Blog

In de wereld van cybercriminaliteit spelen social engineering technieken een belangrijke rol bij het aanvallen van slachtoffers. Social engineering is een methode waarbij aanvallers proberen om hun slachtoffers te misleiden en te manipuleren om vertrouwelijke informatie te verkrijgen of toegang te krijgen tot gevoelige systemen. In dit blog zullen we een diepgaande blik werpen op verschillende social engineering technieken, waaronder pretexting, baiting en quid pro quo.

Pretexting

Pretexting is een vorm van social engineering waarbij een aanvaller zich voordoet als een ander persoon om vertrouwelijke informatie te verkrijgen. Dit kan bijvoorbeeld gebeuren door een valse identiteit te gebruiken of door het imiteren van een bedrijf of organisatie. Een aanvaller kan bijvoorbeeld een telefoontje plegen naar een slachtoffer en zich voordoen als een IT-medewerker die op zoek is naar inloggegevens. Door een vertrouwd gezicht op te zetten, kan een aanvaller de waakzaamheid van het slachtoffer verminderen en zo gemakkelijker toegang krijgen tot vertrouwelijke informatie.

Baiting

Baiting is een andere vorm van social engineering die vaak wordt gebruikt door cybercriminelen. Het houdt in dat aanvallers inspelen op de nieuwsgierigheid van mensen. Zo kan men een slachtoffer verleiden om op een link te klikken of om een bestand te downloaden dat eigenlijk kwaadaardig is. Dit kan bijvoorbeeld gebeuren door een USB-stick achter te laten op een openbare plaats met een aantrekkelijke titel zoals ‘Salarislijst’ of ‘Bedrijfsgeheimen’. Zodra het slachtoffer de USB-stick in hun computer steekt, kan de aanvaller toegang krijgen tot de gegevens van het slachtoffer.

Quid pro Quo

Quid pro quo is een social engineering techniek waarbij de aanvaller iets in ruil vraagt voor het aanbieden van een service. Een aanvaller kan bijvoorbeeld een slachtoffer bellen en zich voordoen als een IT-medewerker die problemen oplost. De aanvaller kan dan het slachtoffer vragen om in te loggen op een bepaalde website om het probleem op te lossen. In ruil voor het oplossen van het probleem, vraagt de aanvaller het slachtoffer om de inloggegevens te geven. Dit is een verraderlijke techniek omdat het slachtoffer denkt dat ze geholpen worden door een legitieme medewerker.

Hoewel deze technieken op verschillende manieren worden uitgevoerd, hebben ze allemaal één ding gemeen: ze zijn gericht op het misleiden en manipuleren van slachtoffers om toegang te krijgen tot vertrouwelijke informatie. Het is belangrijk om je bewust te zijn van deze technieken en om voorzichtig te zijn met het delen van persoonlijke of gevoelige informatie, zelfs als de persoon aan de andere kant van de lijn lijkt te zijn wie hij of zij zegt te zijn. Als je ooit twijfelt over de echtheid van een oproep of e-mail, neem dan contact op met de desbetreffende persoon. Of schakel de hulp in van je collega’s.

Door middel van training van medewerkers kunnen bedrijven medewerkers helpen te begrijpen wat social engineering is en bouwen zij tegelijkertijd aan een human firewall.

Als je denkt aan cyber security, dan denk je waarschijnlijk aan virussen, malware en hacking. Maar er is een andere vorm van bedreiging die vaak over het hoofd wordt gezien: social engineering. In dit artikel zullen we uitleggen wat social engineering is en waarom het een belangrijke bedreiging vormt voor bedrijven.

Wat is het?

Social engineering is een techniek die wordt gebruikt door kwaadwillenden om toegang te krijgen tot computersystemen of gevoelige informatie. Echter, in plaats van het zoeken van een kwetsbaarheid in een technisch onderdeel van een organisatie, maakt de aanvaller gebruik van psychologie en menselijke interactie. Het doel van de aanvaller is om het slachtoffer te laten geloven dat ze de persoon of organisatie zijn als wie zij zich voordoen. Dit zijn doorgaans partijen met een vertrouwensfunctie, zoals een CEO, IT-medewerker, de bank of een postbedrijf. Door vertrouwen te winnen hoopt de aanvaller dat het slachtoffer bereid is om toegang te verlenen tot systemen of vertrouwelijke informatie te delen.

