Hva er sosial manipulering?
Når vi snakker om cybersikkerhet, tenker de fleste av oss på å beskytte oss mot hackere som utnytter teknologiske svakheter for å angripe datanettverk. Men det er finnes en annen vei inn i organisasjoner og nettverk, og det er å utnytte menneskelig svakhet. Dette er kjent som sosial manipulering, som innebærer å lure folk til å røpe informasjon eller muliggjøre tilgang til datanettverk.
En inntrenger kan for eksempel gi seg ut for å være en IT-støtteperson og be om informasjon som brukernavn og passord. Det er overraskende hvor mange personer som gir fra seg slik informasjon, spesielt hvis det virker som en autorisert representant ber om den.
Enkelt sagt er sosial manipulering en form for bedrageri der personer manipuleres til å gi tilgang eller røpe informasjon eller data.
Typer sosial manipulering-angrep
Det finnes forskjellige typer sosial manipulering-angrep. Det er viktig å forstå definisjonen av sosial manipulering og hvordan den arter seg. Så snart den grunnleggende prinsippet er forstått, er det mye enklere å gjenkjenne sosial manipulering-angrep.
Baiting
Baiting innebærer å sette en felle, for eksempel en USB-pinne som inneholder malware. Personer lurer på hva USB-pinnen inneholder og setter den i USB-stasjonen slik at systemet eksponeres. Det finnes faktisk en USB-pinne som kan ødelegge datamaskiner ved å lade seg selv med strøm fra USB-stasjonen og deretter utlade energien brått slik at enheten skades. (USB-pinnen koster bare USD 54).
Pretexting
Dette angrepet bruker en "pretext" (unnskyldning, avledning) for å oppnå oppmerksomhet og lure offeret til å oppgi informasjon. En Internett-undersøkelse kan for eksempel virke ganske uskyldig til å begynne med, men ber deg etter hvert om å oppgi bankkontodetaljer. Eller noen personer med en skriveblokk kan dukke opp og si at de gjennomfører en revisjon av interne systemer. De behøver imidlertid ikke være dem de utgir seg for, og de kan ha til hensikt å stjele verdifull informasjon fra deg.
Phishing
Phishingangrep involverer en e-post- eller tekstmelding som gir seg ut for å være fra en pålitelig kilde – og ber om informasjon. En velkjent type er e-post som gir seg ut fra å være fra banken og ber kundene om å "bekrefte" sin sikkerhetsinformasjon. Deretter omdirigeres de til et falskt nettsted hvor deres påloggingsdetaljer blir registrert. "Spydphishing" retter seg mot en enkelt person i et firma. Han eller hun får tilsendt en e-postmelding som tilsynelatende kommer fra en overordnet i selskapet, og blir bedt om konfidensiell informasjon.
Vishing og smishing
Disse typene sosial manipulering-angrep er varianter av phishing – "voice fishing", som innebærer at folk ganske enkelt blir oppringt og bedt om å oppgi data. Kriminelle kan for eksempel presentere seg som en kollega, late som de er fra IT-avdelingen og be om påloggingsinformasjon. Ved smishing brukes SMS-meldinger for å prøve å innhente slik informasjon.
Quid pro quo
Selv om du blir tilbudt noe, er det ikke sikkert at hensikten er god. Mange sosial manipulering-angrep får ofre til å tro at de får noe i gjengjeld for dataene eller tilgangen de gir fra seg. "Scareware" fungerer på samme måte, ved å love datamaskinbrukere en oppdatering hvis de kan håndtere et hasteproblem, mens det i virkeligheten er scarewaren som er den ondsinnede trusselen.
Kontaktspamming og e-posthacking
Denne typen angrep involverer å hacke seg inn på en persons e-post- eller sosiale mediekontoer for å få tilgang til kontakter. Kontakter kan bli fortalt at personen har blitt ranet og mistet alle sine kredittkort. Så blir kontaktene bedt om å overføre penger til en bestemt konto. Eller "vennen" kan videresende en "interessant video" som har koblinger til malware eller en keyloggertrojaner.
Farming kontra jakting
Vi må også være klar over at noen sosial manipulering-angrep er langt mer utviklet. De fleste av de enkle tilnærmingene vi har beskrevet, er en form for "jakting"'. Altså komme seg inn, registrere informasjonen og komme seg ut.
