Wat is social engineering? | Aanvallen | Preventie


Omdat ik de helft van mijn leven als cybersecurity-journalist heb gewerkt, was social engineering de kern van mijn werk. Nu snap ik het! U moet zich allemaal afvragen “social engineering en cybersecurity? Dat klonk als een ondersteuning voor maatschappelijk werk! Wat moet dat zijn met cybercriminaliteit? ‘

Ja, ooit een malware-aanval gehad door op stiekeme pop-ups te klikken terwijl je online surft? Ja, dat is social engineering! Niet echt een ondersteunend iets, ja?

Voordat ik verder ga, wil ik eerst uitleggen wat social engineering is.

Wat is social engineering?

Social engineering staat bekend als de kunst om iemand psychologisch te manipuleren om zijn persoonlijke informatie op te geven. Een social engineer werkt om de fundamentele menselijke natuur te exploiteren en speelt met de instincten van het slachtoffer.

Het is de meest populaire hackmethode onder criminelen, omdat het veel gemakkelijker is om iemands zwakke punten te manipuleren in plaats van een softwaresysteem binnen te dringen.

Hoe kan een Social Engineer bij u werken??

Nu hiermee is vastgesteld dat social engineering werkt door te spelen met iemands algemene instinct, is het stof tot nadenken hier hoe een social engineer een aanval kan orkestreren?

Herinner je je de beroemde film “The Sting” nog? De een op twee oplichters (zelfverzekerde mannen) die manieren bedenken om een ​​multi-miljonair-gangster op te lichten (Mark)?

De twee organiseren een uitgebreid schema waarbij ze de algemene informatie gebruiken die ze over de gangster kenden. Ze gebruikten deze informatie verder om zijn vertrouwen te winnen door middel van verschillende capriolen.

De films spelen zich af voor Mark die de twee oplichters vertrouwt, en de twee oplichters belanden hem uiteindelijk.

Op dezelfde manier, zoals afgebeeld in de film, is dit precies hoe een sociaal ingenieur via een aantal tactieken een aanval uitwerkt. Het eerste en vooral vereiste werk is het onderzoeken en verzamelen van informatie over het doelwit.

Aangezien deze aanvallen meestal zijn gericht op grote bedrijven, begint de planning met onderzoek naar de werknemersstructuur van het bedrijf, interne aangelegenheden, de werking van het bedrijf, zakenpartners, aandeelhouders en andere informatie.

Een andere manier waarop een sociaal ingenieur een bedrijf kan infiltreren, is door zijn werknemers op de begane grond, zoals de bewakers of de receptionisten, te bestuderen en te observeren.

Hackers kunnen ze ook opzoeken op sociale media en al hun persoonlijke informatie opvragen en hun gedrag online en persoonlijk bestuderen.

Deze informatie wordt vervolgens gebruikt om de gebreken en kwetsbaarheden te achterhalen die kunnen worden gebruikt om de aanval uit te voeren.

Deze aanvallen kunnen worden gebruikt om bankpasgegevens, bankrekeninggegevens en andere gevoelige informatie te achterhalen of kunnen worden gebruikt om toegang te krijgen tot beveiligde systemen en netwerken.

6 gezichten van een social engineering-aanval

Een social engineering-aanval vindt op verschillende manieren plaats en kan overal plaatsvinden waar menselijke interactie plaatsvindt. Hier heb ik zes soorten social engineering-aanvallen genoemd om het u gemakkelijk te maken mogelijke aanvallen te identificeren:

1. Phishing

Phishing is de meest gebruikte methode en is bedoeld voor een grote doelgroep. Het gaat om het verzenden van e-mails met een nep- of een redelijk legitiem e-mailadres. Het kan ook iets bevatten dat eruitziet als een stukje authentieke bedrijfsinformatie.

De e-mail kan een link, document of bestanden bevatten die malware bevatten die het apparaat infecteert zodra de gebruiker erop klikt. Phishing-aanvallen worden gebruikt om gevoelige gebruikersinformatie te verkrijgen, zoals creditcardgegevens, gebruikersnamen, wachtwoorden, bankgegevens, enz..

2. Spear Phishing

Deze techniek omvat het targeten van een specifieke persoon of onderneming. De hacktivist stelt vervolgens de e-mails op volgens de kenmerken, functieomschrijvingen en contacten van het slachtoffer, zodat de aanval pretentieus lijkt te zijn.

