Social engineering onder de loep genomen

Securityfocus heeft een uitgebreid artikel geproduceerd over het fenomeen 'social engineering', waarbij hackers geen gebruik maken van bugs of exploits, maar rekenen op de goedgelovigheid en onwetendheid van gebruikers van het systeem. Bedrijven besteden steeds vaker aandacht aan een uitgebreid veiligheidsbeleid, maar verliezen daarbij uit het oog dat de zwakste schakel vaak de eindgebruiker is. Bovendien verloopt social engineering niet alleen via het internet, maar is elk communicatiemedium hier geschikt voor. Het is bovendien steeds lucratiever geworden om zich als iemand anders voor te doen. De groei van elektronische handel is daar deels verantwoordelijk voor. Het gebruik van SSL-technologie heeft bovendien geen nut als de gebruiker zijn wachtwoord om in te loggen bij een e-shop op verzoek weggeeft.

Een eerste stap bij het 'sociaal hacken' is het onderzoeken van een potentieel slachtoffer. Net als een overvaller die de plattegronden van een bank nauwkeurig bestudeert alvorens deze te beroven, zal een hacker proberen zoveel mogelijk over zijn doelwit te weten te komen. In veel gevallen volstaat het om de geboortedatum of de naam van de partner van het slachtoffer te achterhalen om zijn wachtwoord te weten te komen. Ook wanneer men het vertrouwen van zijn slachtoffer wil winnen, kan de ontfutselde informatie echter zijn nut bewijzen.

Een bekend voorbeeld van social engineering op het internet is het zogenaamde phishing. Hiervoor is amper technische kennis nodig, maar is het vooral van belang het vertrouwen van het slachtoffer te winnen en een betrouwbare indruk te maken. Grote en vertrouwde sites als eBay en Paypal staan dan ook dikwijls - zij het ongewild - model voor oplichters die een kopie van deze sites nabouwen om zo consumenten te misleiden. Vaak gebeurt dit door middel van een e-mail aan de gebruikers, waarin verzocht wordt de persoonlijke gegevens, waaronder ook het wachtwoord, te bevestigen op de nagebouwde site. Er wordt dan ook aangeraden dergelijke e-mails steeds te verwijderen zonder ze verder een blik waardig te keuren. Tot slot beschrijft men een casestudy van een fictief bedrijf, waarin het belang van een goed beveilingsbeleid duidelijk gemaakt wordt.

Reacties (20)

[YaPP]

Een mooi voorbeeld van social hacking:
- eerst iemand bang maken dat je gaat inbreken, en die persoon wil de beveiliging gaan bellen.
- daarna een vriend laten direct opbellen als "iemand van de beveiliging", en die persoon rustig vragen welk wachtwoord hij wilde kraken.

Een beetje kort door de bocht, maar zo'n situatie stond een tijdje terug op slashdot, over een interview met Kevin Mitnick. Erg coole manier om uit de meest uitzichtloze situatie voordeel te halen.

[intGod]

De situatie van Kevin was als volgt:

Kevin wedt om een etentje dat hij het Sprint-nummer (calling card) van een vriend kan achterhalen.

Hij doet zich eerst voor als zijn vriend die zogezegd zijn kaart kwijt is en zijn nummer wil opvragen. Vervolgens worden er wat veiligheidsvragen gesteld die Kevin niet goed kan beantwoorden. Hij krijgt daarbij de melding dat zijn oproep gelogd is en dat de IT-beveiliging op de hoogte gebracht wordt.

Vervolgens laat Kevin een vriendje naar dezelfde miep bellen die zich voordoet als een IT-beveiliger. Hij vraagt doodleuk 'over welk Sprint-nummer gaat dit incident' en bingo.

[Cardinal]

Later is er ook een film van gemaakt, die hackers 2 werd. De film heeft niets te maken met het eerste deel, maar gaat over Kevin Mitnick en social enginering.

Best grappig om te zien hoe stom mensen zijn.

[Adrianb]

Die gast heeft daar een boek over geschreven..
Heb het onlangs gelezen, is echt sjiek als je ziet hoe gemakkelijk je mensen kan manipuleren..

[Anoniem: 18650]

Waar kan ik dat t-shirt kopen?

