Socialni inženiring

Najpogostejše oblike so lažno predstavljanje po elektronski pošti (phishing) in njegove ciljane različice, napadi po telefonu in prek sporočil, izmišljena zgodba za pridobitev zaupanja (pretexting), zloraba poslovne elektronske pošte za preusmeritev plačil, podtaknjeni nosilci podatkov, vstop v varovane prostore za pooblaščeno osebo ter izčrpavanje z zaporednimi zahtevami za dvostopenjsko potrditev. Vse pogosteje se uporabljajo tudi sintetični posnetki glasu in videa.

Napad ne izkorišča neumnosti, temveč mehanizme, na katerih stoji vsakodnevno delo: avtoriteto, časovni pritisk, željo po ustrežljivosti, vzajemnost, redkost priložnosti in strah pred posledicami. Verodostojnost zgodbe napadalec gradi na podatkih iz odprtih virov in digitalnega odtisa organizacije — imenih vodilnih, organizacijski strukturi, dobaviteljih, projektih in odsotnostih.

Najučinkovitejši protiukrep ni opozorilo, temveč postopek, ki je neodvisen od kanala zahteve: preverjanje po drugi poti in na številki iz internega imenika, dvojna potrditev za spremembe plačilnih podatkov in nakazila, jasna pravila o tem, kdo lahko kaj odobri. Dopolnjujejo ga usposabljanje s simulacijami, tehnični ukrepi, kot so preverjanje pristnosti elektronske pošte, dvostopenjska potrditev, odporna na lažno predstavljanje, in načelo najmanjših pravic ter kultura, v kateri je prijava napake hitra in brez sankcij.

Simulirani napadi na zaposlene so obdelava osebnih podatkov in poseg v delovno razmerje, zato jih je treba načrtovati pravno in etično: vnaprejšnji dogovor o obsegu, obveščanje predstavnikov delavcev, poročanje v zbirni obliki in ne kot ocenjevanje posameznika ter najmanjši možni obseg zbranih podatkov o udeležencih.