Wat is social engineering?
Social engineering is wanneer een cybercrimineel toegang, informatie of middelen verkrijgt waarover hij niet zou mogen beschikken, door mensen te manipuleren in plaats van technologie. Hoewel u wellicht denkt dat hackers meestal een systeem binnendringen door een firewall te doorbreken of een geavanceerd algoritme voor het kraken van wachtwoorden te gebruiken, zijn inbreuken in de meeste gevallen het gevolg van social engineering. In plaats van technische barrières aan te vallen, “engineeren” hackers een manier om de mensen binnen uw organisatie te manipuleren, in de veronderstelling dat zij de grootste beveiligingszwakte van het bedrijf vormen. De kwaadwillenden verzinnen een “sociale” situatie (meestal een probleem dat de hacker zelf creëert!), vandaar de naam social engineering. Kort gezegd verzint de social engineer een zeer overtuigend verhaal om u ertoe te brengen iets voor hem te doen of hem toegang te geven tot privé-informatie.
Hoe werkt het?
Cybercriminelen gebruiken uiteenlopende psychologische technieken om uw vertrouwen te winnen en vervolgens te beschamen. Hier volgen er enkele.Priming
Bij priming laadt een social engineer het gesprek emotioneel op om het ijs te breken en legitiemer over te komen. Hierdoor zijn slachtoffers eerder geneigd op hun vragen te antwoorden. Misschien begint de social engineer het gesprek met te vertellen hoe zwaar zijn ochtend was, of speelt hij op de achtergrond een audiobestand af van rennende kinderen en doet hij alsof hij hen tot stilte maant omdat mama of papa aan de telefoon is. Kinderen, hè?Framing
Herinnert u zich nog de reclameprogramma’s op tv (toen we nog een advertentie van 20 minuten voor OxiClean keken, gewoon omdat we zo van Billy Mays hielden)? Ze noemden nooit zomaar de prijs van het product. In plaats daarvan zeiden ze: “Slechts 12,99!” Dit is framing: de informatie wordt zo gepresenteerd dat de manier waarop u haar ontvangt wordt gemanipuleerd. 13 lijken een koopje. Cybercriminelen doen hetzelfde: zij presenteren informatie of verzoeken op slimme wijze, zodat uw reactie wordt gestuurd. Als u de volgende keer een e-mail krijgt van een vreemdeling die zijn gezin niet kan voeden tenzij u hem een iTunes-cadeaukaart stuurt, vraag uzelf dan af: “Als hij dit gewoon rechtuit had gevraagd, had ik dan ja gezegd?”Verliesaversie
Als u tijdens de hype rond Tidying Up with Marie Kondo zelf aan een grote opruimronde begon, maar merkte dat u van vrijwel niets afscheid kon nemen, bent u niet de enige. Mensen vinden het buitengewoon moeilijk om afstand te doen van wat ze bezitten. Social engineers maken hier handig gebruik van door hun potentiële slachtoffer het verlies van iets, vaak geld, voor te houden. Dat vertroebelt het oordeelsvermogen en maakt mensen bereid om mee te werken of persoonlijke gegevens te delen.Autoriteitsbias
Hoe lang duurde het voordat u besefte dat uw ouders niet altijd gelijk hebben? Mensen vertrouwen vaak reflexmatig op de mening van wie autoriteit over hen heeft. Ze zijn ook veel eerder geneigd tegen hun eigen belang in te handelen wanneer een autoriteitsfiguur hen daarom vraagt. Social engineers doen zich vaak voor als een autoriteitsfiguur, zoals een directielid, om potentiële slachtoffers ervan te weerhouden hun verzoeken kritisch te bekijken.Vertrouwdheidsbias
U zit in een restaurant een frisdrank te bestellen en de serveerster vraagt of u Coca-Cola of een Dacey Fizz wilt. Welke kiest u? De Coca-Cola, toch? Wanneer mensen een keuze moeten maken, kiezen (en vertrouwen) ze aanzienlijk vaker de meest vertrouwde optie. Social engineers kunnen hier handig gebruik van maken door meerdere handelwijzen voor te leggen en erop te vertrouwen dat u de meest vertrouwde kiest, namelijk degene die zij willen dat u kiest.
Wat zijn enkele voorbeelden?
Hoewel u wellicht denkt dat hackers meestal een systeem binnendringen door een firewall te doorbreken of een geavanceerd algoritme voor het kraken van wachtwoorden te gebruiken, zijn inbreuken in de meeste gevallen het gevolg van social engineering.Phishing
Phishing is veruit de meest voorkomende vorm van social engineering, waarbij e-mailoplichting het populairst is. Deze e-mails lokken u om privé-informatie te delen, op een link te klikken of een bijlage te openen die uw apparaat met malware infecteert. Volgende maand gaan we uitgebreider in op phishing. Smishing en vishing zijn vormen van phishing die plaatsvinden via respectievelijk sms en telefoongesprek. Bij deze vormen kan als beller-ID elke gewenste naam worden getoond, zodat de aanvallers zich kunnen voordoen als iemand die u vertrouwt en u kunnen vertellen dat ze een nieuw nummer hebben of dat u iets voor hen moet doen. VOORBEELD: U ontvangt een “dringend” voicemailbericht van Janet van een ander kantoor. Ze zegt dat haar database niet werkt en dat ze met spoed accountgegevens nodig heeft over een bepaalde klant. Wanneer u “Janet” terugbelt, deelt u persoonlijke gegevens met de phisher, die deze gegevens gebruikt om de bankrekening van die klant te compromitteren.Fysieke inbreuken
Social engineers doen zich soms voor als medewerkers of als vriendelijke gezichten, zoals bezorgers, om een gebouw binnen te komen. Zodra ze binnen zonder toezicht zijn achtergelaten, compromitteren ze computers of snuffelen ze in privédocumenten. VOORBEELD: Iemand in een postbodeuniform komt achter u aan, worstelend met een stapel pakketten. U houdt vriendelijk de deur voor hem open terwijl u uw kantoor binnengaat, maar de postbode blijkt een vermomde cybercrimineel te zijn. Wat zit er in de pakketten? Hackingapparatuur, die hij aansluit op computers en servers van het bedrijf om uw netwerk te compromitteren.Kennis is macht!
Social engineers zijn meesters in manipulatie, maar ze beheersen geen gedachtecontrole. Natuurlijk proberen hackers u te misleiden, maar u hebt zelf de macht om uw organisatie beter te beschermen. Door meer te leren over social-engineeringtechnieken rust u uzelf uit met de kennis die u nodig hebt om kwaadwillenden te herkennen. Wees trots op uw bijdrage en deel uw nieuw verworven kennis met uw collega’s (en uw dierbaren), zodat iedereen veilig kan blijven.