Forstå social engineering

Social engineering-angreb udnytter menneskers tilbøjelighed til at handle hurtigt og impulsivt.

Psykologisk har vi en tendens til at lave mentale genveje for beslutninger, som vi ofte skal tage med henblik på at spare tid og energi. I stedet for at undersøge og analysere alle de informationer, vi støder på i løbet af en dag, tager vi automatiske beslutninger baseret på genkendelige signaler og mønstre. Mentale genveje hjælper os med at navigere i hverdagen, men kan også være med til at gøre os uagtsomme. Det er den uagtsomhed, som angribere udnytter.

Når vi er distræte eller pressede, falder vores evne til at genkende faresignaler, og automatiske responser tager over. Det øger risikoen for, at vi omgår sikkerhedsprocedurer eller tager ureflekterede beslutninger. En angriber skaber derfor ofte en kunstig følelse af tidspres for at fremkalde forvirring og få modtageren til at handle hurtigt. Det kan fx være med akutte henvendelser, tekniske problemer eller overraskende anmodninger.

Når vi anser en person som en autoritet, handler vi generelt mere ukritisk. Angribere forsøger derfor at udnytte vores tendens til at stole på og adlyde autoriteter. Autoritet er et af de mest anvendte psykologiske greb ifm. social engineering.

CEO-Fraud er bl.a. en udbredt form for social engineering, som bygger på vores tiltro til autoriteter. Angriberen udgiver sig for at være en leder med henblik på at få modtageren til at foretage bankoverførsler eller videregive bankkontonumre, kreditkortoplysninger, adgangskoder eller andre værdifulde data.

Sympati og tillid udnyttes ved, at angriberen søger at skabe en følelsesmæssig forbindelse. Det kan fx være ved at fremstå venlig, hjælpsom, eller omvendt, som en der har brug for vores hjælp. Dette får os til at sænke vores parader, fordi vi naturligt er mere tilbøjelige til at stole på og hjælpe andre mennesker, vi kan lide.

Vi er tilbøjelige til at føle, at vi bør give noget tilbage, hvis vi modtager noget fra andre. Reciprocitet betyder gensidighed og beskriver en situation, hvor vi udveksler informationer eller gaver med hinanden på en balanceret måde. I forbindelse med social engineeing udnyttes denne sociale mekanisme ved, at angriberen gør os en tjeneste, tilbyder hjælp, deler noget personligt eller viser opmærksomhed. Når vi modtager noget fra andre, kan vi føle os moralsk forpligtede til at gengælde, selv hvis anmodningen er mistænkelig, urimelig, eller vi normalt ville være skeptiske.

I Danmark har vi generelt en høj grad af tillid til hinanden. Men tillid kan også udnyttes til at sænke vores parader og gøre os mere modtagelige over for manipulation. En angriber kan appellere til vores tillid ved at fremstå som genkendelig og pålidelig. Det kan fx være ved at efterligne en kollega eller interne servicefunktioner, bruge officielt sprog eller referere til kendte processer i organisationen. Tillid og genkendelighed skaber en forventning hos os om, at henvendelsen er legitim og gør os mere ukritiske.

Vi spejler os ofte i andre menneskers handlinger for at finde ud af, hvad vi selv skal gøre. Socialt bevis er en måde at vurdere, hvorvidt en handling er korrekt eller hensigtsmæssig. En angriber kan udnytte dette ved eksempelvis at foregive allerede at have fået udleveret informationer fra andre medarbejdere, og du blot er den sidste i rækken, der mangler at svare.

Følelser påvirker vores beslutningstagning og kan få os til at handle hurtigt uden først at analysere situationen. Specielt de mere intense af slagsen. Særligt frygt kan begrænse vores evne til at stoppe op og træffe velovervejede beslutninger. Det skyldes, at frygt har en hurtig rute gennem hjernen uden om kognitionen. Frygt og tidspres kombineres ofte som virkemidler i social engineering angreb. En angriber kan fx forsøge at skræmme modtageren ved at fremhæve alvorlige konsekvenser af manglende handling.

Vi har en tendens til at reagere på en forespørgsel, hvis der er udsigt til at opnå fordele eller gevinster. Angribere udnytter denne psykologiske mekanisme ved at skabe en forventning om, at modtageren kan opnå noget værdifuldt. Udsigten til en potentiel gevinst kan få os til at fokusere mere på muligheden end risikoen ved handlingen og kan på den måde bruges til at manipulere mennesker til at gøre noget, de ellers ikke ville have gjort. Mekanismen anvendes fx til phishingangreb, hvor angribere lokker med, at vi har vundet noget.

Som mennesker har vi en tendens til at overvurdere vores egne evner og dømmekraft. Det gør, at vi ikke nødvendigvis ser os selv som sårbare. Vi tror, at vi ikke selv kan blive et mål eller, at vi nemt vil kunne spotte og gennemskue angreb fx falske e-mails. Samtidigt har mange af os en overvurderet tiltro til sikkerheden på fx en arbejdscomputer. Dette kan give en falsk tryghed, som gør os mindre påpasselige og mere sårbare over for manipulation.

