Credenciales, visitantes y puertas cortafuegos

Una intrusión por ingeniería social se apoya en la credibilidad. La CISA explica que, si el atacante no obtiene suficiente información de una persona, puede contactar con otra de la misma organización y apoyarse en lo que dijo la primera para parecer más fiable¹. Un empleado que confirma «sí, lo esperan» sin haberlo comprobado sirve así de aval al desconocido para lo que venga después.

La CISA recuerda que cada miembro de la comunidad, compañeros incluidos, es «the first line of defense» para la seguridad⁵. El NIST incluye la protección física y ambiental entre las familias de controles de su catálogo SP 800-53, junto a la concienciación y la formación⁶. Es decir, las puertas, las credenciales y la formación de las personas forman parte del mismo dispositivo de seguridad que las contraseñas.

Las acciones siguientes son prácticas de prudencia. Solo la verificación de identidad ante la organización afectada cuenta con el respaldo de las fuentes citadas aquí¹.

• Reciba al visitante en recepción, no en un pasillo, y acompáñelo desde el principio hasta el final de su visita, hasta la salida.
• Compruebe su identidad y su credencial con la persona que lo espera, usando un número que ya conozca, no el que le da el visitante.
• No sujete la puerta a una persona que no conoce, aunque lleve cajas. Ofrézcase a acompañarla a recepción.
• No preste nunca su credencial y no deje que un compañero o un proveedor la use en su lugar.
• Comunique de inmediato una credencial perdida u olvidada, sin esperar al día siguiente.
• No bloquee nunca una puerta cortafuegos en posición abierta ni la desbloquee por comodidad. Si estorba, avise a seguridad.
• Si un desconocido circula solo, pregúntele con cortesía a quién viene a ver y después llévelo a recepción o alerte a seguridad.

Tres resortes se repiten en los relatos de ingeniería social. Las fuentes citadas aquí documentan los dos primeros para otros canales distintos de la puerta de entrada, pero también valen en recepción.

• La urgencia fingida. MITRE señala el envío de varios mensajes de apariencia urgente para empujar al objetivo a responder⁴. En la entrada, esto se convierte en un «llego tarde, el equipo me espera».
• La falsa legitimidad. La CISA indica que el atacante puede decir que es reparador y presentar identificaciones como respaldo¹. Una ropa de trabajo y una credencial no prueban nada mientras la persona esperada no lo haya confirmado.
• La cortesía. Las fuentes citadas aquí no la mencionan. Sin embargo, lleva a dejar pasar a alguien para no incomodarlo. Negarse con amabilidad no es una falta.

Otra trampa está en lo que no se ve: un pequeño dispositivo colocado bajo una mesa o conectado a una toma de red. MITRE cita entre las capacidades de este equipo la escucha pasiva de la red, la modificación del tráfico, la inyección de pulsaciones de teclado y la adición de puntos de acceso inalámbricos³. Un dispositivo desconocido o un cable que no debería estar ahí se comunica, no se desconecta por cuenta propia.

DarkVishnya, bancos atacados mediante conexión directa

MITRE cita al grupo DarkVishnya, que conectó físicamente dispositivos (un Bash Bunny, una Raspberry Pi, netbooks y portátiles baratos) en el entorno de la organización objetivo para acceder a su red local³. MITRE remite a un análisis fechado el 6 de diciembre de 2018, titulado «DarkVishnya: Banks attacked through direct connection to local network»³. Las fuentes citadas aquí no precisan cómo se introdujeron los dispositivos en los locales.

MITRE precisa también que los usos documentados públicamente por actores maliciosos son escasos, mientras que muchos equipos de pruebas de intrusión utilizan estas adiciones de equipos como primer acceso³.