Social engineering

Social engineering is het manipuleren van mensen om toegang, gegevens of een betaling los te krijgen: de aanvaller valt niet het systeem aan, maar de persoon die het systeem bedient. Techniek speelt hooguit een bijrol, het draaipunt is vertrouwen.

Wat betekent het

De basis is het pretext, het verzonnen verhaal waarin de aanvaller een rol speelt die om medewerking vraagt. Een nieuwe medewerker die zijn telefoon kwijt is, een leverancier met een spoedfactuur, iemand die belt namens een directielid. Daar komen twee hefbomen bij: autoriteit, waardoor tegenspraak ongemakkelijk voelt, en urgentie, waardoor er geen tijd lijkt te zijn om iets na te trekken. Beide dienen hetzelfde doel, namelijk het overslaan van de normale controle.

Twee routes verdienen bijzondere aandacht. De eerste is de servicedesk. Wie een medewerker overtuigend genoeg nabootst, laat daar een wachtwoord resetten of een methode voor multifactorauthenticatie (MFA) op een nieuw toestel registreren, en beschikt daarna over een volledig geldige toegang in plaats van een gestolen wachtwoord. De tweede is MFA-fatigue: een aanvaller die het wachtwoord al heeft, stuurt pushmeldingen tot het slachtoffer er een wegklikt, soms met een telefoontje van de zogenaamde helpdesk erbij om de meldingen te verklaren.

Waarom het ertoe doet

Tegen een overtuigend telefoongesprek bestaat geen patch, en bewustwording alleen houdt geen stand tegen iemand die zijn verhaal vooraf heeft geoefend. Wat wel werkt, is proces. Leg vast welke handelingen gevoelig zijn, zoals een wachtwoordreset, een nieuwe MFA-registratie of een gewijzigd rekeningnummer, en sta die alleen toe na verificatie via een tweede, bekend kanaal. Maak die verificatie zelf bestendig: bevestiging door de leidinggevende of een geregistreerde passkey is sterker dan een geboortedatum of een personeelsnummer, want dat soort gegevens staat vaak al in een datalek. Geef medewerkers bovendien expliciet het recht om die stap altijd te zetten, ook tegenover een bestuurder. Sluit af met een meldcultuur: wie meldt dat hij er bijna is ingetrapt, hoort dank te krijgen en geen verwijt, want een snelle melding is vaak het verschil tussen een incident en een inbraak.

Voorbeeld

De groep die bekendstaat als Scattered Spider laat zien hoe ver dit reikt. Bij meerdere grote organisaties belden de aanvallers de servicedesk, deden zich voor als een medewerker en vroegen om een wachtwoordreset en om registratie van een nieuwe MFA-methode. In die gevallen liep de toegang via de voordeur, met legitieme accounts, zonder dat er een softwarekwetsbaarheid aan te pas hoefde te komen. De FBI en CISA beschrijven deze werkwijze in een gezamenlijk advies.