Spear phishing is relatief technisch en vereist veel werk van de persoon die deze aanval moet uitvoeren. Soms kan het weken of maanden duren om er grondig mee door te gaan. Deze aanvallen zijn, indien vakkundig uitgevoerd, moeilijk te detecteren en zijn vaak succesvol.

Een voorbeeld van spearphishing kan een hacker zijn die zich voordoet als de CEO van een bedrijf. Hij zou een e-mail kunnen maken om het te laten lijken op een e-mail van de CEO en deze naar het hoofd van de financiële afdeling te sturen met het verzoek om wat geld over te maken naar een nepaccount.

De e-mail is zorgvuldig samengesteld om het origineel te laten lijken, wat zowel veel tijd als hard werken kost.

3. Vishing

Dit is de vocale versie van phishing. Het werk hier is niet noodzakelijk online en gebeurt via voicemail, VoIP (Voice over IP) of een vaste lijn of mobiele telefoon.

Het doel is hier hetzelfde, maar er is een verschil in methoden. Net als phishing wordt het gebruikt om de gevoelige informatie van een slachtoffer te extraheren.

Een vishing-scenario kan doorgaan als een slachtoffer een spraakbericht ontvangt, waarin wordt gesteld dat er verdachte activiteiten hebben plaatsgevonden op de creditcardrekening, bankrekening, enz..

Het slachtoffer wordt verteld om een ​​specifiek nummer te bellen waar hem wordt gevraagd om meer informatie op te geven in de naam van ‘identiteitsverificatie’ of ‘zorg ervoor dat de fraude niet heeft plaatsgevonden’.

Vishing is bijzonder onvindbaar en wordt vaak uitgevoerd op buitenlandse nummers, waardoor de wetshandhaving machteloos wordt.

4. Voorwendsel

Een reeks zorgvuldig vervaardigde leugens wordt gebruikt om deze methode uit te voeren. Het slachtoffer wordt voorgelogen tegen de aanvaller om persoonlijke informatie te verkrijgen.

De pretexter begint met het winnen van het vertrouwen van het slachtoffer door op te treden als medewerker, bankfunctionaris, politieagent of iemand met gezag waarop een persoon kan vertrouwen.

Er worden ogenschijnlijk essentiële vragen gesteld die nodig zijn om de identiteit van een persoon te bevestigen, wat ertoe leidt dat het slachtoffer de meeste cruciale gegevens opgeeft.

Door deze zwendel slaagt de aanvaller erin allerlei relevante informatie te verkrijgen, zoals sofinummer, bankrekeninggegevens, persoonlijke adressen, beveiligingsgegevens, enz..

5. Aas

Ooit gaan vissen? Ja, terwijl je een vis vangt, gooi je met een worm het touw in en wacht je tot de vis komt. Dat is precies wat aas is.

Evenzo in de cyberwereld, zoals de naam al aangeeft, gebruikt het valse beloften om de interesse van een persoon te trekken. Zodra de crimineel erin slaagt hun interesses te grijpen, gaat hij ze lokken en vangen op een web dat hun persoonlijke gegevens steelt of ze infecteert met malware.

Meestal gebruiken criminelen de fysieke media om malware te verspreiden. Dit is de ruwste vorm van lokken. Een met malware geïnfecteerde USB- of flashdrive blijft achter, op een opvallende plaats waar een slachtoffer deze zeker zal tegenkomen.

Het kan zijn in een badkamer, lift, parkeerplaats van een slachtofferbedrijf, enz. De ingenieur maakt het aas om er pakkend en authentiek uit te zien, omdat de belangrijkste functie ervan is om een ​​slachtoffer aan te trekken.

Het kan een label hebben met een lijst van werknemers die een promotie moeten krijgen of de loonlijst van het bedrijf, enz. Het slachtoffer grijpt uit nieuwsgierigheid het aas en steekt het in een computer. Zodra het slachtoffer de flashdrive of de USB binnenkwam, begon het met het downloaden en installeren van de malware en op deze manier is de lokaanval succesvol.

Een andere manier waarop lokaas plaatsvindt, is de online methode. Dit houdt in dat een slachtoffer klikt op pakkende advertenties of pop-up links die leiden tot malware-infectie of informatiediefstal.

6. Scareware

Scareware-methode omvat opnieuw leugens. Het slachtoffer krijgt continu meldingen van vals alarm en namaakbedreigingen. Dit doet hem denken dat de computer malware bevat of illegale inhoud heeft gedownload.

