Hvad er social engineering

Det fjerde punkt forklarer, hvorfor den slags opkald virker ægte. Oplysningerne til fortællingen hentes fra offentlige kilder: virksomhedens hjemmeside, medarbejdernes sociale medier og stillingsopslag. Du kan samle et dossier om en organisation på en aften.

Et klassisk scenarie er et opkald til supporten fra en, der udgiver sig for at være en medarbejder, som har mistet adgangen. Vedholdenhed og kendskab til et par interne detaljer virker ofte mere overbevisende end enhver kontrolprocedure.

Enhver sikkerhedsforanstaltning forudsætter, at en legitim bruger kan komme ind. Social engineering udnytter netop denne vej: Den bryder ikke låsen op, men får nøglen fra den, der har den.

Det er her, det går galt: Skærpede tekniske foranstaltninger hjælper næsten ikke og gør nogle gange tingene værre. Jo mere komplicerede procedurerne er, desto oftere leder medarbejderne efter genveje, og netop de genveje bliver indgangsstedet.

Det sidste punkt er vigtigere end tekniske foranstaltninger. Hvis en medarbejder er bange for at blive straffet for en fejl, tier vedkommende, og organisationen opdager måske først angrebet uger senere. En kultur, hvor hændelser bliver indberettet, beskytter bedre end instruktioner.

Det er også værd at huske, at målet ikke altid er en adgangskode. Ofte beder man om noget småt: at bekræfte en kollegas stilling, oplyse et internt lokalnummer eller videresende en fil. Ud fra den slags småting kan man opbygge den næste, allerede overbevisende fortælling.