Social engineering er en form for svindel, der bygger på sociale frem for digitale signaler. Svindlere bruger indgående kendskab til din virksomhed, dine medarbejdere, dine projekter med mere til at overbevise dig om at give dem en nulstilling af en adgangskode eller godkende en betaling. De kombinerer ofte denne viden med en følelse af hastværk, hvilket tilskynder dig til at træffe en hurtig beslutning.

Ingen liste over advarselssignaler ruster en til det, for manipulationen sker ikke via teknologi. Den sker i hovedet på personen, mens vedkommende træffer en beslutning.

Vi har allerede dækket, hvad social engineering er på et grundlæggende niveau: definitionerne, de almindelige angrebskategorier og de overordnede mekanismer bag manipulationsbaserede angreb versus rent tekniske. At opbygge et effektivt program for sikkerhedsbevidsthed – herunder hvordan man strukturerer træning, fastlægger kadence og måler, om det virker – er et særskilt emne, vi også har skrevet om.

Denne artikel placerer sig mellem de to. Frem for definitioner eller programdesign handler den om, hvad din medarbejdertræning rent faktisk skal indeholde: de psykologiske mekanismer, angribere udnytter, og hvordan reel modstandskraft ser ud, når man står i situationen frem for at læse om det på et slide.

Hvorfor social engineering virker: seks greb, ét blindt punkt

Social engineering lykkes ikke, fordi medarbejdere er skødesløse. Det lykkes, fordi det udnytter genveje, som menneskehjernen dagligt bruger til hurtigt at træffe almindelige beslutninger, og derefter retter dem mod det forkerte mål. Robert Cialdinis forskning i overtalelse identificerede syv af disse genveje for årtier siden, og seks af dem beskriver næsten ethvert forsøg på social engineering, en virksomhed vil støde på:

  • Gengældelse
  • Knaphed
  • Autoritet
  • Konsistens
  • Socialt bevis
  • Fællesskab

Autoritet

Svindlere læner sig oftest op ad autoritet. Folk efterkommer hurtigere en anmodning, der ser ud til at komme fra en leder, en it-administrator eller et eksternt organ som en tilsynsmyndighed eller leverandør, ofte uden at tjekke, om denne autoritet er ægte.

Hastværk

Hastværk forstærker det: En deadline, en låst konto eller en betaling, der skal sendes, før banken lukker, presser folk til handling og væk fra verifikation, fordi en pause for at tjekke føles, som om det kan forårsage netop det problem, angriberen truer med.

Knaphed

Knaphed fungerer på samme måde i en anden forklædning: et tidsbegrænset tilbud, et engangsvindue til adgang, en besked, der antyder, at tøven betyder, at man går glip af noget.

Socialt bevis

Socialt bevis overbeviser folk om, at en anmodning er legitim, fordi andre tilsyneladende allerede har accepteret den – »resten af økonomiafdelingen har allerede godkendt dette« eller en tråd, der ligner en rigtig intern samtale. Sympati udnytter en god relation: En angriber, der er venlig, giver komplimenter eller virker bekendt med kontorkulturen, sænker målets parader blot ved at være behagelig at have med at gøre.

Gengældelse

Gengældelse er det mest subtile af de seks: en lille tjeneste, en tilsyneladende nyttig oplysning eller en kompliment, der gives først, hvilket skaber en mild, ofte ubevidst følelse af forpligtelse til at gengælde handlingen.

Ingen af disse greb er sofistikerede. Det er de samme instinkter, der gør almindeligt samarbejde på arbejdspladsen muligt. Enhver anmodning, der anvender et eller flere af disse principper, ligner en normal, let presserende anmodning – den type, folk gennem hele deres karriere er trænet i at besvare hurtigt og hjælpsomt.

De angreb, medarbejdere reelt møder i en forretningskontekst

De fleste organisationer fokuserer på foranstaltninger mod phishing, og vi har skrevet om at forsvare sig mod phishing-angreb. Men træning i social engineering, der stopper ved e-mail, overser det meste af det, medarbejdere rent faktisk står over for – især på et kontor eller en hybrid arbejdsplads, hvor telefonopkald, besøgende og fysisk adgang stadig er en del af hverdagen.

Vishing

Voice phishing, eller vishing, bygger på falske telefonopkald eller talebeskeder. En opkalder kan udgive sig for at være it-support, der beder nogen om at bekræfte deres adgangskode før en systemopdatering, en bank, der bekræfter en transaktion, eller et bud, der har brug for en engangskode for at gennemføre en levering.

En persons stemme tilfører en følelse af hastværk og autoritet, som tekst ikke kan efterligne overbevisende, og det er netop derfor, det forbliver effektivt – selv mod folk, der anser sig selv for at være opmærksomme på phishing-mails. I stigende grad bruger angribere også stemmekloningsværktøjer til at efterligne en rigtig kollegas eller leders stemme, hvilket NCSC har fremhævet som en voksende risiko(nyt vindue) for både enkeltpersoner og organisationer. Vi har også skrevet om forebyggelse af deepfakes.

