Waarom maken cyberaanvallers vaak gebruik van social engineering?
door
Leestijd: 7 min
Cyberaanvallers maken gebruik van Social engineering, een type aanval dat zich richt op het menselijke element in plaats van op het computersysteem en de software. De aanvaller probeert een persoon ertoe te verleiden een actie uit te voeren waardoor hij toegang krijgt tot de computers van het slachtoffer. Een van de meest voorkomende typen van dit soort aanvallen is een man-in-the-middle aanval. Een man-in-the-middle aanval vindt plaats wanneer een aanvaller zich voordoet als iemand anders om de slachtoffers te laten geloven dat ze rechtstreeks met elkaar praten via normaliserende protocollen zoals interactive voice response, e-mail, instant messaging en webconferencing. Hacken via menselijke manipulatie is eenvoudiger uit te voeren dan hacken direct vanaf een externe bron. Dit artikel bespreekt waarom SE-aanvallen toenemen en waarom cyberaanvallers deze tactieken vaak gebruiken.
Belangrijkste conclusies
- Social engineering-aanvallen manipuleren het menselijke element, waardoor ze een favoriete methode zijn voor cybercriminelen.
- Aanvallen maken vaak gebruik van vertrouwen en menselijke relaties en vereisen minimale technische vaardigheden van de aanvaller.
- Door in afgedankte materialen te duiken, kunnen aanvallers gevoelige informatie verkrijgen zonder dat er hacktechnieken nodig zijn.
- Emotionele triggers zoals angst, hebzucht en urgentie verhogen de kans op een succesvolle social engineering-aanval aanzienlijk.
- Bepaalde persoonlijkheidskenmerken, zoals inschikkelijkheid en extraversie, maken mensen vatbaarder voor social engineering-tactieken.
Waarom gebruiken Cyberaanvallers Social Engineering: Waarschijnlijke oorzaken en redenen
Social engineering aanvallen zijn een van de populairste en doeltreffendste methoden die tegenwoordig door hackers worden gebruikt. Bij deze aanvallen wordt vaak misbruik gemaakt van relaties tussen mensen, zoals het vertrouwen en de vertrouwdheid van werknemers, of de fysieke nabijheid tussen werknemers en klanten.
a. De menselijke factor is de zwakste schakel in traditionele beveiliging
Aanvallen zijn meestal effectiever als ze gebaseerd zijn op menselijke interactie, wat betekent dat technologie ons er niet tegen kan beschermen. Het enige wat een aanvaller nodig heeft, is een beetje informatie over de gewoonten of voorkeuren van hun doelwit en wat creativiteit in de manier waarop ze zich aan het slachtoffer presenteren. Dit leidt ertoe dat de aanvallers krijgen wat ze willen zonder dat ze hun toevlucht hoeven te nemen tot ingewikkelder technieken, zoals het hacken van het netwerk van een organisatie of het inbreken in de systemen van een bedrijf.
Social Engineering-beveiliging vereenvoudigen met PowerDMARC!
b. Er is geen noodzaak voor geavanceerde hacking technieken
Social engineering aanvallen maken gebruik van het vertrouwen van mensen om toegang te krijgen tot een systeem of netwerk. Deze aanvallen zijn effectief omdat het voor een aanvaller eenvoudig is om toegang te krijgen, in plaats van geavanceerde hacktechnieken te gebruiken om zich een weg naar een netwerk te forceren. Wanneer een aanvaller dit doet, gebruikt hij psychologisch manipulatieve technieken zoals phishing, spear phishing en pretexting. Bij phishing stuurt een aanvaller e-mails die er legitiem uitzien, maar die bedoeld zijn om gebruikers te verleiden tot het geven van persoonlijke informatie, zoals wachtwoorden of creditcardgegevens. Bij spear phishing gebruikt een aanvaller dezelfde methoden als bij phishing, maar met geavanceerdere technieken zoals het zich voordoen als iemand anders om je te misleiden zodat je je gegevens opgeeft. Er is sprake van oplichting met voorwendsels als een aanvaller voorwendsels gebruikt om het vertrouwen van zijn slachtoffers te winnen voordat hij van hen probeert te stelen. Zodra aanvallers toegang hebben gekregen tot je systeem of netwerk, kunnen ze daarbinnen alles doen wat ze maar willen, inclusief programma's installeren, bestanden wijzigen of zelfs verwijderen, allemaal zonder dat ze betrapt worden door een beveiligingssysteem of beheerder die hen hiervan zou kunnen weerhouden als ze wisten wat er binnen hun netwerk gebeurde!
