Social engineering og phishing

Målrettede varianter er farligere. Spear phishing tilpasser beskeden til en bestemt person ved hjælp af oplysninger om vedkommende, så den bliver langt mere overbevisende. Whaling retter sig mod ledere med høj værdi, f.eks. administrerende direktører.

Da disse beskeder er personlige og grundigt researchede, er de meget sværere at genkende end generisk phishing og lykkes ofte, hvor masseudsendelser mislykkes.

Phishing foregår ikke kun via e-mail. Vishing (phishing via tale) bruger telefonopkald, f.eks. en falsk supportmedarbejder, der forsøger at få fat i adgangskoder. Smishing (phishing via SMS) bruger tekstbeskeder med skadelige links.

Angribere spreder sig på tværs af kanaler, fordi folk måske mistænker en mistænkelig e-mail, men uden videre tager telefonen eller trykker på et link i en tekstbesked – især når det virker presserende.

Påskud opfinder et troværdigt scenarie for at få oplysninger, f.eks. en angriber, der udgiver sig for at være it-support og har brug for at bekræfte dit login for at løse et problem. Efterligning betyder, at man foregiver at være en person, man har tillid til, enten fysisk eller på afstand.

Den opdigtede sammenhæng svækker offerets årvågenhed, så det efterkommer anmodninger, som det normalt ville stille spørgsmålstegn ved.

Nogle former for social engineering foregår fysisk. Tailgating (eller piggybacking) er, når man følger efter en autoriseret person gennem en sikret dør uden selv at bruge adgangskort. Shoulder surfing er, når man ser en anden indtaste en adgangskode eller PIN-kode.

Dumpster diving går ud på at finde følsomme oplysninger i kasserede papirer og enheder. Det minder os om, at sikkerhed også omfatter fysisk opmærksomhed, ikke kun computere.

Lokkemad er noget fristende, f.eks. et USB-drev mærket Løn, der efterlades på en parkeringsplads i håbet om, at en nysgerrig person sætter det i sin computer og inficerer den.

Quid pro quo tilbyder en fordel i bytte for oplysninger eller adgang, f.eks. falsk teknisk support, der lover hjælp, hvis du giver dem fjernadgang. Begge metoder udnytter menneskers ønske om at opnå noget eller få hjælp.

Social engineering lykkes ved at udnytte psykologi: autoritet (vi adlyder dem, der virker til at have ansvaret), hast (vi handler hurtigt under pres), frygt, tillid og hjælpsomhed.

At genkende disse påvirkningsfaktorer er det første forsvar. Når en besked presser dig til at handle med det samme eller omgå normale procedurer, er selve presset et advarselstegn, som du bør stoppe op ved.

Det bedste forsvar er menneskeligt og procedurebaseret:

• Kurser i sikkerhedsbevidsthed, så brugerne kan genkende angreb.
• Bekræftelsesprocedurer, f.eks. at ringe tilbage til et kendt nummer, før du reagerer på en anmodning.
• Multifaktorgodkendelse, så en stjålet adgangskode ikke er nok i sig selv.
• En kultur, hvor man opfordres til at stille spørgsmål ved mistænkelige anmodninger i stedet for at blive straffet for det.

Advarselstegn omfatter uventet hast, generiske hilsner, stave- og grammatikfejl, afsenderadresser, der ikke stemmer eller virker mærkelige, links hvis faktiske destination er anderledes end teksten, samt anmodninger om legitimationsoplysninger eller betaling.

Hold markøren over et link for at undersøge den rigtige URL, før du klikker, og bekræft usædvanlige anmodninger via en separat kanal. Det stopper de fleste phishingforsøg effektivt.

Social engineering angriber mennesker, ikke maskiner, ved hjælp af phishing (herunder spear phishing, whaling, vishing og smishing), påskud, lokkemad, tailgating og meget mere. Det udnytter autoritet, hast, frygt og tillid. Forsvaret er hovedsageligt menneskeligt: kurser i sikkerhedsbevidsthed, bekræftelsesprocedurer og multifaktorgodkendelse.

Social engineering manipulerer mennesker i stedet for teknologi. Phishing og dets varianter (spear phishing, whaling, vishing og smishing) samt påskud, lokkemad og tailgating udnytter autoritet, hast og tillid. Forsvaret er menneskeligt: kurser i sikkerhedsbevidsthed, bekræftelsesprocedurer og multifaktorgodkendelse.