Social engineering: de menselijke factor in cyberaanvallen

De psychologische principes achter social engineering

Criminelen begrijpen hoe mensen denken en beslissingen nemen. Ze maken gebruik van een handvol bewezen psychologische principes. Autoriteit: een bericht van 'de directeur' of 'de IT-afdeling' wordt minder snel in twijfel getrokken. Urgentie: 'als u nu niet handelt, wordt uw account geblokkeerd' zet mensen aan tot overhaaste actie. Schaarste en angst: 'uw bestanden worden over 2 uur gewist' dwingt tot paniek.

Wederkerigheid speelt ook een rol: criminelen die zich vriendelijk gedragen of eerst iets 'doen' voor het slachtoffer, wekken de neiging om ook iets terug te doen. Liking: mensen doen meer voor mensen die ze aardig vinden. Criminelen bouwen eerst rapport op voordat ze een verzoek doen.

De meest voorkomende social engineering-technieken

Social engineering kent veel verschijningsvormen, zowel digitaal als fysiek:

• Phishing (e-mail): nep-mails die lijken van betrouwbare afzenders
• Spear phishing: gerichte aanval op één persoon met gepersonaliseerde informatie
• Vishing (telefoon): oplichting via telefoongesprekken
• Smishing (sms/WhatsApp): misleidende berichten via de telefoon
• Pretexting: de crimineel verzint een geloofwaardig verhaal als dekmantel
• Baiting: een USB-stick achterlaten op een parkeerplaats in de hoop dat iemand hem inplugt
• Tailgating: achter een medewerker aan een beveiligde ruimte binnenlopen

Hoe criminelen zich voorbereiden

Professionele aanvallers doen uitgebreid onderzoek voordat ze toeslaan. LinkedIn toont de structuur van uw organisatie: namen, functies, projecten en relaties. Een crimineel die weet wie uw IT-leverancier is, wie er op vakantie is en hoe uw directeur zijn e-mails afsluit, kan een overtuigend verhaal construeren.

Open bronnen (OSINT) zoals uw website, vacatures, persberichten en sociale media geven aanvallers een schat aan informatie. Sommige criminelen verkennen zelfs fysiek uw kantoor: ze kijken bij receptie welke leveranciers er binnenlopen, of nemen een kijkje in de parkeergarage om te zien welke auto's er staan.

Hoe u zich verdedigt

De verdediging tegen social engineering is nooit puur technisch. Het gaat om mensen leren denken voordat ze handelen:

• Train medewerkers regelmatig — niet één keer per jaar, maar kwartaalgewijs met actuele scenario's
• Simuleer aanvallen: stuur test-phishing mails en maak bellers die zich voordoen als IT-support
• Maak een duidelijke procedure: bij twijfel altijd verifiëren via een apart kanaal
• Bouw een veiligheidscultuur: medewerkers mogen vragen stellen en twijfelen zonder zich te schamen
• Beperk de informatie die publiek beschikbaar is via LinkedIn en uw website
• Stel duidelijke protocollen voor betalingen en wachtwoordwijzigingen op (vier-ogen-principe)