Wat is social engineering

Het vierde punt verklaart waarom zulke telefoontjes echt lijken. De gegevens voor het verhaal komen uit openbare bronnen: de website van het bedrijf, sociale media van medewerkers en vacatures. In één avond kun je een dossier over een organisatie samenstellen.

Een klassiek scenario is een telefoontje naar de helpdesk namens een medewerker die geen toegang meer heeft. Vasthoudendheid en kennis van een paar interne details blijken vaak overtuigender dan welke controleprocedure ook.

Elke beveiliging gaat ervan uit dat een bevoegde gebruiker naar binnen kan. Social engineering maakt precies van die route gebruik: het breekt het slot niet open, maar krijgt de sleutel van degene die hem heeft.

Daar zit de crux: strengere technische maatregelen helpen nauwelijks en maken het soms erger. Hoe ingewikkelder de procedures, hoe vaker medewerkers naar omwegen zoeken, en juist die omwegen worden het toegangspunt.

Het laatste punt is belangrijker dan technische maatregelen. Als een medewerker bang is om voor een fout te worden gestraft, zwijgt diegene en komt de organisatie misschien pas weken later achter de aanval. Een meldcultuur beschermt beter dan instructies.

Bedenk ook dat het doel niet altijd een wachtwoord is. Vaak wordt om iets kleins gevraagd: bevestig de functie van een collega, geef een intern doorkiesnummer door of stuur een bestand door. Met zulke kleine details wordt het volgende, al overtuigende verhaal opgebouwd.