Social engineering nog altijd een grote dreiging!

Social engineering is een verzamelnaam voor technieken waarbij geprobeerd wordt mensen te overtuigen om onveilige handelingen te verrichten. Phishing is verreweg de bekendste methodiek en praktijkvoorbeelden hiervan zijn men te overtuigen om:

• te klikken op een link in een bericht
• een bijlage te openen
• een bepaalde website te bezoeken of het downloaden en installeren van een bestand
• gevoelige informatie zoals logingegevens te verstrekken

MITRE ATT&CK is een framework (zie afbeelding verderop) gebaseerd op tactieken en technieken die daadwerkelijk door cybercriminelen worden toegepast. Dit framework is dynamisch en wordt continu bijgewerkt op basis van nieuwe technieken die zijn gespot 'in het wild'. Social engineering maakt andere cybercriminaliteit mogelijk en dat blijkt ook uit het MITRE ATT&CK framework onder de doelstelling 'Initial Access'. Kortom, social engineering vormt vaak een eerste stap om toegang te verkrijgen tot netwerken en/of systemen. Het is daarom van groot belang dat organisaties naast het treffen van technische maatregelen ook voldoende aandacht (blijven) besteden aan het beveiligingsbewustzijn hieromtrent. Met name door het werken op afstand en vaak via onbeheerde apparaten zoals smartphones, tablets en laptops is de mate waarin technische maatregelen getroffen kunnen worden beperkt(er). De weerbaarheid tegen social engineering aanvallen berust dan ook primair bij uw medewerkers. Er is ook een zichtbare trend waarbij steeds vaker via alternatieve kanalen geprobeerd wordt om medewerkers te benaderen. Denk hierbij aan sociale media accounts, brieven aan huis of persoonlijke e-mail adressen of telefoonnummers. Besteed daarom aandacht aan de volgende aspecten aangezien deze ongeacht de context altijd van toepassing zijn:

• zodra je een verzoek krijgt om 'iets' te doen dien je extra alert te zijn. Denk hierbij aan verzoeken via e-mail om ergens in te loggen, een bijlage te openen of om op een link te klikken.
• verifieer altijd het verzoek voordat je daar op ingaat (bel bijvoorbeeld zelf de organisatie op of neem contact op met je ICT helpdesk of leidinggevende).
• controleer de links waarnaar verwezen wordt altijd goed en let vooral op de verschillen tussen domeinen, subdomeinen en top-level domeinen. 
• maak medewerkers bewust van nieuwe of afwijkende technieken zoals het gebruik van QR-codes, URL-verkorters, Smishing of het gebruik van legitieme diensten zoals Adobe of Microsoft Office voor het afleveren van malware (bijvoorbeeld via macro's).
• waar zij terecht kunnen voor het melden van social engineering aanvallen (zowel prive als zakelijk).