Social Engineering: 50 aanvallen die je moet kennen

Van de verschillende typen cyberaanvallen die we in de praktijk tegenkomen, is social engineering een aanvalstactiek die onder hackers razendsnel stijgt in populariteit. Social engineering is de kunst van het manipuleren van mensen om vertrouwelijke informatie te verkrijgen of toegang te krijgen tot beveiligde computersystemen. In plaats van technische kwetsbaarheden te exploiteren, richten social engineering-aanvallen zich op de zwakste schakel in de beveiligingsketen: mensen.

In dit blog belichten we 50 verschillende social engineering-tactieken en benoemen we hoe jij je hier effectief tegen kunt verdedigen. Maar laten we eerst eens kijken naar wat social engineering precies inhoudt.

Social engineering uitgelegd

Social engineering is een psychologische manipulatietechniek die wordt gebruikt om mensen te misleiden zodat ze vertrouwelijke informatie prijsgeven of handelingen verrichten die de informatiebeveiliging in gevaar brengen. Social engineering-aanvallers exploiteren menselijke kwetsbaarheden, zoals vertrouwen, angst of nieuwsgierigheid, in plaats van direct de technische beveiligingen van informatiesystemen te proberen te doorbreken. De inherente kwetsbaarheid van de menselijke factor, maakt social engineering een voor de hand liggende en zeer aantrekkelijke aanvalstactiek voor hackers. 

Social engineering aanvallen kunnen vele vormen aannemen, van phishing-e-mails en misleidende tekstberichten tot ingewikkelde voorwendsels om fysieke toegang te krijgen tot beveiligde gebouwen of persoonlijke informatie. Het uiteindelijke doel is ongeautoriseerde toegang te krijgen tot de gegevens of middelen van een organisatie of individu, vaak voor frauduleuze of kwaadaardige doeleinden. Bewustzijn en educatie zijn cruciaal om social engineering-tactieken te herkennen en te voorkomen.

50 social engineering aanvallen en voorbeelden

1. Spear Phishing: Een gerichte vorm van phishing gericht op een specifieke persoon, vaak met gebruik van persoonlijke informatie om de aanval geloofwaardiger te maken.

   • Voorbeeld: Een CEO krijgt een e-mail die lijkt te komen van een vertrouwde zakenpartner met specifieke details over een lopend project. De e-mail bevat een bijlage die malware installeert wanneer geopend.

2. Vishing: Telefonische oplichting waarbij de aanvaller zich voordoet als een autoriteit of vertrouwd bedrijf om vertrouwelijke informatie te verkrijgen.

   • Voorbeeld: Een werknemer ontvangt een telefoontje van iemand die beweert van de bank te zijn, en vraagt om accountinformatie om verdachte activiteit te controleren. De werknemer verstrekt de gegevens en wordt slachtoffer van fraude.

3. Pretexting: Het creëren van een vals voorwendsel om slachtoffers te verleiden gevoelige informatie te onthullen.

   • Voorbeeld: Een aanvaller belt een helpdeskmedewerker en doet zich voor als een andere werknemer die zijn wachtwoord is vergeten. De aanvaller gebruikt geloofwaardige informatie om de medewerker te overtuigen het wachtwoord te resetten.

4. Baiting: Het aanbieden van prikkels aan slachtoffers om hen te verleiden specifieke acties uit te voeren, zoals het downloaden van malware.

   • Voorbeeld: USB-sticks met labels zoals "Salarisgegevens" worden achtergelaten op een parkeerplaats. Een nieuwsgierige werknemer sluit de USB-stick aan op zijn computer, waardoor malware wordt geïnstalleerd.

5. Tailgating: Fysieke toegang krijgen tot een faciliteit door iemand die gemachtigd is te volgen zonder toestemming.

   • Voorbeeld: Een persoon zonder badge volgt een medewerker met een badge naar binnen in een beveiligd gebouw door snel achter hen aan te lopen en te doen alsof ze vergeten zijn hun badge te pakken.

6. Water Holing: Websites compromitteren waarvan bekend is dat ze vaak door het doelwit worden bezocht om hen te infecteren met malware.

   • Voorbeeld: Een aanvaller besmet een populaire branchewebsite met malware. Wanneer medewerkers van een doelbedrijf deze site bezoeken, wordt hun computer geïnfecteerd.

7. Quid Pro Quo: Iets aan het slachtoffer aanbieden in ruil voor informatie of toegang, vaak in de vorm van gratis technische ondersteuning.

   • Voorbeeld: Een aanvaller biedt gratis software aan in ruil voor toegang tot de computer van het slachtoffer. De software blijkt malware te bevatten.

8. Shoulder Surfing: Direct het gevoelige informatie van iemand anders observeren, zoals wachtwoorden of pincodes, door over hun schouder mee te kijken.

   • Voorbeeld: In een café kijkt iemand over de schouder van een werknemer die zijn laptop gebruikt en ziet hem zijn wachtwoord invoeren.

9. Dumpster Diving: Door afval zoeken naar nuttige informatie, zoals papieren documenten of niet vernietigde elektronische apparaten.

   • Voorbeeld: Een aanvaller doorzoekt de prullenbakken van een bedrijf en vindt niet-versnipperde documenten met gevoelige bedrijfsinformatie.

10. Impersonation: Doen alsof men iemand anders is, zoals een medewerker of technicus, om toegang te krijgen tot informatie of beperkte gebieden.

