Social engineering is een vorm van oplichting die gebaseerd is op sociale in plaats van digitale signalen. Oplichters gebruiken gedetailleerde kennis over uw bedrijf, uw werknemers, uw projecten en meer om u ervan te overtuigen een wachtwoordreset uit te voeren of een betaling goed te keuren. Ze combineren deze kennis vaak met urgentie om u aan te moedigen snel een beslissing te nemen.

Geen enkele lijst met waarschuwingssignalen bereidt iemand hierop voor, omdat de manipulatie niet via technologie plaatsvindt. Het gebeurt in iemands hoofd op het moment dat er een beslissing wordt genomen.

We hebben al op hoofdlijnen besproken wat social engineering is: de definities, de meest voorkomende aanvalscategorieën en de algemene mechanismen achter op manipulatie gebaseerde aanvallen versus puur technische aanvallen. Het opzetten van een effectief programma voor beveiligingsbewustzijn, hoe u trainingen structureert, de frequentie bepaalt en meet of het werkt, is een apart onderwerp waar we ook over hebben geschreven.

Dit artikel bevindt zich tussen deze twee in. In plaats van definities of het ontwerpen van programma’s, gaat het over wat er daadwerkelijk in de training voor uw medewerkers moet worden opgenomen: de psychologische mechanismen waarop aanvallers vertrouwen en hoe echte weerbaarheid eruitziet wanneer iemand zich in het moment bevindt in plaats van erover te lezen op een dia.

Waarom social engineering werkt: zes hefbomen, één blinde vlek

Social engineering slaagt niet omdat medewerkers onvoorzichtig zijn. Het slaagt omdat het gebruikmaakt van mentale sluiproutes die het menselijk brein dagelijks gebruikt om snel alledaagse beslissingen te nemen, en deze vervolgens op het verkeerde doel richt. Het onderzoek van Robert Cialdini naar beïnvloeding identificeerde decennia geleden zeven van deze principes, en zes daarvan beschrijven vrijwel elke social engineering-poging waarmee een bedrijf te maken krijgt:

  • Wederkerigheid
  • Schaarste
  • Autoriteit
  • Consistentie
  • Sociale bewijskracht
  • Eenheid

Autoriteit

Oplichters vertrouwen meestal op autoriteit. Mensen geven sneller gehoor aan een verzoek dat afkomstig lijkt te zijn van een leidinggevende, een IT-beheerder of een externe instantie zoals een toezichthouder of leverancier, vaak zonder te controleren of die autoriteit echt is.

Urgentie

Urgentie versterkt dit nog eens: een deadline, een vergrendeld account of een betaling die moet worden gedaan voordat de bank sluit, zet mensen aan tot actie en weerhoudt hen van verificatie, omdat even pauzeren om te controleren voelt alsof het juist het probleem kan veroorzaken waarmee de aanvaller dreigt.

Schaarste

Schaarste werkt op dezelfde manier in een ander jasje: een tijdelijke aanbieding, een eenmalig toegangsmoment of een bericht dat suggereert dat aarzelen betekent dat u de boot mist.

Sociale bewijskracht

Sociale bewijskracht overtuigt mensen ervan dat een verzoek legitiem is omdat anderen er blijkbaar al mee akkoord zijn gegaan, zoals “de rest van de financiële afdeling heeft dit al goedgekeurd”, of een discussiedraad die lijkt op een echt intern gesprek. Sympathie maakt gebruik van een goede verstandhouding: een aanvaller die vriendelijk of complimenteus is, of schijnbaar bekend is met de kantoorcultuur, verlaagt de alertheid van het doelwit door simpelweg prettig in de omgang te zijn.

Wederkerigheid

Wederkerigheid is de subtielste van de zes: een kleine gunst, schijnbaar nuttige informatie of een compliment dat eerst wordt gegeven, creëert een mild, vaak onbewust gevoel van verplichting om iets terug te doen.

Geen van deze hefbomen is gecompliceerd. Het zijn dezelfde instincten die normale samenwerking op de werkplek mogelijk maken. Elk verzoek waarin een of meer van deze principes wordt toegepast, ziet eruit als een normaal, ietwat dringend verzoek; het soort verzoek waarop mensen hun hele carrière zijn getraind om snel en behulpzaam te reageren.

