Wat is social engineering? Een handleiding over manipulatietactieken en strategieën om je ertegen te beschermen

Social engineering is niet alleen iets wat undercoveragenten in spionagefilms doen. Op internet komt het vaker voor dan je denkt – en misschien ben jij op dit moment zelfs het doelwit zonder dat je het in de gaten hebt. Social engineers maken misbruik van je vertrouwen, je nieuwsgierigheid of je angst. Ze werken heel geraffineerd en het zijn persoonlijke aanvallen.

Wil je weten hoe dit soort aanvallen werken en wat je kunt doen om jezelf te beschermen? Lees snel verder. Social engineering ontwikkelt zich snel en begrijpen hoe het werkt is de eerste stap om je online veiligheid te waarborgen.

Hoe werkt social engineering?

Social engineering bestaat uit een serie schadelijke activiteiten die erop zijn gericht slachtoffers zodanig te manipuleren dat ze vertrouwelijke gegevens delen of acties ondernemen die schadelijk zijn voor hun veiligheid. Het wordt vaak gebruikt bij hacken, waarbij de daders (ook wel social engineers genoemd) gebruikmaken van psychologische manipulatie in plaats van technische vaardigheden om inloggegevens, bankrekeninggegevens of zelfs toegang tot complete systemen te verkrijgen.

Social engineers maken gebruik van verschillende tactieken om hun slachtoffers om de tuin te leiden. Ze proberen vertrouwen te creëren door middel van valse voorwendsels en maken gebruik van angst, nieuwsgierigheid en urgentie. Om ervoor te zorgen dat hun slachtoffers minder op hun hoede zijn, doen ze zich voor als iemand met een geloofwaardige achtergrond, zoals een collega of iemand in een gezaghebbende positie.

Social engineering: zes soorten aanvallen

We hebben zes veelvoorkomende technieken geïdentificeerd die worden gebruikt bij social engineering. Het is belangrijk om te onthouden dat deze technieken elkaar vaak overlappen en in de beruchtste aanvallen worden ze allemaal in enige vorm gebruikt.

1. Phishing

Phishing is een van de meest voorkomende vormen van social engineering. Hierbij worden nepmails of nepberichten verstuurd die van een betrouwbare bron lijken te komen, maar meestal schadelijke weblinks of bijlagen bevatten. Nadat slachtoffers op het bericht hebben gereageerd, kan de aanvaller over hun inloggegevens, burgerservicenummer of andere vertrouwelijke gegevens beschikken.

Een phishingaanval kan bijvoorbeeld bestaan uit het verzenden van nepmails waarin om bankrekeninggegevens wordt gevraagd. Als een van de beoogde slachtoffers op de link klikt, wordt er een website geopend die lijkt op de inlogpagina van hun bank, waarna het slachtoffer onbedoeld persoonlijke gegevens deelt met de aanvaller.

2. Baiting

Bij een baitingaanval worden slachtoffers verleid met iets aantrekkelijks, bijvoorbeeld gratis media of software. De baitingaanval leidt naar websites die zijn bedoeld om hun inloggegevens of bankgegevens te verzamelen.

Baitingtactieken kunnen ook offline worden gebruikt. Aanvallers kunnen bijvoorbeeld ergens op een openbare plek een besmette USB-stick achterlaten, in de hoop dat een nieuwsgierige computergebruiker de stick in een computer steekt, waarna malware wordt geïnstalleerd zonder dat de gebruiker het in de gaten heeft.

3. Pretexting

Pretexting houdt in dat er een scenario of identiteit wordt gecreëerd om vertrouwelijke gegevens te verkrijgen via een gesprek met het slachtoffer. Bij deze techniek geeft de aanvaller zich vaak uit als iemand met gezag, zoals een medewerker van een bank die om financiële gegevens vraagt of een IT-medewerker die toegang vraagt tot beschermde systeemomgevingen om zogenaamd routinecontroles uit te voeren.

Pretexting is gebaseerd op het creëren van vertrouwen bij het slachtoffer. Dit gebeurt vaak door middel van achtergrondinformatie die is verzameld via profielen op sociale media of openbare informatie die via zoekopdrachten is verkregen.

