Social manipulation och nätfiske

Social engineering-attacker riktar sig mot människor snarare än teknik. I stället för att bryta igenom brandväggar lurar angriparen en person att lämna ut information, ge åtkomst eller betala pengar genom att utnyttja tillit, rädsla, nyfikenhet eller hjälpsamhet.

Det är ofta den enklaste vägen in: varför knäcka ett lösenord när man kan övertyga någon att helt enkelt lämna över det? Människor är ofta den svagaste länken i säkerheten.

Nätfiske är den vanligaste typen av social engineering-attack: bedrägliga e-postmeddelanden eller meddelanden som ser ut att komma från en betrodd källa och lockar offren att klicka på skadliga länkar, öppna infekterade bilagor eller ange inloggningsuppgifter på falska webbplatser.

Ett nätfiskemeddelande kan efterlikna er bank eller IT-avdelning och skapa en känsla av brådska så att ni agerar innan ni hinner tänka efter. Det kastar ut ett brett nät och skickas till många personer samtidigt.

Riktade varianter är farligare. Riktat nätfiske anpassar meddelandet till en viss person genom att använda uppgifter om personen, vilket gör det betydligt mer övertygande. Whaling riktar sig mot chefer och andra personer i ledande befattningar, till exempel vd:ar.

Eftersom dessa meddelanden är personliga och bygger på noggrann efterforskning är de mycket svårare att upptäcka än generiskt nätfiske och lyckas ofta där masskampanjer misslyckas.

Nätfiske sker inte bara via e-post. Vishing (röstbaserat nätfiske) använder telefonsamtal, till exempel en falsk supportmedarbetare som försöker få fram lösenord. Smishing (SMS-baserat nätfiske) använder textmeddelanden med skadliga länkar.

Angripare använder flera kanaler eftersom människor kanske misstror ett misstänkt e-postmeddelande men gärna svarar på ett telefonsamtal eller trycker på en länk i ett textmeddelande, särskilt om det verkar brådskande.

Förespegling innebär att hitta på ett trovärdigt scenario för att få fram information, till exempel genom att en angripare utger sig för att vara IT-support och behöver verifiera er inloggning för att lösa ett problem. Identitetsbedrägeri innebär att låtsas vara någon som ni litar på, personligen eller på distans.

Det påhittade sammanhanget sänker offrets vaksamhet och får det att följa uppmaningar som det normalt skulle ifrågasätta.

Viss social manipulation sker fysiskt. Tailgating (eller piggybacking) innebär att följa efter en behörig person genom en säkerhetsdörr utan att själv använda passerkort. Shoulder surfing innebär att titta på när någon skriver in ett lösenord eller en PIN-kod.

Dumpster diving innebär att hitta känslig information i kasserade papper och enheter. Detta påminner oss om att säkerhet även omfattar fysisk vaksamhet, inte bara datorer.

Lockbeten erbjuder något frestande, till exempel ett USB-minne märkt Payroll som lämnas på en parkeringsplats, i hopp om att en nyfiken person ansluter det och infekterar sin dator.

Gentjänster erbjuder en förmån i utbyte mot information eller åtkomst, till exempel falsk teknisk support som lovar hjälp om ni ger dem fjärråtkomst. Båda metoderna utnyttjar människors önskan att få något eller få hjälp.

Social manipulation lyckas genom att utnyttja psykologi: auktoritet (vi lyder personer som verkar ha makt), brådska (vi agerar snabbt under press), rädsla, tillit och hjälpsamhet.

Att känna igen dessa utlösande faktorer är det första försvaret. När ett meddelande pressar er att agera omedelbart eller kringgå normala rutiner är själva pressen ett varningstecken som är värt att stanna upp inför.

De bästa försvaren är mänskliga och bygger på rutiner:

• Säkerhetsutbildning så att användare känner igen angrepp.
• Verifieringsrutiner, till exempel att ringa tillbaka till ett känt nummer innan ni agerar på en begäran.
• Multifaktorautentisering, så att ett stulet lösenord inte räcker.
• En kultur där det uppmuntras, inte bestraffas, att ifrågasätta misstänkta förfrågningar.

Varningstecken är bland annat oväntad brådska, generiska hälsningsfraser, stavnings- och grammatikfel, avvikande eller ovanliga avsändaradresser, länkar där den verkliga destinationen skiljer sig från texten samt begäranden om inloggningsuppgifter eller betalning.

Genom att hålla pekaren över en länk för att kontrollera den verkliga URL:en innan ni klickar och verifiera ovanliga begäranden via en separat kanal stoppas de flesta nätfiskeförsök effektivt.

Social manipulation angriper människor, inte maskiner, genom nätfiske (inklusive spear phishing, whaling, vishing och smishing), förespegling, lockbeten, tailgating och mycket annat. Metoderna utnyttjar auktoritet, brådska, rädsla och tillit. Försvaret är främst mänskligt: säkerhetsutbildning, verifieringsrutiner och multifaktorautentisering.

Social manipulation manipulerar människor i stället för teknik. Nätfiske och dess varianter (spear phishing, whaling, vishing och smishing), samt förespegling, lockbeten och tailgating, utnyttjar auktoritet, brådska och tillit. Försvaret är mänskligt: säkerhetsutbildning, verifieringsrutiner och multifaktorautentisering.