Social ingenjörskonst omfattar flera olika tekniker som alla har samma mål: att manipulera användare till att avslöja information eller utföra handlingar som äventyrar säkerheten. Att förstå hur dessa tekniker fungerar är en viktig del i att kunna identifiera och förhindra attacker.

Nedan följer vanliga tekniker som används:

• Pretexting – En hotaktör skapar en trovärdig historia (förevändning) för att få offret att lämna ut information. Det kan till exempel handla om att utge sig för att vara från IT-support eller en bank.
• Phishing – Bedrägliga e-postmeddelanden som ser ut att komma från en legitim källa. De innehåller ofta länkar till falska webbplatser eller bilagor med skadlig programvara.
• Spear phishing – En mer avancerad form av phishing där attacken är riktad mot en specifik person eller organisation. Informationen är ofta anpassad för att öka trovärdigheten.
• Spam (skräppost) – Oönskad e-post som skickas i stor skala. Den kan innehålla skadliga länkar eller fungera som ett första steg i en större attack.
• Quid pro quo (”something for something”) – Angriparen erbjuder något i utbyte mot information, till exempel teknisk hjälp eller en belöning.
• Baiting – Angriparen lockar offret med något attraktivt, exempelvis ett USB-minne eller en nedladdning, som i själva verket innehåller skadlig kod.
• Personifiering – Hotaktören utger sig för att vara en betrodd person, till exempel en chef eller IT-tekniker, för att vinna förtroende.
• Tailgating – En obehörig person följer efter en behörig användare in i ett säkert område utan att själv behöva autentisera sig.
• Shoulder surfing – Angriparen observerar någon i smyg, till exempel när lösenord skrivs in.
• Dumpster diving – Genomsökning av sopor för att hitta känslig information, såsom dokument eller anteckningar.

Skydd mot social ingenjörskonst

Eftersom dessa attacker riktar sig mot människor snarare än teknik är medvetenhet och utbildning de viktigaste skyddsåtgärderna. Användare behöver förstå hur attacker fungerar för att kunna identifiera misstänkta situationer.

Ett exempel på ett verktyg som används för att testa denna typ av attacker är Social-Engineer Toolkit, som gör det möjligt att simulera realistiska angrepp.

Organisationer bör införa tydliga rutiner och säkerhetspolicyer för att minska risken.

Rekommenderade åtgärder

• Lämna aldrig ut användarnamn eller lösenord
• Förvara inte inloggningsuppgifter synligt
• Var kritisk mot oväntade förfrågningar, särskilt om de är brådskande
• Öppna inte e-post eller länkar från okända avsändare
• Dela inte känslig information på sociala medier
• Använd unika lösenord för olika tjänster
• Lås eller logga ut datorn när den lämnas utan uppsikt
• Rapportera misstänkt aktivitet omedelbart
• Förstör konfidentiell information enligt organisationens policy