Social engineering is een aanvalsmethode waarbij criminelen niet de techniek maar de mens misleiden, zodat iemand zelf een wachtwoord, code of betaling weggeeft. Ze spelen in op behulpzaamheid, vertrouwen, nieuwsgierigheid, haast of angst. Phishing is de bekendste vorm, maar er zijn er veel meer.
Een klassiek voorbeeld is helpdeskfraude. Iemand belt namens Microsoft, je bank of een ander bekend bedrijf, meldt een virus of een verdachte inlog en vraagt je een programma voor hulp op afstand te installeren. Wie dat doet, geeft de beller de volledige controle over de computer. Bij WhatsAppfraude doet een oplichter zich voor als je kind dat dringend geld nodig heeft.
Ook goed beveiligde bedrijven trappen erin. In juli 2020 belden aanvallers medewerkers van Twitter, deden zich voor als collega's van de IT-afdeling en lieten hen inloggen op een nagemaakte pagina. Met die buit kwamen ze in de interne beheertools en plaatsten ze vanaf 45 bekende accounts een bitcoinoplichting.
De beste verdediging is een vaste gewoonte. Word je onverwacht gebeld door een helpdesk, hang dan op en neem zelf contact op via het nummer of adres op de officiële website. Microsoft belt bijvoorbeeld nooit uit zichzelf voor technische ondersteuning. Lees nooit een inlogcode of 2FA-code voor aan iemand die jou belt, want daarmee omzeilt de beller je tweestapsverificatie.
Geschiedenis
De term werd breed bekend door hacker Kevin Mitnick, die in 1995 door de FBI werd opgepakt en later als beveiligingsadviseur uitlegde hoe makkelijk mensen zich laten overhalen. Zijn boek The Art of Deception uit 2002 gaat helemaal over de menselijke factor in beveiliging (Wikipedia).
Belangrijke mijlpalen:
- 1995: Kevin Mitnick wordt gearresteerd
- 2002: Mitnick publiceert The Art of Deception
- 15 juli 2020: een telefonische spear-phishingaanval op Twitter-medewerkers leidt tot de overname van bekende accounts
Bronnen
