Menselijke beïnvloeding is kinderlijk eenvoudig: wapen je tegen social engineering!

In de informatiebeveiliging wordt de mens vaak omschreven als de zwakste schakel. Ondanks alle beveiligingsmaatregelen zoals firewalls, wachtwoorden en zelfs bewakingspersoneel die indringers buiten de deur moeten houden, is het soms kinderlijk eenvoudig om toegang te krijgen tot vertrouwelijke informatie doorgebruik te maken van menselijke beïnvloeding. Het gedrag van mensen en de bescherming van vertrouwelijke informatie zijn sterk met elkaar verbonden. Zonder het zelf door te hebben, kan iemand die onoplettend is de digitale deuren openen voor hackers en hen toegang verschaffen tot vertrouwelijke informatie, waarmee bijvoorbeeld identiteitsfraude kan worden gepleegd. Mensen worden voortdurend gemanipuleerd, beïnvloed en misleid. Niet alleen door reclamemakers, callcentermedewerkers, webshops en autoverkopers, maar ook door collega’s, vrienden én cybercriminelen die iets van hen willen. Steeds vaker zien we dat cybercriminelen gebruikmaken van de kwetsbaarheden van de mens en dit breed toepassen.

De psychologie achter social engineering

Er is, en er wordt nog steeds, veel onderzoek gedaan naar het gedrag van de mens. Hoe is menselijk gedrag te verklaren? Hoe komt het dat mensen massaal in phishingmails trappen en we social engineers zomaar toegang geven tot onze vertrouwelijke informatie? Een bekende gedragsonderzoeker is Robert Cialdini. Cialdini stelt dat er zes universele principes van beïnvloeding zijn waardoor het gedrag van de mens wordt bepaald. Social engineers gebruiken deze beïnvloedingsprincipes om hun potentiële slachtoffer te manipuleren en bepaald gedrag op te wekken. De
zes principes van beïnvloeding zijn:

Wederkerigheid. De drang om te moeten compenseren wat andere mensen ons hebben gegeven. Door het gevoel te hebben iemand anders iets verschuldigd te zijn, wordt makkelijker aan een wederverzoek voldaan dan normaal.

Commitment en consistentie. De drang om te handelen in overeenstemming met dat wat we daarvoor hebben gedaan/gezegd. Als we een mening verkondigen of een keuze maken, dan zijn we ook geneigd om in toekomstige situaties in overeenstemming te handelen met voorafgaande soortgelijke keuzes.

Sociale bewijskracht. Ons oordeel over correct of incorrect gedrag hangt samen met het gedrag van anderen. Wanneer veel mensen een handeling op gelijke wijze uitvoeren, bestempelen we deze als correct.

Sympathie. Het niet voldoen aan een dringend verzoek is onvriendelijk. Indien er druk wordt uitgeoefend door een herkenbare situatie te schetsen, wordt het weigeren van een verzoek al een stuk lastiger.

Autoriteit. Vanaf de geboorte wordt ons bijgebracht dat gehoorzaamheid aan goede autoriteiten juist is. Doordat zij zoveel macht hebben, lijkt het vaak wijs om deze autoriteiten te gehoorzamen. Wie wantrouwt een brandweerman die de rookmelders komt controleren?

Schaarste. Sommige dingen gaan we meer waarderen naarmate er minder van beschikbaar is. Wanneer er nog maar één artikel op voorraad is, zijn we al snel geneigd te denken dat we die kans moeten grijpen voordat het te laat is. Bij de kans om iets te verliezen zijn we geneigd ons daar sterk tegen te verzetten (hebzucht).

Naast deze zes principes, speelt ook de tijd die iemand krijgt om een keuze te maken voor de juiste handeling een belangrijke rol. Tijdens een social engineering aanval moet een slachtoffer vaak binnen een kort tijdsbestek anticiperen. Zo wordt in phishingmails regelmatig gedreigd met het blokkeren van bankpassen en accounts wanneer de ontvanger niet binnen 24 uur reageert door in te loggen op het legitiem ogende, maar door de hacker nagemaakte, inlogportaal van de bank. Het slachtoffer baseert zijn of haar keuze op de beperkte informatie die op dat moment wordt aangereikt, en wanneer bovenstaande principes succesvol worden toegepast zal het slachtoffer door de tijdsdruk vertrouwen op de inhoud. Dat vertrouwen wordt bijvoorbeeld vergroot omdat veel phishingmails persoonlijke informatie van het potentiële slachtoffer bevatten, zoals volledige naam, adres of banknummer.

Naast het genoemde vertrouwen en de neiging tot hebzucht blijkt dat de mens vooral nieuwsgierig is. De mens wil graag hebben wat hij nog niet heeft en vooral voorkomen dat hij iets kwijtraakt. Dus wanneer de mens iets écht graag wil, dan laat hij de negatieve of wantrouwende gevoelens even achterwege. Zo neemt het aantal gevallen sterk toe wanneer willekeurige gebruikers gebeld worden vanuit ‘verre’ landen waarbij na het opnemen er direct wordt opgehangen. Door nieuwsgierigheid gedreven, belt het slachtoffer terug en komt uit op een dure betaaldienst (soort 0909-nummer) met als gevolg een gigantisch hoge telefoonrekening.

