Aumente su resistencia a los ataques de phishing

Ryan Wright y Matthew Jensen han suplantado a miles de personas durante la última década, y no piensan cejar en su empeño a corto plazo. Ambos no son hackers en busca de datos o fondos valiosos; son investigadores que trabajan con empresas, gobiernos y universidades de todo el mundo para comprender por qué caemos tan a menudo en los ataques de phishing y qué pueden hacer las organizaciones para mitigar la amenaza. Los departamentos de seguridad de las empresas se esfuerzan por educar a la gente sobre el phishing, que es responsable del 90% de todas las violaciones de datos, pero se calcula que un 30% de los correos electrónicos fraudulentos se abren a pesar de todo. Con un coste medio de 3,8 millones de dólares por un ataque con éxito, se trata de una proporción incómodamente alta. Y podría crecer a medida que los ciberdelincuentes exploten la disrupción causada por la pandemia y el fuerte aumento de empleados que trabajan desde casa, donde las mayores distracciones pueden hacerles bajar la guardia. Basándose en sus investigaciones, Wright (Catedrático de Comercio C. Coleman McGehee de la Universidad de Virginia) y Jensen (Catedrático Asociado Presidencial de Sistemas de Información de Gestión de la Universidad de Oklahoma) han identificado varias formas de reforzar la eficacia de la formación en seguridad. Añada un componente de atención plena. Muchas organizaciones exigen a sus empleados que completen módulos de formación estándar de forma periódica, a menudo anual o bianualmente. Eso es útil, dicen los investigadores, para alertar a la gente sobre amenazas comunes y darles pautas básicas para evaluar los mensajes entrantes. Pero la mera repetición de la formación basada en reglas no aumenta necesariamente la resistencia a los ataques, advierten. De hecho, después de un cierto punto puede ser contraproducente, insensibilizando a la gente a la formación y dándoles una falsa sensación de dominio sobre las lecciones, que luego ignoran. Parte del problema es que la formación basada en reglas fomenta lo que el psicólogo Daniel Kahneman, galardonado con el premio Nobel, denomina pensamiento del Sistema 1. Este tipo de procesamiento rápido y automático es eficaz, pero puede dar lugar a una toma de decisiones descuidada y deja a los empleados vulnerables a los ataques que se apartan de las reglas. "En lugar de pedir a la gente que memorice una lista de pistas en constante cambio", afirma Wright, "las organizaciones pueden adoptar un enfoque más holístico": añadir la enseñanza de la atención plena. El objetivo es fomentar el pensamiento del Sistema 2: un enfoque más reflexivo y analítico. En un estudio de campo en el que participaron 355 estudiantes universitarios, profesores y miembros del personal, los investigadores y sus colegas compararon tres grupos de participantes, todos los cuales habían recibido una formación básica en seguridad. El primer grupo recibió una instrucción adicional basada en reglas. Al segundo grupo se le enseñó a utilizar técnicas sencillas de atención plena: Hacer una pausa si un correo electrónico solicita una acción; considerar la naturaleza, el momento, el propósito y la idoneidad de la solicitud; y consultar a un tercero sobre cualquier sospecha. El tercer grupo no recibió formación adicional. Diez días después, los investigadores lanzaron un simulacro de ataque de phishing. Descubrieron que el 13% de los que recibieron formación adicional basada en reglas mordieron el anzuelo, al igual que el 23% de los que no recibieron formación adicional, pero sólo el 7% de los instruidos en técnicas de atención plena cayeron presa. Un trabajo posterior del colega de los investigadores, Christopher Nguyen, obtuvo resultados similares y demostró que la mayor resistencia duraba varios meses. Adopte un enfoque que abarque a todo el equipo. Las medidas de seguridad se ven a menudo frustradas por el problema del "eslabón más débil": si una sola persona responde a un ataque, éste puede tener éxito. Para comprender si la dinámica de grupo puede disminuir esta vulnerabilidad, Wright y sus colegas llevaron a cabo un experimento de campo de dos años en la unidad financiera de 180 personas de una gran universidad. Trazando un mapa de las posiciones de los empleados en sus grupos de trabajo y redes sociales y suplantándoles varias veces, aprendieron que cuanto más centrales, o