Vi vet alle om typen angriper som utnytter sin tekniske ekspertise for å infiltrere beskyttede datasystemer og kompromittere sensitive data. Denne rasen av ondsinnede skuespillere kommer med nyheter hele tiden, og får oss til å motvirke deres utnyttelse ved å investere i ny teknologi som vil styrke vårt nettverksforsvar.

Det er imidlertid en annen type angriper som bruker forskjellige taktikker for å skjørt. våre verktøy og løsninger. De kalles «sosiale ingeniører» fordi de utnytter den ene svakheten som finnes i enhver organisasjon: menneskelig psykologi. Ved bruk av telefonsamtaler og andre medier lurer disse angriperne folk til å overlevere tilgang til organisasjonens sensitive informasjon.

Sosialteknikk er et begrep som omfatter et bredt spekter av ondsinnet aktivitet. I denne artikkelen skal vi fokusere på de fem vanligste angrepstypene som sosiale ingeniører bruker for å målrette mot ofrene. Disse er phishing, pretexting, agn, quid pro quo og tailgating.

Phishing

Phishing er den vanligste typen sosialteknisk angrep som skjer i dag. Men hva er det akkurat? På et høyt nivå prøver de fleste phishing-svindel å oppnå tre ting:

• Få personlig informasjon som navn, adresser og personnummer.
• Bruk forkortede eller villedende lenker som omdirigerer brukere til mistenkelige nettsteder som er vert for nettsteder for nettfisking.
• Innlem t trusler, frykt og en presserende følelse i et forsøk på å manipulere brukeren til å svare raskt.

Ingen to phishing-e-poster er de samme. Det er faktisk minst seks forskjellige underkategorier av phishing-angrep. I tillegg vet vi alle at noen er dårlig utformet i den grad meldingen deres lider av stave- og grammatikkfeil. Allikevel har disse e-postmeldingene vanligvis det samme målet å bruke falske nettsteder eller skjemaer for å stjele brukerinnloggingsinformasjon og andre personlige data.

En nylig phishing-kampanje brukte en kompromittert e-postkonto for å sende ut angreps-e-post. Disse meldingene ba mottakerne om å gjennomgå et foreslått dokument ved å klikke på en innebygd URL. Innpakket med Symantecs Click-time URL Protection, omdirigerte denne ondsinnede URL-en mottakere til en kompromittert SharePoint-konto som leverte en annen ondsinnet URL innebygd i et OneNote-dokument. Denne URL-en omdirigerte brukere til en phishing-side som utgir seg for en Microsoft Office 365-påloggingsportal. , eller et oppdiktet scenario, som de bruker for å prøve å stjele ofrenes personlige informasjon. I disse typer angrep sier svindleren vanligvis at de trenger visse biter av informasjon fra målet for å bekrefte identiteten deres. I virkeligheten stjeler de dataene og bruker dem til å begå identitetstyveri eller utføre sekundære angrep.

Mer avanserte angrep prøver noen ganger å lure målene sine til å gjøre noe som misbruker organisasjonens digitale og / eller fysiske svakheter. En angriper kan for eksempel utgi seg for en ekstern revisor for IT-tjenester, slik at de kan snakke et målselskaps fysiske sikkerhetsteam om å slippe dem inn i bygningen.

Mens phishing-angrep hovedsakelig bruker frykt og haster til deres fordel, påskudd angrep er avhengige av å bygge en falsk følelse av tillit til offeret. Dette krever at angriperen bygger en pålitelig historie som gir lite rom for tvil fra deres mål.

Teksting kan og tar forskjellige former. Likevel bestemmer mange trusselaktører som omfavner denne angrepstypen, å maskere seg som HR-personell eller ansatte i økonomiutviklingen. Disse forkledningene tillater dem å målrette mot ledere på C-nivå, slik Verizon fant i sin Data Breach Investigations Report (DBIR) i 2019.

Agnete

Agnmaling er på mange måter lik phishing-angrep. Det som skiller dem fra andre typer sosial ingeniørarbeid, er imidlertid løftet om en gjenstand eller en vare som ondsinnede skuespillere bruker for å lokke ofre. Baiters kan utnytte tilbudet om gratis nedlasting av musikk eller film, for eksempel for å lure brukere til å gi påloggingsinformasjonen.

