Ingeniería Social: La Siguiente Barrera de la Seguridad Esteban Lubensky Presidente Ejecutivo - GMS 6 de Octubre 2017

Agenda Qué es la ingeniería social ¿Cómo generar conciencia? Estadísticas de comportamiento en la región Panel -Roberto Cialdini, reconocido experto mundial en la ciencia de la persuasión, profesor en la universidad estatal de Arizona y docente invitado en algunas otras, incluyendo Stanford -6 técnicas principales de persuasión: 1. reciprocidad, 2. compromiso y consistencia, 3. simpatía, 4. aceptación social, 5. autoridad, 6. escasez

Acerca de mi -Roberto Cialdini, reconocido experto mundial en la ciencia de la persuasión, profesor en la universidad estatal de Arizona y docente invitado en algunas otras, incluyendo Stanford -6 técnicas principales de persuasión: 1. reciprocidad, 2. compromiso y consistencia, 3. simpatía, 4. aceptación social, 5. autoridad, 6. escasez

¿Qué es la ingeniería social? La ingeniería social se refiere al direccionamiento de acciones ajenas al hacer uso premeditado de sus percepciones, expectativas, emociones y sesgos En persona o por medios alternos Con o sin tecnología Apelar a hábitos y emociones básicas Costumbre, comodidad, familiaridad, confianza, curiosidad Ego, miedo, ira, compasión, optimismo Uso de técnicas de persuasión 6 técnicas principales (Robert Cialdini, “Influencia: Ciencia y Práctica”, 2003) -Roberto Cialdini, reconocido experto mundial en la ciencia de la persuasión, profesor en la universidad estatal de Arizona y docente invitado en algunas otras, incluyendo Stanford -6 técnicas principales de persuasión: 1. reciprocidad, 2. compromiso y consistencia, 3. simpatía, 4. aceptación social, 5. autoridad, 6. escasez

El impacto de la ingeniería social en el entorno de seguridad Es el método “en boga” para desplegar una variedad de otros ataques APTs Ransomware Infección Fraude 90% de los incidentes de seguridad informática en el 2015 tuvieron un componente de error humano (Verizon 2015 Data Breach Investigation Report) Incrementa el valor inherente de la información Datos robados y vendidos en la dark web adquieren más valor cuando pueden ser utilizados para aumentar la eficacia de la ingeniería social

El impacto de la ingeniería social en el entorno de seguridad Alerta I-050417-PSA del 04-may-2017 del FBI: $5,3 mil millones 2370% en pérdidas (ene15– dic16) incremento en incidentes de enero 2015 a diciembre 2016 https://www.ic3.gov/media/2017/170504.aspx

¿Cómo generar conciencia? Escucha: 5% Lectura: 10% Presentación audivisual: 20% Demostración: 30% Discusión grupal: 50% Práctica: 75% Enseñanza: 90% Fuente: National Training Laboratories, Maine - EEUU

¿Cómo generar conciencia?

Estadísticas de comportamiento en la región Muestra recolectada: Periodo enero y septiembre del 2017 15 empresas en Colombia y Ecuador 17 variantes utilizadas para un total de 51 ataques simulados, exclusivamente sobre el vector de correo electrónico 1.844 correos enviados, todos con una o dos instancias de acción después de abrir el correo Seguimiento de link o apertura de adjunto Llenado de formulario o ejecución de instrucciones entregadas

Estadísticas de comportamiento en la región ¿Qué intentamos simular? Infección Seguir un link o abrir un adjunto Robo de credenciales Llenar un formulario Fraude Intento de ejecución de instrucciones específicas

Estadísticas de comportamiento en la región ¿Qué intentamos simular? Infección Seguir un link o abrir un adjunto Robo de credenciales Llenar un formulario Fraude Intento de ejecución de instrucciones específicas

39.5% 30.1% 100% 10.4% Estadísticas de comportamiento en la región Sigue el link Abre el adjunto o sigue el link N = 946 Sigue instrucciones de pago a tercero N = 7 Llena el formulario N = 891

Estadísticas de comportamiento en la región ¿Qué funciona mejor?

41,0% 28,9% 38,8% 31,2% Estadísticas de comportamiento en la región ¿Quién es más susceptible? 28,9% 31,2% N = 363 41,0% 38,8% N = 523 N = 400 N = 541

30,0% 38,0% Estadísticas de comportamiento en la región ¿Quién es más susceptible? 30,0% 38,0% N = 80 N = 216

Para resumir antes de empezar nuestro panel… La ingeniería social es la siguiente barrera de seguridad que deben romper las organizaciones para protegerse Los hackers también buscan retorno sobre sus inversiones y la ingeniería social se los da con creces La concientización es vital, pero requiere de metodología y gestión para generar los resultados que exige el nuevo panorama de amenazas Tal como hay herramientas de protección tecnológica, hay herramientas para gestionar el riesgo de ingeniería social que permiten enfocar esfuerzos y medir resultados

(Insertar perfil Cámara de Comercio Bogotá)

(Insertar perfil Kaspersky)

(Insertar perfil Qualys)

(Insertar perfil Sophos)

Lámina con fotos, nombres y cargos de panelistas Jaime González Director de Riesgos Cámara de Comercio de Bogotá Claudio Martinelli Director General LATAM Kaspersky Labs Lámina con fotos, nombres y cargos de panelistas Eric Gómez Managing Director LATAM Qualys Oscar Chávez-Arrieta Vicepresidente LATAM Sophos