Hva er social engineering?
Social engineering er når en nettkriminell skaffer seg tilgang, informasjon eller ressurser vedkommende ikke skal ha, ved å manipulere mennesker i stedet for teknologi. Selv om du kanskje tror at hackere oftest bryter seg inn i et system ved å ta seg gjennom en brannmur eller bruke en avansert algoritme for passordknekking, skjer brudd oftere enn ikke som følge av social engineering. I stedet for å angripe tekniske barrierer «konstruerer» hackerne en måte å manipulere menneskene i organisasjonen din på, ut fra antakelsen om at de er selskapets største sikkerhetssvakhet. De ondsinnede aktørene finner opp en «sosial» situasjon (vanligvis et problem hackeren selv har skapt!) – derav navnet social engineering. Enkelt sagt dikter social engineeren opp en svært overbevisende historie for å lure deg til å gjøre noe for vedkommende eller gi tilgang til privat informasjon.
Hvordan fungerer det?
Nettkriminelle bruker en rekke psykologiske teknikker for å vinne tilliten din – og deretter misbruke den. Her er noen av dem.Priming
Priming er når en social engineer lader samtalen følelsesmessig for å bryte isen og fremstå som mer troverdig. Det gjør ofrene mer tilbøyelige til å svare på spørsmålene. Kanskje starter vedkommende samtalen med å fortelle hvor tung morgenen har vært, eller spiller av en lydfil med barn som løper rundt i bakgrunnen, og later som om vedkommende ber dem være stille fordi mamma eller pappa er på telefonen. Barn, altså!Framing
Husker du TV-shopping-reklamene (den gangen vi så en 20 minutter lang reklame for OxiClean bare fordi vi likte Billy Mays)? De fortalte aldri rett ut hva produktet kostet. I stedet sa de «Bare 12.99!» Dette er framing: informasjonen presenteres på en måte som manipulerer hvordan du oppfatter den. 13 høres ut som et kupp. Nettkriminelle gjør det samme. De presenterer informasjon eller forespørsler på utspekulerte måter som er utformet for å styre hvordan du reagerer. Neste gang du får en e-post fra en fremmed som ikke har råd til å brødfø familien sin med mindre du sender et iTunes-gavekort, bør du spørre deg selv: «Hvis han bare hadde spurt meg rett ut om dette, ville jeg sagt ja?»Tapsaversjon
Hvis du under toppen av hypen rundt «Tidying Up with Marie Kondo» satte i gang med en opprydding, men oppdaget at du knapt klarte å kvitte deg med noe som helst, er du ikke alene. Mennesker er ekstremt uvillige til å gi slipp på ting de eier. Social engineers utnytter dette ved å henge trusselen om å miste noe – ofte penger – foran det potensielle offeret, slik at dømmekraften svekkes og vedkommende blir mer villig til å samarbeide eller dele personlig informasjon.Autoritetsbias
Hvor lang tid tok det før du skjønte at foreldrene dine ikke alltid har rett? Folk har en tendens til å stole refleksmessig på meningene til dem som har autoritet over dem, og de er også langt mer tilbøyelige til å handle mot sin egen interesse når en autoritetsperson ber dem om det. Social engineers utgir seg ofte for å være en autoritetsperson, for eksempel en leder, for å hindre potensielle ofre i å granske forespørslene deres.Kjennskapsbias
Du sitter på en restaurant og bestiller brus, og servitrisen spør om du vil ha Coca-Cola eller en Dacey Fizz. Hvilken velger du? Coca-Cola, ikke sant? Når folk står overfor et valg, er de betydelig mer tilbøyelige til å velge (og stole på) det mest kjente alternativet. Social engineers kan utnytte dette ved å legge frem flere handlingsalternativer og stole på at du velger det mest kjente – det de vil at du skal velge.
Hva er noen eksempler?
Selv om du kanskje tror at hackere oftest bryter seg inn i et system ved å ta seg gjennom en brannmur eller bruke en avansert algoritme for passordknekking, skjer brudd oftere enn ikke som følge av social engineering.Phishing
Phishing er den desidert vanligste formen for social engineering – og den mest populære typen er svindel via e-post. Disse e-postene lokker deg til å dele privat informasjon, klikke på en lenke eller åpne et vedlegg som infiserer enheten din med skadevare. Vi skal snakke mer om phishing neste måned. Smishing og vishing er varianter av phishing som skjer via henholdsvis tekstmelding og taleanrop. De kan få anrops-ID-en til å vise hvilket navn de vil, slik at de kan utgi seg for å være noen du stoler på og fortelle deg at de har fått nytt nummer eller trenger at du gjør noe for dem. EKSEMPEL: Du mottar en «haster»-talemelding fra Janet ved et annet kontor som sier at databasen hennes er nede, og at hun så fort som mulig trenger kontoinformasjon om en bestemt kunde. Når du ringer «Janet» tilbake, deler du personlig informasjon med phisheren, som bruker dataene til å kompromittere bankkontoen til den aktuelle kunden.Fysiske brudd
Social engineers utgir seg noen ganger for å være ansatte eller vennlige ansikter, som bud, for å få adgang til en bygning. Når de så blir latt alene der inne, kompromitterer de datamaskiner eller roter gjennom private papirer. EKSEMPEL: Noen i postbudsuniform kommer bak deg og sliter med en stabel pakker. Du holder høflig døren åpen for vedkommende når du går inn på kontoret, men det viser seg at postbudet var en forkledd nettkriminell. Hva er i pakkene? Hackingutstyr som kobles til selskapets datamaskiner og servere for å kompromittere nettverket ditt.Kunnskap er makt!
Social engineers er mestere i manipulasjon, men de driver ikke med tankekontroll. Visst vil hackere prøve å lure deg, men du har makten til å beskytte organisasjonen din bedre. Ved å lære mer om teknikkene som brukes i social engineering, gir du deg selv kunnskapen du trenger for å avsløre ondsinnede aktører. Vær stolt av bidraget ditt, og del den nye kunnskapen med kollegene dine (og de nærmeste) slik at alle kan være trygge.