Social Engineering
Social Engineering
Social Engineering ist die Methode, das schwächste Glied in der Cybersicherheitskette zu manipulieren: den Menschen. Durch geschicktes Reden ist ein Social Engineer in der Lage, eine Person dazu zu bewegen, ihm entweder Zugang zu einem gesicherten Bereich zu gewähren, den er eigentlich nicht haben sollte, oder vertrauliche Informationen preiszugeben. Der Social Engineer geht dabei in der Regel (unter anderem) nach folgender Methode vor:
- Der Social Engineer schafft ein Problem und scheint es anschließend für das Opfer zu lösen. Das Opfer ist dankbar für die Hilfe und steht nun in der Schuld des Angreifers, der dies später nutzen kann, um das Opfer zu einer Handlung zu bewegen, die es normalerweise nicht vornehmen würde (z. B. ein Telefonbuch oder etwas Ähnliches an eine Person oder einen Ort zu senden, an den es nicht gehört).
- Der Social Engineer gibt sich als ranghöhere Person innerhalb eines Unternehmens aus und weist einen Mitarbeiter an, Geld zu überweisen, ein Konto für jemanden anzulegen o. Ä., wobei Druck ausgeübt wird, um die Wahrscheinlichkeit der Befolgung zu erhöhen.
- Am bekanntesten ist wohl der Microsoft-Helpdesk-Betrug, bei dem Personen wahllos angerufen und darüber informiert werden, dass ihr Computer angeblich mit einem Virus infiziert sei und sie Hilfe bei dessen Entfernung benötigen, da das System von Microsoft dies angezeigt habe. Das ahnungslose Opfer lädt daraufhin ein Fernwartungstool herunter, das dem Angreifer Zugriff auf sein System verschafft; in manchen Fällen wird das Opfer sogar überredet, ein Abonnement für diese Software abzuschließen. Dies ist klassisches Social Engineering.
ID Control simuliert derartige Angriffe, um Unternehmen ihre Schwachstellen aufzuzeigen.
Was wir tun:
- Einschleichen in eine Organisation, um zu prüfen, ob Protokolle eingehalten werden.
- Platzieren oder Versenden von USB-Sticks mit eigener Software, um zu testen, ob Mitarbeitende diese anschließen.
- Phishing (Versenden gefälschter E-Mails, um zu prüfen, ob Mitarbeitende Anhänge öffnen).
- Vishing, ähnlich wie Phishing, nur dass wir hierbei die Organisation anrufen, um zu versuchen, Ihre Mitarbeitenden zur Preisgabe vertraulicher Informationen zu bewegen.
Bitte kontaktieren Sie einen unserer Cybersicherheitsberater unter +31 (0) 888-SECURE!