Enkelte typer sosial manipulering-angrep omfatter å innlede en relasjon med målet for angrepet for å trekke ut mer informasjon over en lengre tidsramme. Dette er kjent som "farming" og er mer risikabelt for angriperen: det er større sjanse for at de blir oppdaget. Men hvis infiltrasjonen er vellykket, kan de oppnå langt mer informasjon.
Hvordan unngå sosial manipulering-angrep
Sosial manipulering-angrep er spesielt vanskelige å motvirke fordi de er utformet for å spille på naturlige menneskelige egenskaper som nysgjerrighet, respekt for autoriteter og et ønske om å hjelpe sine venner. Det finnes en del tips som kan bidra til å oppdage sosial manipulering-angrep…
Sjekk kilden
Ta deg tid til å tenke på hvor kommunikasjonen kommer fra. Ikke stol blindt på den. En USB-pinne dukker opp på skrivebordet ditt, og du vet ikke hva som finnes på den? Du får en totalt uventet telefonoppringing om at du har arvet 5 millioner dollar? En e-postmelding fra daglig leder som ber deg oppgi en mengde informasjon om individuelle ansatte? Alt dette høres mistenkelig ut og bør behandles tilsvarende.
Sjekking av kilden er ikke vanskelig. Hvis du får en e-postmelding, kan du for eksempel se i e-posthodet og sjekke det mot gyldige e-postmeldinger fra samme avsender. Se hvor disse koblingene peker – spoofede hyperkoblinger er enkle å oppdage ved å føre musepekeren over dem (men ikke klikk på koblingen!) Sjekk språk og formuleringer: banker har høyt kvalifiserte team av medarbeidere som utarbeider kundekommunikasjon, så en e-postmelding med tydelige feil er sannsynligvis falsk.
Hvis du er i tvil, kan du besøke det offisielle nettstedet og kontakte en offisiell representant som kan bekrefte om e-posten/meldingen er offisiell eller falsk.
Hva vet de?
Har kilden informasjon du ikke forventer at de har, for eksempel ditt fulle navn, osv.? Husk at hvis en bank ringer deg, bør de ha alle relevante data foran seg, og de vil alltid stille sikkerhetsspørsmål før de lar deg foreta endringer av kontoen. Hvis de ikke gjør det, er sjansene for at det er en falsk e-post/henvendelse/melding vesentlig høyere, og du bør være aktsom.
Bryt forbindelsen
Sosial manipulering avhenger ofte av at ting tilsynelatende haster. Angripere håper at deres mål ikke vil tenke for nøye på hva som foregår. Så bare å tenke deg om et par sekunder kan avverge disse angrepene eller avsløre dem for det de er – forfalskninger.
Ring det offisielle nummeret eller gå via URL-adressen til det offisielle nettstedet, i stedet for å dele ut data på telefonen eller klikke på en kobling. Bruk en annen kommunikasjonsmetode for å sjekke kildens troverdighet. Hvis du for eksempel får en e-postmelding fra en venn som ber om penger, kan du tekste ham eller henne på mobiltelefon eller ringe for å bekrefte at det virkelig er sant.
Be om ID
Et av de enkleste sosial manipulering-angrepene er å omgå sikkerhetstiltak i en bygning ved å bære en stor eske eller en håndfull mapper. En hjelpsom person vil sannsynligvis holde døren åpen. Ikke fall for dette. Be alltid om ID.
Det samme gjelder andre tilnærmingsmåter. Sjekking av navnet og nummeret til den som ringer eller å spørre "hvem rapporterer du til?", bør være en grunnleggende respons på anmodninger om informasjon. Deretter kan du ganske enkelt sjekke et organisasjonkart eller telefonkatalogen før du utleverer privat informasjon eller personlige data. Hvis du ikke kjenner personen som ber om informasjonen og fortsatt ikke føler deg komfortabel med å gi den fra deg, fortell dem at du må dobbeltsjekke med noen andre, og at du vil komme tilbake til dem.
Bruk et godt spamfilter
Hvis e-postprogrammet ditt ikke filtrerer ut nok søppelpost eller markedsføring som mistenkelig, kan du vurdere å endre innstillingene. Gode spamfiltre bruker forskjellige typer informasjon for å fastslå hvilke meldinger som trolig er spam. De kan oppdage mistenkelige filer eller koblinger, de kan ha en svarteliste over mistenkelige IP-adresser eller avsender-IDer, eller de kan analysere innholdet av meldinger for å fastslå hvilke som trolige er falske.
Er dette realistisk?
