Vor kurzem habe ich ein großartiges Hörbuch des berühmten Hackers Kevin Mitnick mit dem Titel „Ghost in the Wires“ fertig gehört, in dem er ausführlich über seine Erfolge beim Einsatz von Social Engineering-Techniken zum Hacken von Telefonsystemen berichtet. Zum größten Teil verwendete er Methoden der alten Schule, die Forschung, Kaltakquise und die Überzeugung beinhalteten, dass er Zugang zu ihren Systemen haben sollte. Der Erfolg beruhte auf seiner Manipulationsfähigkeit – und der Tatsache, dass die meisten Menschen von Natur aus anderen vertrauen wollen.
Der schnelle Vorlauf bis 2020 und das Social Engineering sind im Wesentlichen die gleichen, wobei auf die von Mitnick und seinen Kollegen entwickelten Techniken zurückgegriffen wird. Die Hauptunterschiede bestehen nun darin, dass Technologie und Größe eine größere Rolle für den Erfolg der heutigen Angriffe spielen.
In einigen meiner jüngsten Artikel warnte ich vor dem Wachstumspotenzial für Angriffe im kommenden Jahr und untersuchte einige der Methoden, die Angreifer anwenden, um mithilfe von Technologie einen größeren Erfolg zu erzielen.
Viele von uns sind mit den beiden häufigsten Arten von Angriffen aus sozialer Sicht vertraut – Phishing und Spear-Phishing -, aber es gibt noch viele andere, die Sie beachten sollten, darunter:
• Zum Beispiel Ködern. Die uralte Geschichte eines Hackers, der ein USB-Gerät auf einem Parkplatz zurücklässt und hofft, dass jemand es aufnimmt und eine Verbindung zu seinem Computer herstellt, klingt nach Hollywood, ist aber ein überraschend häufiger Angriff, der sogar erfolgreich eingesetzt wurde auf USB-Geräten, die bei Computerkonferenzen verschenkt werden. Sobald die Verbindung hergestellt ist, scheint das USB-Gerät sicher zu sein und enthält möglicherweise Musik oder Videos. Stattdessen wird jedoch versucht, schädliche Software in das Host-Gerät einzuschleusen.
Wie kann ein Köderangriff vermieden werden? Schließen Sie niemals ein unbekanntes USB-Gerät blind an Ihren Computer an. Wenn Sie dem Gerät vertrauen möchten, vergewissern Sie sich, dass Sie die neueste Antivirensoftware installiert und auf „Verbundene Geräte automatisch scannen“ eingestellt haben, um bekannte Malware-Infektionen zu verhindern.
• Das Pretexting deckt verschiedene Angriffe mit E-Mails, Texten oder Telefonanrufen ab. Der Angreifer wird sich als Autorität ausgeben, um mithilfe dieser Autorität Zugriff auf private, geschäftliche oder persönliche Informationen von hohem Wert zu erhalten. Bei einem Angriff könnte das Ziel beispielsweise zuerst von einem Familienmitglied per E-Mail benachrichtigt werden, das angibt, Geld zu benötigen, gefolgt von einem dringenden Text. Dies ist ein gefährlicher Angriff, da er das Vertrauen in hohem Maße ausbeutet und letztendlich beschädigt.
Die Überprüfung ist der beste Weg, um einen Vorwandangriff zu vermeiden. So sehr wir Managern, Freunden und Familienmitgliedern vertrauen möchten, sollten Sie bei einem unerwarteten und dringenden Anruf zusätzliche Schritte unternehmen, um die Anfrage zu überprüfen. Legen Sie auf und rufen Sie eine bekannte Nummer an oder lassen Sie den Anrufer einige Informationen mitteilen, die er nur dann erfahren würde, wenn er echt wäre.
• Tailgating ermöglicht es einem Angreifer, Zugang zu einem Gebäude oder einem gesperrten Bereich zu erhalten, und ist einfach auszuführen. Zum Beispiel folgt Ihnen ein Fremder mit einer schweren Kiste ins Büro und fragt, ob Sie sie „einweisen“ können. Oder eine unbekannte Person kommt hinter Ihnen herein und sagt: „Brrr, es ist kalt draußen! Ich bin froh, aus dem Regen herauszukommen. „Entweder könnte es sich um eine Heckklappe handeln oder ein Risiko darstellen. Sie verlassen sich darauf, dass die Menschen hilfreich sein wollen und dass sie, wenn sie vertraut erscheinen, weniger in Frage gestellt werden.
Möchten Sie ein Tailgating-Szenario vermeiden? Wenn jemand Sie bittet, sie einzulassen, geleiten Sie sie zum Empfang – oder verwenden Sie ihren Ausweis, um die Tür zu öffnen. Verlassen Sie sich nicht nur auf Vertrauen.
• Scareware ist eine weitere erfolgreiche Strategie in den letzten Jahren, bei der Desktop-Popups und -Nachrichten verwendet werden, um eine gefälschte Virusinfektionswarnung zu übermitteln. Manchmal scheinen diese Nachrichten sogar legitim von Sicherheitsunternehmen zu stammen. Weniger verbreitet, aber ähnlich ist es, die Infektionsnachricht in einer E-Mail zu erhalten, die angeblich von Ihrem Internet- oder Sicherheitssoftwareanbieter stammt. In beiden Fällen wird durch Klicken auf die Nachricht ein Softwareportal aufgerufen, das die richtige Software zum kostenpflichtigen Entfernen der Malware bietet. In diesem Stadium führt die Zahlung zu zwei Dingen: der Installation gefälschter Antivirensoftware – oder möglicherweise sogar von Malware – und dem Diebstahl von Finanzinformationen.
Seien Sie vorsichtig, um Scareware zu vermeiden. Ein Popup oder eine E-Mail, die besagt, dass Sie mit Malware infiziert wurden und einen „Klick hier“ -Patch anbieten, ist wahrscheinlich eine Fälschung und versucht, die Opfer zum Eingreifen zu verleiten. Stellen Sie sicher, dass die neueste Antischadsoftware und die neuesten Sicherheitsupdates für das Betriebssystem installiert sind. Klicken Sie niemals auf unbekannte Popups oder E-Mails.
Soziale Angriffe sind besonders böse und effektiv, da sie auf natürlichen menschlichen Reaktionen beruhen, um erfolgreich zu sein. Jeder kann jederzeit ein Opfer sein. Da sowohl Cyberkriminelle als auch Technologie intelligenter werden, muss sich auch die Öffentlichkeit anpassen. Informieren Sie Verbraucher und Mitarbeiter über die Risiken und Warnzeichen dieser Angriffe. Die Idee ist, nicht einfach „niemandem zu vertrauen“, sondern vorsichtig misstrauisch zu sein und sich darin zu üben, das ishy herauszuspüren.