4. Quid pro quo

Quid-pro-quo-aanvallen bieden specifieke diensten of voordelen in ruil voor informatie. Een aanvaller kan zich bijvoorbeeld voordoen als een helpdeskmedewerker die aanbiedt om een probleem op een mobiel apparaat of computer van het slachtoffer op te lossen in ruil voor toegang op afstand tot het systeem. Zodra deze toegang is gegeven, kan de aanvaller identiteitsgegevens stelen, malware installeren of zelfs hele systemen saboteren.

Dit lijkt op pretexting, maar het belangrijkste verschil is dat de aanvaller bij quid-pro-quo-aanvallen slachtoffers iets aantrekkelijks aanbiedt in ruil voor hun medewerking.

5. Spear phishing

Spear phishing is een meer gerichte vorm van phishing waarbij heel persoonlijke strategieën worden gebruikt die zijn gericht op specifieke personen of organisaties. Bij deze aanvallen verzamelt de hacker meestal eerst persoonlijke gegevens over het slachtoffer, zoals hun functie of contacten, om het phishingbericht aannemelijker te maken.

Spear phishing is meestal gericht op personen met toegang op hoog niveau, zoals managers of systeembeheerders. Dit maakt het een zeer gevaarlijke vorm van social engineering.

6. Wateringhole-aanvallen

Een wateringhole-aanval is een gerichte aanval waarbij hackers een website of dienst saboteren die regelmatig wordt gebruik door een specifieke groep mensen. Op deze manier kunnen de aanvallers het netwerk of de systemen van de groep of organisatie waarin ze zijn geïnteresseerd infiltreren zonder de organisatie zelf direct aan te vallen.

Bij deze methode wordt misbruik gemaakt van het vertrouwen van de slachtoffers in een algemeen gebruikte bron die ze als veilig beschouwen. Dat maakt dit een heel effectieve en geraffineerde manier van menselijk hacken.

Beruchte gevallen van social engineering

Social-engineeringaanvallen zijn verantwoordelijk voor een aantal van de beruchtste cyberbeveiligingsaanvallen in de geschiedenis waarbij sprake was van manipulatie, identiteitsdiefstal en aanzienlijke financiële schade. Hieronder volgen een paar beruchte voorbeelden van hoe social engineering is gebruikt om met succes organisaties aan te vallen waarvan je normaal gesproken zou denken dat ze hiertegen bestand zijn.

Data-inbreuk bij Target in 2013

Dit is een van de grootste en bekendste gevallen van social engineering tot nu toe. In 2013 was de Amerikaanse winkelketen Target het slachtoffer van een data-inbreuk waarbij credit- en debitcardgegevens van meer dan veertig miljoen klanten werden gestolen. De aanvallers kregen toegang tot de gegevens via een phishingaanval, die een externe leverancier ertoe verleidde om zijn inloggegevens te delen. Zodra de aanvallers toegang hadden tot het netwerk van Target, konden ze ongezien het systeem doorlopen, tot ze de betaalgegevens vonden die waren opgeslagen in de kassasystemen van de winkelketen.

De data-inbreuk bij Target uit 2013 is een duidelijk voorbeeld van hoe aanvallers social-engineeringtechnieken kunnen gebruiken om niet alleen het primaire doelwit uit te buiten, maar ook het menselijk falen van derde partijen die minder robuuste veiligheidsprotocollen gebruiken.

De Twitter-hack uit 2020

In juli 2020 voerden cybercriminelen met succes een social-engineeringaanval uit op Twitter. Verschillende bekende accounts waren hiervan het slachtoffer, waaronder die van Elon Musk, Barack Obama en Apple. Door zich voor te doen als IT-medewerkers die een routinematige veiligheidscontrole uitvoerden, wisten de aanvallers Twitter-medewerkers ertoe te verleiden om hun inloggegevens te delen. Vervolgens kregen de aanvallers toegang tot de backendsystemen van Twitter, waar ze wachtwoorden opnieuw konden instellen en berichten konden posten via geverifieerde accounts.

Deze aanval bewijst hoe effectief social engineering is in het misbruiken van menselijk falen en het creëren van vertrouwen door middel van valse voorwendselen.

