Vishing, smishing og pretexting

Selv om phishing dominerer overskriftene, bruker angripere flere kommunikasjonskanaler for å manipulere ofre. Vishing bruker telefonsamtaler, smishing bruker SMS-meldinger, og pretexting er praksisen med å konstruere et troverdig falskt scenario (et påskudd) for å begrunne hvorfor offeret bør etterkomme en forespørsel. Disse angrepene lykkes ikke fordi ofrene er uvitende, men fordi de utnytter grunnleggende menneskelige instinkter: tillit til autoriteter, ønsket om å være hjelpsom og tendensen til å følge instruksjoner under press.

Vishing (voice phishing) bruker telefonsamtaler til å manipulere ofre. Vanlige påskudd omfatter å utgi seg for å være en IRS-agent som truer med arrestasjon for ubetalte skatter, en banks avdeling for svindel som advarer om mistenkelige transaksjoner, teknisk støtte som hevder å ha oppdaget et virus, eller et offentlig kontor for ytelser som krever verifisering. Angripere bruker forfalskning av nummerpresentasjon for å vise telefonnummeret til en legitim organisasjon. Vishing-kampanjer med robosamtaler gjennomføres i stor skala og kobler deretter interesserte ofre til operatører. Telefonsamtalenes sanntidskarakter skaper et press som gjør kritisk tenkning vanskelig.

Smishing (SMS-phishing) leverer phishing-lokkemidler via tekstmeldinger. Vanlige smishing-meldinger utgir seg for å komme fra pakkeleveringstjenester (FedEx, UPS, USPS) med falske sporingsvarsler som inneholder skadelige lenker, banker som advarer om mistenkelige belastninger, eller mobiloperatører som varsler om problemer med kontoen. Smishing-URL-er bruker ofte URL-forkortere eller domenenavn som ligner på ekte domener. Mobilbrukere er trolig mer sårbare enn brukere på stasjonære enheter, fordi mindre skjermer gjør det vanskeligere å kontrollere URL-er, og mobilnettlesere ofte skjuler hele adressen. SMS har også en iboende tillitseffekt — brukere har en tendens til å handle raskere på tekstmeldinger enn på e-post.

Pretexting er å dikte opp et falskt, men troverdig scenario som skaper en kontekst for en forespørsel basert på sosial manipulering. Uten et overbevisende påskudd ville forespørsler om sensitiv informasjon eller uvanlige handlinger umiddelbart vekke mistanke. En angriper som bruker pretexting, kan utgi seg for å være en ny IT-konsulent som trenger hjelp til å få tilgang til systemer, en revisor som trenger tilgang til økonomiske opplysninger, eller en leveringsperson fra en leverandør som må «slippes inn». Påskuddet trenger ikke å være omfattende — det må bare være tilstrekkelig plausibelt til at målet ikke stopper opp for å verifisere det før forespørselen etterkommes.

Robert Cialdinis prinsipper for påvirkning forklarer hvorfor sosial manipulering fungerer. Autoritet — mennesker etterkommer forespørsler fra personer de oppfatter som autoritetsfigurer (CEO, IRS, politiet). Hastverk og knapphet — tidspress hindrer grundig vurdering («Gjør dette i løpet av de neste 10 minuttene»). Sosial bekreftelse — mennesker gjør det andre gjør. Sympati — mennesker etterkommer forespørsler fra personer de stoler på eller liker. Gjensidighet — mennesker føler seg forpliktet til å gjengjelde tjenester. Forpliktelse — når en liten forpliktelse først er inngått, har mennesker en tendens til å følge opp med større forpliktelser. Forståelse av disse prinsippene hjelper sikkerhetsopplærere med å utforme mer effektive motbudskap.

Moderne VoIP-teknologi gjør forfalskning av nummerpresentasjon trivielt. Tjenester som SpoofCard, Twilio og ulike VoIP-API-er lar hvem som helst angi hvilket nummer som skal vises som nummerpresentasjon, før en samtale foretas. Angripere forfalsker jevnlig numrene til bankenes kundeservicelinjer, offentlige etater eller offerets eget nummer (nabo-forfalskning). Rammeverket STIR/SHAKEN (Secure Telephony Identity Revisited / Signature-based Handling of Asserted information using toKENs) ble pålagt i USA for å autentisere nummerpresentasjon kryptografisk, men innføringen er ufullstendig. Stol aldri på nummerpresentasjon alene for å bekrefte identitet.