De hacker biedt het slachtoffer vervolgens een oplossing die per ongeluk het valse probleem oplost. Deze “oplossing” die het slachtoffer wordt aangeboden, is in werkelijkheid een malware die de gebruiker installeert.

Scareware-aanvallen hebben meestal de vorm van pop-ups die u vaak online vindt met enge teksten zoals ‘uw apparaat is mogelijk geïnfecteerd’. Deze pop-ups bieden verder aan om een ​​tool te downloaden die in werkelijkheid een malware is die is uitgebracht om uw apparaat te infecteren.

De tool kan ook een nutteloze applicatie zijn en de gebruiker krijgt alleen de prompts zodat hij deze downloadt en krijgt de mogelijkheid om zijn gegevens te stelen.

Afgezien van pop-up links, wordt scareware ook verspreid over het gebruik van spam-e-mails die worden geleverd met valse waarschuwingen of gebruikers ertoe aanzetten nutteloze of schadelijke diensten te kopen.

5 manieren om social engineering te voorkomen

Social engineering-aanvallen zijn tegenwoordig wijdverspreid, daarom is het enigszins cruciaal om te proberen er voor te beschermen. Ik heb de vrijheid genomen om een ​​lijst samen te stellen van manieren die je kunnen helpen om je te beschermen tegen social engineering-aanvallen:

Gebruik bijgewerkte antivirus / anti-malware

Antivirale en antimalwaresoftware helpt uw ​​apparaat te beschermen. Het is echter vooral cruciaal om uw antivirale en antimalwaresoftware regelmatig te updaten.

Als de gebruiker de software regelmatig bijwerkt, biedt dit een betere bescherming. U moet ook regelmatig uw apparaat scannen om nog beter beschermd te blijven.

Open geen e-mails van onbekende bronnen

De meest voorkomende toegang tot social engineering-aanvallen zijn e-mails. Het is beter waakzaam te blijven en e-mails of bijlagen van onontdekte bronnen te vermijden.

E-mailspoofing is heel gebruikelijk. Dit is de reden waarom het beter is om niet te reageren op onbekende e-mails of bijlagen te openen die door hen zijn verzonden. Het is beter om een ​​kruiscontrole uit te voeren op het bericht dat is ontvangen van verborgen bronnen.

Bovendien is het beter om alert te blijven en geen bijlagen te openen die u verdacht lijken, omdat deze mogelijk malware of virussen bevatten.

Blijf opgeleid en leer

We leven in een snelle wereld die voortdurend vooruitgaat. Met vorderingen op elk gebied, worden de hackmethoden ook regelmatig bijgewerkt. Met dit in gedachten is het beter om op de hoogte te blijven van de promoties.

Bovendien, aangezien social engineering-aanvallen ook op bedrijven kunnen zijn gericht, is het beter om uw personeel op te leiden. Hierdoor kan het personeel waakzaam blijven en blijft uw bedrijf beschermd.

Zorg voor uw privacy

Wees voorzichtig voordat u reageert op verzoeken om wachtwoorden of andere persoonlijke informatie. Het is beter om de bron opnieuw te doorzoeken voordat u antwoordt.

Bronnen die om wachtwoorden of andere persoonlijke informatie vragen, zijn vaak oplichting. Daarom is het beter om van hen weg te blijven of bronnen te controleren voordat u reageert.

Blijf op uw hoede voor aanbiedingen voor hulp

Sociale ingenieurs kunnen zich vaak voordoen als contactpersonen voor technische ondersteuning om uw apparaat binnen te vallen met malware of uw persoonlijke gegevens te stelen. Soms vragen ze uw hulp om informatie of bieden ze hulp aan.

Als u niet om hulp heeft gevraagd, kunt u beter niet op dergelijke verzoeken reageren. Het is ook veilig om dubbel te controleren bij een vertrouwde bron. Doe je onderzoek voordat je persoonlijke informatie verstuurt.

Nu goed op de hoogte?

Nu u verhelderende informatie over de preventietips heeft ontvangen, kunt u deze aanvallen beter vermijden. U kunt nu beginnen met het werken aan de preventietips om zo veilig mogelijk te blijven! Privacy is bijzonder cruciaal bij dit werk en u zou moeten werken aan hoe u deze kunt beschermen.

Kim Martin
Kim Martin Administrator
Sorry! The Author has not filled his profile.
follow me