Waarom maken cyberaanvallers vaak gebruik van social engineering?
door
Laatst bijgewerkt: 7 leestijd: 7 minuten
Cyberaanvallers maken gebruik van Social engineering, een type aanval dat zich richt op het menselijke element in plaats van op het computersysteem en de software. De aanvaller probeert een persoon ertoe te verleiden een actie uit te voeren waardoor hij toegang krijgt tot de computers van het slachtoffer. Een van de meest voorkomende typen van dit soort aanvallen is een man-in-the-middle aanval. Een man-in-the-middle aanval vindt plaats wanneer een aanvaller zich voordoet als iemand anders om de slachtoffers te laten geloven dat ze rechtstreeks met elkaar praten via normaliserende protocollen zoals interactive voice response, e-mail, instant messaging en webconferencing. Hacken via menselijke manipulatie is eenvoudiger uit te voeren dan hacken direct vanaf een externe bron. Dit artikel bespreekt waarom SE-aanvallen toenemen en waarom cyberaanvallers deze tactieken vaak gebruiken.
Belangrijkste Conclusies
- Social engineering-aanvallen manipuleren het menselijke element, waardoor ze een favoriete methode zijn voor cybercriminelen.
- Aanvallen maken vaak gebruik van vertrouwen en menselijke relaties en vereisen minimale technische vaardigheden van de aanvaller.
- Door zich te verdiepen in afgedankte materialen kunnen aanvallers gevoelige informatie verkrijgen zonder dat ze daarvoor hacktechnieken nodig hebben.
- Emotionele triggers zoals angst, hebzucht en urgentie verhogen de kans op een succesvolle social engineering-aanval aanzienlijk.
- Bepaalde persoonlijkheidskenmerken, zoals inschikkelijkheid en extraversie, maken mensen vatbaarder voor social engineering-tactieken.
Waarom gebruiken cyberaanvallers social engineering? Waarschijnlijke oorzaken en redenen
Social engineering-aanvallen Social engineering is een van de populairste en effectiefste methoden die hackers tegenwoordig gebruiken. Deze aanvallen maken vaak gebruik van relaties tussen mensen, zoals vertrouwen en vertrouwdheid van werknemers of fysieke nabijheid tussen werknemers en klanten.
a. Het menselijke element is de zwakste schakel in traditionele beveiliging
Aanvallen zijn meestal effectiever als ze gebaseerd zijn op menselijke interactie, wat betekent dat technologie ons er niet tegen kan beschermen. Het enige wat een aanvaller nodig heeft, is een beetje informatie over de gewoonten of voorkeuren van hun doelwit en wat creativiteit in de manier waarop ze zich aan het slachtoffer presenteren. Dit leidt ertoe dat de aanvallers krijgen wat ze willen zonder dat ze hun toevlucht hoeven te nemen tot ingewikkelder technieken, zoals het hacken van het netwerk van een organisatie of het inbreken in de systemen van een bedrijf.
Social Engineering-beveiliging vereenvoudigen met PowerDMARC!
b. Geavanceerde hacktechnieken zijn niet nodig
Social engineering-aanvallen maken gebruik van het vertrouwen van mensen om toegang te krijgen tot een systeem of netwerk. Deze aanvallen zijn effectief omdat het voor een aanvaller gemakkelijk is om toegang te krijgen, in plaats van geavanceerde hacktechnieken te gebruiken om zich met brute kracht toegang te verschaffen tot een netwerk. Wanneer een aanvaller dit doet, maakt hij doorgaans gebruik van psychologisch manipulatieve technieken zoals phishing, spear phishing en pretexting. ➜ Phishing is wanneer een aanvaller e-mails verstuurt die legitiem lijken, maar zijn ontworpen om gebruikers te misleiden en hun persoonlijke gegevens, zoals wachtwoorden of creditcardgegevens, prijs te geven. ➜ Spear phishing is wanneer een aanvaller dezelfde methoden gebruikt als bij phishing, maar met meer geavanceerde technieken, zoals zich voordoen als iemand anders om u te misleiden en uw gegevens te verkrijgen. ➜ Pretexting-oplichting verwijst naar het gebruik van voorwendsels door een aanvaller om het vertrouwen van zijn slachtoffers te winnen voordat hij probeert hen te bestelen. Zodra aanvallers toegang hebben gekregen tot uw systeem of netwerk, kunnen ze daarbinnen alles doen wat ze willen, inclusief programma's installeren, bestanden wijzigen of zelfs allemaal verwijderen, zonder te worden betrapt door een beveiligingssysteem of beheerder die hen zou kunnen tegenhouden als ze wisten wat er binnen hun netwerk gebeurde!