conectadas, estaban las personas en cualquiera de los dos tipos de grupos, menos probabilidades tenían de sucumbir a un ataque. Por ejemplo, los empleados en el cuartil superior de centralidad en sus grupos de trabajo hicieron clic en los enlaces de los mensajes de phishing sólo el 14% de las veces, mientras que los empleados en el cuartil inferior lo hicieron el 35% de las veces. Los investigadores también descubrieron que cuanto mayor era la eficacia informática general de un equipo, más resistente era cada miembro a los ataques de phishing. Estos resultados indican que los empleados pueden aprender valiosas lecciones de seguridad de sus compañeros de equipo, formal o informalmente, una dinámica que los directivos podrían aprovechar. "En lugar de decir: 'Es esa época del año: Completa tu formación IT cuando puedas' y luego nunca hables de ello", afirma Wright, "los directivos podrían llevar a cabo formaciones en equipo y responsabilizar a cada equipo de los resultados." Las organizaciones también podrían utilizar el análisis de redes para identificar a los empleados especialmente susceptibles y podrían proporcionar formación adicional a las personas periféricas o nuevas en sus equipos. "Hacer que las lecciones sean personales significa que es más probable que se queden" Jared Soares Como director de seguridad de la información en Fannie Mae, Christopher Porter supervisa la formación en seguridad de casi 7.500 empleados junto con varios miles de contratistas y consultores independientes. Recientemente habló con HBR sobre cómo trabaja la organización para defenderse de los ataques de phishing. A continuación, extractos editados. ¿Qué tipos de formación sobre phishing llevan a cabo? Existe la amplia formación habitual que es obligatoria en toda la organización. Dirigimos otros esfuerzos hacia unidades específicas. Los grupos de cuentas a pagar y finanzas, por ejemplo, se enfrentan a ataques únicos y necesitan desarrollar inmunidades especiales. Además, cada mes realizamos un ejercicio de phishing simulado en torno a un tema específico. Si la gente hace clic en uno de los correos electrónicos de prueba, reciben una respuesta inmediata: un breve vídeo les muestra exactamente por qué el mensaje era un phishing. Si fallan dos o más pruebas en un periodo de 12 meses, participan en una formación adicional en grupo para ponerse al día. Por último, hemos montado una campaña semanal de concienciación sobre seguridad: Todos los viernes publicamos un blog que aborda algún aspecto de la detección de un phishing y qué hacer cuando se encuentra uno: es fundamental conseguir que la gente informe de los ataques. Reforzamos continuamente las medidas que deben tomar los empleados. ¿En qué se centran en los ejercicios mensuales? Hay tres temas principales. El primero es la pérdida: Un atacante amenaza con quitarle algo a la gente si no responde. El segundo son las promesas: A la gente se le dice que obtendrá algo si hace clic en un enlace. La tercera tiene que ver con las emociones: se intenta explotar cosas como la curiosidad. Es importante saber a cuáles de estos enfoques son más susceptibles nuestros usuarios para poder orientar nuestra formación en consecuencia. También observamos qué tipos de ataques se producen en la naturaleza en un momento dado. Estos días Covid-19 está proporcionando un enorme atractivo. Las investigaciones han descubierto que unos sencillos ejercicios de atención plena pueden aumentar la resistencia de las personas. ¿Han utilizado ese enfoque? Intentamos que la gente utilice el proceso "parar, pensar, actuar". Por ejemplo, les animamos a que hagan una pausa si ven un banner que identifica un mensaje como externo a la organización y, antes de seguir leyéndolo o realizar cualquier acción, que se pregunten si esperaban el correo electrónico, si conocen al remitente, si algo les resulta extraño. Eso ha mejorado nuestra resistencia con el tiempo. ¿Cómo evitan que la gente siga la formación sin asimilarla realmente? En primer lugar, intentamos que sea divertido. Incorporamos vídeos de dibujos animados creados por profesionales que se centran en lecciones de seguridad específicas, a veces con voces en off de estrellas: el cómico Jon Lovett hizo uno. En segundo lugar, nos hemos basado en investigaciones que demuestran que si se enseña a los empleados a proteger su información en casa, se llevarán esas lecciones a la oficina y