Een voorbeeld van social engineering: phishing

Een voorbeeld van social engineering is phishing. De meest voorkomende vorm van phishing is mail-phishing. Wat je vaak ziet is dat een aanvaller zich voordoet als een legitieme instantie, zoals een bank, en het slachtoffer vraagt om vertrouwelijke informatie, zoals een wachtwoord of creditcardnummer, te verstrekken. De aanvaller kan een e-mail sturen die eruit ziet als een legitieme e-mail van de bank en het slachtoffer vragen om op een link te klikken en hun informatie in te voeren. Als het slachtoffer dit doet, krijgt de aanvaller toegang tot de vertrouwelijke informatie. Door middel van spoofing kan een aanvaller zelfs bellen naar het slachtoffer met een vervalst nummer, waardoor het lijkt alsof de oproep van de bank afkomstig is. Andere vormen van phishing zijn vishing (voice phishing) en smishing (sms-phishing).

Andere vormen van social engineering zijn onder andere pretexting en baiting. Meer daarover vind je in ons blogartikel: vormen van social engineering.

De complexiteit van social engineering

Het gevaar, en de complexiteit, van social engineering is dat het soms moeilijk te detecteren is. Zo heeft iedereen weleens de deur opengehouden voor een onbekende. Of voor iemand met een uniform van een bezorgdienst. Als mensen zijn wij vaak goed van vertrouwen. En om die reden zijn mensen vaak het zwakke punt in de beveiliging. Zelfs als een organisatie sterke technische beveiliging heeft, kunnen ze nog steeds kwetsbaar zijn voor social engineering. Het is dan ook belangrijk te werken aan een human firewall.

Je als bedrijf weren tegen social engineering

Hoe kunnen bedrijven zich beschermen tegen social engineering? Ten eerste is het belangrijk om medewerkers te trainen op veiligheidsbewustzijn. Dit kan via een zogenoemde security awareness training. Daarnaast is het belangrijk om een cyber security cultuur te implementeren. Dit houdt in dat het voor medewerkers duidelijk is wat zij moeten doen bij verdachte situaties. Tot slot moet cyber security niet als een eenmalig iets worden gezien. Door het een onderdeel te maken van de cultuur en processen blijven medewerkers op de hoogte van nieuwe ontwikkelingen.

In het digitale tijdperk waarin we leven, is het belangrijk om niet alleen te investeren in technische beveiliging, maar ook in het opleiden van medewerkers om zichzelf te beschermen tegen social engineering-aanvallen. Een van de meest effectieve manieren om dit te doen, is door middel van een zogenaamde “human firewall”. In dit artikel zullen we bespreken wat een human firewall is en waarom het belangrijk is om medewerkers te trainen, zodat zij social engineering succesvol kunnen bestrijden.

Wat is een human firewall?

Een human firewall verwijst naar het opleiden van medewerkers om veilig te werken en cyberaanvallen te voorkomen. Organisaties kunnen vertrouwen op technische foefjes, maar veel aanvallen, zoals phishing, richten zich op pyschologie en het uitbuiten van menselijk vertrouwen. Door bewustzijn te creëren bij medewerkers over alle vormen van social engineering en de gevolgen, bouwt een organisatie aan een menselijke firewall.

Hoe train je medewerkers?

Het trainen van medewerkers op het gebied van social engineering kan op verschillende manieren worden gedaan. Een populaire methode is het uitvoeren van gesimuleerde phishing-aanvallen. Dit houdt in dat een organisatie nep-phishing-e-mails naar medewerkers stuurt om te zien wie erop klikt en wie niet. Op basis van de resultaten kan de organisatie gerichte training geven aan degenen die gevoeliger zijn voor phishing-aanvallen.

Een andere effectieve methode is het organiseren van interactieve workshops waarin medewerkers kunnen leren over social engineering-technieken en hoe ze deze kunnen identificeren en voorkomen. Door interactieve oefeningen en scenario’s te gebruiken, kunnen medewerkers leren hoe ze kunnen reageren op verdachte e-mails of telefoontjes en hoe ze hun inloggegevens veilig kunnen houden.

Het creëren van een bedrijfscultuur die cybersecurity bewustzijn waardeert, is ook belangrijk. Medewerkers moeten zich bewust zijn van de risico’s en zich verantwoordelijk voelen voor de veiligheid van de organisatie. Door medewerkers te betrekken bij het ontwikkelen van veiligheidsbeleid en het stimuleren van open communicatie over beveiligingsproblemen, kunnen organisaties een cultuur van veiligheid creëren die de bescherming van vertrouwelijke informatie prioriteit geeft.

Tot slot is het belangrijk om regelmatig de trainingen en procedures te herzien en bij te werken om te zorgen dat medewerkers op de hoogte blijven van de nieuwste ontwikkelingen op het gebied van social engineering. Dit kan bijvoorbeeld gedaan worden door het organiseren van jaarlijkse trainingsprogramma’s en het verspreiden van regelmatige nieuwsbrieven over cybersecurity-gerelateerde onderwerpen.