Fraude met Google- en Facebook-afschrijvingen

Tussen 2013 en 2015 gebruikten aanvallers een Business Email Compromise-complot (BEC) om Google en Facebook ertoe te verleiden om meer dan $100 miljoen naar hun bankrekeningen over te maken. De aanvallers deden zich voor als legitieme leveranciers en stuurden nepfacturen naar medewerkers van de financiële afdelingen van beide bedrijven. Door misbruik te maken van dit soort routinematige betalingen en acties uit te voeren die lijken op gewone zakelijke processen, duurde het bijna twee jaar voordat de fraude aan het licht kwam.

Geen enkele zaak laat beter zien hoe effectief phishingscams zijn. Aanvallers met voldoende kennis van de verificatieprocedures van bedrijven kunnen met behulp van social-engineeringtechnieken eenvoudig infiltreren in de meest vertrouwelijke transacties.

RSA beveiligingshack

In 2011 kreeg het cyberbeveiligingsbedrijf RSA te maken met een enorme inbreuk die het gevolg bleek van een phishingpoging. RSA-medewerkers ontvingen e-mails met als onderwerp 2011 Recruitment Plan en een bijlage met malware. Slechts één medewerker hoefde de bijlage te openen om de malware automatisch op het systeem te installeren, waarna de aanvallers op afstand toegang hadden tot het netwerk van het bedrijf. De aanvallers stalen vervolgens vertrouwelijke gegevens over de authenticatietokens van RSA, wat gevolgen had voor talloze klanten.

Deze aanval onderstreept hoe één phishingaanval zelfs de best beschermde bedrijven kan raken en tot enorme gevolgen voor de cyberbeveiliging van hun hele klantenbestand kan leiden.

Hoe kun je jezelf beschermen tegen social-engineeringaanvallen?

Hoewel social-engineeringaanvallen erop zijn gericht misbruik te maken van menselijke kwetsbaarheiden, zijn er verschillende manieren om het risico te beperken om slachtoffer te worden van dit soort scams. Het maakt al een heel verschil als je een paar routinematige handelingen introduceert.

1. Verifieer identiteit

Neem altijd de tijd om de identiteit te verifiëren van de persoon die om vertrouwelijke gegevens vraagt, vooral als het verzoek onverwacht is of via een onofficieel kanaal wordt gedaan. Om zo geloofwaardig mogelijk over te komen, gebruiken aanvallers vaak valse voorwendselen en doen ze zich voor als betrouwbare bronnen, zoals een collega, een IT-medewerker of een medewerker van een serviceprovider. Bevestig voordat je vertrouwelijke gegevens deelt de identiteit van de persoon door deze persoon direct te bellen of te eisen dat er gebruik wordt gemaakt van bekende, vertrouwde communicatiekanalen.

2. Wees voorzichtig met links en bijlagen

Een van de meestvoorkomende manieren waarop social engineers hun slachtoffers om de tuin leiden is via schadelijke weblinks en e-mailbijlagen. Reageer nooit op ongevraagde e-mails, sms’jes of apps, of op berichten van onbekende afzenders. Als een bericht er verdacht uitziet, beweeg de muis dan over de adresbalk of de link zodat je de URL kunt zien. Als deze er verdacht uitziet of niet overeenkomt met de officiële website, kun je beter niet reageren op het bericht, want het heeft misschien tot doel om je inloggegevens te stelen of je systeem te infecteren met malware.

3. Gebruik veilige, unieke wachtwoorden

Gebruik veilige, unieke wachtwoorden voor elk account: dit is een van de eenvoudigste manieren om jezelf te beschermen tegen social-engineeringaanvallen. Social engineers proberen toegang te krijgen tot je accounts door je te verleiden je inloggegevens in te vullen, maar als je dezelfde wachtwoorden gebruikt op verschillende websites krijgen ze geen toegang tot je volledige digitale voetafdruk. Een wachtwoordmanager kan handig zijn, want hiermee kun je veilige wachtwoorden genereren en opslaan zonder dat je ze allemaal hoeft te onthouden.

4. Gebruik tweestapsverificatie (2FA)

Een andere zeer effectieve manier om je accounts te beschermen is door middel van multifactorverificatie (MFA) of tweestapsverificatie (2FA). Zelfs als aanvallers je wachtwoord weten te bemachtigen, zorgt 2FA ervoor dat ze geen toegang krijgen tot je accounts zonder de tweede verificatie, zoals een code die je per sms krijgt toegestuurd, een authenticatie-app of een hardwaretoken. Dit is vooral belangrijk voor het beschermen van accounts met financiële gegevens of burgerservicenummers.