c. Dumpster Diving is makkelijker dan Brute Forcing in een netwerk
Dumpster diving is het achterhalen van informatie uit afgedankte materialen om social engineering-aanvallen uit te voeren. De techniek bestaat uit het doorzoeken van afval naar schatten zoals toegangscodes of wachtwoorden die op plakbriefjes zijn geschreven. Dumpster diving maakt dergelijke activiteiten eenvoudig uit te voeren omdat het de hacker toegang geeft tot het netwerk zonder daadwerkelijk te hoeven inbreken. De informatie die vuilnisbakduikers opgraven kan variëren van alledaags, zoals een telefoonlijst of agenda, tot meer schijnbaar onschuldige gegevens zoals een organigram. Maar deze ogenschijnlijk onschuldige informatie kan een aanvaller helpen bij het gebruik van social engineering technieken om toegang te krijgen tot het netwerk. Bovendien, als een computer is weggegooid, kan het een schatkamer zijn voor cyberaanvallers. Het is mogelijk om informatie te herstellen van opslagmedia, waaronder schijven die zijn gewist of onjuist geformatteerd. Opgeslagen wachtwoorden en vertrouwde certificaten worden vaak opgeslagen op de computer en zijn kwetsbaar voor aanvallen. De weggegooide apparatuur kan gevoelige gegevens bevatten op de Trusted Platform Module (TPM). Deze gegevens zijn belangrijk voor een organisatie omdat ze hiermee gevoelige informatie, zoals cryptografische sleutels, veilig kunnen opslaan. Een sociaal ingenieur zou gebruik kunnen maken van de hardware-ID's die door een organisatie worden vertrouwd om mogelijke exploits tegen hun gebruikers uit te voeren.
d. Maakt gebruik van de angst, hebzucht, en een gevoel van urgentie
Social engineering-aanvallen zijn eenvoudig uit te voeren omdat ze vertrouwen op het menselijke element. De cyberaanvaller kan charme, overreding of intimidatie gebruiken om de perceptie van de persoon te manipuleren of de emotie van de persoon uit te buiten om belangrijke details over het bedrijf te verkrijgen. Een cyberaanvaller kan bijvoorbeeld praten met een ontevreden werknemer van een bedrijf om verborgen informatie te krijgen, die vervolgens kan worden gebruikt om in te breken in het netwerk. De ontevreden werknemer kan informatie over het bedrijf aan een aanvaller geven als hij/zij het gevoel heeft dat hij/zij oneerlijk wordt behandeld of mishandeld door zijn/haar huidige werkgever. De ontevreden werknemer kan ook informatie over het bedrijf verstrekken als hij/zij geen andere baan heeft en binnenkort zonder werk komt te zitten. Bij de meer geavanceerde methoden van hacken wordt ingebroken in een netwerk met behulp van meer geavanceerde technieken zoals malware, keyloggers en Trojaanse paarden. Deze geavanceerde technieken vereisen veel meer tijd en moeite dan alleen maar praten met een ontevreden werknemer om verborgen informatie te krijgen die gebruikt kan worden om in te breken in een netwerk.
De Zes Belangrijkste Principes van Invloed
Social engineering scams maken gebruik van zes specifieke kwetsbaarheden in de menselijke psyche. Deze zwakke plekken zijn geïdentificeerd door psycholoog Robert Cialdini in zijn boek "Influence: The Psychology of Persuasion" en ze zijn: ➜ Wederkerigheid - Wederkerigheid is het verlangen om gunsten in natura terug te betalen. We hebben de neiging om ons schuldig te voelen aan mensen die ons hebben geholpen; we hebben het gevoel dat het onze verantwoordelijkheid is om hen te helpen. Dus als iemand ons om iets vraagt - een wachtwoord, toegang tot financiële gegevens of iets anders - zullen we eerder geneigd zijn om te gehoorzamen als ze ons eerder hebben geholpen. ➜ Betrokkenheid en consistentie - We doen dingen liever na verloop van tijd dan slechts één keer. We zullen eerder instemmen met een verzoek als we al hebben ingestemd met een van de onderdelen ervan - of zelfs met meerdere. Als iemand al eerder om toegang tot je financiële gegevens heeft gevraagd, is het misschien toch niet zo'n probleem om het nog een keer te vragen! ➜ Sociaal Bewijs - Dit is een misleidingstechniek die gebaseerd is op het feit dat we de neiging hebben om het voorbeeld van mensen om ons heen te volgen (ook bekend als het "bandwagon effect"). Medewerkers kunnen bijvoorbeeld worden overgehaald door een bedreiger die vals bewijs presenteert dat een andere medewerker een verzoek heeft ingewilligd. ➜ Houden van - We houden van mensen die de leiding lijken te hebben; een hacker kan dus een bericht naar je e-mailadres sturen dat eruitziet alsof het van je baas of een vriend van je komt, of zelfs van een expert op een gebied waarin je geïnteresseerd bent. Het bericht kan iets zeggen als: "Hé! Ik weet dat je aan dit project werkt en we hebben hulp nodig. Kunnen we binnenkort afspreken?" Meestal wordt er om je hulp gevraagd en als je akkoord gaat, geef je gevoelige informatie weg. ➜ Autoriteit - Mensen onderwerpen zich over het algemeen aan autoriteitsfiguren omdat we hen zien als de "juiste" personen die we moeten volgen en gehoorzamen. Op deze manier kunnen social engineering tactieken misbruik maken van onze neiging om mensen die gezaghebbend lijken te vertrouwen om van ons te krijgen wat ze willen. ➜ Schaarste - Schaarste is een menselijk instinct dat in onze hersenen zit ingebakken. Het is het gevoel van "Ik heb dit nu nodig" of "Ik zou dit moeten hebben". Dus als mensen worden opgelicht door sociale ingenieurs, voelen ze een gevoel van urgentie om hun geld of informatie zo snel mogelijk af te staan.
