De flesta människor vill tro gott om andra människor, och lita på dem. Att vara instinktivt misstänksam och alltid analysera sina medmänniskors avsikter är oftast en inlärd förmåga som byggts upp av dåliga erfarenheter eller utbildning i att granska.
Social engineering handlar om att utnyttja att människor är hjälpsamma, godtrogna, nyfikna, giriga eller bara allmänt slarviga. Begreppet rymmer många olika typer av angrepp, allt från nätfiske genom falska erbjudanden till att angriparen fysiskt tar sig in någonstans där hen normalt inte är tillåten att befinna sig.
Genom lögner och manipulation kan de skickligaste angriparna lyckas med nästan vad som helst, och därför kan de utgöra ett allvarligt hot mot din organisation och de fysiska och digitala tillgångar ni försöker skydda.
Som hämtat ur en film
Oavsett vad slutmålet med attacken är finns det en sak som är gemensam för nästan alla typer av social engineering, och som starkt bidragit till den upphöjda myten: strävan efter att ta sig till platser dit angriparen saknar behörighet.
På nätet och i böcker finns en uppsjö historier som lätt kunde ha platsat i filmer som ”Catch me if you can” eller ”Ocean´s eleven”. Det kan handla om falska uniformer och legitimationer, servicearbeten som ingen beställt eller vältajmade omkopplingar av telefonsamtal, oftast efter noggrann kartläggning av organisationer och deras anställda.
Men det är inte hela, eller ens halva, sanningen om social engineering. De där spektakulära attackerna är sällsynta, och såklart svåra att genomföra. Det är en fara att bara fokusera på att skydda sig mot skickliga lögnare med lösmustascher, när en social engineering-attack oftast sker på mer subtila sätt efter att angriparen studerat vanor och rutiner hos både organisationens anställda och lokaler.
Det mest skrämmande med social engineering är att du ofta inte ens märker att din organisation drabbats. Och om du märker det är det ofta lång tid efter själva attacken.
Tomas Djurling, expert på strategisk säkerhet på Truesec, har jobbat med social engineering i många år. Han utför ofta penetrationstester åt organisationer för att se hur bra deras beredskap mot sociala angrepp är.
– Jag har dessvärre aldrig misslyckats med att ta mig in någonstans där jag inte borde få befinna mig, berättar han.
Medvetenheten är låg
Men är det här något som svenska organisationer arbetar aktivt med och förstår vad det innebär? Charlie Svensson, säkerhetsexpert på Sentor, tror att medvetenheten är låg.
– Generellt sett är det få som tänker i de här banorna överhuvudtaget, och även bland de säkerhetsmedvetna finns ofta en bristande förståelse för hur en angripare kan pussla ihop många mindre framgångar till ett stort hot.
Han menar att även om man har vissa rutiner på plats är det tveksamt om de skyddar så väl som man tänkt sig.
– Exempelvis kanske det finns rutiner för att bara folk som står med på en lista får komma in i lokalen. Men vem som helst kan ringa upp vakterna i förväg och utge sig för att vara chef, och uppdatera denna lista med nya namn. Går vi steget längre kanske vakterna måste verifiera chefens identitet, men då kan angriparen ringa upp chefen och utge sig för att vara en ännu högre uppsatt chef. I många fall kan det tyvärr räcka.
Man känner inte till begreppet
Tomas Djurling är inne på samma spår.
– Medvetenheten är generellt väldigt låg, jag märker av det när jag föreläser om det. Man känner i de flesta fall inte till begreppet social engineering, men när jag berättar vad det handlar om känner många igen de metoder jag berättar om. Men beredskapen är låg och det är få som vet vad de ska göra för att minska risken att drabbas.
Tomas Rzepka arbetar på säkerhetsföretaget Certezza, där han är säkerhetsexpert och leder penetrationstester. Han säger att många känner till vad social engineering innebär, men han anser att säkerhetstänket inte sträcker sig tillräckligt långt.
– De flesta har vetskap om social engineering, men jag upplever inte att speciellt många svenska organisationer jobbar aktivt med att stävja det. På sin höjd säger man åt användarna att inte klicka på länkar i e-post eller att inte installera okända program. Sedan försöker man säkra den fysiska accessen med passagebrickor och liknande.
Tekniken löser inte allt
Åsa Schwarz, säkerhetsexpert på Knowit, menar att det i dag finns en för stor tilltro till att tekniken ska lösa alla säkerhetsproblem.
– Egentligen är företagens största sårbarhet människan. Eller snarare att vi brister i att ge våra medarbetare verktyg för att hantera den här typen av attacker. Med verktyg menar jag till exempel instruktioner hur lösenord ska delas ut av en helpdesk eller vilka rutiner som ska gälla vid inpassering.
Men är det här något som vem som helst kan råka ut för? Och hur vanligt är det egentligen?
