Sosial manipulering er en type svindel som baserer seg på sosiale, ikke digitale, signaler. Svindlere bruker inngående kunnskap om bedriften din, de ansatte, prosjektene dine og mer, til å overbevise deg om å gi dem en tilbakestilling av passord eller godkjenne en betaling. De kombinerer ofte denne kunnskapen med hastverk, og oppfordrer deg til å ta en rask avgjørelse.

Ingen liste over faresignaler forbereder noen på det, fordi manipuleringen ikke skjer via teknologi. Den skjer i hodet på noen mens de tar en beslutning.

Vi har allerede dekket hva sosial manipulering er på et grunnleggende nivå: definisjonene, de vanlige angrepskategoriene, den overordnede mekanikken bak manipulasjonsbaserte angrep kontra rent tekniske angrep. Å bygge et effektivt program for sikkerhetsbevissthet, hvordan du strukturerer opplæring, fastsetter hyppighet og måler om noe av det fungerer, er et eget emne vi også har skrevet om.

Denne artikkelen plasserer seg midt imellom de to. Fremfor definisjoner eller programutforming handler den om hva opplæringen av de ansatte faktisk må inneholde: de psykologiske mekanismene angripere benytter seg av, og hvordan reell motstandskraft ser ut når noen står midt i situasjonen i stedet for å lese om den på en lysbildevisning.

Hvorfor sosial manipulering fungerer: seks virkemidler, én blindflekk

Sosial manipulering lykkes ikke fordi ansatte er uforsiktige. Det lykkes fordi det låner snarveier som menneskehjernen bruker hver dag for å ta vanlige avgjørelser raskt, og deretter retter dem mot feil mål. Robert Cialdinis forskning på overtalelse identifiserte syv av disse snarveiene for flere tiår siden, og seks av dem beskriver nesten alle forsøk på sosial manipulering en bedrift vil støte på:

  • Gjensidighet
  • Knapphet
  • Autoritet
  • Konsistens
  • Sosialt bevis
  • Fellesskap

Autoritet

Svindlere lener seg oftest på autoritet. Folk etterkommer raskere en forespørsel som ser ut til å komme fra en leder, en IT-administrator eller et eksternt organ som en tilsynsmyndighet eller leverandør, ofte uten å sjekke om denne autoriteten er reell.

Hastverk

Hastverk forsterker det: en tidsfrist, en låst konto eller en betaling som må sendes før banken stenger, presser folk mot handling og bort fra verifisering, fordi det å ta en pause for å sjekke føles som om det kan forårsake akkurat det problemet angriperen truer med.

Knapphet

Knapphet fungerer på samme måte i en annen drakt: et tidsbegrenset tilbud, et engangsvindu for tilgang, en melding som antyder at nøling betyr at man går glipp av noe.

Sosialt bevis

Sosialt bevis overbeviser folk om at en forespørsel er legitim fordi andre tilsynelatende allerede har godtatt den: «resten av økonomiavdelingen har allerede godkjent dette», eller en tråd som ser ut som en ekte intern samtale. Likbarhet utnytter tillit og kjemi: en angriper som er vennlig, gir komplimenter eller virker kjent med kontorkulturen, senker offerets skuldre rett og slett ved å være hyggelig å forholde seg til.

Gjensidighet

Gjensidighet er det mest subtile av de seks: en liten tjeneste, tilsynelatende nyttig informasjon eller et kompliment som gis først, noe som skaper en mild, ofte ubevisst følelse av forpliktelse til å gjengjelde handlingen.

Ingen av disse virkemidlene er avanserte. De bygger på de samme instinktene som gjør vanlig samarbeid på arbeidsplassen mulig. Enhver forespørsel som tar i bruk ett eller flere av disse prinsippene, ser ut som en normal, litt hastende forespørsel – den typen folk gjennom hele karrieren er opplært til å svare på raskt og hjelpsomt.

Angrepene ansatte faktisk møter i en forretningssammenheng

De fleste organisasjoner fokuserer på tiltak mot nettfisking, og vi har skrevet om å forsvare seg mot angrep med nettfisking. Men opplæring i sosial manipulering som stopper ved e-post, overser det meste av hva ansatte faktisk står overfor, spesielt på et kontor eller en hybridarbeidsplass der telefonsamtaler, besøkende og fysisk tilgang fortsatt er en del av hverdagen.

Vishing

Stemmenettfisking, eller vishing, er basert på falske telefonsamtaler eller talemeldinger. En innringer kan utgi seg for å være IT-støtte som ber noen bekrefte passordet sitt før en systemoppdatering, en bank som verifiserer en transaksjon, eller et bud som trenger en engangskode for å fullføre en levering.

En persons stemme tilfører et hastverk og en autoritet som tekst ikke kan etterligne like overbevisende, og det er nettopp derfor det forblir effektivt, selv mot personer som anser seg som oppmerksomme på e-poster med nettfisking. Angripere bruker også i økende grad verktøy for stemmekloning for å imitere stemmen til en ekte kollega eller leder, noe NCSC har fremhevet som en økende risiko(nytt vindu) for både enkeltpersoner og organisasjoner. Vi har også skrevet om forebygging av deepfakes.

