Vergeet de Hollywood-versie van hacken. Je hebt niet te maken met gloeiende groene code of complexe achterdeurtjes als het om sociale netwerken gaat. Echte social engineering-aanvallen vereisen vrijwel geen technische vaardigheden. Ze vertrouwen op iets dat veel gevaarlijker is: de menselijke psychologie.
De meeste mensen verwarren ‘hacken’ met malware of code-exploitatie. Maar social engineering op sociale netwerken is anders. Het is een vertrouwensspel. Aanvallers gebruiken de persoonlijke gegevens die u vrijwillig uploadt om het vertrouwen van vreemden te winnen. Ze breken niet in. Ze worden binnen uitgenodigd.
Het menselijke element is de zwakste schakel
Traditionele beveiligingssystemen zijn robuust. Firewalls werken. Encryptie werkt. Mensen niet.
Social engineering maakt gebruik van de zwakste schakel in informatiebeveiliging: jij en ik. Er wordt gebruik gemaakt van overtuigingskracht, angst of urgentie om logische veiligheidscontroles te omzeilen. Overweeg deze klassieke voorbeelden:
- Een beller die zich voordoet als een boze directeur die zijn wachtwoord is vergeten en onmiddellijke toegang eist.
- Een nep-bankmedewerker die om uw creditcardgegevens vraagt om een account te ‘verifiëren’.
- Iemand die doet alsof hij zijn ID-badge kwijt is en vraagt om een openzetting op de deur van het kantoor.
Dit zijn geen sciencefictionplots. Ze gebeuren dagelijks. Het doel is simpel: omzeil de technologie door de mens achter het scherm te misleiden.
Je openbare profiel is een schatkaart
Wanneer u een profiel op een sociaal netwerk opbouwt, concentreert u zich waarschijnlijk op verbinding. Je denkt zelden na over veiligheidsrisico’s. Elk detail dat u plaatst, maakt het voor een aanvaller gemakkelijker om dat vertrouwen te misbruiken.
Stel je voor dat je een ingenieur bent. Je blogt over een gevoelig, niet-gepubliceerd project op je Facebook-pagina. Een aanvaller ziet dit. Hij kent je naam. Hij kent jouw rol. Hij kent uw bedrijf.
Hij maakt een profiel aan dat een collega van datzelfde bedrijf nabootst. Als hij contact met je opneemt, ben je al geneigd om hem te vertrouwen. Hij is iemand van ‘jouw soort’. Zodra u zich ermee bezighoudt, kan hij proberen een wachtwoord te achterhalen of bedrijfseigen gegevens te stelen om aan uw concurrenten te verkopen. Dit alles is mogelijk doordat u uw professionele context openbaar heeft gedeeld.
De illusie van “Alleen vrienden”
De meeste netwerken beloven veiligheid. Ze beweren dat alleen je “vrienden” je volledige profiel kunnen zien. Dit klinkt veilig. Dat is het niet.
Deze functie werkt alleen als u uiterst selectief bent. Als je vriendschapsverzoeken van iedereen accepteert, lok je chaos uit. Eén van die vreemdelingen is waarschijnlijk een aanvaller.
Het kernprobleem met online sociale netwerken is het gebrek aan ingebouwde authenticatie. Er bestaat geen systeem om te bewijzen dat iemand is wie hij zegt dat hij is. Op een platform als LinkedIn kan een aanvaller een profiel maken dat perfect aansluit bij de zakelijke belangen van zijn doelwit.
Zodra u de verbinding accepteert, krijgt hij inzicht in uw netwerk. Hij ziet jouw connecties. Hij ziet uw functietitels. Hij ziet uw relaties. Met die kaart kan hij een uitgebreide identiteitsdiefstalzwendel bedenken. Hij hoeft de server niet te hacken. Hij wil alleen dat je op ‘Accepteren’ klikt.
Bewustzijn is je enige verdediging
Er is geen softwarepatch voor paranoia. De enige verdediging tegen social engineering op sociale netwerken is bewustzijn.
Je moet weten dat deze aanvallers bestaan. Je moet voorzichtig zijn met wat je plaatst. Maar wat nog belangrijker is, is dat u de zwendel moet herkennen terwijl deze plaatsvindt. Niet nadat de schade is aangericht.
Als u elke interactie op een netwerk als een potentiële test van uw vertrouwen beschouwt, kunt u de ontmoeting mogelijk overleven. Of misschien ben jij gewoon de volgende statistiek.
Vervolgens zullen we bekijken hoe IT-professionals dezelfde netwerken kunnen gebruiken voor carrièregroei zonder in de val te lopen.