las aplicarán a la información de la empresa. Con ese fin, hemos enseñado a la gente a configurar la autenticación multifactor para mantener a salvo su información financiera personal. Durante la temporada de impuestos les recordamos que pueden recibir mensajes fraudulentos supuestamente del IRS. Y hacemos mucho para ayudar a la gente a proteger a sus familias. Por ejemplo, tuvimos a una mujer que vino a hablarnos de su experiencia como niña secuestrada por un depredador en línea y de cómo los padres pueden proteger a sus propios hijos en línea. La investigación demuestra -y nosotros lo hemos comprobado- que hacer que las lecciones sean personales significa que es más probable que calen. Un hallazgo del estudio tomó por sorpresa a los investigadores: Cuanto más interactuaban los empleados con su servicio de asistencia de IT, o incluso sólo confiaban en él, más probabilidades tenían de caer en el phishing. Esas personas pueden haberse sentido "indemnizadas" frente a las amenazas, postulan los investigadores. "Si roban una tarjeta de crédito, la compañía de tarjetas de crédito cubre las pérdidas, lo que hace que la gente se preocupe menos por proteger sus tarjetas; nosotros teorizamos que aquí ocurre algo parecido", explica Wright. "Si la gente piensa: 'El servicio de asistencia me mantendrá a salvo si hago clic en algo incorrecto', no se apropia de la protección de sus datos ni aprende de sus interacciones". Los directivos podrían incentivar a los empleados haciendo que el cumplimiento de las normas de seguridad forme parte de sus revisiones anuales, dice, y los servicios de asistencia podrían asegurarse de que los usuarios entienden las señales de advertencia que pasaron por alto en lugar de limitarse a solucionar el problema, como suele ocurrir. Utilice la formación gamificada. Otra forma de aprovechar la dinámica de grupo es añadir un elemento competitivo a los ejercicios de ciberseguridad. Los investigadores y sus colegas llevaron a cabo tres experimentos con 568 participantes que desempeñaban el papel de un becario al que se enseñaba a identificar e informar de mensajes sospechosos y al que luego se le asignaban diversas tareas, entre ellas gestionar la bandeja de entrada del jefe. Mientras los sujetos realizaban su trabajo, se encontraron con cinco correos electrónicos de phishing. En los dos primeros experimentos, sus informes se publicaron en tablas de clasificación de distintos diseños. En el tercer experimento, las tablas de clasificación se compararon con otras medidas antiphishing, por separado y en combinación: un vídeo de formación, etiquetas que marcaban los correos como "externos" si procedían de fuera de la organización y etiquetas que advertían de que los correos especialmente sospechosos podían ser phishing. La tabla de clasificación fue muy eficaz a la hora de fomentar las denuncias y mantener a raya los falsos positivos; sólo las etiquetas que advertían explícitamente de que los correos electrónicos podían ser phishing obtuvieron mejores resultados. Fue especialmente eficaz cuando se combinó con formación. Pero algunos diseños resultaron mejores que otros. La configuración óptima hacía que las identidades de los informadores fueran visibles para todos y tanto otorgaba puntos por los informes correctos como los descontaba por las falsas alarmas. "La motivación externa resultó ser de lejos más eficaz que los incentivos intrínsecos", afirma Jensen. Nadie va a dedicar tiempo a cazar phishing por diversión. Pero las organizaciones pueden tomar estas medidas para hacer hincapié en la importancia de la detección y la denuncia y para que esas actividades sean más eficaces y gratificantes. Cuando se trata de que los empleados caigan en la trampa de los mensajes fraudulentos, "es realmente difícil llegar a cero", afirma Jensen. "Hay que adoptar un enfoque por capas". Sobre la investigación: "Más allá de los individuos: A Group Perspective of IT Security Compliance", de Ryan T. Wright, Steven L. Johnson y Brent Kitchen (documento de trabajo); "Building the Human Firewall: Combating Phishing Through Collective Action of Individuals Using Leaderboards", de Matthew L. Jensen y otros (documento de trabajo); "Training to Mitigate Phishing Attacks Using Mindfulness Techniques ", de Matthew L. Jensen y otros ( Journal of Management Information Systems, 2017).

Aumente su resistencia a los ataques de phishing

Partner Center