Pretexting

Pretexting indebærer at opdigte en historie, som en angriber derefter bruger til at retfærdiggøre en usædvanlig anmodning. Vedkommende kan udgive sig for at være en ny leverandør, der har brug for kontooplysninger for at konfigurere en betaling, en revisor, der anmoder om adgangslogs, eller en jobkandidat, der beder en HR-kontakt om at bekræfte personlige oplysninger til baggrundstjekket.

Scenariet er ofte bygget op af små bidder af offentligt tilgængelige oplysninger, såsom en jobtitel og et leverandørnavn stykket sammen, så det lyder troværdigt.

Baiting

Baiting tilbyder noget, en medarbejder gerne vil have: en gratis ressource, et USB-stik eller en harddisk med firmalogo, et dokument med titlen »Lønregulering Q3«, til gengæld for en handling, der kompromitterer en enhed eller konto. Det virker, fordi det ikke beder om tillid på samme måde som en phishing-mail; det satser i stedet på, at nysgerrigheden klarer overtalelsen.

Tailgating

Tailgating, eller piggybacking, er det eneste angreb på denne liste, der intet har at gøre med en skærm. En angriber følger en medarbejder gennem en dør med adgangskortkontrol – ofte bærende på kasser, iført noget, der ligner en uniform, eller blot ved at time sit fremmøde til et tidspunkt, hvor det er høfligt at holde døren åben. Det udnytter høflighed på arbejdspladsen direkte, hvilket er grunden til, at fysisk sikkerhedstræning ofte bliver overset i programmer, der udelukkende er bygget op omkring indbakker.

Hvordan modstand mod social engineering-angreb rent faktisk ser ud

Bare at bede medarbejdere om at »være mere mistænksomme« holder ikke under reelt pres. Mistanke er en følelse, og angribere forsøger specifikt at tilsidesætte den. Træning skal erstatte denne vage instruktion med specifik, gentagelig adfærd, der ikke afhænger af, at man opdager manipulationen i selve situationen.

Verificer altid

Verifikation via en separat kanal er den mest nyttige vane, en virksomhed kan indføre. Hvis en anmodning ankommer via e-mail, skal den bekræftes telefonisk eller personligt ved hjælp af et nummer eller en kontaktperson, der allerede er registreret, frem for oplysninger opgivet i selve beskeden. Denne ene adfærd afværger en stor del af forsøgene på identitetstyveri, uanset hvor overbevisende den indledende kontakt var, fordi den fjerner angriberens kontrol over verifikationstrinnet.

Sæt farten ned

Hastværk skal behandles som et signal til at sætte farten ned, ikke en grund til at springe et trin over. Medarbejdere bør trænes i at lægge mærke til, hvornår en anmodning presser dem mod tempo frem for proces, for det pres er sjældent tilfældigt. En oprigtigt presserende, legitim anmodning kan sagtens overleve et to minutters verifikationsopkald; en, der ikke kan overleve denne forsinkelse, bør behandles med mistanke, uanset hvem den ser ud til at komme fra.

Få en bekræftelse

Anmodninger om økonomi og legitimationsoplysninger bør som standard kræve en anden persons bekræftelse, ikke som en undtagelse forbeholdt store transaktioner. Dette fjerner det sociale pres, en angriber er afhængig af ved at isolere en enkelt medarbejder og bede vedkommende om at handle alene, og det giver medarbejderen en enkel måde uden skyldfølelse til at sige »lad mig lige tjekke med en kollega« uden at fremstå uhjælpsom eller mistroisk.

Rapportér nærved-hændelser

Rapportering af nærved-hændelser slutter cirklen. En medarbejder, der efterkom en del af en anmodning, tøvede men til sidst gav efter, eller senere indså, at noget føltes forkert, bør opfordres til at rapportere det – selv bagefter, og selvom intet ser ud til at være gået galt. Disse rapporter er ofte den tidligste advarsel, en virksomhed får om, at den er et mål, og de kommer kun frem i en kultur, hvor rapportering ikke medfører forlegenhed eller skyld.

Det samme instinkt gælder, når penge eller data rent faktisk er flyttet: Action Fraud(nyt vindue), Storbritanniens nationale rapporteringscenter for svindel og cyberkriminalitet, eksisterer, fordi jo tidligere en hændelse anmeldes, desto mere nyttigt er det for alle andre, der bliver ramt af det samme mønster.

Hvorfor slides ikke opbygger modstandskraft, mens simulering gør

At læse om de seks overtalelsesgreb er nyttigt for konteksten, men det ændrer ikke på, hvordan man opfører sig under reelt pres – lige så lidt som at læse om en brandøvelse forbereder en på at finde den nærmeste nødudgang. Modstandskraft mod manipulation er en indøvet færdighed, ikke en faktuel viden fra et slidesæt, og derfor bygger den mest effektive træning i social engineering på simulering frem for blot instruktion.

