Hvad er social engineering?
Social engineering er, når en cyberkriminel opnår adgang, oplysninger eller ressourcer, som vedkommende ikke bør have, ved at manipulere mennesker frem for teknologi. Du tror måske, at hackere oftest trænger ind i et system ved at bryde igennem en firewall eller ved hjælp af en avanceret algoritme til at knække adgangskoder, men oftere end ikke sker brud som følge af social engineering. I stedet for at angribe tekniske barrierer “konstruerer” hackere en måde at manipulere medarbejderne i din organisation på ud fra den antagelse, at de er virksomhedens største sikkerhedssvaghed. De ondsindede aktører fremstiller en “social” situation (ofte et problem, som hackeren selv har skabt!) – deraf navnet social engineering. Kort sagt finder social engineeren på en meget overbevisende historie for at narre dig til at gøre noget for vedkommende eller give adgang til private oplysninger.
Hvordan fungerer det?
Cyberkriminelle bruger en række psykologiske teknikker til at vinde – og derefter forråde – din tillid. Her er nogle af dem.Priming
Priming er, når en social engineer lader samtalen være følelsesladet for at bryde isen og virke mere troværdig. Det gør ofrene mere tilbøjelige til at besvare spørgsmålene. Måske begynder vedkommende samtalen med at fortælle, hvor hård morgenen har været, eller afspiller en lydfil med børn, der løber rundt i baggrunden, og foregiver derefter at bede dem om at være stille, fordi mor eller far er i telefonen. Sådan er børn jo.Framing
Kan du huske tv-shoppingreklamerne (dengang vi så en reklame for OxiClean på 20 minutter, bare fordi vi elskede Billy Mays)? De fortalte aldrig bare direkte, hvad produktet kostede. I stedet sagde de “Kun 49,99 USD” eller “Seks nemme afdrag på 12,99 USD!” Det er framing; oplysningerne præsenteres på en måde, der påvirker, hvordan du opfatter dem. 78 USD kan virke helt urimeligt dyrt, men seks nemme afdrag på 13 USD lyder som et røverkøb. Cyberkriminelle gør det samme; de præsenterer oplysninger eller anmodninger på snedige måder, der er designet til at styre din reaktion. Næste gang du får en e-mail fra en fremmed, som ikke kan brødføde sin familie, medmindre du sender et iTunes-gavekort, så spørg dig selv: “Hvis han bare havde bedt mig om det ligeud, ville jeg så have sagt ja?”Tabsaversion
Hvis du på højden af hypen omkring Tidying Up with Marie Kondo gik i gang med at rydde op, men opdagede, at du dårligt kunne skille dig af med noget som helst, er du ikke alene. Mennesker er usædvanligt uvillige til at give slip på det, de ejer. Social engineers udnytter det ved at lade tabet af noget – ofte penge – hænge foran det potentielle offer, så dets dømmekraft slører, og det bliver mere villigt til at samarbejde eller dele personlige oplysninger.Autoritetsbias
Hvor lang tid tog det, før du indså, at dine forældre ikke altid har ret? Folk har en tendens til refleksmæssigt at stole på meninger fra dem, der har autoritet over dem; de er også langt mere tilbøjelige til at handle imod deres egen interesse, når en autoritetsperson beder dem om det. Social engineers udgiver sig ofte for at være en autoritetsperson, for eksempel en direktør, for at afholde potentielle ofre fra at undersøge deres anmodninger nærmere.Fortrolighedsbias
Du sidder på en diner og bestiller en sodavand, og tjeneren spørger, om du vil have Coca-Cola eller en Dacey Fizz. Hvilken vælger du? Coca-Cola, ikke? Når folk står over for et valg, er de markant mere tilbøjelige til at vælge (og stole på) den mest velkendte mulighed. Social engineers kan udnytte det ved at opstille flere handlemuligheder og regne med, at du vælger den mest velkendte – den, de ønsker, at du skal vælge.
Hvad er nogle eksempler?
Du tror måske, at hackere oftest trænger ind i et system ved at bryde igennem en firewall eller ved hjælp af en avanceret algoritme til at knække adgangskoder, men oftere end ikke sker brud som følge af social engineering.Phishing
Phishing er langt den mest almindelige form for social engineering – og den mest udbredte type er svindel via e-mail. Disse e-mails lokker dig til at dele private oplysninger, klikke på et link eller åbne en vedhæftet fil, der inficerer din enhed med malware. Vi vil fortælle mere om phishing næste måned. Smishing og vishing er former for phishing, der foregår henholdsvis via sms og telefonopkald. Her kan det vise sig som et vilkårligt navn, de selv vælger, i nummervisningen, så de kan udgive sig for at være en, du har tillid til, og fortælle dig, at de har fået et nyt nummer, eller at du skal gøre noget for dem. EKSEMPEL: Du modtager en “hastende” telefonsvarerbesked fra Janet fra en anden afdeling, som siger, at hendes database er nede, og at hun hurtigst muligt har brug for kontooplysninger om en bestemt kunde. Når du ringer “Janet” op igen, deler du personlige oplysninger med phisheren, som bruger dem til at kompromittere den pågældende kundes bankkonto.Fysiske brud
Social engineers udgiver sig nogle gange for at være medarbejdere eller venlige ansigter som fx budbringere for at få adgang til en bygning, og når de efterlades uden opsyn indeni, kompromitterer de computere eller roder i private dokumenter. EKSEMPEL: En person i postbudsuniform kommer op bag dig og balancerer en stak pakker. Du holder høfligt døren åben for vedkommende, mens du går ind på dit kontor, men det viser sig, at postbudet var en forklædt cyberkriminel. Hvad er der i pakkerne? Hackingudstyr, som vedkommende tilslutter virksomhedens computere og servere for at kompromittere dit netværk.Viden er magt!
Social engineers er mestre i manipulation, men de praktiserer ikke tankekontrol. Hackere vil naturligvis forsøge at narre dig, men du har magten til at beskytte din organisation bedre. Ved at lære mere om social engineering-teknikker udstyrer du dig selv med den viden, du har brug for til at gennemskue ondsindede aktører. Vær stolt af din indsats, og del din nyerhvervede viden med dine kolleger (og dine nærmeste), så alle kan forblive sikre.