5. Verdiep je in social-engineeringtactieken

Iedereen die zichzelf online wil beschermen moet op de hoogte blijven van de nieuwste social-engineeringtechnieken. Dat ligt voor de hand. Cybercriminelen zijn voortdurend bezig om hun methoden te verbeteren. Als je bij blijft houden hoe je phishingscams, schadelijke websites en verdacht gedrag kunt herkennen, ben je al een heel eind op weg om het risico om slachtoffer te worden van dit soort scams tot een minimum te beperken.

6. Wees op je hoede als iets urgent is of er druk wordt uitgeoefend

Veel social-engineeringscams zijn gebaseerd op het creëren van een gevoel van urgentie, om je zo snel mogelijk te laten handelen zonder na te denken. Of het nu een nepmail is waarin staat dat er een probleem is met je account of een telefoontje dat je vraagt om direct actie te ondernemen: neem altijd even de tijd om de situatie te beoordelen voordat je reageert. Als iets verdacht lijkt of te gehaast overkomt, is het de moeite waard om de tijd te nemen om het verzoek te verifiëren voordat je iets doet.

Hoe kan een bedrijf zich beschermen tegen social-engineeringaanvallen?

Hoewel individuele gebruikers vaak worden getroffen door social-engineeringaanvallen, zijn bedrijven meestal het belangrijkste doelwit, omdat hun gegevens en systemen heel waardevol zijn. Hieronder volgen een aantal belangrijke strategieën die bedrijven kunnen implementeren om zichzelf te beschermen tegen deze aanvallen.

1. Train de medewerkers

Regelmatige cyberbeveiligingstraining is essentieel om medewerkers te helpen social-engineeringscams te herkennen en te vermijden. Om bedrijfsgegevens te beschermen moeten alle medewerkers weten hoe ze verdachte e-mails, neplinks en phishingpogingen kunnen herkennen. Omdat social engineers vaak misbruik maken van menselijk falen, moet de training zich richten op vaak voorkomende phishingaanvallen, aanvallen op de bedrijfsmail en tactieken zoals pretexting en quid pro quo.

Medewerkers moeten ook op de hoogte zijn van de risico’s van schadelijke bijlagen en malware, en ze moeten weten hoe social engineers te werk gaan.

2. Introduceer strikte protocollen

Organisaties moeten strikte protocollen opstellen om verzoeken om vertrouwelijke gegevens te verifiëren, vooral als deze per e-mail of telefonisch worden gedaan. Zo kan tweestapsverificatie voor wijzigingen in financiële gegevens of toegang tot vertrouwelijke gegevens social-engineeringaanvallen al een heel stuk minder succesvol maken.

Deze protocollen moeten medewerkers verplichten om de identiteit te verifiëren van iedereen die vertrouwelijke gegevens opvraagt, zelfs als het verzoek afkomstig lijkt van een legitieme bron. Dit kan voorkomen dat aanvallers onder valse voorwendselen toegang krijgen tot vertrouwelijke systemen of gegevens.

3. Voer beveiligingsaudits uit

Regelmatige beveiligingsaudits kunnen kwetsbaarheden in de infrastructuur van een organisatie identificeren die door social engineers kunnen worden misbruikt. Tijdens deze audits moet alles worden gecontroleerd, van de protocollen voor toegang op afstand tot het beveiligingsbeleid voor bedrijfsmail en netwerktoegang.

Bedrijven kunnen hun bescherming tegen social-engineeringaanvallen versterken door te begrijpen waar hun zwakke plekken zitten en achtergrondinformatiechecks uit te voeren op kritische systemen.

4. Gebruik antivirussoftware en firewalls

Antivirussoftware installeren en regelmatig updaten kan helpen voorkomen dat malware op het bedrijfsnetwerk terechtkomt. Installeer daarnaast een firewall om verkeer van schadelijke websites te filteren en te voorkomen dat medewerkers per ongeluk op deze websites terechtkomen via zoekresultaten of phishingpogingen.

