Por qué el departamento de Recursos Humanos es clave en ciberseguridad

Desde hace unos años, y cada vez más, los ciberdelincuentes atacan a los departamentos de Recursos Humanos de las compañías por la cantidad de datos sensibles que manejan. Con acceso a información sobre Seguridad Social, fechas de nacimiento, historial de trabajo o números de las cuentas bancarias de los empleados y de la empresa, los ciberdelincuentes pueden hacer mucho daño, además de ganar grandes cantidades de dinero. 

Teniendo en cuenta la cantidad de datos que manejan, los departamentos de Recursos Humanos son un blanco apetecible, pero también están en la posición perfecta para ser una barrera de entrada y prevenir posibles ciberataques. 

¿Cuáles son las formas más comunes de atacar a los departamentos de Recursos Humanos? 

Según datos del último informe de Verizon Data Breach Investigations Report, el 85% de las brechas de datos ocurren por el error humano, así que es de suma importancia que este departamento esté preparado para eliminar los riesgos de ciberataques y asegurarse de proteger los datos.

Concretamente, ¿a qué deben estar atentos los empleados de recursos humanos?

• Phishing: según una encuesta realizada por Statista en 2021, que encuestaba a 3.500 organizaciones a nivel mundial, el 3% de los empleados que recibieron un correo electrónico malicioso hicieron clic en el enlace proporcionado, exponiendo a la organización a los atacantes. Estos resultados demuestran que a pesar de que esta técnica es una de las más usadas y que ya es tomada en cuenta por las personas, nunca se debe bajar la guardia. 
• Fraude en las nóminas: esta nueva estafa se centra específicamente en los departamentos de recursos humanos, ya que el atacante, a través de la ingeniería social, consigue que la empresa desvíe la nómina de algún empleado a una cuenta de su propiedad. Suele tener como objetivo a organizaciones de gran tamaño en las que no exista demasiada comunicación entre sus departamentos.  
• Malware: el ciberdelincuente envía solicitudes de empleo falsas con archivos adjuntos, diseñados para parecer currículos legítimos, que contienen malware que infectan el dispositivo al descargarlos. 

El robo de identidad, el primer paso para una brecha de seguridad corporativa 

El robo de identidad es una de las tácticas más comunes para conseguir bajar la guardia de los departamentos encargados del personal. The Society for Human Resource Management (SHRM), una asociación profesional de recursos humanos, establece que el porcentaje de los robos de identidad que se originan en el trabajo están entre el 30% y el 50%.

El uso del email spoofing permite que el delincuente suplante la identidad del remitente utilizando la de algún empleado de la empresa para ponerse en contacto con el departamento de recursos humanos. Con esto puede obtener información sensible que le sirva para llevar a cabo otro tipo de ataque más potente o, como explicábamos antes, realizar un fraude relacionado con las nóminas. 

¿Cómo los hacker pueden conseguirlo?  

• Comprometiendo la cuenta del correo corporativo de un empleado 

• Utilizando una técnica de cybersquatting, donde emula el dominio legítimo del remitente con algún cambio difícil de notar. Por ejemplo: cambiar una letra en la dirección de correo que sea prácticamente imperceptible para el receptor.  

Asimismo, una nueva forma de suplantar la identidad se ha reportado recientemente en Estados Unidos, donde una persona utiliza la tecnología del Deepfake para tener entrevistas de trabajo a puestos remotos utilizando una cara diferente para no ser reconocida. Por lo general, esta nueva modalidad es usada para conseguir empleos que den acceso a información de identificación personal de clientes, datos financieros, bases de datos de TI corporativas e información de propiedad.

Qué hacer para impedir este tipo de incidentes 

• Desde el departamento de recursos humanos deben estar muy alerta a la hora de gestionar una contratación, así como al momento de recibir documentos de proveedores. Es importante estar seguros de la legitimidad del remitente y del documento antes de abrir cualquier archivo adjunto que reciban.  
• Durante las entrevistas en remoto, observar si las acciones y el movimiento de los labios de la persona entrevistada en cámara no se coordinan completamente con el audio de la persona que habla, ya que es una clara señal del uso del Deepfake.  
• Utilizar soluciones avanzadas de gestión de identidades que eviten el acceso no autorizado a sistemas y recursos, así como el robo de datos empresariales o protegidos. 
• Asegurarse de que las políticas y los procedimientos de la empresa están actualizados, incluyendo los procedimientos para el teletrabajo. Todos los empleados deben conocer sus funciones y responsabilidades. 
• Revisar y revocar el acceso de los empleados asegurando que solo tengan acceso a lo que necesitan para hacer su trabajo. Esto dificulta que los piratas informáticos campen a sus anchas por los sistemas de una organización.