Agn for agn er heller ikke begrenset til online ordninger. Angripere kan også fokusere på å utnytte menneskelig nysgjerrighet via bruk av fysiske medier.

Tilbake i juli 2018 rapporterte KrebsOnSecurity for eksempel om en angrepskampanje rettet mot statlige og lokale myndighetsorganer i USA. Operasjonen sendte ut kinesiske poststemplede konvolutter som inkluderte et forvirrende brev sammen med en CD (CD). Poenget var å vekke mottakernes nysgjerrighet slik at de skulle laste inn CD-en og dermed utilsiktet infisere datamaskinene sine med skadelig programvare.

Quid Pro Quo

Ligner på agn, quid pro quo-angrep lover en fordel i bytte for informasjon. Denne fordelen antar vanligvis formen for en tjeneste, mens agn vanligvis har form av en vare.

En av de vanligste typene av quid pro quo-angrep som har kommet ut de siste årene, er når svindlere etterligner US Social Security Administration (SSA). Disse falske SSA-personellene kontakter tilfeldige personer, informerer dem om at det har vært et dataproblem på slutten og ber om at disse personene bekrefter personnummeret, alt for å begå identitetstyveri. I andre tilfeller oppdaget av Federal Trade Commission (FTC), oppretter ondsinnede aktører falske SSA-nettsteder som sier at de kan hjelpe brukere å søke om nye trygdekort, men i stedet bare stjele deres personlige informasjon.

Det er viktig å merke seg imidlertid at angripere kan bruke quid pro quo-tilbud som er langt mindre sofistikerte enn SSA-temaer. Som tidligere angrep har vist, er kontorarbeidere mer enn villige til å gi bort passordene sine for en billig penn eller til og med en sjokoladeplate.

Tailgating

Vår siste type sosialtekniske angrepstype dagen er kjent som tailgating eller «piggybacking.» I denne typen angrep følger noen uten riktig autentisering en godkjent ansatt inn i et begrenset område. Angriperen kan utgi seg for en leveringsdriver og vente utenfor en bygning for å få ting i gang. Når en ansatt får sikkerhetens godkjenning og åpner døren, angriperen ber den ansatte holde døren og dermed få tilgang til bygningen.

Tailgating fungerer ikke i alle bedriftsinnstillinger som store selskaper hvis innganger krever bruk av nøkkelkort. Imidlertid i mellomstore bedrifter , kan angripere innlede samtaler med ansatte og bruke dette kjennskapet for å komme forbi resepsjonen.

Faktisk brukte Colin Greenless, en sikkerhetskonsulent i Siemens Enterprise Communications, denne taktikken for å få tilgang til flere etasjer og datarommet på et FTSE-børsnotert finansfirma. Han var til og med i stand til å etablere butikk i et møterom i tredje etasje og jobbe der i flere dager.

Sosialtekniske anbefalinger

M ondsinnede aktører som driver med sosialtekniske angrep byttet ut menneskelig psykologi og nysgjerrighet for å kompromittere målenes informasjon. Med dette menneskesentriske fokuset i tankene er det opp til organisasjoner å hjelpe sine ansatte med å motvirke denne typen angrep.

Her er noen tips som organisasjoner kan innlemme i sine treningsprogrammer for sikkerhetsbevissthet som vil hjelpe brukere for å unngå sosialtekniske ordninger:

• Ikke åpne e-post fra ikke-klarerte kilder. Kontakt en venn eller et familiemedlem personlig eller på telefon hvis du mottar en mistenkelig e-postmelding fra dem.
• Ikke gi tilbud fra fremmede til fordel for tvilen. Hvis de virker for gode til å være sanne, er de sannsynligvis det.
• Lås den bærbare datamaskinen når du er borte fra arbeidsstasjonen.
• Kjøp antivirusprogramvare. Ingen AV-løsninger kan forsvare seg mot enhver trussel som prøver å bringe brukernes informasjon i fare, men de kan bidra til å beskytte mot noen.
• Les bedriftens personvernregler for å forstå under hvilke omstendigheter du kan eller bør slippe en fremmed inn i bygning.