Social engineering: technieken en preventie

Kort gezegd: Social engineering draait om het manipuleren van de mens in plaats van de techniek om toegang, vertrouwelijke informatie of een overboeking te verkrijgen. De fraudeur maakt misbruik van bekende biases (autoriteit, urgentie, vertrouwen) via phishing, vishing, CEO-fraude of, inmiddels, deepfakes in geluid en video. Geen enkele antivirus blokkeert een menselijke beslissing die onder druk wordt genomen. De beste bescherming combineert twee hefbomen: bewustwording van de teams en objectieve controles, met name de verificatie van identiteit en van begunstigde-/rekeninggegevens bij onboarding en bij betalingen. Meelo automatiseert deze controles en maakt elke beslissing gedocumenteerd en controleerbaar.

‍

Wat is social engineering?

‍

Social engineering verwijst naar het geheel van manipulatietechnieken die erop gericht zijn een persoon iets te laten doen tegen zijn eigen belang of dat van zijn organisatie: een wachtwoord prijsgeven, op een besmette link klikken, een betaling goedkeuren of rekeninggegevens wijzigen. Anders dan een klassieke cyberaanval die een softwarelek zoekt, richt social engineering zich op het menselijke lek. Dat is vaak de kortste weg: het is eenvoudiger om een medewerker te overtuigen een inloggegeven door te geven dan om een beveiligd systeem te forceren.

‍

Deze aanpak is niet nieuw, maar is geïndustrialiseerd. Fraudeurs verzamelen vooraf openbare informatie (organigrammen, sociale media, persberichten) om hun scenario geloofwaardig te maken. Hoe beter het voorwendsel gedocumenteerd is, hoe meer het slachtoffer zijn waakzaamheid laat zakken. Social engineering is vandaag het vertrekpunt van de overgrote meerderheid van fraudegevallen en oplichting gericht op bedrijven.

‍

De belangrijkste technieken

‍

Phishing. Dit is de meest verspreide techniek: een frauduleuze e-mail bootst een legitieme afzender na (bank, overheid, leverancier, interne dienst) om aan te zetten tot klikken op een link of tot het invoeren van inloggegevens op een valse pagina. De verzending is massaal en weinig gepersonaliseerd.

‍

Spear phishing. De gerichte variant van phishing richt zich op een specifieke persoon met een op maat gemaakt bericht. De fraudeur noemt de naam van een bestuurder, een lopend project of een echte factuur. De personalisatie maakt detectie veel moeilijker.

‍

Vishing en smishing. Vishing steunt op een telefoongesprek (nep-bankadviseur, nep-IT-support) om informatie te ontfutselen of een transactie te laten goedkeuren. Smishing gebruikt sms, vaak met een link voor een pakkettracking of een neppe beveiligingswaarschuwing.

‍

CEO-fraude en betaalfraude. De fraudeur neemt de identiteit aan van een bestuurder of leverancier om een dringende en vertrouwelijke overboeking te bevelen, of om de rekeninggegevens van een leverancier te laten wijzigen. Dit scenario, ook wel Business Email Compromise (BEC) of factuurfraude genoemd, veroorzaakt de zwaarste verliezen per geval. We gaan dieper in op de aanpak van fraude bij de basis in onze volledige KYC-gids.

‍

Pretexting. De fraudeur verzint een geloofwaardig voorwendsel (audit, veiligheidscontrole, dossierupdate) en neemt een rol aan om stapsgewijs informatie te verkrijgen. Het scenario is opgebouwd om legitiem en routineus te lijken.

‍

Baiting. Dit steunt op een lokaas: een achtergelaten USB-stick, gratis software, een aanlokkelijke aanbieding. De nieuwsgierigheid of het belang van het slachtoffer zet de installatie van een schadelijk programma in gang.

‍

Deepfakes in geluid en video. Dankzij kunstmatige intelligentie kan een fraudeur de stem van een bestuurder klonen of een vervalste videoconferentie genereren. Een medewerker krijgt een telefoontje of neemt deel aan een videovergadering waarin hij zijn gesprekspartners meent te herkennen, en keurt een overboeking goed. Deze techniek tilt CEO-fraude naar een nieuw niveau van geloofwaardigheid.

‍

Waarom het werkt: de menselijke biases

‍

Social engineering steunt niet op de naïviteit van slachtoffers, maar op universele psychologische mechanismen die de fraudeur bewust activeert.

‍

Het eerste is autoriteit: bij een verzoek van een bestuurder, een toezichthouder of een officiële dienst is het instinct om zonder discussie te gehoorzamen. Het tweede is urgentie: door een zeer korte deadline op te leggen ("de overboeking moet voor twaalf uur weg"), verhindert de fraudeur elke verificatie en omzeilt hij het nadenken. Het derde is vertrouwen: een bericht dat de juiste toon, de juiste namen en de juiste context gebruikt, ontwapent de argwaan.

‍

Daar komen nog angst bij (dreiging van sanctie, van blokkering van een rekening), de lokroep van winst en de wens om behulpzaam te zijn. Deze hefbomen zijn des te doeltreffender omdat ze inwerken op mensen die druk bezig zijn, continu benaderd worden en gewend zijn verzoeken snel af te handelen. Emotionele druk is de echte motor van social engineering.

‍

Social engineering, betaalfraude en onboarding

‍

Twee momenten zijn bijzonder kwetsbaar: het aangaan van de relatie en de uitvoering van betalingen.

‍

Bij de onboarding kan een fraudeur zich voordoen als een legitieme klant of leverancier op basis van vervalste documenten en een gestolen identiteit. Social engineering dient hier om de menselijke waakzaamheid van de dossierbeheerder te omzeilen: een geruststellend verhaal, een vals bewijsstuk en tijdsdruk volstaan soms om een dossier te laten aanvaarden dat dat niet had mogen zijn. Het is het toegangspunt van talrijke documentfraudes en identiteitsdiefstallen.

