¿Cómo prevenirse de ataques basados en Ingeniería Social?

Cuando pensamos en la gente que suele realizar ataques informáticos, lo primero que nos viene a la mente suele ser un experto informático capaz de descifrar la mejor de las contraseñas o aprovecharse de vulnerabilidades desconocidas para el común de los mortales. Pero por lo general, para robarte la cuenta de Facebook o Gmail ni siquiera hay que tener grandes conocimientos informáticos, vale con esperar a que tú se la des amablemente.

Es lo que se conoce como la ingeniería social, una técnica de ataque muy utilizada debido a su alto nivel de eficacia. Parte de la base de que las personas somos el eslabón más débil de un sistema de seguridad, y ya sea mediante labia o automatismos intenta engañarnos para que acabemos relevando datos clave para comprometer nuestros sistemas.

Muchos atacantes deciden estudiar informática para acceder a los sistemas aprovechándose de los bugs de un software, pero hay quienes prefieren especializarse en engañar y manipulara los propios usuarios. Para ello no hacen falta ni vulnerabilidades ni hackeos increíbles, sino conocer muy bien la mente humana y la forma de pensar de tu víctima, y aprovecharlo para que te de los datos necesarios para acceder a su ordenador, a los servidores de su empresa o por qué no, a sus correos electrónicos o cuentas de redes sociales.

Para profundizar un poco más en el mundo de la ingeniería social hablamos con un experto con más de 11 años de experiencia en el mundo de la seguridad informática. Se trata de Josep Albors, director de comunicación y responsable del laboratorio de ESET España, y que también colabora con la Guardia Civil y el Ejercito de Tierra en la formación de nuevos agentes en materia de seguridad informática.

Josep  cuenta que la ingeniería social es un riesgo que deberíamos tomarnos en serio, porque apunta al eslabón más débil en la mayoría de situaciones: el ser humano. "El atacante puede jugar con las emociones de la víctima", nos cuenta, "o incluso averiguar información personal de la misma a partir de publicaciones en redes sociales para intentar convencerla de que le proporcione información o le permita saltarse sistemas de seguridad establecidos"

Si eres el dueño de una empresa alguien podría estar cotilleando tus redes sociales o espiándote en persona. Con algunos de los datos que consiga obtener sobre tu persona se intentará hacer pasar por ti para darle a tus proveedores una dirección bancaria fraudulenta. Con ella, en vez de pagarte a ti le estarían pagando directamente al suplantador.

Lo que nos quiere decir es que seamos cautos cuando estemos conociendo a personas nuevas, un clásico de los tiempos de la vida offline. Tenemos que ser conscientes de qué tipo de información compartimos y cual puede ser utilizada en nuestra contra. No deberíamos herir sentimientos previniendo, porque lo lógico es que cualquier persona entienda que no le contemos nuestra vida las primeras veces que hablamos.

Otro de los métodos clásicos utilizados por los atacantes es el phishing mediante ingeniería social. Nos pueden enviar SMS, correos electrónicos o una URL a una web aparentemente real, pero que es sólo una copia de la original diseñada específicamente para engañarnos y obtener nuestros datos. ¿Cómo podemos diferenciarlas?

Albors  cuenta que lo primero que nos debería hacer sospechar es que sea un mensaje que no esperamos. Si alguna vez te encuentras pensando que es raro que tu banco o una web se ponga en contacto contigo por este medio para un tema que nunca habíais tratado así, mejor desconfiar. Y cuidado con abrirlos por pura curiosidad, porque puede jugarnos malas pasadas.

"Algunos consejos que podríamos ofrecer es desconfiar de los ficheros adjuntos, especialmente si son ejecutables (la minoría) o vienen comprimidos y utilizan una extensión poco frecuente (js, vbs, hta, etc.)", nos explica, "además de revisar los enlaces que nos proporcionan, puesto que suelen estar acortados o suplantar alguna web original (phising)".

Nuestro hacker de cabecera también explica que existen varias herramientas como el framework Metasploit o el SET (Social-Engineering Toolkit), diseñadas para automatizar estos ataques. También nos advierte de que otro método utilizado es el abandonar USBs con contenidos que puedan ser de interés para la víctima e inciten a abrir el fichero.