Persoonlijkheden die kwetsbaar zijn voor Social Engineering & waarom?
Volgens Dr. Margaret Cunningham, de hoofdonderzoekswetenschapper voor menselijk gedrag bij Forcepoint X-Labs, een cyberbeveiligingsbedrijf, zijn eensgezindheid en extraversie de persoonlijkheidskenmerken die het meest kwetsbaar zijn voor social engineering. Instemmende mensen hebben de neiging om te vertrouwen, vriendelijk te zijn en zonder vragen aanwijzingen op te volgen. Ze zijn goede kandidaten voor phishingaanvallen omdat ze sneller geneigd zijn om op links te klikken of bijlagen te openen in e-mails die echt lijken. Extraverte mensen zijn ook vatbaarder voor social engineering-aanvallen omdat ze vaak liever bij anderen zijn en anderen eerder vertrouwen. Ze zijn eerder achterdochtig over de motieven van anderen dan introverte mensen, waardoor ze misleid of gemanipuleerd kunnen worden door een social engineer.
Persoonlijkheden die bestand zijn tegen Social Engineering & waarom?
Mensen die weerbaar zijn tegen social engineering-aanvallen zijn meestal gewetensvol, introvert en hebben een hoge zelfeffectiviteit. Gewetensvolle mensen zijn het best in staat om weerstand te bieden aan social engineering door zich te concentreren op hun eigen behoeften en verlangens. Ze zullen zich ook minder snel conformeren aan de eisen van anderen. Introverte mensen zijn vaak minder vatbaar voor manipulatie van buitenaf omdat ze tijd voor zichzelf nemen en van eenzaamheid houden, wat betekent dat ze minder snel beïnvloed zullen worden door sociale signalen of opdringerige mensen die hen proberen te beïnvloeden. Zelfeffectiviteit is belangrijk omdat het ons helpt in onszelf te geloven, zodat we er meer vertrouwen in hebben dat we druk van anderen of invloeden van buitenaf kunnen weerstaan.
Bescherm uw organisatie tegen oplichting door social engineering met PowerDMARC
Social engineering is de praktijk waarbij werknemers en klanten worden gemanipuleerd om gevoelige informatie vrij te geven die kan worden gebruikt om gegevens te stelen of te vernietigen. In het verleden werd deze informatie verkregen door e-mails te sturen die eruit zagen alsof ze van een legitieme bron afkomstig waren, zoals uw bank of uw werkgever. Tegenwoordig is het veel gemakkelijker om e-mailadressen te vervalsen. PowerDMARC helpt bescherming te bieden tegen dit type aanval door e-mailverificatieprotocollen zoals SPF, DKIM, en DMARC p=verwerp beleid in uw omgeving om het risico op directe domain spoofing en e-mail phishing aanvallen te minimaliseren. Als u uzelf, uw bedrijf en uw klanten wilt beschermen tegen social engineering-aanvallen, meld u dan aan voor onze gratis DMARC proefversie vandaag! 
Expert domein- en e-mailbeveiliging bij PowerDMARC
Ahona is de Marketing Manager bij PowerDMARC, met 5+ jaar ervaring in het schrijven over cybersecurity onderwerpen, gespecialiseerd in domein- en e-mailbeveiliging. Ahona heeft een postdoctorale graad in Journalistiek en Communicatie, en heeft haar carrière in de beveiligingssector sinds 2019 verstevigd.
Nieuwste berichten van Ahona Rudra (zie alle)