c. Dumpster diving is gemakkelijker dan brute forcing in een netwerk
Dumpster diving is het achterhalen van informatie uit afgedankte materialen om social engineering-aanvallen uit te voeren. De techniek bestaat uit het doorzoeken van afval naar schatten zoals toegangscodes of wachtwoorden die op plakbriefjes zijn geschreven. Dumpster diving maakt dergelijke activiteiten eenvoudig uit te voeren omdat het de hacker toegang geeft tot het netwerk zonder daadwerkelijk te hoeven inbreken. De informatie die vuilnisbakduikers opgraven kan variëren van alledaags, zoals een telefoonlijst of agenda, tot meer schijnbaar onschuldige gegevens zoals een organigram. Maar deze ogenschijnlijk onschuldige informatie kan een aanvaller helpen bij het gebruik van social engineering technieken om toegang te krijgen tot het netwerk. Bovendien, als een computer is weggegooid, kan het een schatkamer zijn voor cyberaanvallers. Het is mogelijk om informatie te herstellen van opslagmedia, waaronder schijven die zijn gewist of onjuist geformatteerd. Opgeslagen wachtwoorden en vertrouwde certificaten worden vaak opgeslagen op de computer en zijn kwetsbaar voor aanvallen. De weggegooide apparatuur kan gevoelige gegevens bevatten op de Trusted Platform Module (TPM). Deze gegevens zijn belangrijk voor een organisatie omdat ze hiermee gevoelige informatie, zoals cryptografische sleutels, veilig kunnen opslaan. Een sociaal ingenieur zou gebruik kunnen maken van de hardware-ID's die door een organisatie worden vertrouwd om mogelijke exploits tegen hun gebruikers uit te voeren.
d. Maakt gebruik van de angst, hebzucht en het gevoel van urgentie van mensen
Social engineering-aanvallen zijn eenvoudig uit te voeren omdat ze vertrouwen op het menselijke element. De cyberaanvaller kan charme, overreding of intimidatie gebruiken om de perceptie van de persoon te manipuleren of de emotie van de persoon uit te buiten om belangrijke details over het bedrijf te verkrijgen. Een cyberaanvaller kan bijvoorbeeld praten met een ontevreden werknemer van een bedrijf om verborgen informatie te krijgen, die vervolgens kan worden gebruikt om in te breken in het netwerk. De ontevreden werknemer kan informatie over het bedrijf aan een aanvaller geven als hij/zij het gevoel heeft dat hij/zij oneerlijk wordt behandeld of mishandeld door zijn/haar huidige werkgever. De ontevreden werknemer kan ook informatie over het bedrijf verstrekken als hij/zij geen andere baan heeft en binnenkort zonder werk komt te zitten. Bij de meer geavanceerde methoden van hacken wordt ingebroken in een netwerk met behulp van meer geavanceerde technieken zoals malware, keyloggers en Trojaanse paarden. Deze geavanceerde technieken vereisen veel meer tijd en moeite dan alleen maar praten met een ontevreden werknemer om verborgen informatie te krijgen die gebruikt kan worden om in te breken in een netwerk.
De zes belangrijkste beïnvloedingsprincipes
Social engineering scams maken gebruik van zes specifieke kwetsbaarheden in de menselijke psyche. Deze zwakke plekken zijn geïdentificeerd door psycholoog Robert Cialdini in zijn boek "Influence: The Psychology of Persuasion" en ze zijn: ➜ Wederkerigheid - Wederkerigheid is het verlangen om gunsten in natura terug te betalen. We hebben de neiging om ons schuldig te voelen aan mensen die ons hebben geholpen; we hebben het gevoel dat het onze verantwoordelijkheid is om hen te helpen. Dus als iemand ons om iets vraagt - een wachtwoord, toegang tot financiële gegevens of iets anders - zullen we eerder geneigd zijn om te gehoorzamen als ze ons eerder hebben geholpen. ➜ Betrokkenheid en consistentie - We doen dingen liever na verloop van tijd dan slechts één keer. We zullen eerder instemmen met een verzoek als we al hebben ingestemd met een van de onderdelen ervan - of zelfs met meerdere. Als iemand al eerder om toegang tot je financiële gegevens heeft gevraagd, is het misschien toch niet zo'n probleem om het nog een keer te vragen! ➜ Sociaal Bewijs - Dit is een misleidingstechniek die gebaseerd is op het feit dat we de neiging hebben om het voorbeeld van mensen om ons heen te volgen (ook bekend als het "bandwagon effect"). Medewerkers kunnen bijvoorbeeld worden overgehaald door een bedreiger die vals bewijs presenteert dat een andere medewerker een verzoek heeft ingewilligd. ➜ Houden van - We houden van mensen die de leiding lijken te hebben; een hacker kan dus een bericht naar je e-mailadres sturen dat eruitziet alsof het van je baas of een vriend van je komt, of zelfs van een expert op een gebied waarin je geïnteresseerd bent. Het bericht kan iets zeggen als: "Hé! Ik weet dat je aan dit project werkt en we hebben hulp nodig. Kunnen we binnenkort afspreken?" Meestal wordt er om je hulp gevraagd en als je akkoord gaat, geef je gevoelige informatie weg. ➜ Autoriteit - Mensen onderwerpen zich over het algemeen aan autoriteitsfiguren omdat we hen zien als de "juiste" personen die we moeten volgen en gehoorzamen. Op deze manier kunnen social engineering tactieken misbruik maken van onze neiging om mensen die gezaghebbend lijken te vertrouwen om van ons te krijgen wat ze willen. ➜ Schaarste - Schaarste is een menselijk instinct dat in onze hersenen zit ingebakken. Het is het gevoel van "Ik heb dit nu nodig" of "Ik zou dit moeten hebben". Dus als mensen worden opgelicht door sociale ingenieurs, voelen ze een gevoel van urgentie om hun geld of informatie zo snel mogelijk af te staan.