"Por ejemplo, dejar un pendrive abandonado en una oficina con una hoja de cálculo Excel con el sugerente título 'Relación despidos 2017'", nos cuenta. "Estoy seguro que muchos deshabilitarían las medidas de seguridad que incorpora MS Office por defecto, y que no permiten la ejecución de Macros maliciosas, con tal de ver su contenido".

Nunca se sabe cuándo podemos estar siendo víctimas de un ataque de ingeniería social, salvo que estemos especialmente entrenados, y esa persona tan simpática que acabamos de conocer en la cola de embarque de un avión puede estar queriendo sacarnos información que no deberíamos compartir.

Una de las herramientas más populares es el Social-Engineering Toolkit o SET. Se trata de una única recopilación de herramientas para realizar ataques avanzados contra el elemento humano. Esto puede ser útil tanto para crackers como para empresarios que quieren testar la seguridad de su empresa y cómo se comportan sus empresarios ante estas amenazas.

Entre otras cosas, esta herramienta permite diseñar y crear ataques de phishing mediante correos electrónicos que se le envían a la víctima. También permite utilizar múltiples ataques basados ​​en la Web para comprometer la seguridad de la posible víctima, como por ejemplo clonar páginas como Facebook alojándolas en nuestro servidor para obtener los datos que rellene quien entre.

A su vez, la aplicación permite simplificar la creación de ficheros .exe maliciosos, o realizar ataques masivos enviando correos electrónicos a múltiples víctimas personalizando los mensajes. Entre sus funciones el SET también ofrece la posibilidad de crear medios infectados con metasploits que utilizan el archivo autorun.inf.

Como conclusión podemos decir que efectivamente nosotros somos el mayor punto débil de nuestra seguridad, y que los atacantes no sólo lo saben, sino que llevan años aprovechándose de ello. Por lo tanto toca tomar conciencia de estos peligros y estar atentos, sobre todo tratando de no revelarle a un desconocido información sensible y estando atento a las posibles estafas mediante correos electrónicos o mensajes de móvil.

Cuatro lecciones del auge y caída de HP, la primera gran "start-up"

En los negocios al igual que en la vida, nada dura para siempre. Tampoco es eterno el crecimiento que han experimentado los gigantes tecnológicos como Amazon, Apple, Google y Facebook durante los últimos años. Así que cuando ese crecimiento llega a su punto de ralentización, las empresas deben preguntarse cómo pueden gestionar la reducción de marchas de la mejor forma posible.

La historia de Hewlett-Packard está llena de lecciones para aprender. "HP ha sido relevante durante nueve décadas", explica el antiguo ejecutivo de HP y el coautor de un nuevo libro titulado Becoming Hewlett Packard: Why Strategic Leadership Matters (Convertirse en Hewlett Packard: Por qué el liderazgo estratégico importa), Webb McKinney. En su opinión, "eso tiene que implicar algo inherentemente bueno".

Si usted no considera a HP como un ejemplo objetivo de la gestión empresarial de los últimos años se le puede perdonar. Gracias en parte a una serie de errores voluntarios (adquisiciones poco aconsejables, escándalos sexuales y de espionaje, una junta directiva tirando a incompetente), HP ha sido una de las empresas tecnológicas que peor han rendido durante los últimos 18 años. 

Hewlett y Packard crearon el molde para las start-ups de Silicon Valley (EEUU). Empezaron a aplicar innovaciones a su gestión empresarial, como el reparto de beneficios, las ayudas educativas, los cubículos, los armarios de material sin llave. Esa estrategia dio lugar a una empresa que fusionó su genio visionario verticalista con una cultura ascendente que sacaba el mayor provecho al tropel de talento técnico que ingresaba a la empresa. Así nació el "HP Way" (el estilo de gestión de HP), una filosofía basada en la creencia de que la gente quiere hacer bien su trabajo, y lo logrará si la dirección confía en ella y proporciona las herramientas necesarias para que se alcance un rendimiento máximo. Gracias a él, la compañía dominó regularmente los mercados con productos innovadores, fiables y de precios justos. Primero fueron herramientas de ingeniería, como los osciladores y los generadores de señales, seguidos por calculadoras de mano durante la década de 1970, los miniordenadores durante la década de 1980 y después productos de consumo como los ordenadores personales e las impresoras.

