Vad är social ingenjörskonst

Den fjärde punkten förklarar varför sådana samtal verkar äkta. Uppgifterna till förevändningen hämtas från öppna källor: företagets webbplats, medarbetares sociala medier och jobbannonser. Det går att kartlägga en organisation på en kväll.

Ett klassiskt scenario är ett samtal till supporten från någon som säger sig vara en medarbetare som har förlorat åtkomsten. Ihärdighet och kunskap om ett par interna detaljer visar sig ofta vara mer övertygande än vilken kontrollrutin som helst.

Alla säkerhetsåtgärder förutsätter att en behörig användare kan logga in. Social ingenjörskonst utnyttjar just den vägen: den bryter inte upp låset, utan får nyckeln av den som har den.

Det är där problemet ligger: förstärkta tekniska åtgärder hjälper nästan inte alls och kan ibland göra saken värre. Ju mer komplicerade rutinerna är, desto oftare letar medarbetare efter genvägar, och det är just de vägarna som blir ingången.

Den sista punkten är viktigare än tekniska åtgärder. Om en medarbetare är rädd för att straffas för ett misstag kommer hon att vara tyst, och organisationen kanske inte får reda på attacken förrän efter flera veckor. En kultur där incidenter rapporteras skyddar bättre än instruktioner.

Det är också värt att komma ihåg att målet inte alltid är ett lösenord. Ofta ber angriparen om något litet: att du bekräftar en kollegas befattning, uppger ett internt anknytningsnummer eller vidarebefordrar en fil. Av sådana små detaljer byggs nästa, redan övertygande förevändning.