; el evaluador utiliza las credenciales capturadas para acceder a los sistemas internos; el Penetration Testing técnico continúa desde dentro de la red. Esto demuestra toda la cadena de eliminación, desde la ingeniería social inicial hasta la explotación técnica y el acceso a los datos.
En Resumen
Los controles técnicos protegen los sistemas. Las pruebas de ingeniería social protegen a las personas que utilizan esos sistemas. Los programas de pruebas de seguridad más completos evalúan ambos, porque los atacantes sin duda lo harán.