De aanvallen waarmee werknemers in een zakelijke context daadwerkelijk te maken krijgen

De meeste organisaties richten zich op maatregelen tegen phishing en we hebben eerder geschreven over de verdediging tegen phishingaanvallen. Maar training in social engineering die ophoudt bij e-mail, mist het grootste deel van waar werknemers daadwerkelijk mee te maken krijgen, vooral in een kantoor- of hybride werkomgeving waar telefoontjes, bezoekers en fysieke toegang nog steeds deel uitmaken van de dagelijkse routine.

Vishing

Voice phishing, of vishing, maakt gebruik van neptelefoongesprekken of spraakberichten. Een beller kan zich voordoen als IT-ondersteuning die iemand vraagt om het wachtwoord te bevestigen vóór een systeemupdate, als een bank die een transactie verifieert, of als een koerier die een eenmalige code nodig heeft om een levering te voltooien.

Iemands stem voegt een gevoel van urgentie en autoriteit toe dat tekst niet overtuigend kan nabootsen. Dit is precies waarom het effectief blijft, zelfs tegen mensen die zichzelf als alert beschouwen voor phishing-e-mails. Aanvallers gebruiken ook steeds vaker tools voor stemklonen om de stem van een echte collega of leidinggevende na te bootsen, wat het NCSC heeft aangemerkt als een groeiend risico(nieuw venster) voor zowel individuen als organisaties. We hebben ook geschreven over preventie van deepfakes.

Pretexting

Bij pretexting wordt een verhaal verzonnen waarmee een aanvaller een ongebruikelijk verzoek rechtvaardigt. Ze kunnen zich voordoen als een nieuwe leverancier die accountgegevens nodig heeft om een betaling in te stellen, een auditor die toegang vraagt tot logboeken, of een sollicitant die een HR-contactpersoon vraagt om persoonlijke gegevens te bevestigen voor de achtergrondcontrole.

Het scenario wordt vaak opgebouwd uit kleine stukjes openbare informatie, zoals een functietitel en een leveranciersnaam, die aan elkaar worden gekoppeld om aannemelijk te klinken.

Baiting

Bij baiting wordt een medewerker iets aangeboden dat aantrekkelijk is: een gratis hulpmiddel, een USB-stick of harde schijf met bedrijfslogo, of een document getiteld ‘salarisevaluatie Q3’, in ruil voor een handeling die een apparaat of account in gevaar brengt. Het werkt omdat het niet om vertrouwen vraagt zoals een phishing-e-mail dat doet; in plaats daarvan vertrouwt het erop dat nieuwsgierigheid het overtuigingswerk doet.

Tailgating

Tailgating, of meeliften, is de enige aanval op deze lijst die niets met een scherm te maken heeft. Een aanvaller loopt achter een medewerker aan door een deur met pasjescontrole, vaak met dozen in de handen, gekleed in iets wat op een uniform lijkt, of door simpelweg het moment af te wachten waarop het beleefd is om de deur open te houden. Het maakt direct misbruik van beleefdheid op de werkplek, en daarom wordt fysieke beveiligingstraining vaak over het hoofd gezien in programma’s die puur zijn gericht op inboxen.

Hoe weerbaarheid tegen social engineering-aanvallen er in de praktijk uitziet

Medewerkers simpelweg vertellen dat ze “achterdochtiger moeten zijn”, houdt onder echte druk geen stand. Achterdocht is een gevoel en aanvallers proberen dit juist doelgericht te omzeilen. Training moet die vage instructie vervangen door specifiek, herhaalbaar gedrag dat er niet van afhangt of iemand op het moment zelf doorheeft dat hij of zij wordt gemanipuleerd.

Verifieer altijd

Verificatie via een afzonderlijk kanaal is de meest waardevolle gewoonte die een bedrijf kan aanleren. Als een verzoek per e-mail binnenkomt, bevestig het dan telefonisch of persoonlijk met behulp van een nummer of contactpersoon die al in het bestand staat, en niet via de gegevens die in het bericht zelf zijn verstrekt. Dit ene gedrag verijdelt een groot deel van de identiteitsfraudepogingen, ongeacht hoe overtuigend het eerste contact was, omdat het de aanvaller de controle over de verificatiestap ontneemt.

