¿Cuánta información revelan las publicaciones en redes sociales? Una foto de vacaciones, la mención de la marca del vehículo que se utiliza o una publicación de cumpleaños forman parte de la vida digital cotidiana. Pueden parecer datos inofensivos, pero para un ciberdelincuente pueden convertirse en piezas de un perfil mucho más completo y servir de insumo para ataques de ingeniería social.
Eric Escobar, consultor principal de seguridad en Sophos y hacker ético, explica que un dato aislado quizá diga poco, pero la combinación ayuda a “construir un perfil”. El nombre, cargo, hábitos, relaciones, intereses o rutinas permiten facilitar una suplantación o hacer creíble un intento de fraude. Y buena parte de esa información puede obtenerse en pocos clics.
“Todas esas cosas disponibles públicamente a través de las redes sociales pueden ser utilizadas por un atacante para ganarse tu confianza o la de tu empresa haciéndose pasar por ti”, explica.
El riesgo trasciende a la persona. Cuando el objetivo es una empresa, los atacantes también estudian su entorno digital: empleados en LinkedIn, publicaciones institucionales, redes sociales y personas con mayores niveles de acceso.
Escobar describe el proceso así: “Buscaré a todos sus empleados en LinkedIn. Revisaré las redes sociales públicas de esos trabajadores. Veré qué publicaciones ha hecho la organización en su blog (…) También utilizamos cualquier otra fuente pública que tenga la empresa para aprender todo lo posible sobre la organización antes de comenzar a llamar, enviar correos electrónicos, mensajes de texto o utilizar cualquiera de esos métodos de ataque”.
Al preguntarle si las publicaciones en redes sociales realmente ofrecen tanta información, Escobar respondió con un “sí” definitivo. Recordó el caso de una cadena de hospitales en Estados Unidos cuyo centro de soporte utilizaba preguntas de seguridad para restablecer las contraseñas de los empleados, entre ellas el color favorito, el superhéroe o destino de vacaciones preferido.
Al revisar las cuentas públicas de los trabajadores, muchas respuestas estaban a la vista. Una empleada “publicó una fotografía debajo de la Torre Eiffel y escribió ‘mis vacaciones soñadas’. Si retrocedías un poco más en sus publicaciones, podías ver de qué se había disfrazado para Halloween. Ese era su superhéroe favorito”.
Reducir la exposición
Para Escobar, protegerse no requiere medidas extraordinarias, sino mayor conciencia sobre la información que se publica. Recomienda colocar los perfiles como privados, cuidar los datos que se comparten y mirar cada publicación desde otro ángulo: “tomarse un poco de tiempo para pensarlo desde la perspectiva de un actor de amenaza, de un hacker o de alguien que simplemente quiera hacerte daño”.
En su caso, toma una medida adicional. Cuenta que evita divulgar su fecha de nacimiento en páginas web o programas de fidelización que no la necesitan; reserva esa información solo para trámites oficiales o gubernamentales.
A esto se suman medidas tradicionales como utilizar contraseñas diferentes y activar la autenticación multifactor.
Lo mismo aplica para las organizaciones. Educar al capital humano es importante: reducir los riesgos exige combinar tecnología, hábitos y formación. Escobar destaca que cualquier medida, incluyendo las antes mencionadas, requiere ir acompañada de educación en ciberseguridad.
