WhatsApp Sociale Techniek
Uw "baas" op WhatsApp is niet uw baas.
Wat is WhatsApp Sociale Techniek?
Een WhatsApp-bericht van je CEO, verzonden vanaf een nieuw nummer omdat de oude telefoon gerepareerd wordt. Ze hebben cadeaubonnen nodig voor een klantenevenement, ze vergoeden je, en ze zijn de hele dag in vergadering. Berichtenapps hebben minder controlemogelijkheden dan e-mail en nodigen uit tot een sneller en minder zorgvuldig antwoord, vooral wanneer de afzender senior lijkt. Je voert het gesprek uit terwijl de druk toeneemt en oefent de enige verdediging die er een einde aan maakt: verifiëren via een kanaal waar de aanvaller geen controle over heeft.
Wat je leert in WhatsApp Sociale Techniek
- Identificeer veelvoorkomende baas-imitatiepatronen op WhatsApp en andere berichtenplatformen
- Herken psychologische druktactieken waaronder urgentie, autoriteit en isolatie
- Pas out-of-band verificatie toe om verzoeken te bevestigen die via informele kanalen zijn ontvangen
- Leg uit waarom aanvallers de voorkeur geven aan cadeaukaarten, overboekingen en cryptocurrency voor betalingsfraude
- Meld vermoedelijke social engineering-pogingen via de juiste organisatiekanalen
WhatsApp Sociale Techniek — Trainingsstappen
-
Een rustige middag
Het is een rustige woensdagmiddag. Alice is bezig met het inhalen van routinetaken op haar thuiskantoor. Haar telefoon zoemt met een nieuw WhatsApp-bericht.
-
Een bericht van de VP
Alice ontvangt een WhatsApp-bericht van iemand die beweert David Morrison te zijn, VP Operations bij Meridian Analytics.
-
Het dringende verzoek
De boodschap lijkt legitiem: David Morrison is de VP Operations. Alice merkt dat het telefoonnummer niet in haar contacten is opgeslagen, wat vreemd is omdat ze het echte nummer van David uit de bedrijfsgids heeft. Maar misschien gebruikt hij een andere telefoon?
-
Vertrouwen opbouwen
Er komt nog een bericht binnen van 'David' terwijl Alice het eerste nog aan het lezen is.
-
Alice reageert
Het verzoek lijkt redelijk. David is een senior executive en er vinden regelmatig klantevenementen plaats bij Meridian Analytics. Alice besluit te reageren en haar hulp aan te bieden.
-
De escalatie
'David' reageert snel en voegt urgentie en specifieke instructies toe.
-
Er voelt iets niet goed
Laten we even pauzeren en nadenken over wat er net is gebeurd.
-
Rode vlaggen onthuld
Laten we dit gesprek eens nader bekijken. Verschillende dingen kloppen niet.
-
Verificatietijd
Alice realiseert zich dat er iets niet klopt. In plaats van het WhatsApp-gesprek voort te zetten, besluit ze het verzoek via officiële kanalen te verifiëren. Ze pakt haar telefoon om de echte David Morrison te bellen via het nummer dat is opgeslagen in haar bedrijfscontacten.
-
Bevestigd: het is een oplichterij
David bevestigt dat hij nooit een WhatsApp-bericht heeft gestuurd en dat hij geen klantevenement heeft gepland voor vrijdag. Hij bedankt Alice voor het controleren en zegt dat ze dit onmiddellijk aan het beveiligingsteam moet melden. De imitator gebruikte Davids naam en titel – informatie die gemakkelijk te vinden is op LinkedIn of de website van het bedrijf – om geloofwaardigheid op te bouwen.
Dekking van beveiligingsframeworks
MITRE ATT&CK
- T1566.003 Phishing: Spearphishing via Service
CIS Controls
- CIS 14.2 Train Workforce Members to Recognize Social Engineering Attacks
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind