Sociale techniek
Recognize manipulation before you comply.
Wat is Sociale techniek?
Social engineering omzeilt elke technische beveiligingsmaatregel door rechtstreeks de menselijke laag aan te vallen. Volgens Verizon's Data Breach Investigations Report is de menselijke factor betrokken bij 68% van de inbreuken, waarmee op manipulatie gebaseerde aanvallen de hardnekkigste dreiging vormen waarmee organisaties te maken krijgen. In deze simulatie ontvangt u een telefoontje van iemand die geloofwaardig, professioneel en voorbereid klinkt met details over uw bedrijf. De beller gebruikt pretexting om een geloofwaardig scenario op te bouwen. Ze beweren mogelijk van IT-support te zijn die een noodaudit uitvoert, een leverancier die accountgegevens moet verifiëren of een nieuwe assistent van een directielid die gevoelige informatie namens het leiderschap bevestigt. Ze kennen al uw afdeling, de naam van uw manager en recente projecten, allemaal verzameld uit openbare bronnen zoals LinkedIn en bedrijfspersberichten. U oefent het standhouden wanneer de beller de druk opvoert met behulp van autoriteit, wederkerigheid en kunstmatige urgentie. De simulatie leert u hoe u verificatie kunt ombuigen naar officiële kanalen zonder een vijandige interactie te creëren. Dit is cruciaal omdat echte social engineers erop rekenen dat medewerkers te beleefd zijn om tegengas te geven. U leert ook te herkennen wanneer een gesprek verschuift van normale zakelijke communicatie naar informatievergaring, een overgang die geleidelijk plaatsvindt en gemakkelijk te missen is als u niet getraind bent om het te herkennen. De oefening behandelt terugbelverificatie, out-of-band authenticatie en de specifieke zinnen die social engineers gebruiken om u te ontmoedigen hun verhaal te controleren.
Wat je leert in Sociale techniek
- Identificeer pretexting, autoriteitsinimitatie en urgentiemanipulatie tijdens live telefonische en persoonlijke interacties
- Pas terugbelverificatie en out-of-band authenticatie toe om de identiteit van bellers te bevestigen via officiële bedrijfsgidsen
- Herken het omslagpunt waar een normaal zakelijk gesprek overgaat in verborgen informatievergaring
- Weiger informatieverzoeken vastberaden en professioneel zonder legitieme zakelijke relaties te beschadigen
- Leg uit hoe aanvallers openbaar beschikbare OSINT-gegevens van LinkedIn, persberichten en sociale media gebruiken om overtuigende pretexts op te bouwen
Sociale techniek — Trainingsstappen
-
Introductie
Het is een typische dinsdagmiddag en Alice werkt aan een cruciale projectdeadline.
-
De onverwachte oproep
De mobiele telefoon van Alice gaat onverwachts. De beller-ID toont 'IT-ondersteuning - Intern'. Omdat Alice herkent dat dit mogelijk afkomstig is van de IT-afdeling van haar bedrijf, besluit ze de oproep te beantwoorden.
-
De overtuigende introductie
Alice maakt zich zorgen over het potentiële beveiligingsprobleem en wil dit snel helpen oplossen.
-
De informatieverzameling
Alice voelt zich onder druk gezet door de urgentie en vertrouwt erop dat dit legitieme IT-ondersteuning is en begint te overwegen de gevraagde informatie te verstrekken.
-
Het verzoek escaleren
Alice heeft het gevoel dat ze geen andere keus heeft dan hieraan te voldoen, omdat haar account mogelijk in gevaar komt.
-
De kwaadaardige website
Alice merkt dat de website lijkt op de inlogpagina van haar bedrijf, hoewel er iets niet klopt aan de URL.
-
De toegangspoging
Bob heeft met succes de inloggegevens van Alice onderschept en probeert haar nu malware te laten downloaden, vermomd als beveiligingstool.
-
De e-mail controleren
Na het gesprek opent Alice haar e-mailclient om te controleren op het beloofde bericht. In haar inbox ziet ze een e-mail van 'IT Support' met als onderwerp 'Dringend: beveiligingsdiagnosetool'.
-
De realisatie
Terwijl Alice de telefoon ophangt, komen herinneringen aan de recente cybersecuritytraining van het bedrijf terug. Ze herinnert zich dat de instructeur specifiek waarschuwde voor aanvallers die zich voordoen als IT-ondersteuning, valse urgentie creëren en proberen werknemers ertoe aan te zetten kwaadaardige software te downloaden.
-
Onmiddellijke beveiligingsreactie
Alice onderneemt onmiddellijk actie om de potentiële schade als gevolg van de aanval te minimaliseren. Ze weet dat ze haar inloggegevens al aan de kwaadwillende website heeft verstrekt, wat betekent dat haar account gehackt kan worden. Als ze terugkijkt op de browser, merkt ze dat de URL HTTP gebruikte in plaats van HTTPS - een duidelijke rode vlag die ze onder druk miste. Ze maakt ook een mentale notitie van alle informatie die ze tijdens het gesprek heeft verstrekt: haar werknemers-ID, de laatste vier cijfers van haar burgerservicenummer en haar inloggegevens.