Neem de tijd

Urgentie moet worden gezien als een signaal om de tijd te nemen, niet als een reden om een stap over te slaan. Werknemers moeten worden getraind om op te merken wanneer een verzoek hen aanzet tot snelheid ten koste van de procedure, omdat die druk zelden toevallig is. Een echt dringend, legitiem verzoek kan een verificatiegesprek van twee minuten doorstaan; een verzoek dat die vertraging niet kan doorstaan, moet met wantrouwen worden behandeld, ongeacht van wie het afkomstig lijkt te zijn.

Vraag om bevestiging

Verzoeken om financiële gegevens en inloggegevens moeten standaard door een tweede persoon worden bevestigd, en niet als uitzondering die alleen geldt voor grote transacties. Dit neemt de sociale druk weg waarop een aanvaller rekent wanneer deze één medewerker isoleert en vraagt om alleen te handelen. Het geeft die medewerker een eenvoudige manier om te zeggen “ik controleer dit even bij een collega”, zonder onbehulpzaam of wantrouwend over te komen.

Meld bijna-incidenten

Het melden van bijna-incidenten maakt de cirkel rond. Een medewerker die aan een deel van een verzoek heeft voldaan, twijfelde maar uiteindelijk toch meeging, of zich later realiseerde dat er iets niet klopte, moet worden aangemoedigd om dit te melden – zelfs achteraf en zelfs als er ogenschijnlijk niets is misgegaan. Deze meldingen zijn voor een bedrijf vaak de vroegste waarschuwing dat het doelwit is van een aanval, en ze komen alleen naar voren in een cultuur waarin melden niet leidt tot schaamte of verwijten.

Hetzelfde instinct is van toepassing zodra er daadwerkelijk geld of gegevens zijn verplaatst: Action Fraud(nieuw venster), het nationale meldpunt voor fraude en cybercriminaliteit in het Verenigd Koninkrijk, bestaat omdat hoe eerder een incident wordt gemeld, hoe nuttiger dat is voor alle anderen die het doelwit zijn van hetzelfde patroon.

Waarom dia’s geen weerbaarheid opbouwen, maar simulaties wel

Lezen over de zes beïnvloedingsprincipes is nuttig voor de context, maar het verandert niets aan hoe iemand zich onder echte druk gedraagt, net zomin als lezen over een brandoefening iemand voorbereidt op het vinden van de dichtstbijzijnde nooduitgang. Weerbaarheid tegen manipulatie is een vaardigheid die geoefend moet worden, geen feit dat uit een presentatie wordt onthouden. Daarom vertrouwt de beste training in social engineering op simulatie in plaats van alleen op instructie.

Een effectieve simulatie stelt werknemers bloot aan een realistische versie van de druk die ze in de praktijk zullen ervaren: een gesimuleerd telefoontje van een leverancier die om accountwijzigingen vraagt, een verzonnen dringend verzoek van iemand die beweert leidinggevende te zijn, of een in scène gezette bezoeker die vraagt om doorgelaten te worden door een beveiligde deur, en biedt vervolgens onmiddellijke, specifieke feedback in plaats van slechts een voldoende of onvoldoende.

Het doel is om medewerkers het moment van druk in een veilige omgeving te laten ervaren, te zien aan welke hefboom werd getrokken en het instinct op te bouwen om even stil te staan en te verifiëren voordat het er echt toe doet.

De moeilijkheidsgraad moet geleidelijk toenemen en scenario’s moeten echte functies weerspiegelen. Iemand op de financiële afdeling krijgt met andere voorwendsels te maken dan iemand aan de receptie, en de oefening moet eindigen met een evaluatie waarin het gebruikte mechanisme wordt uitgelegd, en niet alleen of de persoon geslaagd is.

Mits goed uitgevoerd, maakt een simulatie van de zes psychologische hefbomen begrijpelijke en herkenbare concepten voor medewerkers, en dat is precies het doel van training die is ontworpen om buiten het klaslokaal stand te houden.