Hoy, el modelo de éxito de HP está integrado en la mayoría de las empresas tecnológicas en mayor o menor medida. Así que los motivos de su declive resultan menos obvios. McKinney, junto con el consultor Philip E. Meza y el profesor de la Universidad de Stanford (EEUU) Robert A. Burgleman (los otros dos coautores del libro), citan cuatro puntos clave en los que la empresa podría haber logrado un declive más suave y menos humillante. Estas son las cuatro grandes lecciones para el Silicon Valley de hoy.

1) Saber cuándo desescalar

Mientras las cosas marchan bien, son muy pocas empresas de gran crecimiento se plantean dividirse para formar empresas más pequeñas. Pero hacerlo podría proporcionarles mejores oportunidades a sus negocios a prosperar de forma independiente. HP estuvo cerca de evitar este error en 1999. Tras años de ventas en auge de ordenadores personales e impresoras a consumidores y empresas, las adquisiciones de esos productos empezaron a ralentizarse. Sin nuevos negocios en el horizonte para tomar el relevo, al entonces CEO, Lew Platt, le preocupaba que HP se hubiera vuelto demasiado grande y compleja para ser gestionada correctamente. Comisionó un estudio que demostró que HP y Walmart eran las únicas dos empresas de más de los 40.000 millones de dólares (casi 38.000 millones de euros) en ingresos anuales sin topar con un doloroso "punto de estancamiento" que les llevara a realizar despidos masivos y sufrir turbulencias de dirección y de un crecimiento permanentemente más lento. Platt contrató a la consultora McKinsey & Co., que recomendó tres maneras en las que HP podría dividirse en piezas más pequeñas y ágiles.

La junta directiva de HP se negó a seguir la recomendación por muchos motivos equivocados, según McKinney. Los directores, incluidos cuatro miembros de las familias de Hewlett y Packard, temían una pérdida de prestigio. Las complejas complicaciones fiscales de una división en potencia eran "una excusa genial para no hacer nada", afirma el consultor de McKinsey Mike Neven, que lideró el proyecto. En su lugar, la junta creó una spin-off de la división original de pruebas y medición, que representaba el 10% de los ingresos, bajo el nombre Agilent Technologies, y reemplazó a Platt con Carly Fiorina.

La nueva CEO, en lugar de disminuir el tamaño de la empresa, en 2001 decidió seguir haciéndola crecer con la del gigante de los ordenadores personales Compaq Computer. (Entre otros acometidos, McKinney codirigió la integración de HP y Compaq para Fiorina). Si se hubieran creado spin-offs para los negocios de consumo en 1999 en lugar de 2014, podría haberse reorientado al creciente mercado de los smartphones. Pero Fiorina no quería por miedo a disgustar a las grandes operadoras telefónicas que compraban gran parte de los equipos informáticos de TI de HP.

¿Qué harán las grandes empresas actuales? La decisión de Google de reorganizarse bajo la empresa matriz Alphabet demuestra que está considerando este problema. Separar su negocio de oro de las búsquedas de sus nacientes esfuerzos de montar negocios de biotecnología, acceso a internet y otras áreas puede proporcionarle la focalización que necesita. Neven cree que llegará un momento en el que Amazon separará su creciente negocio de servicios basados en la nube AWS de su tienda en línea insignia, en parte para ayudarle a ganar terreno a sus rivales mientras sale del comercio electrónico y empieza a penetrar en sectores como el entretenimiento y las entregas de productos de alimentación. Apple se enfrenta a un problema especialmente insoluble, dada la estrecha vinculación de todos sus productos. No está claro qué podría vender Apple, ni cómo podría compensar las decrecientes ventas de iPhones, que representan casi dos terceras partes de las ventas de la empresa. "Todas las empresas llegan al punto en el que las ventas de productos antiguos decrecen a mayor velocidad que la elaboración de ideas nuevas", señala el antiguo CEO de HP John Young, que supervisó la larga y difícil marcha de HP hacia el negocio de ordenadores durante las décadas de 1970 y 1980. Young afirma: "El muro al que se enfrenta Apple a mí me parece muy empinado".

