Los hackers acceden a computadoras y redes aprovechando las debilidades de nuestros comportamientos en línea. Muchos ataques recurren a sencillas estafas de phishing: el hacker envía un correo electrónico que parece proceder de una fuente de confianza e incita al destinatario a hacer clic en un enlace o archivo adjunto aparentemente inofensivo. Al hacer clic, se activa un malware y se abren puertas traseras que pueden utilizarse para acciones maliciosas: acceder a la red de una empresa o servir como zombi virtual para lanzar ataques contra otras computadoras y servidores.
Nadie está a salvo de estos ataques. Ni siquiera empresas a la vanguardia de la tecnología, como Apple y Yahoo, cuyas fallas de seguridad fueron explotadas recientemente. Ni siquiera las sofisticadas redes nacionales están fuera de peligro; por ejemplo, la de Israel fue vulnerada mediante un ataque de phishing en el que un correo electrónico que supuestamente provenía del Shin Bet, el servicio de seguridad interior de Israel, y que incluía un archivo PDF falso como adjunto, dio a los hackers acceso remoto a su red de defensa.
Para averiguar por qué caemos en las trampas de los hackers, yo mismo las pongo a prueba para ver qué tipos de ataques tienen éxito y con quiénes. En mi investigación, simulo ataques reales enviando distintos tipos de correos electrónicos sospechosos, solicitudes de amistad en redes sociales y enlaces a sitios web falsificados a los participantes del estudio. Después utilizo diversas medidas directas, cognitivas y psicológicas, así como medidas conductuales no intrusivas, para entender por qué las personas son víctimas de esos ataques.
Lo que queda claro a través de las numerosas simulaciones es que ataques aparentemente sencillos, elaborados con un nivel mínimo de sofisticación, logran una tasa de victimización asombrosa. Como ejemplo, bastó con incorporar el logotipo de la universidad y algunos elementos distintivos de su marca a un correo electrónico de phishing para que cerca del 70 % de los participantes del estudio cayeran en la trampa. En última instancia, el objetivo de mi investigación es averiguar cuál es la mejor manera de enseñar al público a protegerse de este tipo de ciberataques cuando se presenten en su vida cotidiana.
Hacer clic sin pensar
Muchos caemos en este tipo de engaños porque no entendemos los riesgos de nuestras acciones en línea. Los llamo nuestras creencias sobre los riesgos cibernéticos y, con más frecuencia de la que no, he descubierto que las creencias de las personas sobre los riesgos son inexactas. Por ejemplo, algunas personas confunden su incapacidad para manipular un documento PDF con la seguridad inherente de este y abren rápidamente esos archivos adjuntos. Otras creencias erróneas similares llevan a las personas a abrir despreocupadamente páginas web y archivos adjuntos en sus dispositivos móviles o en determinados sistemas operativos.
A estas creencias se suman los hábitos de las personas con el correo electrónico y las redes sociales. Los hábitos son la forma en que el cerebro automatiza comportamientos predecibles que se repiten. Con el tiempo, revisar con frecuencia el correo electrónico, las publicaciones de redes sociales y los mensajes se convierte en una rutina. Las personas dejan de ser conscientes de cuándo —y a veces por qué— realizan estas acciones. Por consiguiente, cuando actúan en piloto automático, hacen clic en enlaces o abren archivos adjuntos sin pensarlo mucho. De hecho, he descubierto que ciertos hábitos en Facebook —como revisar repetidamente las noticias, publicar actualizaciones de estado con frecuencia y mantener una amplia red de amistades en Facebook— son el mayor indicador de si aceptarían una solicitud de amistad de una persona desconocida y de si le revelarían información personal.
Estas reacciones habituales se ven aún más impulsadas por los teléfonos inteligentes y las tabletas que usamos la mayoría. Estos dispositivos fomentan respuestas rápidas e impulsivas a los mensajes mediante widgets, aplicaciones y notificaciones push. El tamaño de las pantallas de los teléfonos inteligentes y los diseños compactos de las aplicaciones no solo reducen la cantidad de información detallada visible, sino que muchos también usamos estos dispositivos mientras estamos en movimiento, cuando las distracciones reducen aún más nuestra capacidad para detectar correos electrónicos engañosos.
