Los riesgos asociados a las actividades telemáticas no solo incluyen vectores de ataque técnicos, sino también el componente humano, como ocurre, por ejemplo, en la ingeniería social.
Según el estudio Global Visual Hacking Experiment del Ponemon Institute patrocinado por 3M (2016), uno de los ataques más fáciles de ejecutar es precisamente el hacking visual, con éxito en el 91% de los intentos. Además, el 52% de la información sensible capturada provenía de las pantallas de los empleados, un dato alarmante sobre los riesgos de seguridad en oficinas abiertas.
La seguridad de los sistemas telemáticos que utilizamos a diario para las más diversas necesidades, desde el trabajo hasta el ocio, tiende a abordarse de manera frontal. Por ejemplo, mediante la adopción de un antivirus, el uso de redes seguras y cifradas, y la utilización de software seguro y controlado.
Sin embargo, inevitablemente olvidamos controlar lo que sucede en nuestro entorno físico… y es precisamente esta falta de atención la que aprovechan los actores maliciosos que practican el “shoulder surfing”.
En este artículo, analizaré las dinámicas asociadas a estos ataques, su versión moderna (el “camfecting”) y algunas soluciones para protegerse de estas importantes amenazas a la seguridad de la información.
¿Qué es el hacking visual?
El hacking visual es un método de ataque que consiste en obtener información confidencial simplemente mirando la pantalla o los documentos de una víctima. Este conjunto de técnicas, que incluye el shoulder surfing, aprovecha la falta de atención en el entorno físico y no deja rastro digital, lo que lo hace especialmente peligroso.
Este conjunto de técnicas explota la visión, ya sea física o telemática, que el atacante tiene del escritorio de la víctima, con el fin último de robar información sensible, credenciales o la propia imagen del empleado.
Entre las características que hacen que este tipo de hacking visual sea particularmente peligroso se encuentran el hecho de que pueden llevarse a cabo de diversas maneras, las defensas son a menudo desconocidas o rara vez se ponen en práctica, y el ataque no deja rastro en el dispositivo de la víctima.
La modalidad “tradicional” de este ataque es la física, y a quienes lo ejecutan los defino como “shoulder-surfers”: se colocan detrás o al lado de la víctima mientras esta lee documentos sensibles o accede a su cuenta bancaria, con el objetivo de obtener información o credenciales.
Algunas investigaciones han demostrado que, con la ayuda de pequeños drones o microcámaras, es posible eludir gran parte de las precauciones existentes en los lugares de trabajo, además de hacer que los posibles actores maliciosos parezcan menos sospechosos al operar un ataque de tipo “visual”.
¿Qué es el camfecting?
Con el desarrollo del teletrabajo (smart-working) y la disminución de oportunidades para acceder a lugares concurridos donde era fácil espiar por encima del hombro a un empleado (como aeropuertos o cibercafés), este tipo de ataque ha evolucionado hacia el “camfecting” (o webcam hacking, una combinación de “cam” e “infection”).
Este consiste en infectar el dispositivo para acceder remotamente a la webcam de la víctima y espiar lo que escribe, su entorno o incluso grabarla sin que lo sepa, un riesgo clave para la privacidad en el teletrabajo.
¿Cómo protegerse de estos ataques?
Los ataques de tipo “shoulder surfing” son difíciles de contrarrestar; sin embargo, es posible evitar estas amenazas mediante las siguientes precauciones.
Aquí te explico cómo evitar que miren mi pantalla:
- Posiciona a los empleados de espaldas a la pared, para que nadie pueda ver la información de sus escritorios desde atrás.
- Aplica en los monitores un filtro de privacidad para monitor o protectores laterales para proteger la pantalla de miradas indiscretas, o alternativamente, provee barreras físicas laterales entre los distintos puestos de trabajo.
- Informa a tus empleados sobre las diversas técnicas de aproximación de los atacantes e instrúyelos para que comprueben siempre que no haya nadie observando deliberadamente el monitor de su PC. Una buena formación en ciberseguridad para empresas es fundamental.
- Realiza auditorías para entender cómo modificar el lugar de trabajo y evitar que visitantes o personas no autorizadas puedan acceder a espacios donde sea fácil visualizar los monitores.
- Considera soluciones experimentales basadas en IA que intentan detectar personas adicionales en el campo visual (aunque aún no son ampliamente adoptadas ni recomiendo usarlas como medida principal, ya que pueden generar falsos positivos y plantear preocupaciones de privacidad).
En cuanto a la defensa contra ataques de tipo camfecting y la mejora de la seguridad de la webcam, es necesario:
- Utiliza una cubierta para la webcam que solo retires cuando sea necesario (por ejemplo, durante una videollamada). Es una forma sencilla de tapar la cámara del portátil.
- Nunca posiciones la webcam de manera que enfoque el monitor o el teclado.
- Adopta software como WebcamLock, capaz de mostrar una advertencia antes de que cualquier programa solicite acceso a la webcam.
La Atención al Entorno: Clave Contra el Hacking Visual
La seguridad telemática no es un factor influenciado únicamente por elementos técnicos, sino también, y sobre todo, por los comportamientos más o menos prudentes que adopto durante el uso de los sistemas informáticos con los que realizo tareas laborales diarias y a través de los cuales accedo a información sensible.
Defenderse de los ataques de tipo “visual” significa prestar atención a una de las amenazas más subestimadas y con mayor tasa de éxito, que podría impactar a tus empleados y a tu propia empresa.