Charlie Svensson menar att social engineering-attacker är vanligare än de flesta tror.
– På nätet finns hela forum och communities där bedragare samlas för att utbyta idéer, skryta om sina framgångar och ge tips och feedback. Ofta handlar det inte om att lura till sig miljoner eller att få tillgång till superhemlig information, utan snarare om småsaker som att lura kundtjänster på mindre belopp eller att på något sätt få gratis varor och tjänster.
– Det vanligaste är att folk går in och stjäl datorer, antingen för att sälja dem eller för att komma åt information på dem. Många har ju läst Kevin Mitnicks böcker och vill pröva om det är så enkelt som han beskriver det. Han ger ju rena steg för steg-instruktioner för social engineering, säger Tomas Djurling.
– De flesta bolag, men även privatpersoner, utsätts för den vanligaste formen av social engineeering-attacker varje dag: nätfiske. De är inte riktat till en specifik person utan är främst till för att lura pengar av en stor massa med människor. Det finns alltid någon som nappar, säger Åsa Schwarz.
Men vanligt nätfiske kan också vara en förberedelse för en större attack.
– Ofta är det främsta målet att få information som adresser, kreditnummer eller inloggningsuppgifter för att sedan tillskansa sig pengar på något sätt. Men det är också ett sätt att identifiera folk som är mottagliga för den typen av attacker för att sedan gå vidare med andra medel, säger Åsa Schwarz.
Tomas Rzepka menar att vissa typer av organisationer löper större risk att utsättas för social engineering.
– Företag som har produkter som är intressanta att plagiera utsätts i större utsträckning för dessa attacker. Och när det händer pratar de tyst om det, för att inte påverka börsvärdet.
Gömda kameror i lokalerna
Tomas Djurling berättar om ett skräckexempel där det inte ens krävdes att angriparna hade någon direkt kontakt med sitt offer.
– Ett läkemedelsföretag blev utsatta för ett inbrott där deras datorer stals. De agerade som de flesta gör, skaffade nya datorer och rullade ut sin backup för att snabbt komma i gång igen. Inbrottet tänkte de inte mer på, förrän några år senare när de upptäckte avlyssningsutrustning och flera kameror gömda i sina lokaler. En kort tid senare såldes företaget till en konkurrent för ett underpris. Varför kan man bara spekulera om.
Djurlings exempel är att betrakta som ett extremfall, och de flesta organisationer behöver inte oroa sig för så pass välplanerade och sofistikerade attacker. Däremot har många någon form av information som kan vara åtråvärd för en angripare.
Det finns få konkreta exempel på lyckade attacker genom social engineering. Det betyder inte att de inte sker eller att de inte lyckas. De it-säkerhetsexperter som TechWorld talat med är överens om att det är väldigt få drabbade som vill berätta om attackerna. Därför är det svårt slå fast hur vanligt det egentligen är med social engineering. Det betyder att det kan finnas ett stort mörkertal.
– Vad gäller riktade attacker är det samma problem som vid många andra incidenter. Först och främst upptäcks inte majoriteten av dem. Om de sedan upptäcks är det ofta långt efter själva incidenten, och tyvärr ofta av någon annan, till exempel kunder eller samarbetspartners som blivit av med information, säger Åsa Schwarz.
Många angrepp mörkas
Hon menar att det kan finnas många anledningar till att attackerna inte blir officiella. Till exempel kan den enskilda medarbetaren vilja dölja att hen blivit utsatt för en attack även om hen har insett det.
– Det är därför viktigt att ha ett företagsklimat där rapportering av incidenter uppmuntras och där ingen är rädd för att bestraffas. Ett grundproblem brukar vara att det inte ens finns en rutin för rapportering av incidenter. Dessutom har bolagen få incitament att offentliggöra attacker eftersom det kan ge dålig publicitet, säger Åsa Schwarz.
– Det finns ett mörkertal då det inte är någonting man märker av så fort. Och det rör sig oftast om småsaker. Den kombinationen gör att det sällan finns något intresse av att prata om det, säger Charlie Svensson.
Två viktiga nycklar
Vad kan då de organisationer som är i farozonen för att bli utsatta för social engineering göra för att minimera riskerna? Utbildning och information är viktiga nycklar, enligt de experter vi pratat med.
– Det finns de som anser är det är meningslöst att utbilda användarna. Men då tror jag att man saknar pedagogik. Man kan inte bara slå en bunt papper i huvudet på användarna, man måste varva utbildningen med dialog och demonstrationer av hur enkelt en angripare kan ta över deras dator. Då fångar man deras uppmärksamhet. Det brukar ta extra skruv om man visar att angriparna kan komma över användarnas personliga information.