Pretexting

Pretexting innebærer å dikte opp en historie som en angriper deretter bruker til å rettferdiggjøre en uvanlig forespørsel. De kan utgi seg for å være en ny leverandør som trenger kontodetaljer for å opprette en betaling, en revisor som ber om tilgangslogger, eller en jobbsøker som ber en HR-kontakt om å bekrefte personopplysninger i forbindelse med en bakgrunnssjekk.

Scenarioet bygges ofte opp av små biter offentlig tilgjengelig informasjon, for eksempel en stillingstittel og et leverandørnavn satt sammen for å høres troverdig ut.

Baiting

Baiting tilbyr noe en ansatt ønsker seg: en gratis ressurs, en USB-stasjon eller harddisk med firmalogo, et dokument med tittelen «Lønnsgjennomgang Q3», i bytte mot en handling som kompromitterer en enhet eller konto. Det fungerer fordi det ikke ber om tillit slik en e-post med nettfisking gjør; det stoler på at nysgjerrigheten gjør overtalelsesjobben i stedet.

Tailgating

Tailgating, eller «ryggsekking», er det eneste angrepet på denne listen som ikke har noe med en skjerm å gjøre. En angriper følger en ansatt gjennom en adgangskontrollert dør, ofte mens de bærer på esker, har på seg noe som ligner en uniform, eller rett og slett timer ankomsten til et øyeblikk der det er høflig å holde døren åpen. Det utnytter høflighet på arbeidsplassen direkte, og det er grunnen til at opplæring i fysisk sikkerhet ofte blir oversett i programmer som utelukkende er bygget rundt innbokser.

Hvordan motstandskraft mot angrep med sosial manipulering faktisk ser ut

Å bare be ansatte om å «være mer mistenksomme» holder ikke under reelt press. Mistenksomhet er en følelse, og angripere prøver spesifikt å overstyre den. Opplæringen må erstatte den vage instruksen med spesifikk, repeterbar atferd som ikke avhenger av at noen oppdager at de blir manipulert i øyeblikket.

Verifiser alltid

Verifisering gjennom en separat kanal er den aller mest nyttige vanen en bedrift kan innføre. Hvis en forespørsel kommer på e-post, må du bekrefte den via telefon eller personlig, ved hjelp av et nummer eller en kontakt du allerede har lagret, i stedet for et som er oppgitt i selve meldingen. Denne ene vanen avverger en stor andel av forsøk på identitetstyveri, uansett hvor overbevisende den første henvendelsen var, fordi den fjerner angriperens kontroll over verifiseringstrinnet.

Senk tempoet

Hastverk må behandles som et signal om å senke tempoet, ikke en grunn til å hoppe over et trinn. Ansatte bør læres opp til å legge merke til når en forespørsel presser dem til å prioritere fart over rutiner, fordi det presset sjelden er tilfeldig. En legitim forespørsel som virkelig haster, tåler en to minutters verifiseringssamtale; en som ikke tåler den forsinkelsen, bør behandles med mistenksomhet, uansett hvem den ser ut til å komme fra.

Få bekreftelse

Forespørsler om økonomi og påloggingsinformasjon bør kreve en annen persons bekreftelse som standardpraksis, ikke som et unntak forbeholdt store transaksjoner. Dette fjerner det sosiale presset en angriper er avhengig av når de isolerer en enkelt ansatt og ber vedkommende handle alene, og det gir den ansatte en enkel, skyldfri måte å si «la meg sjekke med noen» på, uten å virke uhjelpsom eller mistroisk.

Rapporter nesten-hendelser

Rapportering av nesten-hendelser slutter sirkelen. En ansatt som etterkom en del av en forespørsel, nølte, men ga etter til slutt, eller senere innså at noe føltes galt, bør oppmuntres til å rapportere det selv i etterkant, og selv om ingenting ser ut til å ha gått galt. Disse rapportene er ofte den tidligste advarselen en bedrift får om at den er et mål, og de kommer bare til overflaten i en kultur der rapportering ikke fører til flause eller skyld.

Det samme instinktet gjelder så snart penger eller data faktisk har blitt flyttet: Action Fraud(nytt vindu), Storbritannias nasjonale rapporteringssenter for svindel og nettkriminalitet, eksisterer fordi jo tidligere en hendelse rapporteres, desto mer nyttig er det for alle andre som er mål for det samme mønsteret.

Hvorfor lysbilder ikke bygger motstandskraft, men simulering gjør det

Å lese om de seks virkemidlene for overtalelse er nyttig for kontekstens del, men det endrer ikke hvordan noen oppfører seg under reelt press, like lite som det å lese om en brannøvelse forbereder noen på å finne nærmeste nødutgang. Motstandskraft mot manipulering er en innøvd ferdighet, ikke et faktum man husker fra en lysbildevisning, og det er derfor den mest effektive opplæringen i sosial manipulering er basert på simulering fremfor bare instruksjon.

