Η κοινωνική μηχανική χειραγωγεί τους ανθρώπους ώστε να αποκαλύψουν πληροφορίες ή να παραχωρήσουν πρόσβαση. Στοχεύει στην ανθρώπινη ψυχολογία, όχι στην τεχνολογία. Ο εισβολέας χτίζει εμπιστοσύνη, δημιουργεί επείγουσα ανάγκη και εκμεταλλεύεται την επιθυμία να είναι χρήσιμος. Ένα τηλεφώνημα από κάποιον που ισχυρίζεται ότι είναι IT. Ένα email από ένα ψεύτικο στέλεχος που ζητά τραπεζικό έμβασμα. Ένας επισκέπτης με ένα πρόχειρο που του λέει να περάσει από τη ρεσεψιόν. Οι τεχνικές ποικίλλουν. Ο στόχος είναι ο ίδιος: να πειστεί ο στόχος να κάνει κάτι που δεν πρέπει.

Η κοινωνική μηχανική είναι αποτελεσματική επειδή παρακάμπτει τους τεχνικούς ελέγχους. Ένα τείχος προστασίας δεν εμποδίζει έναν υπάλληλο της υπηρεσίας υποστήριξης να επαναφέρει έναν κωδικό πρόσβασης για κάποιον που ακούγεται νόμιμος. Η παραβίαση του Twitter το 2020 χρησιμοποίησε κοινωνική μηχανική μέσω τηλεφώνου για να πείσει τους υπαλλήλους να παραδώσουν τα διαπιστευτήριά τους. Στη συνέχεια, οι εισβολείς ανέλαβαν λογαριασμούς υψηλού προφίλ και δημοσίευσαν μια απάτη Bitcoin. Το FBI την χαρακτήρισε συντονισμένη επίθεση κοινωνικής μηχανικής. Η άμυνα ξεκινά με την επίγνωση, αλλά η επίγνωση από μόνη της δεν είναι αρκετή. Οι διαδικασίες έχουν μεγαλύτερη σημασία. Επαλήθευση ταυτότητας μέσω ξεχωριστού καναλιού. Απαιτείται έγκριση για ευαίσθητες ενέργειες. Περιορισμός αυτού που μπορεί να κάνει ένα μεμονωμένο άτομο. Ο στόχος είναι να δυσκολευτεί η επιτυχία ενός πειστικού ψεύδους. Η εκπαίδευση βοηθάει, αλλά μια ισχυρή διαδικασία εντοπίζει ό,τι χάνει η εκπαίδευση.

Κοινές τεχνικές κοινωνικής μηχανικής

• Ηλεκτρονικό "ψάρεμα" (phishing) — εξαπάτηση μέσω email
• Vishing — εξαπάτηση φωνητικών κλήσεων
• Προσποίηση — κατασκευασμένο σενάριο
• Δόλωμα — δελεαστική προσφορά, όπως μια δωρεάν μονάδα USB
• Παρακολούθηση — παρακολούθηση κάποιου σε ασφαλή περιοχή

Η κοινωνική μηχανική εκμεταλλεύεται την εμπιστοσύνη. Η άμυνα είναι η επαλήθευση, όχι η υποψία.