Effektiv simulering udsætter medarbejderne for en realistisk udgave af det pres, de reelt vil møde: et simuleret leverandøropkald, der beder om kontoændringer, en fabrikeret, presserende anmodning fra en, der hævder at være en leder, eller en arrangeret gæst, der beder om at blive lukket ind ad en sikret dør – og giver derefter øjeblikkelig, specifik feedback frem for blot en bestået/ikke bestået-bedømmelse.

Målet er at lade medarbejderne opleve presset i et sikkert miljø, bemærke hvilket greb der blev trukket i, og opbygge et instinkt til at stoppe op og verificere, før det for alvor gælder.

Sværhedsgraden bør stige gradvist, og scenarierne bør afspejle virkelige roller. En medarbejder i økonomiafdelingen møder andre påskud end en i receptionen, og øvelsen bør afsluttes med en debriefing, der forklarer den anvendte mekanisme – ikke blot om personen bestod.

Udført rigtigt forvandler simulering de seks psykologiske greb til forståelige og genkendelige koncepter, som medarbejderne kan identificere, hvilket er hele pointen med træning, der er designet til at holde uden for et undervisningslokale.

Træning af mennesker, ikke kun politikker

Social engineering lykkes ved at udnytte de instinkter, der gør almindeligt teamwork muligt: tillid til autoriteter, reaktion på hastesager og ubehaget ved at stille spørgsmålstegn ved nogen, der virker overordnede eller venlige. Træning, der kun definerer disse angreb eller lister deres kategorier, efterlader medarbejderne præcis lige så udsatte som før, fordi det at genkende en definition og at genkende et reelt manipulationsforsøg er to helt forskellige færdigheder.

Et uddannelsesforløb, der navngiver de seks psykologiske greb, gennemgår hvordan vishing, pretexting, baiting og tailgating rent faktisk kommer til udtryk på en arbejdsplads, og giver medarbejderne konkrete, indøvede handlinger (verificer uafhængigt, behandl hastesager som et advarselssignal frem for en deadline, inddrag en ekstra person, rapportér selv hændelser, der var lige ved at gå galt), giver folk noget, de rent faktisk kan bruge under pres.

Forstærket gennem simulering frem for slides og bakket op af unikke adgangskoder og MFA, der begrænser, hvad et vellykket forsøg kan nå, er denne kombination det, der forvandler opmærksomhed til modstandskraft.

Intet af dette erstatter arbejdet med at opbygge selve træningsprogrammet: kadence, struktur, hvor ofte det gentages, og hvordan du måler, om det virker. Det er det grundlag, vores tilhørende guide om opbygning af et program for sikkerhedsbevidsthed dækker. Hvad der hører til her, er laget under programmet: den psykologi, medarbejderne reelt er oppe imod, og de specifikke, indøvede vaner, der holder, når presset bliver virkeligt i stedet for hypotetisk.

Et team, der kan navngive en overtalelsestaktik, mens den bliver brugt mod dem, og ved præcis, hvem de ellers skal kontakte, før de handler, er et fundamentalt sværere mål end et, der blot har fået besked på at være på vagt. Det er den kløft, du kan lukke med denne type træning.

Forbindelsen til legitimationsoplysninger: Hvorfor inddæmning stadig betyder noget efter en fejl

Træning reducerer, hvor ofte social engineering lykkes, men det kan ikke reducere det tal til nul. Et program bygget med det mål vil altid slå fejl. Nogen vil på et tidspunkt udlevere en adgangskode over telefonen, klikke sig ind på en falsk loginside eller bekræfte en detalje, de ikke burde have bekræftet. Det, der begrænser skaden på det tidspunkt, er ikke opmærksomhed – det er de adgangskontroller, der allerede var på plads, før opkaldet startede.

Legitimationsoplysninger, der er stjålet via social engineering, er langt mindre nyttige for en angriber, hvis de er unikke for en enkelt tjeneste og beskyttet af flerfaktorgodkendelse (MFA). Unikke adgangskoder forhindrer, at kompromitterede legitimationsoplysninger genbruges til at få adgang til andre tjenester, mens MFA kan forhindre, at den stjålne adgangskode alene giver adgang til selv den konto, den tilhører.

Dette er den samme inddæmningslogik, som beskrives i vores guides til opbygning af en stærk sikkerhedskultur på arbejdspladsen og oprettelse af robuste adgangskodepolitikker, og det er værd at gentage her, fordi social engineering og adgangskodehygiejne normalt behandles som separate problemer, når de i virkeligheden er to faser af det samme angreb.

En adgangskodeadministrator til virksomheder som Proton Pass for Business gør denne inddæmning realistisk at opretholde i stor skala, frem for noget, der afhænger af, at individuelle medarbejdere husker at følge politikken.

Når legitimationsoplysninger gemmes, genereres og deles sikkert via en administreret adgangskodeboks i stedet for hukommelse, browsere eller regneark, stopper et enkelt vellykket social engineering-forsøg med at være en vej ind i alle de systemer, en medarbejder berører.

Proton Pass for Business gør administration af legitimationsoplysninger nem for alle teammedlemmer, ikke kun dit IT-team:

Reducer dit teams eksponering for social engineering med en sikker adgangskodeadministrator til virksomheder.