Verschillende vormen van Social Engineering Attacks

Social engineering attacks vinden al jaren plaats, bijna sinds het begin van het internet. Maar nog steeds trappen de slachtoffers in deze vorm van zwendel. Ook wij willen bijdragen aan de bewustwording van Social Engineering Aanvallen. In dit artikel een uitleg over wat Social Engineering Attacks zijn, verschillende vormen hiervan en wat je hiertegen kunt doen.

Door kennis te hebben over hoe je deze Social Engineering aanvallen kunt herkennen, kun je de cyberbestendigheid van jezelf en van je systeem fors verbeteren en wordt het gemakkelijker om aanvallen, zoals die met Ransomware, te vermijden.

Wat zijn Social Engineering Attacks?

Social Engineering is een vorm van een cyberaanval waarbij gebruikers worden misleid om de normale beveiligingsprocedures volledig te omzeilen. Om uiteindelijk ongeautoriseerde toegang te krijgen. Tot systemen en netwerken, of voor financieel gewin, proberen de hackers het vertrouwen te winnen van de gebruikers.

De theorie achter Social Engineering is dat mensen over het algemeen de natuurlijke neiging hebben om iemand vrij snel te vertrouwen. Een goede eigenschap, maar niet in cyberbeveiliging! Deze eigenschap maakt het voor de hackers relatief gemakkelijk om iemand over te halen om persoonlijke informatie vrij te geven. Voor de hacker een veel gemakkelijker methode dan een account hacken om dezelfde informatie te krijgen.

Hoe wordt een Social Engineering Aanval ontworpen?

Om het vertrouwen te winnen van de gebruiker, en hier vervolgens misbruik van te maken, volgens de hackers een bewezen proces om de benodigde informatie te krijgen:

Fase 1: Onderzoek

In deze fase doet de hacker onderzoek naar het potentiële slachtoffer of naar de groep slachtoffers. Naar aanleiding van de resultaten, wordt de verdere strategie bepaald.

Fase 2: Contact maken

Dit is het moment dat de hacker daadwerkelijk contact zoekt met het slachtoffer. Vanaf het moment dat het slachtoffer reageert, werkt de hacker aan het opbouwen van vertrouwen door middel van berichtjes over en weer te sturen.

Fase 3: Aanvallen

Afhankelijk van hoe het slachtoffer reageert en de mate van vertrouwen wat is opgebouwd, volgt het moment van de aanval. De hacker begint beetje bij beetje vertrouwelijke informatie van het onwetende slachtoffer te verzamelen.

Fase 4: Sporen wissen en wegwezen

Wanneer de aanvaller alle benodigde informatie heeft, worden alle sporen zoveel mogelijk gewist en laten ze niets meer van ze horen.

Op naar het volgende slachtoffer!

Omdat de strategie van de hacker gebaseerd is op vertrouwen, beseft de gebruiker helemaal niet dat ze slachtoffer zijn geworden, tot het moment dat het al te laat is…

Veel voorkomende vormen van Social Engineering Attacks

De meest voorkomende vormen van Social Engineering Attacks zijn de volgende:

Phishing

Dit is een van de meest voorkomende vormen van Social Engineering Aanvallen. De aanvallen hebben vaak de vorm van een e-mail of een SMS, wat. Meestal een link bevat naar een website die eruitziet als het origineel. Vaak zijn het nagebouwde websites met (bijvoorbeeld) de Rabobank of de ABN-AMRO bank als voorbeeld. De gegevens die het slachtoffer invult op de ‘site’ van de bank, worden rechtstreeks doorgestuurd naar de hacker, met alle gevolgen van dien…

Veel voorkomende vormen van Phishing:

• E-mail of SMS van nepbedrijven die om persoonlijke informatie vragen.
• E-mail of SMS van valse financiële instellingen die om bankrekeningnummers en wachtwoorden vragen.
• Bericht op social media met de vraag of je ergens in wilt loggen met gebruikersnaam en wachtwoord.

Phishing berichten zijn er meestal op gericht om een gevoel van urgentie en/of angst over te brengen. Deze tijdsdruk is een belangrijke tactiek om de slachtoffers ertoe te bewegen om gevoelige informatie door te geven. Dit gaat vaak samen met het omzeilen van cybersecurityregels: Het heeft haast, toch?

Het is belangrijk om te weten dat Phishing heel veel verschillende vormen kent. Voor gebruikers dus extra reden om altijd waakzaam te blijven en informatie te checken door bijvoorbeeld persoonlijk te bellen.

Baiting

Baiting is afgeleid van ‘Bait’, wat in het Nederlands ‘lokaas’ betekent. Baiting is, zoals de naam al aangeeft, een vorm van misleiding door ‘lokaas’ te sturen waarmee de nietsvermoedende gebruiker op een link moet klikken.

Baiting kent twee vormen:

Digitale Baiting

Bij Digitale Baiting wordt door de hacker bijvoorbeeld een nieuwe songrelease, of de mogelijkheid om een film te downloaden, aangeboden. Deze bestanden bevatten echter niet de song of de film, maar malware waarmee de hacker jouw systeem kan versleutelen of over kan nemen. Tegen betaling van een som geld, geeft de hacker dan de controle terug.

Fysieke Baiting

Fysieke Baiting houdt in dat de gebruiker een item toegestuurd krijgt, of ‘toevallig’ ergens vindt, wat de interesse van het slachtoffer wekt. Bijvoorbeeld een USB-drive met de tekst: ‘Salaris en bonussen CEO Q3’. Natuurlijk is de gebruiker nieuwsgierig (wie wil dat niet weten?) en opent het bestand op de USB-drive met alle gevolgen van dien…

Pretexting

Pretexting is een vorm waar hackers gebruik maken van een bekende van het slachtoffer om te profiteren van de al opgebouwde vertrouwensrelatie. Meestal doet de hacker zich voor als een collega of als een contactpersoon van de IT-afdeling.

De vraag in het bericht kan van alles zijn.

Een voorbeeld: Iemand van IT (de hacker) vraagt om jouw inloggegevens voor een systeem-audit. Aangezien de gebruiker denkt dat de hacker een bekende is, zal deze snel de vertrouwelijke gegevens verstrekken.

Pretexting is voor de hacker erg effectief, omdat gebruik wordt gemaakt van reeds opgebouwd vertrouwen.

Hoe wapen je je tegen Social Engineering Attacks

Een Social Engineering Aanval komt heel veel voor en maken misbruik van menselijke instincten waardoor ze lastig te voorkomen zijn.

Kortom: Lastig te herkennen en te voorkomen waardoor het cruciaal is dat iedereen zich bewust wordt van de dreiging:

• Reageer NOOIT op een vraag om gevoelige informatie. Een legitieme organisatie zal je hier NOOIT om vragen. Zelfs niet je collega van IT-beheer.
• Deel NOOIT persoonlijke informatie, zoals wachtwoorden.
• Gebruik NOOIT een onbekende USB-drive of ander medium op het bedrijfsnetwerk.
• Meld je NOOIT af voor een mailinglijst (Ook dit kan een tactiek zijn) maar blokkeer gewoon de afzender.

De laatste verdedigingslinie: Datto SIRIS

Bescherm je bedrijfskritieke gegevens met een betrouwbare back-up en recovery oplossing als laatste verdedigingslinie.

Datto SIRIS is een oplossing voor Business Continuity and Disaster Recovery (BCDR), speciaal gebouwd voor MSP’s om hun klanten te beschermen tegen ongewild dataverlies en om downtime tot een minimum te beperken.