En mi opinión, estas rutinas cibernéticas automatizadas y respuestas impulsivas explican por qué el enfoque actual de capacitar a las personas para que estén alerta ante correos electrónicos sospechosos sigue siendo en gran medida ineficaz. Cambiar los hábitos mediáticos de las personas es clave para reducir el éxito de los ciberataques, y ahí también radica una oportunidad para que todos contribuyamos.
Aprovechar los hábitos para combatir la ciberdelincuencia
Las investigaciones recientes sugieren que la mejor manera de corregir un hábito es sustituirlo por otro, lo que el escritor Charles Duhigg llama un hábito clave. Se trata de una acción positiva y sencilla que podría reemplazar un patrón existente. Por ejemplo, a quienes desean perder peso se les indica que hagan ejercicio, reduzcan el consumo de azúcar, lean las etiquetas de los alimentos y cuenten las calorías. Hacer de forma constante todas estas cosas difíciles resulta desalentador y, a menudo, las personas se sienten demasiado intimidadas para siquiera empezar. Muchas tienen más éxito cuando, en cambio, se centran en una acción clave y alcanzable, como caminar medio kilómetro al día. Cumplir repetidamente esta meta sencilla genera satisfacción, fortalece la confianza y fomenta más evaluaciones cognitivas; estos procesos pronto se retroalimentan y dan lugar a un cambio enorme.
Podríamos aplicar el mismo principio para mejorar la ciberseguridad convirtiendo en un hábito clave la denuncia de correos electrónicos sospechosos. Al fin y al cabo, muchas personas reciben este tipo de correos. Algunas caen en la trampa sin darse cuenta, mientras que muchas otras sospechan de ellos y no lo hacen. Está claro que, si más personas denunciáramos nuestras sospechas, podrían detectarse y neutralizarse muchas más brechas antes de que se propaguen. Podríamos transformar el impulso de hacer clic en algo sospechoso en un nuevo hábito: denunciar el correo electrónico dudoso.
Necesitamos un centro de recepción de denuncias nacional y centralizado —quizá una dirección de correo electrónico o un número de teléfono similar al sistema de emergencias 911— donde cualquier persona que sospeche de una ciberamenaza pueda denunciarla rápida y fácilmente. Esta información podría recopilarse a nivel regional y registrarse de forma centralizada, del mismo modo que el Departamento de Salud lleva un seguimiento de la salud pública y los brotes de enfermedades.
Por supuesto, también tenemos que hacer que denunciar brechas de ciberseguridad sospechosas resulte gratificante, para que las personas se sientan comprometidas y reciban algo a cambio. En lugar de limitarse a recopilar correos electrónicos, como hacen actualmente las numerosas instituciones que combaten las ciberamenazas, un equipo centralizado de ciberseguridad podría revisar las denuncias y, además de abordar la amenaza, dar a conocer cómo la denuncia de una persona ayudó a frustrar un ataque. Denunciar una intrusión cibernética podría ser fácil, divertido y algo que todos podemos hacer. Y, lo que es más importante, el simple acto de denunciar habitualmente nuestras sospechas podría, con el tiempo, aumentar la conciencia sobre la ciberseguridad entre todos nosotros.
Este artículo forma parte de una serie continua sobre ciberseguridad. En las próximas semanas se publicarán más artículos.
Este artículo se publicó originalmente en The Conversation. Lee el artículo original. La publicación no implica el respaldo del Foro Económico Mundial a las opiniones expresadas.
Para estar al día con la Agenda, suscríbase a nuestro boletín semanal.
Autor: Arun Vishwanath es profesor asociado de Comunicación en la Universidad de Buffalo y en la Universidad Estatal de Nueva York.
Imagen: Una ilustración muestra la proyección de código binario sobre un hombre que sostiene una computadora portátil. REUTERS/Kacper Pempel.
