En las redes sociales, la gente baja la guardia. Aprovechan la pausa del almuerzo para consultar el feed, cuando acaba el trabajo e incluso antes de acostarse, como forma de diversión y relajación. En Instagram, Twitter, Facebook y tantas otras, el ambiente es informal. Así que el cuidado con la información, en consecuencia, es menor.

Y son estos fragmentos de datos, dejados por la red social en fotos, historias, etiquetado de ubicaciones, celebraciones de proyectos, los que pueden ser (y probablemente serán) utilizados contra los empleados y las empresas para las que trabajan.

Para los ciberdelincuentes, las redes sociales son una herramienta de reconocimiento para proyectar objetivos. Un tuit sobre la asistencia a una conferencia de liderazgo puede utilizarse en un correo electrónico de phishing dirigido con un enlace malicioso. Si un correo electrónico está personalizado para el destinatario, aumenta la probabilidad de la respuesta prevista (en este caso, el clic).

Cuando alguien descuida la configuración de privacidad o publica notas y fotos personales, deja vía libre a los ciberdelincuentes para utilizar la información. Este tipo de escenario es lo que llamamos OSINT (Open-Source Intelligence). Es la información que se obtiene al procesar y analizar información pública de código abierto.

Las redes sociales no pueden proteger tus datos

En el cuarto trimestre de 2012, había un total de 76 millones de cuentas falsas de Facebook, mientras que en el cuarto trimestre de 2018 esa cifra se había multiplicado por cinco, con un total de 371 millones de cuentas duplicadas o falsas.

Así que lo primero que tenemos que aceptar es que las redes sociales no pueden proteger sus propios entornos, y mucho menos el tuyo.

Así, aunque las redes no son responsables de la creación de ciberamenazas totalmente nuevas, amplifican el riesgo de las ya existentes. Desde el reconocimiento hasta el secuestro de marcas y la coordinación de amenazas, los ciberdelincuentes llevan años utilizando las redes sociales para aumentar la eficacia de los ataques.

Por supuesto, el riesgo de las redes sociales no sólo está relacionado con el daño a la marca y a la reputación. También puede dar lugar a importantes filtraciones de datos, numerosos problemas de cumplimiento normativo e innumerables pérdidas de ingresos por fraudes y ventas indebidas.

¿Qué significa todo esto para su marca?

Tanto los profesionales de la seguridad como los del marketing deben empezar a tratar las redes sociales como la amenaza para la seguridad que realmente son. Y alinear así las estrategias de defensa. Un equipo especializado en seguridad de la información puede contribuir al plan. En cualquier caso, los pasos implican identificar los activos sociales y puntos de contacto más valiosos del cliente, y desarrollar capacidades técnicas para supervisarlos en busca de signos de compromiso y anomalías de comportamiento.

También es fundamental comprender su entorno de riesgo externo y rastrear las redes en busca de ciberamenazas fuera del control directo, ya sean intentos de doxing, suplantación de marcas o amenazas a la seguridad física de sus empleados o altos ejecutivos.

Mantenerse proactivo y utilizar soluciones de supervisión, detección y respuesta consiste en minimizar la superficie de ataque de la empresa. Los profesionales de la seguridad pueden elegir una combinación de herramientas que ofrezcan una visión holística de la superficie de ataque de la organización.

La gestión del riesgo en las redes sociales no puede ser competencia exclusiva de un departamento

Los canales en la nube afectan a todos los departamentos: marketing, ventas, comercial, contratación, sala de juntas. Por tanto, hay que definir claramente las responsabilidades de todos los equipos, incluso antes de desarrollar una estrategia sólida para proteger a las personas y a la empresa en plataformas como Twitter y LinkedIn. La gestión de riesgos en las redes sociales es un esfuerzo de colaboración que debe desarrollarse cuidadosamente antes de ponerse en marcha. Los equipos también necesitan herramientas que puedan proporcionar visibilidad de las amenazas potenciales, como la detección de malos actores que intenten falsificar conexiones sociales y ataques de spear-phishing (o whaling) contra ejecutivos.