Social ingenjörskonst manipulerar människor till att avslöja information eller bevilja åtkomst. Den riktar sig mot mänsklig psykologi, inte teknologi. Angriparen bygger förtroende, skapar brådska och utnyttjar önskan att vara hjälpsam. Ett telefonsamtal från någon som påstår sig vara IT-ansvarig. Ett mejl från en falsk chef som ber om en banköverföring. En besökare med ett urklipp som pratar sig förbi receptionen. Teknikerna varierar. Målet är detsamma: få målet att göra något de inte borde.

Social ingenjörskonst är effektivt eftersom det kringgår tekniska kontroller. En brandvägg hindrar inte en helpdesk-anställd från att återställa ett lösenord för någon som låter legitim. Twitter-hacket 2020 använde telefonbaserad social ingenjörskonst för att övertyga anställda att lämna ut inloggningsuppgifter. Angriparna tog sedan över högprofilerade konton och publicerade en Bitcoin-bluff. FBI kallade det en samordnad social ingenjörskonst-attack. Försvar börjar med medvetenhet, men medvetenhet ensam räcker inte. Processer är viktigare. Verifiera identitet genom en separat kanal. Kräv godkännande för känsliga handlingar. Begränsa vad en enskild person kan göra. Målet är att göra det svårare för en övertygande lögn att lyckas. Utbildning hjälper, men en stark process fångar det som utbildning missar.

Vanliga sociala ingenjörskonsttekniker

• Nätfiske — e-postbaserat bedrägeri
• Vishing — bedrägeri mot röstsamtal
• Förevändning — påhittat scenario
• Baiting — lockande erbjudande, som ett gratis USB-minne
• Tailgating – att följa någon in i ett säkert område

Social ingenjörskonst utnyttjar förtroende. Försvaret är verifiering, inte misstanke.