2) No permitir el estancamiento de la junta directiva

Gracias a su genio directivo, Hewlett y Packard dirigieron una junta directiva "de paja", es decir con mucho poder sobre papel pero poco en la práctica, que incluía sobre todo a viejos amigos suyos como el físico y premio nobel Luis Álvarez. Esto no supuso problemas mientras la empresa se mantenía dentro de su timonel de equipos de ingeniería, pero generó un vacío cuando decidió abordar los ordenadores, las impresoras y otros negocios de crecimiento rápido. Cuando HP empezó a decaer a finales de la década de 1990, no había nadie en la junta directiva capaz de ayudar al CEO a posicionar a HP para el éxito en masivas oportunidades emergentes como los smartphones y la computación en la nube, señala el coautor Meza. Lo que la junta sí consideró fue el tema de reemplazar la moqueta de la antigua oficina de Bill y Dave.

Hoy, las empresas están repletas de ejecutivos expertos en sus tecnologías e inversores de capital riesgo, pero han de rendir mejor a la hora de atraer sangre fresca dado el ritmo al que estas empresas se desplazan hacia industrias nuevas, como los cuidados médicos o los coches. (Existen excepciones: Facebook reclutó a la ejecutiva de Genentech Susan Desmond-Hellman en 2013, y Google contrató al antiguo CEO de Ford Alan Mulally en 2014). Facebook, que actualmente es el objetivo de críticas por el papel que jugaron las falsas noticias de su plataforma en las elecciones presidenciales de Estados Unidos, no dispone de un ejecutivo editorial en su junta. Las juntas también sufren presiones para aumentar la diversidad ética y de género de sus miembros, pero la diversidad de experiencia industrial también es importante.

3) Asegurarse de que la "cultura" esté basada en valores, no en prácticas

Los fundadores de HP crearon lo que se llegó a conocer como el HP Way de varias maneras. Los ejemplos incluyen insistir en que la empresa entrara sólo a mercados donde pudiera realizar una aportación significativa de valiosa tecnología, pedir a los empleados aceptar una reducción de sueldo durante los momentos difíciles para evitar los despidos y fomentar el entendimiento y la colaboración entre todos los componentes de la empresa. "Dirigir mientras se pasea", así lo llamaron. Pero al pasar los años, muchos empleados empezaron a sentir el HP Way como una tradición. Así se veían los descansos diarios para comer rosquillas, cuyo objetivo era el de impulsar las conversaciones entre empleados de distintas áreas, o el derecho de los empleados de mayor rendimiento a obtener autoridad plena de productos y de pérdidas sobre sus propios grupos de producto. Esa última tradición se convirtió en un enorme problema para Young, porque fabricar plataformas informáticas requiere el desarrollo de hardware, software y otras tecnologías interdependientes.

Los futuros líderes de los gigantes tecnológicos actualres deberían prepararse para quejas parecidas si han acostumbrado a demasiados empleados a beneficios como los masajes in situ, un servicio de lavandería y los muros de escalada. (Dropbox informó este año de haber gastado casi 24.000 euros por empleado en tales beneficios).

4) Cultivar sucesores sin parar

Durante décadas, HP tuvo fama de ser una fábrica de talento. Generó docenas de ejecutivos que después dirigieron otras empresas importantes. Pero a medida que el negocio se volvía más complejo, la empresa no hizo suficientes esfuerzos por mantener una cantera de ejecutivos capaces de convertirse en el próximo CEO. Después de pedirle a Platt su dimisión, la junta buscó su sustituto fuera de la empresa, en parte, porque todos los candidatos internos sólo tenían experiencia dirigiendo sus esquinas del negocio. Así que contrataron a Fiorina, una genio de marketing y ventas que nunca había ocupado el puesto de CEO. Cuando fue despedida en 2005, tras negarse repetidamente a las peticiones de la junta de contratar un director de operaciones para ayudar a dirigir la empresa, la junta optó por otra persona de fuera, Mark Hurd. El problema de talento interno aún no había sido abordado cuando Hurd fue echado cinco años más tarde, lo que dio paso a la corta e infructuosa trayectoria del ejecutivo de software alemán Leo Apotheker.

