Human Vectors 

Vectores Humanos 

👥🔐

Los vectores humanos representan uno de los puntos más críticos y explotados en el ámbito de la ciberseguridad. A diferencia de los vectores tecnológicos, que se basan en vulnerabilidades en el software o hardware, los vectores humanos explotan la confianza, el error humano y la falta de conciencia en seguridad para obtener acceso no autorizado o información sensible.

🚀 1. ¿Qué son los Vectores Humanos?

El vector humano se refiere a las personas que interactuan con sistemas, redes y datos corporativos, incluyendo empleados, contratistas, proveedores y otros usuarios con acceso autorizado.

• Superficie de ataque humana: El conocimiento, los accesos y la confianza que los individuos poseen pueden ser explotados por un atacante.
• Objetivo del atacante: Manipular al individuo para obtener credenciales, acceso físico, información sensible o convencerlo de realizar una acción que comprometa la seguridad.

🔑 Frase clave: "Las personas son a menudo el eslabón más débil en la cadena de seguridad."

🎭 2. Ingeniería Social: Hackeando la Mente Humana

La ingeniería social es el arte de manipular a las personas para que revelen información confidencial o realicen acciones específicas que beneficien al atacante.

📌 Objetivos Comunes de la Ingeniería Social:

1. Obtención de credenciales de acceso.
2. Robo de información sensible.
3. Instalación de malware en sistemas objetivo.
4. Acceso físico no autorizado a instalaciones.

🧠 3. Técnicas Comunes de Ingeniería Social Utilizadas en Vectores Humanos

🛠️ 1. Phishing (Engaño por Correo Electrónico) 📧

• Descripción: Correos electrónicos falsos que imitan ser de fuentes legítimas para engañar al usuario.
• Ejemplo: Un correo que parece provenir del departamento de TI, solicitando la actualización urgente de contraseñas.

🛠️ 2. Pretexting (Pretexto Falso) 📞

• Descripción: El atacante crea una historia creíble para obtener información específica.
• Ejemplo: Un atacante llama al soporte técnico haciéndose pasar por un empleado que necesita restablecer su contraseña.

🛠️ 3. Baiting (El Cebo) 🪤

• Descripción: Se utiliza un objeto atractivo para que el objetivo realice una acción que comprometa su seguridad.
• Ejemplo: Un atacante deja un USB etiquetado como "Presupuesto 2024 - Confidencial" en el escritorio de un empleado.

🛠️ 4. Tailgating (Acceso Físico No Autorizado) 🚪

• Descripción: El atacante sigue a un empleado autorizado para acceder a una zona restringida.
• Ejemplo: Un atacante pasa detrás de un empleado usando su tarjeta de acceso sin ser cuestionado.

🛠️ 5. Vishing (Voice Phishing) 📲

• Descripción: Engaños a través de llamadas telefónicas.
• Ejemplo: Alguien se hace pasar por un técnico de soporte para obtener credenciales de acceso.

🛠️ 6. Smishing (SMS Phishing) 📱

• Descripción: Mensajes de texto fraudulentos que incitan al usuario a hacer clic en un enlace malicioso.
• Ejemplo: Un mensaje SMS que avisa sobre un paquete pendiente con un enlace para "rastrear el envío".

🛡️ 4. Escenarios Reales de Ataques en Vectores Humanos

📝 Escenario 1: Malware Disfrazado como un Problema Técnico

• Táctica: El atacante envía un archivo ejecutable que parece ser una solución para "problemas de inicio de sesión".
• Resultado: El empleado introduce sus credenciales, y el atacante obtiene acceso completo al sistema.
• Lección: Nunca abrir archivos adjuntos no verificados y siempre confirmar con el departamento de TI.

📝 Escenario 2: Soporte Falso por Teléfono

• Táctica: Un atacante llama al servicio técnico, haciéndose pasar por un empleado con problemas de acceso remoto.
• Resultado: Obtiene credenciales y acceso al servidor remoto.
• Lección: Implementar políticas estrictas de verificación de identidad en llamadas.

📝 Escenario 3: Acceso Físico Durante una Alarma de Incendio

• Táctica: Un atacante activa una alarma de incendio y accede al edificio en medio del caos para conectar un dispositivo de monitoreo en un puerto de red.
• Resultado: Acceso a la red interna y filtración de datos.
• Lección: Monitorear accesos físicos incluso en emergencias.

🔑 5. Medidas de Seguridad Contra los Vectores Humanos

🛡️ Capacitación y Concientización:

• Realizar simulacros de phishing periódicos.
• Capacitar a los empleados sobre las tácticas más comunes de ingeniería social.
• Implementar programas de conciencia en ciberseguridad.

🛡️ Autenticación Multifactor (MFA):

• Implementar autenticación en dos pasos para el acceso a sistemas críticos.

🛡️ Políticas Claras de Seguridad:

• Crear y reforzar políticas de acceso físico y lógico.
• Prohibir el uso de dispositivos USB desconocidos.

🛡️ Monitorización Continua:

• Utilizar herramientas de detección de actividad anómala.
• Implementar sistemas SIEM (Security Information and Event Management).

📊 6. Diferencia entre Vectores Humanos y Vectores Tecnológicos

Aspecto | Vector Humano |  Vector Tecnológico.
Método de Ataque  | Manipulación psicológica | Explotación de software/hardware.

Objetivo  | Información o acceso | Vulnerabilidad del sistema.

Ejemplo | Phishing, Pretexting |  Exploits, Malware.
Prevención | Capacitación, MFA |  Parches, Firewalls.

💡 7. Preguntas de Reflexión (Blue Team & Red Team)

🛡️ Blue Team (Defensores)

1. ¿Cómo puedes entrenar a los empleados para detectar correos electrónicos de phishing?

   • Realizar simulacros periódicos y campañas de capacitación.

2. ¿Qué políticas son efectivas para evitar ataques de pretexting?

   • Verificación rigurosa de identidad en solicitudes sospechosas.

3. ¿Cómo prevenir accesos no autorizados durante emergencias?

   • Monitoreo constante y controles de acceso físico.

4. ¿Qué herramientas ayudan a detectar comportamiento sospechoso en usuarios?

   • SIEM, herramientas de monitoreo de actividad.

5. ¿Cómo manejar incidentes relacionados con ingeniería social?

   • Tener un plan de respuesta a incidentes claro y efectivo.

🚀 Red Team (Atacantes)

1. ¿Cómo un atacante puede convencer a alguien de revelar su contraseña?

   • A través de un escenario de urgencia o autoridad falsa.

2. ¿Qué técnica de ingeniería social es más efectiva en empleados nuevos?

   • Pretexting, ya que suelen confiar más en figuras de autoridad.

3. ¿Cómo podría un atacante acceder físicamente a una red interna?

   • Tailgating o aprovechando situaciones caóticas.

4. ¿Qué tipo de información buscaría un atacante en una llamada falsa al soporte técnico?

   • Credenciales de acceso y configuración de servidores.

5. ¿Por qué los USB abandonados son tan efectivos en Baiting?

   • Porque explotan la curiosidad natural de las personas.

📚 8. Recursos Adicionales

• KnowBe4 Security Awareness: 🔗 KnowBe4
• Libro recomendado: "Social Engineering: The Science of Human Hacking" por Christopher Hadnagy.