Social Engineering trucs

21 januari 2011

Fraudeurs kunnen beveiligingsmaatregelen heel simpel omzeilen door zich voor te doen als betrouwbare partners. Ieder weldenkend mens weet dat het onverstandig is om in te gaan op voorstellen waarbij je een vorstelijke vergoeding opstrijkt als je de nalatenschap van prins Usman Bello Mustapha II op je zakenrekening parkeert. Fraudeurs zitten echter niet stil. Mede dankzij de opkomst van sociale media zijn er tal van nieuwe manieren bedacht waarmee criminelen je bedrijfswinst weten af te romen of op slinkse wijze uit je privévermogen graaien. ‘Social engineering’ is een begrip uit de beveiligingsindustrie. Het slaat op activiteiten die een specifieke vorm van oplichting tot doel hebben. Social engineers bewegen nietsvermoedende mensen – waaronder ook IT’ers en CIO’s – er middels valse voorwendselen toe bepaalde acties te ondernemen of persoonlijke informatie prijs te geven.

  • Ik ben op zakenreis in Londen en mijn portemonnee is verdwenen. Ik kan geen kant op, kun je met spoed wat geld sturen?’ Wie via een sociale netwerksite de noodkreet van een vriend of collega binnenkrijgt, moet op zijn tellen passen, zelfs als het gaat om iemand die je persoonlijk kent. Volgens Graham Cluley, consultant bij het Britse beveiligingsbedrijf Sophos, bieden netwerksites nieuwe mogelijkheden voor internetfraudeurs. Een voorbeeld daarvan is dat oplichters zich ten onrechte voordoen als een van je Facebook-vrienden. Ze sturen je een bericht of plaatsen een oproep waarin ze aangeven dat ze in een buitenlandse stad zijn gestrand zonder geld; of je ze heel alsjeblieft met spoed wat geld kunt lenen. Het probleem is dat je nooit zeker weet of de ‘vriend’ waarmee je via Facebook communiceert daadwerkelijk de persoon is die hij lijkt te zijn. Internetcriminelen stelen wachtwoorden en kunnen Facebook-accounts hacken, zodat ze zich kunnen voordoen als iemand die je blindelings kunt vertrouwen. Sophos onderzoekt cybercrime-aanvallen en komt daarbij regelmatig Facebook-apps tegen die ongemerkt adware installeren. Deze software trakteert gebruikers op ongevraagde pop-ups, die uitnodigen om naar schimmige websites te surfen waar malware staat te wachten. Uit onderzoek van Sophos komt overigens ook naar voren dat netwerkspam op Twitter een groeiend fenomeen is.
  • Hoi, je spreekt met Rick van netwerkbeheer. We hebben geconstateerd dat jouw computer besmet is geraakt.’ Voordat er computers, email, webbrowsers en netwerksites waren, gebruikten we de telefoon om met elkaar te communiceren. Bellen is nog steeds een handig hulpmiddel voor social engineers. Volgens Chris Nickerson, oprichter van beveiligingsadviesbureau Lares, maken internetcriminelen daarbij vaak gebruik van meldingen over een dreigende virusaanval. Criminelen zijn vaak weken of maanden bezig met voorbereidingen en het winnen van vertrouwen, voordat ze uiteindelijk hun slag slaan. Ze kunnen zichzelf daarbij bijvoorbeeld voordoen als servicemonteur of externe IT-dienstverlener. Charme, de juiste woordkeuze, veel zelfvertrouwen en een lijst met namen van werknemers waar je naar kunt vragen, zijn doorgaans voldoende om als buitenstaander vrijuit in een bedrijfspand rond te kunnen lopen.
  • U hebt nog niet betaald voor een product waar u onlangs op hebt geboden tijdens een veiling op eBay. Klikt u alstublieft op deze link om alsnog uw betaling te voldoen.’ Phishing is een wijdverbreid fenomeen, en met het immer toenemend aantal transacties op internet groeit ook het aantal pogingen van cybercriminelen om via nepberichten en –websites creditcard- of bankgegevens af te troggelen. Voor Shira Rubinoff was een persoonlijke ervaring op dit vlak zelfs de aanzet om Green Armor op te richten. Een van de onderdelen van eBay waarmee criminelen worden geholpen, is volgens haar het ranking-systeem. Rubinoff raadt eenieder aan om dit type mailbericht te negeren en er vooral niet op door te klikken. Wie zich zorgen maakt over zijn score op eBay of een soortgelijke site en zeker wil zijn dat hij geen betalingsachterstanden – en dus imagoschade – oploopt, doet er goed aan om zelf de correcte url van eBay in de adresbalk van de browser te tikken. Een advies dat volgens haar niet alleen bij eBay- en andere marktsites geldt, maar bij ieder mailbericht waarvan de afkomst onduidelijk is en waarin naar een externe site wordt verwezen.

Share This:

Leave a Reply

Your email address will not be published. Required fields are marked *