‍

Bij betalingen neemt social engineering de vorm aan van het verzoek om rekeninggegevens te wijzigen of van de dringende overboekingsopdracht. De doelrekening behoort toe aan de fraudeur, maar niets in het bericht laat dat vermoeden. Zodra de overboeking is uitgevoerd, zijn de fondsen zelden nog te recupereren.

‍

In beide gevallen is de uitgebuite schakel menselijk, maar het meest betrouwbare bolwerk is objectief: nagaan of de identiteit echt is en of de rekening werkelijk toebehoort aan de opgegeven persoon of entiteit. Een geautomatiseerde controle laat zich noch imponeren door autoriteit, noch opjagen door urgentie.

‍

Hoe bescherm je je ertegen

‍

Een doeltreffende bescherming combineert een organisatorische dimensie met technische controles.

‍

Teams bewust maken. De eerste verdedigingslinie blijft de waakzaamheid van de medewerkers. Zij moeten worden opgeleid om waarschuwingssignalen te herkennen (abnormale urgentie, verzoek om vertrouwelijkheid, wijziging van rekeninggegevens) en er moet een cultuur worden gevestigd waarin twijfelen en verifiëren nooit worden verweten. Het NCSC-NL (Nationaal Cyber Security Centrum) beveelt regelmatige bewustwordingscampagnes en simulatieoefeningen aan.

‍

Een vier-ogen-principe invoeren. Geen enkel gevoelig verzoek (uitzonderlijke overboeking, wijziging van rekeninggegevens, toegang tot gegevens) zou door één enkele persoon mogen worden uitgevoerd op basis van een eenvoudige e-mail. Een apart verificatiekanaal, zoals een terugbelactie naar een bekend nummer, doorbreekt het scenario van de fraudeur.

‍

Identiteit en rekeninggegevens geautomatiseerd verifiëren. Dit is de hefboom die social engineering ten gronde neutraliseert. De identiteitsverificatie (controle van het document, detectie van vervalsing, overeenstemming met de persoon) bevestigt dat de gesprekspartner werkelijk is wie hij beweert te zijn. De verificatie van de begunstigde-/rekeninggegevens bevestigt dat de ontvangende rekening aan de juiste houder toebehoort, zowel bij onboarding als bij elke wijziging. Deze controles moeten systematisch zijn en niet aan het oordeel van het moment worden overgelaten.

‍

Dat is precies wat Meelo automatiseert: identiteit, documenten en rekeninggegevens worden in één enkel traject geverifieerd, met een fraudescore en identiteitsverificatie die een beslissing opleveren in 2 tot 5 seconden, gedocumenteerd en controleerbaar.

‍

Tot slot

‍

Social engineering blijft de favoriete toegangspoort tot fraude omdat het zich richt op de moeilijkst te beveiligen schakel: de mens. Phishing, CEO-fraude, deepfakes: de technieken evolueren, maar het principe blijft hetzelfde: manipuleren om toegang, informatie of een overboeking te verkrijgen. Bewustwording is onmisbaar, maar volstaat niet tegen steeds geloofwaardigere scenario's. Door objectieve en geautomatiseerde controles van identiteit en rekeninggegevens toe te voegen bij onboarding en bij betalingen, stopt een organisatie ermee uitsluitend af te hangen van het menselijke oordeel onder druk. Het is de combinatie van waakzaamheid en automatisering die fraude stillegt.

‍

FAQ

‍

Wat is social engineering in cybersecurity?

‍

In cybersecurity verwijst social engineering naar de technieken van psychologische manipulatie die worden gebruikt om een persoon vertrouwelijke informatie te laten prijsgeven, toegang te laten verlenen of een handeling te laten verrichten (overboeking, klik op een besmette link). Het maakt misbruik van het menselijke lek in plaats van een informaticalek, wat het geducht maakt zelfs in technisch goed beveiligde omgevingen.

‍

Wat is het verschil tussen phishing en social engineering?

‍

Phishing is één techniek onder vele; social engineering is de overkoepelende categorie. Met andere woorden: alle phishing valt onder social engineering, maar social engineering beperkt zich niet tot phishing: het omvat ook vishing, pretexting, baiting, CEO-fraude of deepfakes. De gemene deler is de manipulatie van het slachtoffer.

‍

Hoe bescherm je een bedrijf tegen social engineering?

‍

De bescherming steunt op drie pijlers. Ten eerste, de teams bewust maken en opleiden om verdachte verzoeken te herkennen. Ten tweede, een vier-ogen-principe opleggen voor elke gevoelige verrichting, via een onafhankelijk verificatiekanaal. Ten slotte, objectieve controles automatiseren: identiteitsverificatie, detectie van documentfraude en verificatie van de begunstigde-/rekeninggegevens bij onboarding en bij betalingen.

‍

Zijn deepfakes een vorm van social engineering?

‍

Ja. Een deepfake in geluid of video is een instrument ten dienste van een manipulatiescenario: het dient om de geloofwaardigheid van een frauduleus verzoek te versterken, typisch CEO-fraude via een valse videoconferentie. De deepfake hackt geen enkel systeem; hij misleidt de mens. Daarmee vormt hij een geavanceerde en bijzonder overtuigende vorm van social engineering.

‍

Bronnen

‍

• NCSC-NL (Nationaal Cyber Security Centrum), aanbevelingen en bewustwordingscampagnes rond phishing en social engineering.
• De Nederlandsche Bank en het Betaalvereniging Nederland-kader voor de bestrijding van betaalfraude.
• Europees kader voor de verificatie van de begunstigde (Verification of Payee) van toepassing op betalingen.