Många oroar sig för virus, skadlig kod och hackare, men det glöms ofta bort att den största sårbarheten finns hos oss själva: människorna.
Social engineering bygger på psykologisk manipulation för att lura dig att avslöja konfidentiell information eller vidta åtgärder som äventyrar ditt företags säkerhet.
Vad är social ingenjörskonst och hur känner man igen det?
Social ingenjörskonst är inget nytt fenomen, men det har utvecklats i takt med tekniken.
Tänk dig en hackare som inte behöver knäcka koder eller hacka sig in i system. Istället manipulerar han eller hon ett företags anställda för att få tillgång till känslig information.
Detta tillvägagångssätt utnyttjar förtroende, nyfikenhet eller till och med rädsla.
Du kan känna igen ett försök till social engineering när någon ber dig om känslig information eller uppmanar dig att klicka på en misstänkt länk under falska förespeglingar.
Nätfiske via e-post, bluffsamtal och inlägg i sociala medier är vanliga metoder.
För att skydda dig själv och ditt företag är det viktigt att alltid vara vaksam, alltid verifiera förfrågningar om information och aldrig dela med sig av känsliga uppgifter utan att vara helt säker på att den som begär informationen är äkta.
Fall av sårbarheter i företag
- Nätfiske riktat mot anställda: Ett stort företag utsattes för en attack när en hackare skickade ett e-postmeddelande till flera anställda och utgav sig för att vara IT-chefen. I e-postmeddelandet ombads de anställda att byta lösenord på en falsk webbplats, vilket gjorde det möjligt för hackaren att komma åt företagets konton.
- Phishing-attackPå ett annat företag utgav sig en hackare för att vara en regelbunden leverantör till företaget och begärde att få byta bankkonto för betalningar. Företaget överförde en stor summa pengar till hackerns konto innan man upptäckte bedrägeriet.
- Social ingenjörskonst genom sociala nätverk: En anställd delade med sig av detaljer om sitt arbete och de system han använde på sociala medier. En hackare använde informationen för att lura företagets tekniska supportavdelning och få tillgång till den anställdes konton.
Framgångsrika exempel på företag som förhindrat social engineering-attacker
1. Phishing-försök stoppas genom personalens medvetenhet
Vad hackarna försökte: En grupp cyberbrottslingar försökte attackera ett företag inom finansiella tjänster genom att skicka phishing-mejl till flera anställda. E-postmeddelandena verkade komma från företagets CFO och bad de anställda att ange sina uppgifter på en webbplats som efterliknade företagets inloggningssida. Målet var att få tillgång till de anställdas konton och kompromissa med interna system.
Hur de undvek det: Tack vare ett pågående utbildningsprogram i cybersäkerhet kände en av de anställda igen e-postmeddelandet som misstänkt. Istället för att klicka på länken informerade han företagets säkerhetsteam. Teamet kunde analysera mejlet och bekräfta att det rörde sig om ett nätfiskeförsök. De varnade sedan hela organisationen och stärkte säkerhetsåtgärderna, vilket förhindrade att attacken lyckades.
2. Personifiering förhindras genom rigorös verifiering
Vad hackarna försökte: I ett annat fall utgav sig en hackare för att vara en vanlig leverantör till ett tillverkningsföretag och skickade ett e-postmeddelande till avdelningen för leverantörsreskontra med en begäran om ändring av det bankkonto där betalningarna gjordes. Hackarens plan var att avleda en stor summa pengar till ett konto som kontrollerades av dem.
Hur de undvek det: Företagets policy krävde att varje begäran om ändring av betalningsinformation skulle verifieras genom ett direkt telefonsamtal till leverantören. Efter att ha försökt verifiera begäran kontaktade leverantörsreskontraavdelningen den faktiska leverantören, som nekade till att ha begärt ändringen. Detta var en varningssignal och bedrägeriförsöket avvärjdes innan några pengar överfördes.
3. Social ingenjörskonst via sociala nätverk störs av proaktiv övervakning
Vad hackarna försökte: I ett infiltrationsförsök identifierade hackare en anställd på ett teknikföretag via hans sociala nätverk. De använde sedan den information som den anställde publicerat för att skapa en falsk profil och utge sig för att vara honom. Planen var att kontakta företagets tekniska support och begära en återställning av lösenordet med hänvisning till åtkomstproblem.
Hur de undvek det: Företaget hade ett proaktivt övervakningssystem för sociala medier på plats, utformat för att upptäcka potentiella säkerhetsrisker relaterade till social ingenjörskonst. När säkerhetsteamet upptäckte att den falska profilen skapats vidtog de omedelbart åtgärder för att skydda de anställdas konton och meddelade den tekniska supporten om försöket till bluff. Resultatet blev att hackaren inte fick tillgång till några konton och att företagets säkerhet förblev intakt.
Dessa fall visar hur förberedelser, utbildning och tydliga policyer kan göra hela skillnaden när det gäller att förhindra en framgångsrik social engineering-attack. Nyckeln är att förbli vaksam och alltid ha ett robust säkerhetsprotokoll på plats.
Sammanfattning
Social ingenjörskonst är en komplex utmaning eftersom den inte bygger på teknik utan på mänsklig manipulation. Företag måste utbilda sina anställda så att de kan känna igen tecken på en potentiell attack och upprätta tydliga rutiner för hantering av förfrågningar om information. En kombination av medvetenhet, utbildning och säkerhetsprotokoll kan vara nyckeln till att skydda sig mot dessa hot.