Organisationens information verkar ofta inte vara lika viktig för dem, säger Tomas Rzepka, och fortsätter:
– När det gäller fysisk åtkomst handlar det att om utbilda personal samt att bygga zoner så att en obehörig inte kan nå det allra heligaste. Det är också viktigt att säkra nätverksaccess så att inte en angripare kan få tillgång till det interna nätverket genom att koppla in sig i exempelvis konferensrummet.
Åsa Schwarz menar också att utbildning är viktigt för att öka medvetandet om säkerhetsfrågor och ändra beteendet i hela organisationen. Eftersom det hela tiden dyker upp nya metoder för att luras, måste kunskaperna också ständigt uppdateras.
– Vi bör däremot inte skriva alltför detaljerade instruktioner för hantering av kriser och incidenter. För att kunna se hot behöver man dra nytta av sin kompetens och erfarenhet, och inte bara följa fastslagna rutiner.
Charlie Svensson menar att vi i Sverige har en bristfällig säkerhetskultur. Vi håller gärna upp dörrar för folk, frågar ogärna om folks ärenden och har svårt att säga nej om någon ber om en tjänst som att öppna en dörr om de bär ett tungt paket.
– I många andra länder finns en mycket mer aggressiv säkerhetsmedvetenhet bland arbetare. Har du inget synligt passerkort är det anledning nog att stoppa dig och ifrågasätta din närvaro. Det finns många fallgropar som borde kunna undvikas. Till exempel ska en kundtjänstmedarbetare inte kunna se eller lämna ut känslig information utan att en kund har identifierat sig på ett säkert sätt. På detta sätt kan en lättlurad telefonist inte råka avslöja hemligheter.
Skapa rätt kultur
Att träna organisationen handlar enligt Charlie Svensson mycket om att höja medvetenheten om den här typen av hot, och att skapa en kultur där det inte uppfattas som otrevligt att ställa frågor. Att få folk att börja ifrågasätta saker är viktigt. Kombinerat med väldesignade rutiner som efterföljs kan det drastiskt försvåra för en angripare, men han poängterar att det är lika viktigt att utvärdera om rutinerna fungerar.
– Ett vanligt scenario när vi testar är att kunden vill testa nya rutiner som finns på plats efter att man utvärderat hotbilden. I många fall är rutinen väldesignad, men viljan att vara tillmötesgående och snäll leder ofta ändå till brister i informationshanteringen.
Tomas Djurling ger några handfasta tips på saker som kan avskräcka en angripare. Det kan vara att sätta upp en skylt som berättar att alla obehöriga kommer att polisanmälas. Övervakningskameror kan också vara bra, många angripare vill inte bli filmade. Korrekt hantering av besöksbrickor är en annan sak som måste fungera.
– Har man sådant på plats höjs ribban, och angriparen kan dra slutsatsen att organisationen menar allvar. Då väljer de kanske en lättare måltavla. Men det första steget är alltid att berätta för de anställda om social engineering, och att beskriva det ur angriparnas perspektiv. Om man vet vad de måste lyckas med i sina attacker står man också bättre rustad att mota dem, säger Tomas Djurling.
TechWorlds slutsats
Social engineering är ett samlingsnamn för många olika typer av attacker som bygger på att lura människor att fatta fel beslut. Det vanligaste är det nätfiske som de flesta stöter på i sin mejlkorg. De mer sofistikerade attackerna som bygger på omfattande förberedelse från angriparen är betydligt ovanligare, även om det kan finnas ett mörkertal.
De experter som TechWorld pratat med är överens om att kunskapen och beredskapen kring social engineering är bristfällig i Sverige.
Det bästa sättet att motverka social engineering är att utbilda sina anställda i hur det fungerar och vad de alltid bör tänka på. Organisationen bör också fokusera på tydliga rutiner, till exempel kring inpassering i lokaler och vilken typ av information som får lämnas ut över telefon.
Det är mycket svårt att skydda sig fullt ut mot en skicklig angripare som kartlägger ens organisation och använder flera vägar in för att komma åt ens information, men om angriparen i ett tidigt skede märker att måltavlan är förberedd kan det avskräcka från fortsatt angrepp.
Boktips:
”The Art of Deception” av Kevin Mitnick, 2002 och ”Social Engineering – The Art of Human Hacking” av Christopher Hadnagy, 2011.
Läs mer på nätet:
Social Engineer är en mycket bra webbresurs om du vill lära dig mer om vad social engineering handlar om och vad du bör tänka på: www.socialengineer.org
… i april i år intervjuade man dessutom Kevin Mitnick i sin podcast (video): tinytw.se/mitnick
Säkerhetsföretaget Veracode har gjort en stor infograf över varför social engineering så ofta lyckas: tinytw.se/whyitworks
I tio år har säkerhetskonferensen Last Hope (Hackers On Planet Earth) haft en panel som pratat om social engineering, och som ”livehackat” över telefon. Det här är årets version. De tidigare kan du hitta om du söker på Youtube. tinytw.se/lasthope
