Social engineering

Social engineering

Té nieuwsgierig? Het lijkt zo echt? Te mooi om waar te zijn of je twijfelt écht….. Sommige e-mails die je ontvangt zijn zo overtuigend, dat je er bijna in trapt….. Bijna, want bijna is niet helemaal. Social engineering is de kunst van het manipuleren: het misbruiken van menselijk eigenschappen, zodat je vertrouwelijke informatie geeft aan criminelen. Die informatie is divers: het kan gaan van persoonlijke gegevens zoals wachtwoorden en bankinformatie tot bedrijfsgevoelige informatie of bijvoorbeeld toegang tot (en dus controle over) je computer.

Veiligheid

Social engineering is veel makkelijker dan het hacken van software. Criminelen spelen in op jouw gemoed; op jouw menselijke eigenschappen zoals nieuwsgierigheid, vertrouwen, hebzucht, angst en onwetendheid. Dat doen ze om vertrouwelijke informatie van je los te krijgen. En dus gaat veiligheid alleen maar om wie en wat vertrouw je en wanneer. Het is makkelijker als er iemand recht voor je staat. Je kijkt hem in zijn blauwe ogen of ziet dat zijn neus groeit… Maar wat doe je als je alleen online contact hebt? Of als het om een website gaat? Is het veilig en vertrouwd, of klopt er helemaal niets van? Hoe ziet zo’n sociale aanval eruit?

E-mail van een bekende

Je krijgt een e-mail van een vriend, kennis of collega. Met andere woorden, iemand die je normaal gesproken vertrouwt. Maar die e-mail is gehackt, alleen weet je dat niet. De crimineel heeft zich toegang verschaft tot de mail van de ander en doet zich voor als diegene. En als diegene een al te gemakkelijk wachtwoord gebruikt, is er een grote kans dat de crimineel ook toegang heeft tot alle social media accounts. Op zo’n manier kan hij dus de identiteit van iemand overnemen en lijkt het allemaal echt.

Op zich nog niets aan de hand zou je zeggen. Een e-mail van iemand die je kent. Waar het echt om gaat is dat er in die mail een link zit. Klik je hierop, dan infecteert het jouw computer met malware, zodat de crimineel jouw computer kan overnemen of zich als jou kan voordoen. Hij kan op dezelfde wijze zijn slag slaan, zoals hij jou ook te pakken nam. Als er geen link in staat, heeft de mail misschien een bijgevoegd – te downloaden – document, waarin malware is verstopt.

Maak je de download open – en die kans is groot; de mail kwam tenslotte van iemand die je kent en vertrouwt – dan plaats je daarmee de toegang voor de crimineel tot je computer.

E-mail van een bron die je vertrouwt

Het lijkt op een e-mail van je bank, verzekeraar of ander bedrijf dat je goed kent. De mail is op zo’n wijze opgesteld, dat het volkomen logisch lijkt dat je doorklikt en zo gevoelige persoonlijke informatie prijs geeft. De term die hier bijhoort is ‘phishing’. Dit soort phishing-mails zijn aan het volgende te herkennen. Let dus op, als je mail over één van de volgende onderwerpen gaat:
– Iemand heeft dringend hulp nodig in het buitenland. Er is iets ernstigs gebeurd met diegene (overvallen, in elkaar geslagen of in het ziekenhuis beland). Er is dringend geld nodig om diegene te repatriëren. Of je even een bedrag overmaakt….
– Je krijgt een e-mail, sms (‘smishing’) of bericht van een gerenommeerd bedrijf, bijvoorbeeld je bank, de overheid, de loterij of liefdadigheidsinstelling. Je bent nieuwsgierig, dus….
– Je krijg een probleem voorgeschoteld met de vraag om dit te verifiëren door te klikken op een betreffende link.
– Je bent de winnaar van….. een loterij, een grote geldsom etc. Je herkent misschien de afzender en denkt, zou het toch? Het lijkt te mooi om waar te zijn. En dat is het ook 😉
– Een mail van je baas of collega die je vraagt ‘even’ iets voor hem/haar te doen, vrijwel altijd met de vraag geld over te boeken of creditcardgegevens prijs te geven.

Hoe ga je hiermee het beste om?

Houd het volgende in gedachten voordat jij het volgende slachtoffer bent van phishing, smishing of vishing:

– Denk goed na voordat je handelt. Niemand verwacht van jou dat je ogenblikkelijk acteert, ondanks de urgentie die de mail uitstraalt. Eerst denken, dan doen!
– Kijk eens goed naar de afzender van de mail. Klopt het adres echt wel? En de plaatjes, logo’s en teksten die worden gebruikt…. Is het origineel of een slappe vertaling met fouten? En komt de e-mail van je baas of collega die vraagt of je even geld overmaakt? Loop even bij hem langs of bel hem…. Dubbelcheck!
– In plaats van op de link te klikken, kan je ook zelf op onderzoek uitgaan op het world wide web en eens kijken waar je uitkomt. (Als je heel licht met je muis over de link gaat, wat vertelt het blokje dat daar dan verschijnt?)
– Download niet, tenzij je iets verwacht van iemand.
– Trap niet in aanbiedingen uit het buitenland, ze zijn vrijwel altijd nep.
– Vertrouw de medewerker die zich voordoet als technisch support medewerker van Windows (met een Engels/Indiaas) accent niet. Hij vertelt je waarschijnlijk dat er malware op je computer is aangetroffen en klinkt bijzonder overtuigend. Hij kan zich toegang verschaffen door je te verleiden op een link te klikken die hij je stuurt (‘vishing’). Het beste is op te hangen.