Por el contrario, Apple realizó una transición impecable a Tim Cook tras la muerte de Steve Jobs en 2011. Como CEO en funciones durante la enfermedad de Jobs, estaba claro que era el heredero natural. Pero la mayoría de los observadores de Apple dijeron que Cook en realidad era la única opción viable. Y con la excepción de unas pocas superestrellas como Sheryl Sandberg de Facebook y el director de Google, Sundar Pichai, pocos ejecutivos están obteniendo la amplitud de experiencia, tanto en los tipos de negocios que pueden dirigir como en el abanico de funciones corporativas, para poder convertirse en candidatos favoritos para dirigir estas enormes empresas. Para empeorar las cosas aún más, muchos ejecutivos de talento ya no se quedan a la espera de ascender por las filas corporativas y a menudo las abandonan para probar suerte montando sus propias empresas. Así que, ¿quién sabe quién estará disponible para asumir el mando cuando Larry Page, Jeff Bezos o Mark Zuckerberg decidan abandonar barco?

Vía: MIT Technology Review

David Rose: "Los cuentos son clave para desbloquear objetos inteligentes"

El Internet de las Cosas está a la vuelta de la esquina. Para hablar de este tema y de las posibilidades que nos ofrece hemos nadie mejor que  David Rose, autoridad líder en el IoT.

En un sector donde las nuevas tecnologías se multiplican a paso acelerado, quienes se anticipen a los cambios y se adapten con facilidad prosperan. En este mundo el emprendedor, el que experimenta o arriesga, es el que triunfa.

Según un informe de Research and Markets, ya hay más de 6,2 millones de desarrolladores en el mundo enfocados en IoT, una cifra que aumentará cada año, sobre todo porque cada vez son más los dispositivos que incorporarán esta tecnología.

Así, en 2021 habrá en el mundo 28.000 millones de dispositivos conectados, de los que 16.000 millones lo estarán con Internet de las Cosas.

Es evidente que uno de los puntos clave en la sociedad del futuro será el IoT. Para saber cómo nos afectará esta tecnología, así como las posibilidades y peligros que tendremos que afrontar, presentamos esta entrevista a David Rose, galardonado emprendedor e instructor en el MIT Media Lab y autor del libro Enchanted Objects: Design, Human Desire, and the Internet of Things.

El experto cree que el Internet de las Cosas cuenta con cinco pilares: control, protección, telepatía, teletransportación y expresión. Por todo ello, advierte de la importancia de las tecnologías como redes de aprendizaje profundo, pero siempre dando un enfoque humanista a todo ello.

Rose también ha expresado su opinión sobre la privacidad y el inconveniente que esto supone para el Big Data, así como de las ventajas de esta tecnología. En definitiva, una entrevista que no debes perderte.

¿En qué consisten los “objetos encantados”?
He escrito un libro precisamente sobre esto, en el que intento describir cómo cambiará el IoT nuestra vida diaria. Uno de los ejemplos que uso es algo así como una tabla periódica que trata de ordenar los productos del Internet de las Cosas en base a las aspiraciones humanas.

Una de las secciones es omnisciencia, es decir, ser consciente de todo cuanto nos rodea. Y tener la mirada centrada en el teléfono es probablemente la peor forma de hacerlo.

Cuando quieres saber que está pasando, deberías tardar menos de un cuarto de segundo en averiguarlo. Uno de los motivos por los que la gente cada vez usa menos las aplicaciones de transporte es por que tardan un par de segundos. Eso, a día de hoy, es demasiado.

Por eso creé una compañía llamada Ambient Devices, que trata de usar lo que se llama “procesos preatentivos”. Estos están basados en que hay una parte del cerebro, una parte “reptiliana”, que sabe y es consciente de lo que está ocurriendo por lo que ves a través del rabillo del ojo.

Nosotros lo que pretendemos es colocar información en esas zonas, pero de formas muy sutiles, para que no distraigan a las personas. Ése es sólo uno de los temas que podría cambiar el Internet de las Cosas.

Otra es la telepatía: poder leer la mente de otra persona, o saber qué le pasa. Nos serviría para estar conectados a nuestra familia o nuestro trabajo de formas sutiles, pasivas.

Aprender a tocar un instrumento podría hacerse jugando
Otra categoría sería ser ser “generativo”, es decir, cómo jugamos o cómo creamos. Un ejemplo de esto sería el Guitar Hero (yo trabajé en ese juego en los 90), y a la gente le gustó mucho el proceso de gamificación del aprendizaje. Es bastante divertido.

