Pretexting

Et påskud har tre konstruerede dele: en identitet (revisor, ny kollega, leverandørens supportmedarbejder, politibetjent), et scenarie, der forklarer, hvorfor anmodningen kommer netop nu, og understøttende detaljer, der gør begge dele troværdige - intern jargon, korrekte navne fra organisationsdiagrammet, sags- eller ticketnumre, en fakturareference, et forfalsket opkaldsnummer eller en troværdig mailtråd. Detaljerne kommer fra rekognoscering: virksomhedens hjemmeside, LinkedIn, jobopslag, der afslører interne systemer, offentlige registre som CVR, tidligere datalæk og ofte et første, uskyldigt opkald, hvis eneste formål er at høste ordforråd til det næste. At kæde små, hver for sig harmløse oplysninger sammen til én værdifuld anmodning er den typiske teknik.

Den juridiske historie forklarer begrebets tidsmæssige placering. Den amerikanske Gramm-Leach-Bliley Act fra 1999 (section 521, 15 U.S.C. § 6821) forbød at skaffe sig kundeoplysninger fra finansielle virksomheder under falske forudsætninger. I 2006 kom det frem, at efterforskere hyret af Hewlett-Packards bestyrelse til at finde kilden til et læk til pressen havde udgivet sig for at være bestyrelsesmedlemmer og journalister for at få fat i deres telefonoplysninger; skandalen førte direkte til Telephone Records and Privacy Protection Act of 2006. I nutidens trusselsrapportering bruger Verizon DBIR pretexting som en social engineering-handling i VERIS-taksonomien, og de fleste hændelser under den betegnelse er direktørsvindel.

Pretexting adskiller sig fra spear phishing i angrebets enhed. Spear phishing er typisk én gennemarbejdet besked med en nyttelast eller et link; pretexting er en interaktiv rolle, der tilpasser sig offerets spørgsmål og kan strække sig over opkald, mails og endda fysiske besøg. Ofte er der slet ingen teknisk nyttelast: Resultatet er oplysninger eller en handling, som offeret selv udfører, fx nulstilling af en adgangskode, genregistrering af en MFA-enhed, en ændring i lønsystemet eller en udleveret kundeliste. Servicedesken er det klassiske mål, fordi dens opgave netop er at hjælpe folk, der har mistet adgang.

Kontrollerne er derfor procesmæssige. Identitetsbekræftelse skal bygge på noget, som den, der spiller rollen, ikke kan researche eller styre: at ringe tilbage på nummeret i telefonbogen eller HR-systemet, godkendelse fra lederen via en separat kanal eller bekræftelse ved personligt fremmøde eller med en stærk digital identitet. Servicedeskens drejebøger skal forbyde, at verifikation springes over under tidspres eller henvisning til autoritet. Klassifikationsregler skal gøre det tydeligt, hvilke oplysninger der må deles med en uverificeret person. Udleveres personoplysninger til den, der spiller rollen, er det en uautoriseret videregivelse og dermed et brud på persondatasikkerheden efter databeskyttelsesforordningens art. 4, nr. 12, med anmeldelsespligten i art. 33.