Social engineering

De psykologiske greb

NIST definerer social engineering som at narre en person til at afsløre følsomme oplysninger, give uautoriseret adgang eller begå svindel ved at opbygge tillid. Styrelsen for Samfundssikkerhed beskriver, hvordan angribere bruger psykologiske greb, fx at give en handling en hastende karakter, så offeret fokuserer på at udføre den frem for at spørge hvorfor. De greb, der går igen:

• Autoritet: Henvendelsen ser ud til at komme fra direktøren, banken, en myndighed eller IT-supporten.
• Hast: Der er en deadline, en lukket konto eller en kunde, der venter.
• Hjælpsomhed: “Kan du lige hjælpe mig – jeg sidder i et møde.”
• Fortrolighed: “Det her må ikke deles endnu.” Det afskærer medarbejderen fra at spørge en kollega.
• Forberedelse: Angriberen har ofte undersøgt virksomheden, navne og roller på forhånd, så henvendelsen virker troværdig.

Direktørsvindel og overtagne mailkonti

Direktørsvindel (CEO-fraud, også kaldet BEC – Business Email Compromise) er en af de former, sikkerdigital.dk advarer virksomheder mest om. En mail eller sms, der ser ud til at komme fra en leder, beder en medarbejder om at betale en faktura eller overføre penge – ofte til en udenlandsk konto og med stor hast. Afsenderen kan være en adresse, der ligner lederens, men det kan også være lederens rigtige konto, hvis den er overtaget.

Styrelsen for Samfundssikkerhed beskriver også, at angribere bryder ind i igangværende mailkorrespondance efter at have kompromitteret en leverandør eller samarbejdspartner. Derfor er en kendt afsender og en kendt tråd ikke i sig selv et bevis på, at beskeden er ægte.

Telefon og falsk support

En stigende del af manipulationen sker over telefonen. Styrelsen for Samfundssikkerhed peger på en markant stigning i phishing via sms og opkald. Et typisk scenarie er en opringning fra en, der udgiver sig for at være IT-support eller Microsoft, og som beder medarbejderen om at godkende en login-anmodning på telefonen, oplyse en kode eller installere et fjernstyringsprogram.

Faste regler virker bedre end mistænksomhed

Det er urealistisk, at medarbejdere skal gennemskue alle forsøg. Det, der virker, er enkle regler, som gælder for alle – også ledelsen – så ingen skal vurdere, om det “denne gang” er i orden at springe over:

• Betalinger og ændrede kontonumre bekræftes altid via et kendt telefonnummer – ikke det i mailen.
• Godkend aldrig en login-anmodning, som I ikke selv har startet.
• Adgangskoder og engangskoder deles aldrig – heller ikke med IT-support.
• Fjernstyring af en computer sker kun, når medarbejderen selv har bedt om hjælp via en kendt kanal.
• Det er altid i orden at sige: “Jeg ringer tilbage.”

Hvad teknik kan hjælpe med

Teknik kan ikke fjerne manipulation, men den kan gøre konsekvenserne mindre. MFA – især phishing-resistente metoder som passkeys – gør det sværere at misbruge et narret login. DMARC gør det sværere at sende mails i jeres eget domænes navn. Og overvågning kan opdage tegn på en overtaget konto, fx nye videresendelsesregler. Microsoft Entra ID kan desuden markere mistænkelige MFA-godkendelser og lade medarbejdere melde en uventet anmodning som mistænkelig.

Spørgsmål I kan stille

• Har vi en skriftlig regel for, hvordan betalinger og ændrede kontonumre bekræftes?
• Ved medarbejderne, at IT aldrig beder om deres adgangskode eller om at godkende et login, de ikke selv har startet?
• Følger ledelsen selv reglerne, også når det haster?
• Er det let og trygt for en medarbejder at sige: “Jeg tror, jeg er blevet snydt”?

Hvornår giver det mening at få hjælp?

Hvis I har mistanke om, at en konto er overtaget, eller at der er betalt til en forkert konto, så kontakt banken og jeres IT-partner med det samme. Furesø Data kan også hjælpe med at formulere enkle regler for betalinger og adgange.

Spørgsmål og svar

Relaterede ord