Het installeren van updates voor het besturingssysteem en andere software is essentieel als bescherming tegen schadelijke websites en aanvallers die kwetsbaarheden in software misbruiken voor hun aanvallen.

5. Stel multifactorverificatie (MFA) verplicht voor alle medewerkers

Bedrijven moeten multifactorverificatie (MFA) verplicht stellen voor de accounts van alle medewerkers. MFA biedt een extra laag beveiliging: zelfs als aanvallers inloggegevens weten te bemachtigen, kunnen ze geen toegang krijgen tot de bedrijfssystemen zonder de tweede stap, zoals een code die per sms wordt verstuurd of een hardwaretoken.

MFA is vooral belangrijk voor accounts met toegang tot financiële gegevens, kritische systemen of andere vertrouwelijke gegevens.

6. Introduceer datasegmentatie en toegangscontroles

Als medewerkers alleen toegang hebben tot de gegevens en systemen die ze nodig hebben voor hun werk, beperkt dit de potentiële schade van een social-engineeringaanval. Door data te segmenteren en toegang tot vertrouwelijke gegevens te beperken, kunnen organisaties ervoor zorgen dat, zelfs als aanvallers via het account van een medewerker binnenkomen, ze geen toegang hebben tot het hele netwerk of tot vertrouwelijke gegevens die niet gerelateerd zijn aan de functie van die medewerker.

Deze vorm van toegangscontrole helpt de impact van een aanval te beperken en beperkt het risico dat een gehackt account van een medewerker kan leiden tot data-inbreuken in het hele bedrijf.

Social engineering vs. technisch hacken: wat is het verschil?

In discussies over cyberbeveiliging wordt vaak meer aandacht besteed aan technisch hacken, maar social engineering vormt een verraderlijkere dreiging. Beide methoden kunnen leiden tot ernstige beveiligingsinbreuken, maar ze werken fundamenteel anders.

Social-engineeringaanvallen vertrouwen vooral op psychologische manipulatie en misbruik van vertrouwen, angst, nieuwsgierigheid of urgentie om slachtoffers te manipuleren. Bij technisch hacken gaat het erom ongeautoriseerde toegang te krijgen door middel van malware, virussen of netwerkmisbruik. Firewalls, detectiesystemen voor inbreuk en antivirussoftware zijn de meestgebruikte middelen tegen deze dreigingen.

Maar hoewel deze beschermingsmiddelen heel effectief zijn tegen technische inbreuken, helpen ze niet om de zwakste schakel in de beveiligingsketen te beschermen: de mens. Omdat mensen van nature goed van vertrouwen zijn en zich vaak niet bewust zijn van de geraffineerde tactieken die worden gebruikt om hen te misleiden, kunnen social engineers zelfs de strengst beveiligde systemen omzeilen via medewerkers. Voor dit soort aanvallen is bovendien veel minder technische kennis nodig, waardoor toegang gemakkelijker is.

Blijf alert: social engineering gaat niet meer verdwijnen

We hebben gekeken naar hoe social engineering werkt en waarom het zo’n krachtige methode is voor cybercriminelen. Je weet nu hoe aanvallers menselijk gedrag manipuleren en je herkent de tactieken die ze gebruiken om toegang te krijgen tot vertrouwelijke gegevens. Maar dit is nog maar het begin.

De toekomst van social engineering ziet er nog geraffineerder uit omdat cybercriminelen gebruikmaken van nieuwe technologieën zoals AI of deepfakes. Het is essentieel om alert te blijven, onverwachte verzoeken te wantrouwen en je online aanwezigheid te beschermen.

Dat is waar de alles-in-één beveiligingssuite van Surfshark een belangrijke rol kan spelen. Dankzij een krachtige VPN, datalekwaarschuwingen, antivirussoftware en andere geavanceerde privacytools kan Surfshark je helpen om cyberdreigingen vóór te blijven. Social engineering blijft zich ontwikkelen, dus moet jij ook je beveiliging blijven ontwikkelen – blijf slim, blijf veilig en laat je niet verrassen door cyberdreigingen.

Stop social engineering voordat het te laat is

Surfshark One biedt alles wat je nodig hebt om je online te beveiligen

Koop Surfshark