Cybersikkerhed: social engineering

Social engineering

Social engineering er en strategi, der anvendes af enkeltpersoner eller grupper til at manipulere og vildlede folk til at afsløre følsomme oplysninger eller udføre handlinger, der bringer deres sikkerhed i fare. Den bygger snarere på psykologi og menneskelig adfærd end på teknisk knowhow.

I et social engineering-angreb udgiver gerningsmanden sig ofte for at være en pålidelig person eller kilde for at vinde offerets tillid. Gerningsmanden bruger taktikker som f.eks. efterligning af andre, overtalelse eller smarte tricks til at indhente værdifulde oplysninger såsom:

• adgangskoder
• økonomiske oplysninger
• adgang til systemer og netværk

Social engineering-angreb kan antage forskellige former. Strategien går ud på at udnytte menneskelige sårbarheder til at nå gerningsmandens mål, hvad enten det drejer sig om at få uautoriseret adgang, stjæle data eller penge.

De forskellige teknikker, der anvendes inden for social engineering

Phishing

Gerningsmanden sender vildledende e-mails, beskeder eller links til websteder, der ser legitime ud, med det formål at få modtagerne til at klikke og udlevere følsomme oplysninger såsom adgangskoder, kreditkortnumre eller personoplysninger.

Spear phishing

Minder om phishing, men er stærkt målrettet. For at være endnu mere overbevisende tilpasser gerningsmanden meddelelser baseret på specifikke oplysninger om offeret.

Baiting

Gerningsmanden tilbyder noget tillokkende, f.eks. gratis software, til gengæld for personlige oplysninger eller systemadgang. Dette kan omfatte inficerede filer eller links.

Pretexting

Gerningsmanden finder på en falsk situation eller et påskud for at få oplysninger. Dette indebærer ofte, at vedkommende giver sig ud for at være en troværdig person, f.eks. en kollega eller en bankmedarbejder.

Vishing

En form for phishing, der foregår via talekommunikation, som regel telefonopkald. Gerningsmanden efterligner pålidelige enheder og overtaler ofrene til at afsløre følsomme oplysninger.

Efterligning

Gerningsmanden udgiver sig for at være en anden, enten online eller personligt, for at vinde tillid og manipulere offeret til at videregive fortrolige oplysninger eller udføre specifikke handlinger.

Angler phishing

Gerningsmanden angriber primært brugere af sociale medier og udnytter ofte populære eller trendførende emner til at skabe vildledende budskaber og få dem til at fremstå som relevante og pålidelige.

Ransomware og afpresning

Gerningsmanden truer med at afsløre følsomme oplysninger eller gribe forstyrrende ind i systemer, medmindre der betales løsepenge. Frygt bruges som tvang over for ofrene.

Beskyttelse mod denne type angreb

Opmærksomhed er dit skjold

Vær opmærksom, og genkend tegnene. Hvis noget føles underligt eller for godt til at være sandt, kan det være svindel.

Tænk, før du klikker

Undgå at klikke på links eller åbne e-mails fra ukendte kilder.

Pas på dine personoplysninger

Del aldrig følsomme oplysninger såsom adgangskoder, kreditkortnumre eller personoplysninger i meddelelser eller e-mails, uanset hvem der beder dig om det.

Brug stærke adgangskoder

Brug unikke, stærke adgangskoder til forskellige konti.

Brug tofaktorgodkendelse

Brug, hvor det er muligt, tofaktorgodkendelse, som beskytter dine onlinekonti med et ekstra lag af sikkerhed

Bekræft identiteten på den person, der ringer op

Hvis nogen kontakter dig og hævder at komme fra en virksomhed eller en organisation, skal du spørge efter dokumentation for vedkommendes identitet eller kontakte organisationen direkte for at kontrollere oplysningerne.

Hold dig orienteret

Vær på forkant med nye svindelmetoder og teknikker.

Hold dig til pålidelige kilder

Download filer hos pålidelige kilder for at undgå malware.

Hvis du bliver offer for et angreb

• underret dine kompetente lokale myndigheder
• skift dine adgangskoder
• brug tofaktorgodkendelse
• scan dine enheder for malware
• advar venner og kolleger om, at dine konti har været udsat for et sikkerhedsbrud

• Kampagne for den europæiske måned for cybersikkerhed (Den Europæiske Unions Agentur for Cybersikkerhed)

Se også