Mensen trainen, niet alleen beleid

Social engineering slaagt door in te spelen op instincten die normaal teamwerk mogelijk maken: vertrouwen in autoriteit, reactie op urgentie en het ongemak om iemand in twijfel te trekken die hoger in rang of vriendelijk overkomt. Training die deze aanvallen alleen definieert of categoriseert, laat medewerkers net zo kwetsbaar als voorheen, omdat het herkennen van een definitie en het herkennen van een daadwerkelijke manipulatiepoging totaal verschillende vaardigheden zijn.

Een lesprogramma dat de zes psychologische hefbomen benoemt, laat zien hoe vishing, pretexting, baiting en tailgating er in een werkomgeving daadwerkelijk uitzien, en medewerkers concrete, geoefende gedragingen aanleert (afzonderlijk verifiëren, urgentie als een waarschuwingssignaal beschouwen in plaats van als een deadline, een tweede persoon inschakelen, zelfs bijna-incidenten melden), geeft mensen iets waar ze onder druk daadwerkelijk wat aan hebben.

Versterkt door simulaties in plaats van dia’s, en ondersteund door unieke wachtwoorden en MFA die beperken waar een succesvolle poging toegang toe heeft, is die combinatie wat bewustzijn omzet in weerbaarheid.

Dit alles vervangt niet het werk van het opzetten van het trainingsprogramma zelf: frequentie, structuur, hoe vaak het wordt herhaald en hoe u meet of het aanslaat. Dat is waar onze aanvullende gids over het opzetten van een security awareness-programma over gaat. Wat hier thuishoort, is de laag onder het programma: de psychologie waar medewerkers daadwerkelijk tegenover staan en de specifieke, geoefende gewoonten die standhouden zodra de druk echt is in plaats van hypothetisch.

Een team dat een overtuigingstactiek kan benoemen terwijl deze op hen wordt toegepast, en precies weet welke tweede persoon moet worden gebeld voordat er actie wordt ondernomen, is een fundamenteel lastiger doelwit dan een team dat simpelweg is verteld alert te blijven. Dat is de kloof die u met dit soort training kunt dichten.

Het verband met inloggegevens: waarom inperking na een fout nog steeds belangrijk is

Training vermindert hoe vaak social engineering slaagt, maar kan dat aantal niet tot nul terugbrengen. Een programma dat met dat doel is opgezet, zal altijd mislukken. Iemand zal ooit telefonisch een wachtwoord doorgeven, doorklikken op een nagemaakte inlogpagina of gegevens bevestigen die niet gedeeld hadden mogen worden. Wat de schade op dat moment beperkt, is niet bewustzijn — het zijn de toegangscontroles die al van kracht waren voordat het gesprek begon.

Inloggegevens die via social engineering zijn buitgemaakt, zijn veel minder nuttig voor een aanvaller als ze uniek zijn voor een enkele dienst en worden beschermd door meervoudige verificatie (MFA). Unieke wachtwoorden voorkomen dat gecompromitteerde inloggegevens worden hergebruikt om toegang te krijgen tot andere diensten, terwijl MFA kan voorkomen dat het gestolen wachtwoord alleen al toegang geeft tot het account waartoe het behoort.

Dit is dezelfde logica van inperking die wordt behandeld in onze gidsen over het opbouwen van een sterke beveiligingscultuur op de werkvloer en het creëren van een robuust wachtwoordbeleid. Het is de moeite waard om dit hier te herhalen, omdat social engineering en wachtwoordhygiëne meestal als afzonderlijke problemen worden gezien, terwijl het in werkelijkheid twee fasen van dezelfde aanval zijn.

Een zakelijke wachtwoordbeheerder zoals Proton Pass for Business maakt die inperking realistisch om op schaal te handhaven, in plaats van dat het afhangt van individuele medewerkers die eraan moeten denken het beleid te volgen.

Wanneer inloggegevens worden opgeslagen, gegenereerd en veilig gedeeld via een beheerde wachtwoordkluis in plaats van het geheugen, browsers of spreadsheets, is een enkele succesvolle social engineering-poging niet langer een toegangspoort tot elk systeem waar een medewerker mee werkt.

Proton Pass for Business maakt het beheer van inloggegevens eenvoudig voor elk teamlid, niet alleen voor uw IT-team:

Beperk de blootstelling van uw team aan social engineering met een veilige zakelijke wachtwoordbeheerder.