    • Voorbeeld: Een aanvaller doet zich voor als een nieuwe technicus en vraagt om toegang tot serverruimtes onder het voorwendsel dat hij onderhoud moet uitvoeren.

11. Tech Support Scams: Het simuleren van technische ondersteuning om slachtoffers te verleiden malware te installeren of gevoelige informatie te onthullen.

    • Voorbeeld: Een gebruiker ontvangt een pop-upmelding die beweert van Microsoft te zijn, waarin staat dat er een virus op hun computer is. Wanneer ze het vermelde nummer bellen, worden ze gevraagd om toegang tot hun computer te geven en geld te betalen voor "reparaties".

12. Trojan Horses: Software die legitiem lijkt maar verborgen kwaadaardige code bevat.

    • Voorbeeld: Een werknemer downloadt wat lijkt op een nuttige productiviteitsapp, maar deze installeert tegelijkertijd een trojan die gegevens van de computer steelt.

13. Smishing: Vergelijkbaar met phishing maar uitgevoerd via SMS of andere tekstberichten.

    • Voorbeeld: Een werknemer ontvangt een SMS die beweert van hun bank te zijn, met een link om verdachte activiteit op hun account te verifiëren. De link leidt naar een nepwebsite die inloggegevens verzamelt.

14. Pharming: Slachtoffers omleiden naar frauduleuze websites door DNS of vergelijkbare kwetsbaarheden te manipuleren.

    • Voorbeeld: DNS-instellingen van een bedrijf worden gemanipuleerd zodat gebruikers die proberen toegang te krijgen tot de bedrijfswebsite, naar een identieke nepwebsite worden geleid die inloggegevens steelt.

15. Eavesdropping: Het onderscheppen van communicatie van anderen, of dit nu verbaal of digitaal is, om gevoelige informatie te verzamelen.

    • Voorbeeld: In een druk café luistert iemand bewust mee met het gesprek van een zakenman die gevoelige bedrijfsinformatie bespreekt.

16. Man-in-the-Middle Attacks: Het onderscheppen en mogelijk wijzigen van communicatie tussen twee partijen zonder hun medeweten.

    • Voorbeeld: Tijdens een openbare Wi-Fi-verbinding onderschept een aanvaller communicatie tussen een gebruiker en een website, waardoor hij gevoelige gegevens zoals inloggegevens kan stelen.

17. Insider Threats: Bedreigingen van binnen de organisatie, vaak van huidige of voormalige werknemers.

    • Voorbeeld: Een ontevreden medewerker kopieert vertrouwelijke bedrijfsgegevens voordat hij ontslag neemt en verkoopt deze aan concurrenten.

18. Reverse Social Engineering: Slachtoffers ertoe brengen contact op te nemen met de aanvaller voor hulp, waardoor informatie wordt verkregen of malware wordt geïnstalleerd.

    • Voorbeeld: Een aanvaller creëert een probleem op de systemen van een bedrijf en laat een bericht achter met zijn contactgegevens. Wanneer de medewerkers contact opnemen voor hulp, verkrijgt hij toegang tot hun systemen.

19. Physical Security Bypass: Het omzeilen van fysieke beveiligingsmaatregelen om toegang te krijgen tot beschermde gegevens of systemen.

    • Voorbeeld: Een aanvaller gebruikt sociale manipulatie om een fysiek slot van een serverruimte geopend te krijgen en krijgt toegang tot gevoelige gegevens.

20. Romance Scams: Sentimentele oplichting waarbij de aanvaller doet alsof hij een romantische relatie heeft om geld of informatie te verkrijgen.

    • Voorbeeld: Een persoon ontmoet iemand online die zich voordoet als een potentiële romantische partner. Na enkele weken van online communicatie vraagt de "partner" om geld vanwege een noodgeval.

21. Lottery Scams: Valse loterijwinnaarsmeldingen die verdere details of betalingen van het slachtoffer vereisen.

    • Voorbeeld: Iemand ontvangt een e-mail waarin staat dat hij een grote geldprijs heeft gewonnen en dat hij zijn bankgegevens moet verstrekken om het geld overgemaakt te krijgen. Het slachtoffer stuurt de gegevens en wordt vervolgens financieel opgelicht.

22. Fake Charities: Zich voordoen als een goed doel om donaties of persoonlijke informatie te verkrijgen.

    • Voorbeeld: Na een natuurramp worden nepwebsites en e-mails opgezet die om donaties vragen voor slachtoffers. Mensen doneren geld, dat vervolgens door de aanvallers wordt gestolen.

23. CEO Fraud: Zich voordoen als een bedrijfsleider om andere werknemers te verleiden geld over te maken of bedrijfsinformatie te onthullen.

    • Voorbeeld: Een aanvaller doet zich voor als de CEO van een bedrijf en stuurt een e-mail naar de financiële afdeling met de instructie om een groot bedrag over te maken naar een bepaalde rekening, zogenaamd voor een dringende zakelijke gelegenheid.

24. Business Email Compromise (BEC): Het compromitteren van zakelijke e-mails om fraude uit te voeren waarbij geld wordt overgemaakt.

    • Voorbeeld: De e-mailaccount van een zakelijke partner wordt gehackt en gebruikt om facturen te verzenden met gewijzigde bankgegevens, waardoor betalingen naar de rekening van de aanvaller gaan.