Ansatte i brukerstøtten er attraktive mål for vishing fordi jobben deres er å hjelpe brukere — noe som skaper en naturlig spenning med sikkerhetsprosedyrene. Et typisk angrep foregår slik: Angriperen ringer og utgir seg for å være en høytstående ansatt som raskt trenger å få tilbakestilt kontoen sin fordi vedkommende er utestengt før et viktig møte. Presset fra autoritet kombinert med hastverk kan få en velmenende brukerstøtteagent til å hoppe over verifiseringstrinn. Det mye omtalte Twitter-angrepet i 2020 begynte med vishing-angrep mot Twitter-ansatte som ga tilgang til interne verktøy. Brukerstøtten trenger strenge prosedyrer for identitetsverifisering som ikke kan fravikes, uansett hvor presserende situasjonen er.

Et SIM-bytteangrep kombinerer vishing og sosial manipulering rettet mot mobiloperatørens kundestøtte. Angriperen ringer operatøren og utgir seg for å være offeret, oppgir svar på spørsmål for identitetsverifisering (hentet fra datainnbrudd eller sosiale medier) og overbeviser agenten om å overføre offerets telefonnummer til et SIM-kort som angriperen kontrollerer. Når nummeret er kapret, sendes alle SMS-baserte MFA-koder til angriperen, noe som muliggjør kontoovertakelse av e-post-, bank- og kryptovalutakontoer. SIM-bytte har blitt brukt til å stjele millioner i kryptovaluta.

Å oppdage angrep basert på sosial manipulering krever at rapportering fra ansatte kombineres med teknisk logging. Alle ansatte bør vite hvordan de rapporterer en mistenkelig samtale eller tekstmelding — helst via en knapp med ett klikk i e-post eller et eget e-postalias (phishing@company.com). Tekniske indikatorer omfatter samtalelogger som viser innkommende samtaler fra forfalskede numre, SIEM-varsler om tilbakestilling av passord i brukerstøtten som er innledet av innkommende samtaler, og endringer i kontotilgang utenom arbeidstid. Etter en hendelse er telefonoppføringer og SMS-logger viktige kriminaltekniske artefakter, sammen med e-postlogger og autentiseringshendelser.

Beskyttelse mot pretexting krever at det etableres verifiseringsprosedyrer som ansatte følger konsekvent, uavhengig av presset de føler. Viktige retningslinjer omfatter: Verifiser alltid identiteten gjennom en separat, etablert kanal før uvanlige forespørsler etterkommes; etabler et kodeordssystem for kommunikasjon med ledere; lær opp ansatte til å forstå at autoritetsfigurer i organisasjonen ikke vil bli fornærmet av forespørsler om verifisering; og skap en sikkerhetspositiv kultur der det belønnes å følge prosedyrene, selv når det medfører mindre ulemper. Uvarslede tester av sosial manipulering måler om opplæringen fungerer i praksis.

Til Security+-eksamen bør De skille tydelig mellom phishing-kanalene. Phishing skjer via e-post. Vishing skjer via tale/telefon. Smishing skjer via SMS. Pharming omdirigerer DNS uten at brukeren trenger å klikke. Alle har samme mål — å manipulere offeret til å avsløre påloggingsopplysninger, overføre penger eller installere skadevare — men leveringsmekanismen og mottiltakene er forskjellige. E-post har tekniske forsvarsmekanismer (SPF/DKIM/DMARC/sandkasse); tale og SMS har langt færre tekniske kontroller, noe som gjør sikkerhetsopplæring av brukere enda viktigere for disse kanalene.

I denne leksjonen lærte De at vishing bruker telefonsamtaler med forfalsket nummerpresentasjon for å utgi seg for å være autoritetsfigurer og hente ut påloggingsopplysninger eller få gjennomført handlinger, at smishing leverer phishing-lokkemidler via SMS, der mobilbrukere har dårligere oversikt over URL-er, og at pretexting skaper troverdige falske scenarier som begrunner uvanlige forespørsler — og beskyttes med strenge prosedyrer for identitetsverifisering, bekreftelse via en separat kanal og opplæring av ansatte. Deretter skal vi se nærmere på fysisk sosial manipulering gjennom tailgating og baiting.