Begrijp het huidige landschap van social engineering-bedreigingen

De zwakste schakel in de beveiligingsketen zijn niet onze processen of technologie: wij zijn het. Aan de ene kant is er een menselijke fout. Een groot aantal beveiligingsincidenten (40%, volgens conservatieve schattingen) als gevolg van menselijk gedrag, zoals het klikken op een phishing-link. Aan de andere kant is er een rol voor social engineering in Effecten Dit is een menselijke fout.

Social engineering is een term die wordt gebruikt voor een breed scala aan kwaadaardige activiteiten die worden uitgevoerd door menselijke interacties. Psychologische manipulatie wordt gebruikt om onze emotionele kwetsbaarheden te misbruiken en gebruikers te misleiden tot het maken van beveiligingsfouten of het onthullen van gevoelige informatie. Vaak gaat het om tijdgevoelige kansen en dringende verzoeken om paniek bij het slachtoffer te uiten.

Meest populaire social engineering-tactiek: phishing

De meest voorkomende vorm van social engineering-aanval is: phishing aanvallen. Phishing is een vorm van fraude waarbij een aanvaller zich voordoet als een persoon of bedrijf dat bekend is bij het doelwit, en hen een bericht stuurt waarin om toegang tot een beveiligd systeem wordt gevraagd in de hoop die toegang te misbruiken voor financieel gewin. Het bekendste voorbeeld van dit type aanval is de “419”-zwendel, ook wel bekend als de “Nigeriaanse prins”-zwendel, die beweert een bericht te zijn van een Nigeriaanse prins die om uw hulp vraagt ​​om een ​​grote hoeveelheid geld van een land te krijgen. . Het is een van de oudste oplichting die er bestaat, daterend uit de 19e eeuw toen ze bekend stond als de “Spaanse gevangene”.

Terwijl de moderne versie – de “419”-zwendel – in de jaren negentig voor het eerst e-mailaccounts trof, is de phishing-wereld in de loop van de decennia uitgebreid met methoden zoals phishing-spam, een algemene aanval die op meerdere gebruikers is gericht. Dit type “spuiten en bidden”-aanval is meer afhankelijk van kwantiteit dan van kwaliteit, omdat het slechts een klein deel van de gebruikers die het bericht ontvangen, moet misleiden.

speervissen

Spearphishing-berichten daarentegen zijn gericht en gerichte aanvallen zijn gericht op een specifiek individu. Deze aanvallen zijn meestal zo ontworpen dat het lijkt alsof ze afkomstig zijn van iemand die de gebruiker al vertrouwt, met als doel het doelwit te misleiden om op een kwaadaardige link in het bericht te klikken. Zodra dit gebeurt, onthult het doelwit onbedoeld gevoelige informatie, installeert het malware (malware) op zijn netwerk of voert het de eerste fase van Geavanceerde en aanhoudende dreiging (APT), om maar een paar van de mogelijke gevolgen te noemen.

Walvisjacht of walvisvangst

Walvisvangst is een vorm van speervissen die zich richt op spraakmakende en hoogwaardige doelen zoals beroemdheden, bedrijfsleiders, bestuursleden en overheidsfunctionarissen.

oplichter

Stroper is een nieuwe term voor aanvallen die meestal worden uitgelokt door een doelwit. De aanval begint met een klant die op sociale media klaagt over de dienstverlening van een bedrijf of financiële instelling. Cybercriminelen speuren de accounts van grote bedrijven af, op zoek naar dit soort berichten. Zodra ze er een hebben gevonden, sturen ze de klant een phishingbericht met behulp van de nep-accounts op sociale media van het bedrijf.

phishing

Voice phishing – ook wel voice phishing genoemd – maakt gebruik van telefoontechnologie of VoIP-technologie (Voice over Internet Protocol). De populariteit van dit type aanval groeit met het ongelooflijk hoge aantal gevallen 550% Alleen al in de afgelopen 12 maanden. In maart 2022 bereikte het aantal phishing-aanvallen op organisaties het hoogste niveau ooit gerapporteerd, waarmee het vorige record van september 2021 werd overtroffen.

Voice phishing-tactieken worden vaak gebruikt tegen ouderen. Aanvallers kunnen bijvoorbeeld beweren een familielid te zijn dat onmiddellijk geld moet overmaken om uit de problemen te komen, of een liefdadigheidsinstelling die donaties zoekt na een natuurramp.

Valstrikken en intimidatie

Naast de vele categorieën en subcategorieën van phishing zijn er nog andere vormen van social engineering, zoals op advertenties gebaseerd en fysiek. Neem aas – waar een valse belofte, zoals een online advertentie voor een gratis spel of een programma met hoge kortingen, wordt gebruikt om het slachtoffer te misleiden om gevoelige persoonlijke en financiële informatie te onthullen of hun systeem te infecteren met malware of ransomware.

Ondertussen gebruiken malware-aanvallen pop-upadvertenties om de gebruiker bang te maken dat hun systeem is geïnfecteerd met een computervirus en dat ze de aangeboden antivirussoftware moeten kopen om zichzelf te beschermen. In plaats daarvan is het programma zelf kwaadaardig en infecteert het het systeem van de gebruiker met de virussen die ze probeerden te voorkomen.

Staart- en schoudersurfen

Vormen van fysieke social engineering-aanvallen, waaronder rollback – een poging om ongeautoriseerde fysieke toegang te krijgen tot beveiligde ruimtes op bedrijfsterreinen door middel van dwang of bedrog. Organisaties zouden bijzonder gevoelig moeten zijn voor de mogelijkheid dat recent ontslagen medewerkers bijvoorbeeld terugkeren naar kantoor met een nog actieve mastercard.

Evenzo is afluisteren of ‘schouders browsen’ in het openbaar een opmerkelijk eenvoudige manier om toegang te krijgen tot gevoelige informatie.

Naarmate technologieën evolueren, veranderen uiteindelijk ook de methoden die cybercriminelen gebruiken om geld te stelen, gegevens te beschadigen en reputaties te schaden. Bedrijven kunnen alle tools van de wereld tot hun beschikking hebben, maar als de oorzaak wordt gedreven door onbeschermd of gecontroleerd menselijk handelen, blijven ze kwetsbaar. Het is daarom uitermate belangrijk voor bedrijven om een ​​meerlagige benadering van hun cyberbeveiligingsstrategie te hanteren, waaronder een combinatie van training van medewerkers, een positieve bedrijfscultuur en regelmatige penetratietesten waarbij gebruik wordt gemaakt van social engineering-technieken.

Ian McShane is Vice President of Strategy bij Arctic Wolf.