Actualmente mi hijo está aprendiendo a tocar el piano y, si existiera una especie de “Piano Hero”, podría aprender a tocar el piano solo y no tendría que dejarme una pasta en profesores de piano.

En varias conferencias usted ha insistido en que las marcas deben centrarse en la experiencia de usuario, más que en la propia tecnología. De hecho, habla de aplicar un enfoque más humanista en el diseño y la tecnología ¿A qué se refiere con esta frase?

Lo que me gusta de la frase “objetos encantados” es que realmente se centra en cómo la gente reacciona. La gente se maravilla, disfruta, se frustra…

Yo creo que la gran oportunidad de los diseñadores del IoT es que se pueden centrar en las reacciones de la gente, más que en la tecnología. Trato de que mis estudiantes presten atención a eso. Es cierto que como son estudiantes del MIT se centran mucho en la tecnología, pero lo intentamos.

A los magos se les da esto muy bien. Te guían, te cuentan una historia, y dejan un poco de lado qué tecnología utilizan para que la botella levite.

El IoT está muy relacionado con el Big Data y los datos en la nube. Hay quien dice que nos facilitará la vida, pero también hay quien piensa que será un mecanismo de control por parte del Gobierno e instituciones y que el usuario perderá privacidad. ¿Usted de qué bando es?

Personalmente, en lo que realmente creo es en la idea de la privacidad por diseño. Esto consiste en que puedes construir tu producto o servicio de forma que no almacene, encripte o se quede con datos.

Nosotros hemos creado una mesa de reuniones que ayuda a saber quién lleva la voz cantante en una reunión. Se basa en la idea de lo introvertidos o extrovertidos que son las personas. Es cierto que ambos pueden tener buenas ideas, pero las iniciativas de los primeros no se oyen salvo que haya un moderador.

Esta mesa tiene micrófonos por toda la superficie, y unos leds que se van iluminando delante de la persona que está hablando. A medida que pasa el tiempo puedes ver quién ha hablado más, quién ha hablando menos, y eso ayuda a que la gente que ha hablado más se tranquilice y deje hablar a los demás.

El caso es que esta mesa no tiene ningún mecanismo de grabación o almacenaje. Tampoco se conecta a internet ni informa a tu jefe. Únicamente se limita a ofrecer este apoyo.

Otro punto importante de sus teorías es que la tecnología puede aprender de los mitos y el folklore. ¿Podría explicarnos en qué consiste esta afirmación?

Para mí, la llave para desbloquear objetos inteligentes es buscar en la historia de la humanidad…las claves están escondidas en la ficción, o en los cuentos. Ahí se puede ver lo que la humanidad quiere o necesita, y que sólo puede conseguir mediante la magia o la ficción tecnológica.

Por ejemplo, está claro que los humanos necesitamos algo para mover objetos sin esfuerzo, ya sea un Pegaso o una alfombra voladora, o espejos que se pueden atravesar… hay muchos ejemplos en el mundo de la literatura. Eso en sí no te dice exactamente qué tienes que diseñar, pero sí que es lo que la gente necesita.

Cosas como un cuerno que permite invocar ayuda desde largas distancias, o las botas de siete leguas. También hay juegos interesantes como el Quidditch, con la pelota Snitch… Todo está lleno de ejemplos, y ahí es donde deberíamos investigar para encontrar propuestas interesantes.

Usted también es un experto en el campo de la transformación digital, ¿Por qué es un requisito indispensable en la competitividad empresarial y qué pueden hacer las empresas para no quedarse rezagadas?

Creo que todas las compañías deberían tener un grupo de gente que se dedique sólo a hacer prototipos. Pueden ser físicos o conceptuales, pero necesitas un equipo de gente buscando sólo opciones para el futuro.

El motivo por el que muchas compañías están creciendo son las startups. Comprándolas, ayudándolas, apoyando… haciendo negocios con ellas.

Nosotros tenemos una startup en Boston que está trabajando con empresas tan grandes como IBM o Oracle… Y tú puedes pensar que esta tiene la tecnología necesaria para llevar a cabo cualquier proyecto que necesite.

Pero a veces no es sólo tener la tecnología, es hacer tratos con quien la tiene y puede desarrollarla y mejorarla.