Effektiv simulering utsetter de ansatte for en realistisk versjon av det presset de faktisk vil møte: en simulert leverandørsamtale med forespørsel om kontoendringer, en oppdiktet hasteforespørsel fra noen som utgir seg for å være en leder, eller en iscenesatt besøkende som ber om å bli sluppet inn gjennom en sikker dør, og gir deretter umiddelbar, spesifikk tilbakemelding i stedet for bare bestått/ikke bestått.

Målet er å la de ansatte oppleve presset i trygge omgivelser, legge merke til hvilket virkemiddel som ble brukt, og bygge instinktet til å ta en pause og verifisere før det virkelig gjelder.

Vanskelighetsgraden bør øke gradvis, og scenariene bør gjenspeile reelle roller. Noen i økonomiavdelingen møter andre påskudd enn noen i resepsjonen, og øvelsen bør avsluttes med en gjennomgang som forklarer mekanismen som ble brukt, ikke bare om personen besto eller ikke.

Riktig utført gjør simulering de seks psykologiske virkemidlene til forståelige og gjenkjennelige konsepter som de ansatte kan identifisere, noe som er hele poenget med opplæring utformet for å holde stand utenfor klasserommet.

Opplæring av mennesker, ikke bare retningslinjer

Sosial manipulering lykkes ved å rette seg mot instinkter som gjør vanlig teamarbeid mulig: tillit til autoriteter, reaksjon på hastverk, ubehaget ved å stille spørsmål ved noen som virker overordnet eller vennlig. Opplæring som bare definerer disse angrepene eller lister opp kategoriene deres, etterlater de ansatte like utsatt som før, fordi det å gjenkjenne en definisjon og det å gjenkjenne et faktisk manipuleringsforsøk i sanntid er to helt forskjellige ferdigheter.

En læreplan som navngir de seks psykologiske virkemidlene, går gjennom hvordan vishing, pretexting, baiting og tailgating faktisk utspiller seg på arbeidsplassen, og gir ansatte konkrete, innøvde handlingsmønstre (verifiser separat, behandle hastverk som et faresignal fremfor en tidsfrist, involver en person til, rapporter selv nesten-hendelsene), gir folk noe de faktisk kan bruke under press.

Kombinasjonen av forsterkning gjennom simulering fremfor lysbilder, støttet av unike passord og MFA som begrenser hva et vellykket forsøk kan nå, er det som forvandler bevissthet til motstandskraft.

Ingen av dette erstatter arbeidet med å bygge selve opplæringsprogrammet: hyppighet, struktur, hvor ofte det gjentas, og hvordan du måler om det gir resultater. Det er dette den tilhørende veiledningen vår om å bygge et program for sikkerhetsbevissthet dekker. Det som hører hjemme her, er laget under programmet: psykologien de ansatte faktisk står overfor, og de spesifikke, innøvde vanene som holder stand når presset er reelt snarere enn hypotetisk.

Et team som kan sette ord på en overtalelsestaktikk mens den brukes mot dem, og som vet nøyaktig hvilken annen person de skal kontakte før de handler, er et vesentlig vanskeligere mål enn et team som bare har fått beskjed om å være på vakt. Det er dette gapet du kan lukke med denne typen opplæring.

Koblingen til påloggingsinformasjon: Hvorfor skadebegrensning fortsatt er viktig etter en feil

Opplæring reduserer hvor ofte sosial manipulering lykkes, men det kan ikke redusere tallet til null. Et program bygget med det målet vil alltid mislykkes. Noen vil på et eller annet tidspunkt oppgi et passord over telefonen, klikke seg gjennom en falsk påloggingsside eller bekrefte detaljer de ikke burde ha bekreftet. Det som begrenser skaden på det tidspunktet er ikke bevissthet – det er tilgangskontrollene som allerede var på plass før samtalen startet.

Påloggingsinformasjon som er stjålet gjennom sosial manipulering, er langt mindre nyttig for en angriper hvis den er unik for én enkelt tjeneste og beskyttet av flerfaktorautentisering (MFA). Unike passord forhindrer at kompromittert påloggingsinformasjon gjenbrukes for å få tilgang til andre tjenester, mens MFA kan forhindre at det stjålne passordet alene gir tilgang til selve kontoen det tilhører.

Dette er den samme skadebegrensningslogikken som dekkes i veiledningene våre om å bygge en sterk sikkerhetskultur på arbeidsplassen og opprette robuste retningslinjer for passord, og det er verdt å gjenta her fordi sosial manipulering og passordhygiene vanligvis behandles som separate problemer, når de egentlig er to stadier av samme angrep.

En passordapp for bedrifter som Proton Pass for Business gjør slik skadebegrensning realistisk å opprettholde i stor skala, i stedet for noe som avhenger av at enkelte ansatte husker å følge retningslinjene.

Når påloggingsinformasjon lagres, genereres og deles sikkert gjennom et administrert passordhvelv i stedet for hukommelse, nettlesere eller regneark, slutter et enkelt vellykket forsøk på sosial manipulering å være en snarvei inn til alle systemer en ansatt har tilgang til.

Proton Pass for Business gjør administrasjon av påloggingsinformasjon enkelt for alle teammedlemmer, ikke bare IT-teamet ditt:

Reduser teamets eksponering for sosial manipulering med en sikker passordapp for bedrifter.