SOCIAL ENGINEERING, WAT IS DAT?
Social engineering is een verzamelnaam voor methoden en technieken die gericht zijn op het manipuleren van mensen zodat zij onveilige handelingen uitvoeren. Phishing is verreweg de bekendste social engineering techniek waarbij vaak via e-mail geprobeerd wordt om mensen bijvoorbeeld te overtuigen om 'ergens' in te loggen zodat deze gegevens bij de cybercriminelen terechtkomen. Phishing is anno 2021 nog altijd één van de grootste cyberdreigingen voor zowel burgers als bedrijven! Europol concludeert in haar IOCTA 2020 het volgende met betrekking tot phishing: "een top bedreiging welke overige cybercriminaliteit mogelijk maakt". Phishing wordt dan ook bij veel cyberaanvallen gebruikt om malware te installeren op systemen of om bijvoorbeeld het netwerk binnen te dringen door logingegevens te bemachtigen van een medewerker. Met name door het toenemende aanbod van Cybercrime-as-a-Service (CaaS) op het Darkweb worden geavanceeerde cyberaanvallen steeds laagdrempeliger. Hierdoor zijn ook actoren met beperkte technische kennis en kunde in staat om dergelijke aanvallen uit te voeren.
CYBER KILL CHAIN
Voor het verrichten van social engineering aanvallen maken cybercriminelen gebruik van Open Source INTelligence (OSINT). Met OSINT worden openbare bronnen geraadpleegd met als doel het verzamelen van waardevolle informatie die gebruikt kan worden tijdens een latere fase van de Cyber Kill Chain (CKC). Denk hierbij aan uitgelekte wachtwoorden, e-mail accounts, informatie over uw bedrijfsprocessen, systemen, netwerken en applicaties enzovoort. Op basis van de informatie ontwikkelen cybercriminelen exploits of malware waarmee zij uw systemen en netwerken kunnen binnendringen. OSINT onderzoeken vinden plaats in de 'Reconnaissance' fase van de CKC van Lockheed Martin, het prepareren van malware of exploits in de 'Weaponization' fase en het uitvoeren van social engineering aanvallen in de 'Delivery' fase.
Het kunnen bieden van weerstand tegen social engineering aanvallen kunt u tot op beperkte hoogte technisch en fysiek organiseren, maar het belangrijkste aspect hiervan is en blijft het structureel scholen van uw medewerkers op dit vlak. Kennen uw medewerkers de voornaamste dreigingen, weten zij hoe hiermee om te gaan en zijn zij bekend met interne en externe regelgeving op dit vlak?
Bron afbeelding:
https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html
Workshops & presentaties
OSINT
Phishing simulaties
Om het beveiligingsbewustzijn onder uw medewerkers te (blijven) verhogen is het regelmatig behandelen van dit complexe onderwerp essentieel. Wij kunnen (op maat ontwikkelde) presentaties en workshops zodat uw medewerkers worden bijgepraat over specifieke onderwerpen en de manier waarop zij daarmee om kunnen gaan om de informatiebeveiliging te borgen.
DMC Group kan een OSINT onderzoek uitvoeren om uw digitale voetafdruk inzichtelijker te maken en mogelijke beveiligingsrisico's aan het licht brengen. Denk hierbij aan uitgelekte gegevens van uw medewerkers zoals e-mailadressen en wachtwoorden, maar bijvoorbeeld ook aan gevoelige documenten die publiekelijk benaderbaar zijn.
Het uitvoeren van phishing simulaties geeft u inzicht in de mate waarin uw medewerkers vatbaar zijn voor dergelijke aanvallen. Wij kunnen een simulatie voor u verzorgen waarbij uw medewerkers echt uitgedaagd worden door het gebruik van typosquat domeinen, TLS-certificaten, 'spoofing', SMS-aanvallen, real-time updates enzovoort.