I en bredere forstand kan enhver form for manipulation, der er forbundet med adfærdspsykologi, betragtes som social engineering. Begrebet er dog ikke altid relateret til kriminelle eller svigagtige aktiviteter. Faktisk bliver social engineering i vid udstrækning anvendt og undersøgt i en række sammenhænge inden for områder som samfundsvidenskab, psykologi og marketing.
Når det kommer til cybersikkerhed, udføres social engineering med skjulte motiver og henviser til en række ondsindede aktiviteter, der forsøger at manipulere folk til at foretage dårlige handlinger, såsom at opgive personlige eller fortrolige oplysninger, der senere kan bruges mod dem eller deres virksomhed. Identitetssvindel er en almindelig konsekvens af denne type angreb og fører i mange tilfælde til betydelige økonomiske tab.
Social engineering præsenteres ofte som en cybertrussel, men begrebet har eksisteret længe, og det kan også anvendes i forbindelse med svindel i den virkelige verden, hvor personer som regel udgiver sig for at være en myndighed eller en it-specialist. Men internettets fremkomst gjorde det meget lettere for hackere at udføre manipulerende angreb i større skala, og desværre finder disse ondsindede aktiviteter også sted i forbindelse med kryptovalutaer.
Hvordan fungerer det?
Alle former for social engineering-teknikker afhænger af svaghederne i den menneskelige psykologi. Svindlere udnytter følelser til at manipulere og narre deres ofre. Folks frygt, grådighed, nysgerrighed og endda deres vilje til at hjælpe andre bliver vendt imod dem ved hjælp af en række forskellige metoder. Blandt de mange former for ondsindet social engineering er phishing bestemt et af de mest almindelige og velkendte eksempler.
Phishing
Phishing-mails ligner ofte korrespondance fra en legitim virksomhed, såsom en national bankkæde, en velrenommeret onlinebutik eller en e-mailudbyder. I nogle tilfælde vil disse klonede e-mails advare brugerne om, at deres konto enten skal opdateres eller har vist usædvanlig aktivitet, hvilket kræver, at de opgiver personlige oplysninger som en måde, hvorpå de kan bekræfte deres identitet og regulere deres konti. Af frygt klikker nogle mennesker straks på linkene og navigerer til en falsk hjemmeside for at opgive de påkrævede data. På dette tidspunkt vil oplysningerne være i hackernes hænder.
Scareware
Social engineering-teknikker anvendes også til at sprede den såkaldte Scareware. Som navnet antyder, er scareware en type malware, der er designet til at skræmme og chokere brugerne. De involverer typisk oprettelse af falske alarmer, der forsøger at narre ofrene til at installere en bedragerisk software, som ser legitim ud, eller til at narre dem til gå ind på en hjemmeside, der inficerer deres system. En sådan teknik er ofte afhængig af brugernes frygt for at få deres system kompromitteret og overbeviser dem om at klikke på et webbanner eller en popup. Beskederne siger normalt noget i retning af: "Dit system er inficeret, klik her for at fikse det."
Baiting
Baiting er en anden social engineering-metode, der skaber problemer for mange uopmærksomme brugere. Det indebærer brug af lokkemad til at lokke ofrene grundet deres grådighed eller nysgerrighed. Svindlere kan f.eks. oprette en hjemmeside, der tilbyder noget gratis, f.eks. musikfiler, videoer eller bøger. Men for at få adgang til disse filer skal brugerne oprette en konto og opgive deres personlige oplysninger. I nogle tilfælde er det ikke nødvendigt med en konto, fordi filerne er direkte inficeret med malware, der trænger ind i offerets computersystem og indsamler deres følsomme data.
Baiting kan også forekomme i den virkelige verden ved brug af USB-sticks og eksterne harddiske. Svindlere kan med vilje efterlade inficerede enheder på et offentligt sted, så enhver nysgerrig person, der tager den for at tjekke indholdet, ender med at inficere deres personlige computer.
Social engineering og kryptovalutaer
En grådig mentalitet kan være ret farligt, når det gælder de finansielle markeder, og den gør handlende og investorer særligt sårbare over for phishing-angreb, Ponzi- eller pyramidespil og andre former for svindel. Inden for blockchain-industrien tiltrækker den begejstring, som kryptovalutaer skaber, mange nytilkomne til området på relativt kort tid (især i løbet af bull-markeder).
Selv om mange mennesker ikke helt forstår, hvordan kryptovaluta fungerer, hører de ofte om disse markeders potentiale for at generere gevinster og ender med at investere uden at foretage den nødvendige research. Social engineering er især et problem for nybegyndere, da de ofte bliver fanget af deres egen grådighed eller frygt.
På den ene side får iveren efter at tjene hurtige og nemme gevinster i sidste ende nybegyndere til at jagte falske løfter om gaver og luftkasteller. På den anden side kan frygten for at få kompromitteret sine private filer få brugerne til at betale en løsesum. I nogle tilfælde er der ingen reel infektion af ransomware, og brugerne bliver narret af en falsk alarm eller besked skabt af hackere.
Sådan forhindrer du social engineering-angreb
Som nævnt virker social engineering-svindel, fordi den appellerer til den menneskelige natur. De bruger som regel frygt som en motivator, da det får folk til at handle med det samme for at beskytte sig selv (eller deres system) mod en uvirkelig trussel. Angrebene er også afhængige af menneskelig grådighed og lokker ofrene ind i forskellige former for investeringssvindel. Så det er vigtigt at huske på, at hvis et tilbud ser for godt ud til at være sandt, så er det sandsynligvis tilfældet.
Selvom nogle svindlere er sofistikerede, begår andre angribere mærkbare fejl. Nogle phishing-mails, og endda scareware-bannere, indeholder ofte syntaksfejl eller ord, der er stavet forkert, og er kun effektive mod dem, der ikke er opmærksomme nok på grammatik og stavning – så vær ekstra opmærksom.
For at undgå at blive offer for social engineering-angreb, bør du overveje følgende sikkerhedsforanstaltninger:
Uddan dig selv, din familie og dine venner. Lær dem om de almindelige tilfælde af ondsindet social engineering, og informér dem om de vigtigste generelle sikkerhedsprincipper.
Vær forsigtig med vedhæftede filer og links i e-mails. Undgå at klikke på annoncer og websider fra ukendte kilder;
Installer et troværdigt antivirusprogram, og hold dine softwareprogrammer og dit operativsystem opdaterede;
Gør brug af multifaktor-godkendelse, når du kan, for at beskytte dine e-mailoplysninger og andre personlige data. Opsæt totrinsgodkendelse (2FA) for din Binance-konto.
For virksomheder: Overvej at forberede dine medarbejdere på at identificere og forhindre phishing-angreb og social engineering.
Sammenfatning
Cyberkriminelle er konstant på udkig efter nye metoder til at narre brugere og stjæle deres midler og følsomme oplysninger, så det er meget vigtigt at uddanne dig selv og personerne omkring dig. Internettet er et fristed for denne type svindel, og det er særligt hyppigt inden for kryptovalutaområdet. Vær forsigtig og opmærksom for at undgå at falde i social engineering-fælder.
Desuden bør enhver, der beslutter sig for at handle eller investere i kryptovaluta, foretage forudgående research og sørge for at have en god forståelse af mekanismerne bag både markederne og blockchain-teknologien.