En angriber kan vælge at møde fysisk op og på den måde få adgang til sikrede områder eller etablere kontakt til en medarbejder. Nogle angrebsmetoder der ofte bruges er:

• At snige sig ind bag andre, der går ind ad døren eller udgive sig for at være nogle, der har et legitimt ærinde i bygningen eller området
• At kigge dig over skulderen og forsøge at aflæse pin- og adgangskoder eller andre fortrolige oplysninger
• At lytte med på samtaler i det offentlige rum
• At efterlade USB-drev og lignende med malware i håbet om, at du samler det op og kobler det til din computer.

De mest benyttede social engineering-angreb er gennem skriftlige henvendelser, som e-mails og SMS. Phishingmails indeholder ofte vedhæftede filer eller links, som kan aktivere malware eller føre til, at vi uforvarende deler fortrolige eller følsomme oplysninger såsom login- og bankoplysninger. SMS’er indeholder oftest kun et link.

Social engineering kan også ske via sociale medier og beskedtjenester. Hvis angrebene sker via medarbejdernes private computer eller mobiltelefon, er det svært for organisationen at sætte tekniske værn op, der hjælper med at stoppe det. Det er derfor en god idé at opfordre medarbejdere til selv at være på vagt og forholde sig kritisk til uopfordrede henvendelser

.

Når en angriber bruger opkald til at udføre et social engineering-angreb kaldes det ”vishing” (voice phishing). Ved et vishing-angreb ringer og udgiver angriberen sig fx for at være fra IT-afdelingen, en samarbejdspartner eller myndighed. Formålet er at få informationer som adgangskoder eller få os til at udføre handlinger, som kompromitterer sikkerheden. I forbindelse med vishing kan angriberen gøre brug af spoofing, hvor det telefonnummer, der vises på offerets telefon manipuleres, så det ser ud som om, at opkaldet kommer fra en legitim kilde.

Vishing er en af de angrebsformer, der er steget markant med fremkomsten af AI. AI kan i dag bistå angriberen med at producere deepfakes i form af kloning af stemmer, som får henvendelsen til at fremstå mere troværdig.

Virtuelle mødeplatforme som fx Teams og Zoom benyttes ligeledes til at foretage social engineering angreb. Angrebskanalen fungerer godt, fordi en falsk besked via en virtuel mødeplatform kan virke meget troværdig. Den bruger det velkendte logo og design, hvilket får beskeden til at ligne en legitim besked, der kommer inde fra organisationen.

Henvendelser over virtuelle mødeplatforme kan have varierende formål. Det kan fx være falske mødeindkaldelser med henblik på at lokke loginoplysninger eller andre fortrolige oplysninger ud af dig. Målet kan også være at anmode om fjernadgang under dække af at være fra IT-afdelingen eller at få dig til at klikke på skadelige links i chatfunktionen.

Social engineering-angreb kan også ske via fysiske QR-koder. Angribere benytter her ophæng af fysiske plakater og klistermærker som indgang til at etablere kontakt til offeret.

Målet er at få forbipasserende til at scanne koden, der foregiver at komme fra en troværdig afsender. Herefter ledes du videre til en falsk – men tilsyneladende legitim – hjemmeside, hvor du bliver bedt om at indtaste dine loginoplysninger, eller hvor malware kan blive installeret på din enhed (mobiltelefon, tablet, computer mm.).

Internetsider bruges som angrebskanal på forskellige måder. Et såkaldt vandhulsangreb er, når en angriber kompromitterer en specifik hjemmeside, som en bestemt målgruppe hyppigt besøger. Når du tilgår hjemmesiden, installeres malware på din computer, uden du lægger mærke til det. Angrebet er en form for passiv social engineering, da angriberen venter på, at du besøger hjemmesiden.

”ClickFix” er en nyere angrebsform. ClickFix angreb udnytter, at vi alle som brugere af internettet er opdraget til at foretage visse handlinger for at afhjælpe en udfordring eller gennemføre et valideringstjek. Når du besøger en hjemmeside, foregiver et ClickFix angreb, at der er et problem i browseren, som du skal fixe, inden du kan komme videre. Du bliver herefter guidet til at åbne din terminal/PowerShell på computeren og indsætte en command, der fx installerer og eksekverer malware. Angrebsformen er snedig, fordi systemet accepterer handlingen, når anmodningen kommer fra dig selv.

I denne fase beslutter angriberen, hvor fokuseret og målrettet angrebet skal være. Skal det fx rettes mod en bestemt organisation eller person?

I rekognosceringsfasen indsamler angriberen informationer, som bruges til at forberede angrebet. Ved et målrettet angreb kan oplysningerne fx bruges til at udvikle en dækhistorie eller lave en profil af den person eller organisation, angrebet er rettet imod. Rekognoscering kan foregå på forskellige tidspunkter i processen.

