Rekayasa sosial memanipulasi orang agar mengungkapkan informasi atau memberikan akses. Serangan ini menargetkan psikologi manusia, bukan teknologi. Penyerang membangun kepercayaan, menciptakan urgensi, dan mengeksploitasi keinginan untuk membantu. Contohnya, panggilan telepon dari seseorang yang mengaku sebagai staf IT. Email dari eksekutif palsu yang meminta transfer uang. Pengunjung dengan papan klip yang berhasil melewati resepsionis dengan berbicara panjang lebar. Tekniknya bervariasi. Tujuannya sama: membuat target melakukan sesuatu yang seharusnya tidak mereka lakukan.

Rekayasa sosial efektif karena melewati kontrol teknis. Firewall tidak menghentikan karyawan help desk untuk mengatur ulang kata sandi seseorang yang terdengar sah. Peretasan Twitter tahun 2020 menggunakan rekayasa sosial berbasis telepon untuk meyakinkan karyawan agar menyerahkan kredensial. Para penyerang kemudian mengambil alih akun-akun terkenal dan memposting penipuan Bitcoin. FBI menyebutnya sebagai serangan rekayasa sosial terkoordinasi. Pertahanan dimulai dengan kesadaran, tetapi kesadaran saja tidak cukup. Proses lebih penting. Verifikasi identitas melalui saluran terpisah. Perlukan persetujuan untuk tindakan sensitif. Batasi apa yang dapat dilakukan oleh satu orang. Tujuannya adalah untuk mempersulit kebohongan yang meyakinkan untuk berhasil. Pelatihan membantu, tetapi proses yang kuat menangkap apa yang terlewatkan oleh pelatihan.

Teknik rekayasa sosial umum

• Phishing — penipuan berbasis email
• Vishing — penipuan melalui panggilan suara
• Pembelokan — skenario yang dibuat-buat
• Memancing — tawaran yang menggiurkan, seperti drive USB gratis.
• Mengikuti dari belakang — membuntuti seseorang ke area yang aman.

Rekayasa sosial mengeksploitasi kepercayaan. Pertahanan yang tepat adalah verifikasi, bukan kecurigaan.