Persoonlijkheden die kwetsbaar zijn voor social engineering en waarom?
Volgens Dr. Margaret Cunningham, de hoofdonderzoekswetenschapper voor menselijk gedrag bij Forcepoint X-Labs - een cyberbeveiligingsbedrijf, zijn bepaalde persoonlijkheidstypes, vooral die met een hoog gehalte aan aangenaamheid en extraversie, het meest kwetsbaar voor social engineering. Instemmende mensen hebben de neiging om te vertrouwen, vriendelijk te zijn en zonder vragen aanwijzingen op te volgen. Ze zijn goede kandidaten voor phishing-aanvallen omdat ze eerder geneigd zijn om op links te klikken of bijlagen te openen van e-mails die echt lijken. Extraverte mensen zijn ook vatbaarder voor social engineering-aanvallen omdat ze vaak liever bij anderen zijn en anderen eerder vertrouwen. Ze zijn eerder achterdochtig over de motieven van anderen dan introverte mensen, waardoor ze misleid of gemanipuleerd kunnen worden door een social engineer.
Persoonlijkheden die weerbaar zijn tegen social engineering & waarom?
Mensen die weerbaar zijn tegen social engineering-aanvallen zijn meestal gewetensvol, introvert en hebben een hoge zelfeffectiviteit. Gewetensvolle mensen zijn het best in staat om weerstand te bieden aan social engineering door zich te concentreren op hun eigen behoeften en verlangens. Ze zullen zich ook minder snel conformeren aan de eisen van anderen. Introverte mensen zijn vaak minder vatbaar voor manipulatie van buitenaf omdat ze tijd voor zichzelf nemen en van eenzaamheid houden, wat betekent dat ze minder snel beïnvloed zullen worden door sociale signalen of opdringerige mensen die hen proberen te beïnvloeden. Zelfeffectiviteit is belangrijk omdat het ons helpt in onszelf te geloven, zodat we er meer vertrouwen in hebben dat we druk van anderen of invloeden van buitenaf kunnen weerstaan.
Bescherm uw organisatie tegen social engineering-zwendel met PowerDMARC
Social engineering is het manipuleren van werknemers en klanten om gevoelige informatie vrij te geven die kan worden gebruikt om gegevens te stelen of te vernietigen. In het verleden werd deze informatie verkregen door e-mails te versturen die leken te komen van legitieme bronnen zoals je bank of je werkgever. Tegenwoordig is het veel eenvoudiger om e-mailadressen te vervalsen. PowerDMARC helpt bescherming te bieden tegen dit type aanval door e-mailverificatieprotocollen zoals SPF, DKIM, en DMARC p=verwerp beleid in uw omgeving om het risico op directe domain spoofing en e-mail phishing aanvallen te minimaliseren. Als u uzelf, uw bedrijf en uw klanten wilt beschermen tegen social engineering-aanvallen, meld u dan aan voor onze gratis DMARC proefversie vandaag! 
Expert domein- en e-mailbeveiliging bij PowerDMARC
Ahona is marketingmanager bij PowerDMARC en heeft meer dan vijf jaar ervaring met het schrijven over cybersecurity, gespecialiseerd in domein- en e-mailbeveiliging. Ahona heeft een masterdiploma in journalistiek en communicatie, en heeft sinds 2019 haar carrière in de beveiligingssector verder uitgebouwd.
Laatste berichten van Ahona Rudra (Bekijk alle berichten)