Noen sosial manipulering-angrep prøver å lure deg til ikke å være analytisk, og du kan avverge mange angrep ved å ta deg tid til å vurdere om situasjonen er realistisk. Eksempel:
- Hvis din venn virkelig sitter fast i Kina uten mulighet til å komme seg ut, ville du fått en e-post eller ville du også blitt ringt opp eller tekstet?
- Er det sannsynlig at en nigeriansk prins har testamentert deg en million dollar?
- Ville banken ringt deg for å be om kontodetaljene dine? Mange banker varsler når de sender e-post til kundene eller snakker med dem på telefonen. Så dobbeltsjekk hvis du ikke er sikker.
Ikke vær for kjapp
Vær spesielt årvåken når du registrerer at samtalen blir mer presserende. Ondsinnede aktører har en standardmetode for å få sine mål til å slutte å tenke rasjonelt. Hvis du føler deg utsatt for press, må du senke farten. Si at du trenger tid for å få tak i informasjonen, at du må spørre din overordnede, at du ikke har de riktige detaljene for øyeblikket – hva som helst for å redusere tempoet i samtalen og gi deg selv tid til å tenke.
I de fleste tilfeller vil ikke sosiale manipulatører gå videre hvis de har mistet overraskelsesmomentet.
Sikre enhetene dine
Det er også viktig å sikre enheter slik at selv et vellykket sosial manipulering-angrep er begrenset i hva det kan oppnå. Hovedprinsippene er de samme, enten det er en smarttelefon, et enkelt hjemmenettverk eller et større foretaksystem.
- Sørg for at antimalware- og antivirusprogramvaren er oppdatert. Dette kan bidra til å forebygge malware som installeres fra phishingmeldinger. Bruk en pakke som Kasperskys Antivirus for å holde nettverket og dataene dine sikre.
- Hold programvare og fastvare regelmessig oppdatert, spesielt sikkerhetsoppgraderinger.
- Ikke kjør telefonen "rootet" eller nettverket eller PCen i administratormodus. Selv om et sosial manipulering-angrep får tak i brukerpassordet til din "bruker"-konto, vil det ikke være mulig å omkonfigurere systemet eller installere programvare.
- Ikke bruk samme passord til forskjellige kontoer. Hvis et sosial manipulering-angrep lykkes med å få tak i passordet til din sosiale mediekonto, ønsker du ikke at også alle dine andre kontoer skal kunne låses opp.
- Til kritiske kontoer bør du bruke tofaktors autentisering slik at passordet alene ikke er nok for å få tilgang til kontoen. Det kan involvere bruk av talegjenkjenning, en sikkerhetsenhet, fingeravtrykk eller bekreftelseskoder via SMS.
- Hvis du nettopp har røpt passordet til en konto og innser at du kan ha blitt lurt, må du endre passordet med det samme.
- Hold deg selv informert om nye cybersikkerhetsrisikoer ved å lese informasjonen på vårt ressurssenter regelmessig. Da vil du kjenne til alle nye angrepsmetoder etter hvert som de dukker opp, slik at det er langt mindre sannsynlig at du blir et offer.
Du bør også vurdere ditt digitale fotavtrykk. Deling av mye personlig informasjon online, for eksempel gjennom sosiale medier, kan hjelpe angripere. Mange banker har for eksempel hatt "navnet på ditt første kjæledyr" som et mulig sikkerhetsspørsmål – kan du ha delt det på Facebook? I så fall kan du være sårbar! I tillegg vil noen sosial manipulering-angrep prøve å oppnå troverdighet ved å referere til nylig hendelser du kan ha delt på sosiale nettverk.
Vi anbefaler at du setter dine sosiale medieinnstillinger til "kun venner" og er forsiktig med hva du deler. Du behøver ikke å være paranoid, bare forsiktig.
Tenk på andre aspekter ved livet ditt du deler online. Hvis du for eksempel har en online-CV, bør du vurdere å redigere bort adresse, telefonnummer og fødselsdato. Alt dette er nyttig informasjon for dem som planlegger et sosial manipulering-angrep. Selv om noen sosial manipulering-angrep ikke engasjerer offeret intenst, finnes det andre som er nøye planlagt. Gi slike kriminelle mindre informasjon å arbeide med.
Sosial manipulering er veldig farlig fordi det tar helt normale situasjoner og manipulerer dem for ondsinnede formål. Men ved å være fullt klar over hvordan det fungerer, og ta noen forholdsregler, vil det være langt mindre sannsynlig at du blir et offer for sosial manipulering.
Relaterte koblinger
Sosial manipulering – definisjon