[HAL 9000]

http://www.jinx.com/scrip...sp?affid=-1&productID=122

en andere...

[JeanJeremy]

Ik vroeg me serieus EXACT hetzelfde af

[Moartn82]

Ik ken zo'n dienst!
Weet niet meer de site (wellicht iemand anders wel), maar het is zo'n tweedehandsverkoopsite.
Daar kun je op MSN blockchecker klikken. (veelal krijg je eerst een emailtje in je mailbox dat iemand heeft gecheckt of je hem of haar blockeert)
Dan moet je naar die site toegaan, moet je je gebruikers en paswoord van hotmail invoeren en dan pas kun je zien wie je "gecheckt" heeft (oja, ook nog 1,30 euro betalen )

Hoezo goedgelovigheid...

edit:
site gevonden:
http://www.inkoopenverkoop.nl

[TRON]

Dit is een van de mooiste vorm van ´hacken´. Je ´hackt´ hier iemands naieviteit in samenhang met zijn/haar emoties. Het lukt natuurlijk niet bij iedereen, maar ik geloof dat het bij 95 van de 100 mensen gewoon kan werken. Vooral als je een klein vooronderzoekje doet .

Er zijn ook genoeg mensen die de deur opendoen voor de CV-monteur, zonder te vragen om legitimatie. En bij dat soort mensen, kan je met social engineering volgens mij heel gemakkelijk heel ver komen.

[Anoniem: 13443]

volgens mij is dat al zo oud als de mensheid. Vroeger noemde je dat oplichting. Nu is alleen het medium anders, maar het blijft hetzelfde als wat een waarzegster doet.

[TRON]

Ik denk dat je daar gelijk in hebt. Alleen is het met het IT tijdperk een stuk eenvoudiger geworden om jezelf voor te doen als iemand anders. Neem als voorbeeld maar het zeer verouderde SMTP Daarin kan zelfs een normale huis-tuin-en-keuken-gebruiker zich voordoen als Hare Majesteit de Koningin met een daaraan gekoppeld e-mailadres.

[Ge Someone]

Zo wordt er in de V.S. momenteel onderzoek gedaan of bedrijven die tegen betaling Caller ID (zeg maar nummer herkenning) spoofen, een wet overtreden. Je geeft op met wie je wilt bellen en met welke Caller ID (afzender).
Dit erg handig voor social engineering (en voor zog. wire transfers, waar Call ID gecheckt wordt).

[RetepV]

Ik ben ook al zo ongeveer vanaf 1996 aan het wachten tot de overheid haar taak opneemt en de bevolking voorlicht over de gevaren die er zoal zijn m.b.t. het internet.

Miljoenen worden er gestoken in het voorlichten van verkeersdeelnemers over de gevaren van het verkeer. Maar over de gevaren van het internet heb je heel sporadisch een Postbus 51 reclametje.

[bigoldie]

kuch:
http://www.surfopsafe.nl/

[kahm-jai]

dan maar geen reactie

[Anoniem: 58843]

Als je wil kijken of je iemand jouw geblockt heeft ofzow kun je ook gewoon dmsn gebruiken uiteraard.

[zircondan]

Was dit niet ook gebeurd toen we over gingen stappen naar de Euro?

Veelal oude mensen werden beetgenomen door net geklede mannen die beweerde de oude Pinpas op te komen halen om deze Euro ready te maken als het ware. Wel moest men natuurlijk de pincode ook geven anders kon er niets gedaan worden.

Deze mensen werden echt duizenden euro's rijker..

Ik werd laatst zelf ook gesocial engineerd
Kreeg een brief dat ik de Lotto won uit 'spanje'.
Ik had bij El Gordo een miljoenen prijs gewonnen, wat natuurlijk niet kan omdat ik nooit meegedaan hebt.
Wel moest ik eerst wat transactie kosten van te voren betalen voordat het bedrag overgeschreven werd. Het is maar dat ik de site van El Gordo bekeken hebt en de brief HEEL erg goedkoop uitzag..
Anders was ik er waarschijnlijk ook nog erin getrapt ook..
Dus lang leve human stupidity.

[Anoniem: 136863]

Gelukkig ben ik paranoïde en zie overal dingen achter XD