Forberedelse af et angreb indebærer bl.a. udarbejdelse af en dækhistorie samt materialer, som skal bruges til angrebet. Herudover skal angriberen beslutte ad hvilken kanal, angrebet skal foregå. Hvis angrebet foregår digitalt, kan det fx indebære teknisk opsætning og kodning af falske hjemmesider, links og andet indhold, som indgår i den indledende kontakt til offeret. Hvis målet er at få fysisk adgang til sikrede områder og bygninger, kan det fx være fremstilling af falske adgangskort eller andre materialer, som kan gøre det nemmere at få fysisk adgang til målet.

I kontaktfasen etablerer angriberen kontakt og forsøger at engagere offeret. Det gøres ofte gennem et påskud eller en dækhistorie. Det kan fx være at udgive sig for at være en medarbejder fra IT-afdelingen, som skal løse et problem. Kontakt er den indledende fase til selve angrebet, hvor der sættes en fælde op.

I denne fase benytter angriberen forskellige psykologiske og sociale mekanismer til at manipulere offeret til at foretage handlinger, der understøtter angriberens mål. Denne fase kan også være led i rekognoscering og kan gentages alt efter, hvor succesfuld man er i at opnå målet for kontakten.

Når angriberen har opnået adgang eller installeret malware, bruges dette til at bevæge sig videre ind i systemet for bl.a. at hente yderligere data, etablere langvarig kontrol eller foretage pengetransaktioner. På dette tidspunkt er den menneskelige faktor ofte overstået, og angrebet udvikler sig i en mere teknisk retning.

Hvis der er tale om fysisk adgang, kan angriberne også stjæle eller gøre skade på tekniske installationer, bygninger eller andre værdifulde genstande.

• Gør medarbejdere bekendte med gængse angrebsscenarier og de psykologiske mekanismer, som angriberne udnytter til social engineering, så de bedre kan identificere, forstå og håndtere forsøg på manipulation
• Træn medarbejdere i at stoppe op og tjekke en ekstra gang, hvis noget virker mistænksomt. Træn kritisk tænkning gennem teknikker og huskeregler, som hjælper medarbejderne med at veje for og imod, før de reagerer på henvendelser. Det kan fx være tænk-pause-reglen, hvor du tager en 10-sekunders pause, før du godkender en anmodning om at dele oplysninger eller klikke på et link. En anden teknik er at spørge andre i tvivlstilfælde eller stoppe op og overveje, om du er helt sikker på, at henvendelsen er legitim, eller om du eksempelvis er tilbøjelig til at hjælpe, fordi vedkommende fremstår sympatisk
• Træn medarbejdere i, hvad de skal gøre, hvis de oplever noget mistænkeligt. Tvivl er i sig selv grund nok til at handle
• Træn medarbejdere i organisationens processer for hændelseshåndtering og beredskab, så de ved, hvad de skal gøre, når det går galt
• Træn medarbejdere i organisationens processer for fysisk adgangskontrol, fx så gæster bliver fulgt rundt i sikrede områder, og uvedkommende ikke lukkes ind
• Hav fokus på medarbejdere, som er i særlig risiko for social engineering angreb, fx hvis de har adgang til kritisk it-infrastruktur eller fortrolige informationer eller arbejder i økonomifunktioner. Udpeg evt. relevante medarbejdere til yderligere opkvalificering og uddannelse
• Brug forsøg på social engineering mod organisationen aktivt som eksempler i træningen af medarbejdere. Det gør truslen mere konkret og virkelig.

• Etabler en tydelig og enkel kanal til at rapportere mistænkelig adfærd og hændelser i organisationen. Fx én knap i mailsystemet, genveje på skrivebordet, et telefonnummer eller en dedikeret mailadresse
• Etabler en systematik for feedback og giv en kort og hurtig tilbagemelding på, hvordan indmeldingen blev håndteret, så medarbejderen oplever, at indsatsen gør en forskel. Gør det klart, at rapportering af mistanke om social engineering er vigtige bidrag til organisationens sikkerhed.

• Lav tydelige og handlingsanvisende processer særligt på områder, hvor der er høj risiko for social engineering, fx håndtering af betalinger og overførsel af penge. Det gør det lettere for medarbejderne at handle korrekt under pres og styrker opmærksomheden på situationer, som afviger fra normalen.

• Implementer fysisk adgangskontrol, som sikrer, at det kun er de rette mennesker, der har adgang til udvalgte områder eller bygninger
• Implementer fundamentale tekniske sikkerhedstiltag, fx identitets- og adgangsstyring, monitorering og end point-beskyttelse. Tekniske sikkerhedstiltag kan medvirke til både at minimere risikoen for, at medarbejdere bliver udsat for social engineering og konsekvensen, hvis angrebet lykkedes.

• Psykologisk tryghed er en forudsætning for en stærk sikkerhedskultur. Sørg for, at medarbejdere kan indrapportere mistænkelige hændelser uden frygt for negative konsekvenser eller udskamning og kommunikér det tydeligt ud i organisationen
• Tag stilling til, hvordan organisationen håndterer situationer, hvor en medarbejder bliver offer for et social engineering angreb og sørg for tydelig hjælp og støtte til den berørte medarbejder
• Når det går galt, så saml op og lær af hændelsen. Det gør organisationen mere modstandsdygtig over for nye angreb.