Social engineering

Den psykologiske mekanik er godt kortlagt. Robert Cialdinis principper for påvirkning (1984) - gensidighed, forpligtelse og konsistens, social bevisførelse, autoritet, sympati og knaphed, senere udvidet med fællesskab (unity) - beskriver de håndtag, næsten alle lokkemidler trækker i: en direktørs navn (autoritet), en deadline (knaphed), "dine kolleger har allerede skrevet under" (social bevisførelse), en lille tjeneste før den egentlige anmodning (gensidighed). De virker, fordi de aktiverer den hurtige, heuristiske tænkning i System 1; angriberens mål er at forhindre offeret i at skifte til den overvejende tænkning i System 2, og derfor indgår tidspres og følelsesmæssig ophidselse (frygt, nysgerrighed, grådighed, hjælpsomhed) i næsten alle scenarier.

Kevin Mitnicks bog The Art of Deception (2002) beskrev angrebet som en cyklus: research, opbygning af relation og tillid, udnyttelse af tilliden og brug af de indhentede oplysninger, ofte som input til næste runde mod en person højere oppe. Rekognosceringen bygger på OSINT (virksomhedens hjemmeside, LinkedIn, jobopslag, offentlige registre, lækkede databaser), og resultatet af én samtale - et navn, et system, en intern vending - bliver troværdigheden i den næste. De vigtigste teknikfamilier er phishing og dens kanalvarianter (spear phishing, direktørsvindel, smishing, vishing), pretexting, baiting (inficerede medier eller fristende downloads), quid pro quo (falsk support, der tilbyder hjælp mod loginoplysninger) og fysiske teknikker som tailgating og at udgive sig for at være håndværker eller leverandør. Tischer m.fl. (IEEE S&P 2016) lagde omkring 300 USB-stik ud på et universitetsområde og fandt, at tæt på halvdelen blev sat i en computer, og at filer på dem blev åbnet.

MITRE ATT&CK har ikke én samlet teknik for social engineering; adfærden er fordelt på T1566 Phishing og T1598 Phishing for Information, T1204 User Execution, hvor offeret selv kører nyttelasten, og T1091 Replication Through Removable Media. Alvorlige hændelser viser spændvidden: I juli 2020 ringede angribere til medarbejdere hos Twitter og snakkede sig adgang til interne administrationsværktøjer, som de brugte til at overtage kendte personers konti, og i 2023 var et opkald til servicedesken den rapporterede indgang til MGM Resorts, efterfulgt af ransomware.

Fordi social engineering pr. definition går uden om de tekniske kontroller, må forsvaret ændre rammerne for beslutningen og ikke kun brugeren. Effektive tiltag er verifikationsprocedurer, der ikke afhænger af at bedømme den, der ringer (ring tilbage på et kendt nummer, godkendelse via en anden kanal, fire-øjne-princippet), phishing-resistent MFA og skærpet identitetskontrol i servicedesken, mindste privilegium, så en manipuleret bruger kan udlevere mindre, fysisk adgangskontrol som drejekors og krav om ledsagelse og en meldekultur, hvor medarbejdere, der er blevet narret, melder det hurtigt uden frygt. ISO/IEC 27002:2022 dækker den menneskelige side med kontrol 6.3 (awareness, uddannelse og træning) og den fysiske side med kontrol 7.1-7.4. Social engineering er paraplykategorien; den menneskelige faktor er den underliggende svaghed, der udnyttes, og awareness og sikkerhedskultur er de tilsvarende forsvar.