Steeds breder toegepast

Waar social engineering vroeger enkel werd toegepast om binnen te dringen op fysieke locaties, zijn er in de loop van de jaren verschillende
technische (hulp)middelen ontwikkeld die cybercriminelen in staat stellen om op grote schaal en via digitale kanalen hun aanvallen uit te voeren:

• Phishing per mail en telefoon: Volgens het Cyber Security Beeld Nederland 2015 (een jaarlijks rapport gepubliceerd door het NCSC) bleek phishing ook in 2015 een van de machtigste en meest gebruikte aanvalsmethodes van cybercriminelen. Phishing is de verzamelnaam voor digitale activiteiten die tot doel hebben persoonlijke informatie (zoals inloggegevens) aan mensen te ontfutselen. Gebruikte principes van beïnvloeding: autoriteit, schaarste, vertrouwen.
• USB-drop: Steeds vaker maken cybercriminelen gebruik van USB-sticks met daarop schadelijke software. Deze worden bijvoorbeeld tijdens een treinreis in een tas ‘gedropt’ van het slachtoffer, ergens achtergelaten of uitgedeeld. Wanneer de vinder de USB-stick in de computer steekt om te achterhalen wie de eigenaar is, is het al te laat: de hacker is binnen. Gebruikte kwetsbaarheden: nieuwsgierigheid en hebzucht.
• Roque wifi access point: Het nabootsen van voor de gebruiker herkenbare en vertrouwde (meest openbare) wifihotspots laat smartphones gemakkelijk contact maken met deze door de hacker gecontroleerde toegang tot het internet. De hacker kan vervolgens het internetgedrag van het slachtoffer afluisteren en manipuleren. Gebruikte kwetsbaarheden: vertrouwen en consistentie.
• Combinatie van aanvalstechnieken. Het kan nog geraffineerder: een phishingmail wordt steeds vaker aangekondigd door een beller die een aantal gerichte vragen stelt over onderwerpen waar iemand beroepsmatig of privé interesse in heeft. Na dat gesprek stuurt de beller diegene een mail met daarin de link waarop hij of zij mag klikken, met alle gevolgen van dien. Ook worden ransomeware en malware vaker als bijlage
  toegevoegd aan phishingmails, waardoor het niet eens meer nodig is om de ontvanger op een link te laten klikken: het openen van de bijlage is genoeg.

Word geen slachtoffer, wapen jezelf!

Dan dringt de vraag zich op of de mens zich überhaupt adequaat kan beschermen tegen cybercriminelen die gebruikmaken van menselijke beïnvloeding. Waar wij geneigd zijn te zeggen dat cybercriminelen, als ze écht willen, altijd wel een weg vinden, is het wel degelijk van belang een aantal belangrijke maatregelen te nemen en de kans op op schade door social engineering te verkleinen.

Voor het individu:

• Mensen bewust maken van de bedreigingen door bedrijven en overheid is een preventieve maatregel die bijdraagt aan het voorkomen van schade. Denk aan reclamecampagnes van Veilig Internetten (voorheen: DigiBewust) en de bekende commercial ‘Hang op, klik weg, bel uw bank!’.
• Gebruik tweefactor-authenticatie of inlogverificatie voor toegang tot o.a. Gmail, Hotmail en social media accounts. Cybercriminelen kunnen, wanneer zij in het bezit zijn van jouw wachtwoord, niet inloggen zonder de tweede factor (bv. Sms-code, vingerafdruk, token of tan-code) of jouw directe toestemming (inlogverificatie).
• Zet bij openbare wifi-netwerken de optie ‘automatisch verbinding maken’ uit
  zodat je geen verbinding maakt met een Roque wifi access point.

Voor organisaties:

• Social engineering assessment: tijdens een social engineering assessment zal een getrainde social engineer binnen proberen te dringen in een organisatie en proberen toegang te verkrijgen tot de ‘kroonjuwelen’. Een goede meting van de kwetsbaarheid van de fysieke beveiliging, die tegelijkertijd voor bewustwording zorgt.
• Phishing audit: het machtigste middel om een organisatie weerbaar te maken tegen phishingaanvallen is het ‘leren door te ervaren’. Veel organisaties voeren periodiek een phishingaudit uit. Een phishingaudit is een methode om het veiligheidsbewustzijn van medewerkers te meten en direct te vergroten, door het uitvoeren van een gecontroleerde phishingaanval en het meten van de respons. Bij het organiseren en uitvoeren van een phishingaudit dient rekening gehouden te worden met verschillende juridische, ethische en technische aspecten. Het is, om incidenten te voorkomen, dan ook aan te raden om dergelijke activiteiten door een cybersecurity expert uit te laten voeren.
• Geavanceerde cyber-oefening als ultieme test: combinatie van phishing, hacking, usb-drop en rogue wifi access. Tijdens de gesimuleerde aanval worden de belanghebbende medewerkers getest en getraind op hun weerbaarheid.
• Technische maatregelen: e-mailauthenticatie met behulp van SPF, DKIM en DMARC en het herkenbaar maken van authentieke e-mails die naar een breed publiek worden verstuurd. Tevens is het raadzaam om waar mogelijk tweefactor-authenticatie te gebruiken om het risico op ongeautoriseerde toegang te minimaliseren. Dit is van groot van belang wanneer systemen via het internet kunnen worden benaderd.
• Voor de overheid: blijf investeren in bewustwordingscampagnes die op steeds wisselende manier aandacht trekken van de mensen.

Conclusie

Het blijft kinderlijk eenvoudig om toegang te krijgen tot vertrouwelijke informatie door gebruik te maken van menselijke beïnvloeding. Cybercriminelen maken hier dan ook steeds vaker gebruik van en de ontwikkeling van de technologie stelt ze in staat om social engineering op grote schaal toe te passen. Om geen slachtoffer te worden van social engineering zullen zowel burgers en medewerkers, als de overheid en het bedrijfsleven de juiste maatregelen moeten nemen om hun vertrouwelijke informatie te beschermen. Training en bewustwording zijn hiervoor een goede eerste stap.