Social engineering: Slik forebygger du angrep på ditt selskap
Social engineering er en angrepsmetode der angripere manipulerer mennesker i stedet for systemer for å få tilgang til sensitiv informasjon. I stedet for å hacke seg inn utnytter de menneskelige atferder som tillit, stress og respekt for autoritet. Vanlige teknikker inkluderer falske IT-supportsamtaler, phishing-eposter og å skape kaos for å presse fram raske beslutninger.
I denne artikkelen går vi gjennom hvordan et moderne social engineering-angrep kan se ut, hvorfor disse angrepene øker, og hva ditt firma konkret kan gjøre for å bygge et sterkere forsvar: en menneskelig brannmur.
Det nye angrepet: Fra overbelastet innboks til full tilgang
Vi har alle fått dem. Mer eller mindre overbevisende e-poster som oppfordrer til handling. Logg inn, send kortopplysninger, klikk her. Målet er alltid det samme, å manipulere mottakeren til å gi fra seg informasjon som gir tilgang til bedriften din.
Men dagens trusselbilde er mer sofistikert, og angrepene utvikler seg utover det klassiske "Klikk på lenken"-oppsettet. Dette er et eksempel på et svindelscenario i tre trinn som skaper kaos og forvirring som trusselaktører kan utnytte:
Trinn 1: Skap kaos og stress.
Angriperen starter ikke med en phishing-e-post. I stedet bruker de medarbeiderens e-post for å spamme offerets innboks med hundrevis av abonnementer og nyhetsbrev. Innboksen blir ubrukelig, og medarbeideren blir stresset.
Trinn 2: Utgi seg for å være løsningen.
Midt i kaoset blir offeret kontaktet av en "IT-support" via en profesjonelt utformet, men falsk, Teams-konto. Angriperen tilbyr seg å hjelpe med spam-problemet de selv har skapt.
Trinn 3: Utnytt viljen til å få hjelp.
Den stressede medarbeideren, som er takknemlig for hjelpen, lures til å gi angriperen fjernstyrt tilgang til sin datamaskin via et innebygd, legitimt verktøy som "Quick Assist". Ingen mistenkelige filer trenger å lastes ned.
Resultatet blir at angriperen får full kontroll over datamaskinen, kan stjele data, installere permanente bakdører og bevege seg videre i nettverket.
Med bedre tekniske sikkerhetsløsninger på plass skifter angripernes fokus til deres ansatte.
Psykologien bak angrepet: Hvorfor fungerer sosial manipulering så bra?
Det finnes flere grunner til at disse angrepene er så vellykkede og hvorfor de øker akkurat nå. Dels handler det om at mange bedrifter har begynt å innse risikoen som en forsømt cybersikkerhet innebærer. Med bedre tekniske sikkerhetsløsninger på plass skifter angripernes fokus til deres medarbeidere.
Angriperne vet hvilke menneskelige sårbarheter de skal trykke på for å få en reaksjon. Det kan handle om:
- Autoritet. De utgir seg for å være noen med rett til å hjelpe, som en IT-support, eller kreve noe som en sjef.
- Hastverk og stress. Gjennom å skape et problem, som i dette tilfellet en overbelastet innboks, skapes en følelse av at det må løses nå.
- Tillit. Vår innebygde vilje til å stole på og samarbeide med kolleger utnyttes. En høy tillitskultur er en styrke som kan bli en sårbarhet.
Her blir alle et mål. Det handler ikke bare om å lure økonomiavdelingen. Også medarbeidere uten høye rettigheter kan manipuleres for å gi fra seg små puslebiter av informasjon som samlet åpner døren for et større angrep.
Det handler om mer enn en årlig opplæring og memoriserte regler, det handler om langsiktig kulturbygging
Beskytt bedriften din mot sosial manipulering: bygg en menneskelig brannmur
Dette krever en konkret, strukturert handlingsplan for hvordan bedrifter kan styrke sitt forsvar mot sosial manipulering. Det handler om mer enn en årlig opplæring og innlærte regler, det handler om langsiktig kulturbygging. Her er noen spørsmål å starte med:
-
Holdninger. Hvordan føler ansatte om sikkerhet? Ser de det som relevant for sitt arbeid?
- Atferd. Hvilke synlige handlinger gjør de for å beskytte informasjon? Låser de datamaskinen, tør de å stille spørsmål ved mistenkelige e-poster?
- Kognisjon. Forstår de trusselbildet, risikoene og hvorfor beskyttelsestiltak finnes?
- Kommunikasjon. Hvor effektivt deles sikkerhetsinformasjon? Er det enkelt å rapportere hendelser?
- Regeloverholdelse. Hvor godt følges etablerte regler og retningslinjer?
- Normer. Hva er «normal» atferd i et team? Er det greit å slurve eller forventes det at man er nøye?
- Ansvar. Hvor tydelig er det hvem som har ansvar for hva når det gjelder informasjonssikkerhet?
Ledelsens rolle i å motvirke sosial manipulering
Det er greit å ikke ha svar på alle spørsmål i dag. Men det er på tide å begynne å tenke. Her spiller ledelsen en avgjørende rolle. Sikkerhet kan ikke bare delegeres helt til IT-avdelingen. Ledelsens engasjement og synlige støtte er grunnpilarer for en sterk sikkerhetskultur. En kultur der det verdsettes å stille spørsmål og rapportere mistenkelige hendelser, uten frykt for å gjøre feil eller forstyrre.
Målet er å gjøre denne sikre atferden til en naturlig og forventet del av de ansattes hverdag. Angriperne ser dem som sin største mulighet. Sørg for å gjøre dem til deres sterkeste forsvar. Invester i kulturen deres i dag, før angriperne utnytter den i morgen.
5 vanlige spørsmål og svar om sosial manipulering
- Hva er sosial manipulering innen IT-sikkerhet?
Sosial manipulering er en manipulasjon der angripere utnytter menneskelige atferder, som tillit, stress eller respekt for autoritet, for å lure ansatte til å gi fra seg informasjon eller gi tilgang til systemer. - Hvordan skiller sosial manipulering seg fra phishing?
Phishing er en type sosial manipulering som skjer via e-post. Sosial manipulering er det bredere begrepet og kan også skje via for eksempel telefon, sms, Teams eller fysiske møter. - Hvorfor øker sosial manipuleringsangrep?
Når selskaper investerer i bedre tekniske beskyttelser, sikter angripere i stedet inn mot den menneskelige faktoren. Ansatte blir det nye angrepsflaten. - Hvordan beskytter man sitt selskap mot sosial manipulering?
Ved å bygge en sikkerhetskultur med tydelige rutiner, kontinuerlig opplæring, åpen kommunikasjon og et lederskap som prioriterer og synliggjør sikkerhetsspørsmål. - Hvilke ansatte er mest utsatt for sosial manipulering?
Alle kan være mål. Selv ansatte uten høye tillatelser kan manipuleres til å gi fra seg informasjon som åpner døren for større angrep.
