Social engineering manipuleert mensen om informatie prijs te geven of toegang te verlenen. Het richt zich op de menselijke psychologie, niet op technologie. De aanvaller wekt vertrouwen, creëert urgentie en maakt gebruik van de wens om behulpzaam te zijn. Een telefoontje van iemand die zich voordoet als IT'er. Een e-mail van een nep-directeur die om een ​​overschrijving vraagt. Een bezoeker met een klembord die zich langs de receptie praat. De technieken variëren. Het doel is hetzelfde: het slachtoffer iets laten doen wat niet de bedoeling is.

Social engineering is effectief omdat het technische beveiligingsmaatregelen omzeilt. Een firewall voorkomt niet dat een helpdeskmedewerker een wachtwoord reset voor iemand die betrouwbaar overkomt. Bij de Twitter-hack van 2020 werd via de telefoon social engineering gebruikt om medewerkers over te halen hun inloggegevens prijs te geven. De aanvallers namen vervolgens accounts van bekende personen over en plaatsten een Bitcoin-oplichting. De FBI noemde het een gecoördineerde social engineering-aanval. Verdediging begint met bewustwording, maar bewustwording alleen is niet genoeg. Processen zijn belangrijker. Verifieer de identiteit via een apart kanaal. Vereis goedkeuring voor gevoelige acties. Beperk wat één persoon kan doen. Het doel is om het moeilijker te maken voor een overtuigende leugen om te slagen. Training helpt, maar een sterk proces vangt de fouten op die training over het hoofd ziet.

Gangbare sociale manipulatietechnieken

• Phishing — een vorm van e-mailmisleiding.
• Vishing — een vorm van misleiding via spraakoproepen
• Voorwendsel — gefabriceerd scenario
• Lokken — een aantrekkelijk aanbod, zoals een gratis USB-stick.
• Tailgating — iemand volgen tot in een afgesloten gebied

Social engineering maakt misbruik van vertrouwen. De verdediging is verificatie, niet wantrouwen.