Cyber Security Hub's Halvårsmarknadsrapport 2022 fann att 75 % av de tillfrågade angav social ingenjörskonst och nätfiske som det största hotet mot deras organisation. Dessa resultat kommer i kölvattnet av varningar från forskare som t.ex. Check Point Research om hur AI-baserad teknik, t.ex. ChatGPT, kan användas för att skapa övertygande phishing-e-post.
Social ingenjörskonst är en försåtlig bedrägeriteknik som används för att den fungerar. Att bli socialt manipulerad innebär att bli utnyttjad genom att använda exakt det beteende som du använder dagligen. Eftersom hackare förstår hur man manipulerar människor på en grundläggande nivå kan det vara svårt att identifiera attacker. Här går MetaCompliance igenom den process som krävs för att se till att dina anställda inte blir offer för en social ingenjörsattack.
Tre steg för att undvika sociala ingenjörsattacker
Social ingenjörsattack förebyggande, i alla dess former, kräver processer och verktyg och bör betraktas som en strategi på flera olika sätt. Det finns tre centrala delar som tillsammans bidrar till att se till att din organisation och dina anställda är redo att ta itu med alla former av social ingenjörskonst som används för att genomföra en cybersäkerhetsattack:
- Strategier: bygga in social ingenjörskonst i din säkerhetsstrategi.
- Personlig anpassning: Utbilda de anställda i de hot som de sannolikt kommer att uppleva.
- Rapportera: Uppmuntra rapportering av incidenter för att förbättra din respons på en attack som involverar social ingenjörskonst.
Strategi: Se till att din säkerhetsstrategi återspeglar verkliga attacker
Sociala ingenjörsattacker omfattar många scenarier, från nätfiske till manipulering av relationer och fysiska versioner av social ingenjörskonst som t.ex.svansföring'. Ofta använder hackare en blandning av verkliga och digitala knep som en del av en sofistikerad säkerhetsattack.
Spear phishing-mejl kan till exempel vara mycket svåra att upptäcka och används ofta som ett populärt sätt att få tillgång till lösenord eller personlig information. Ofta kan dessa attacker i flera steg inbegripa nedladdningar av skadlig kod och skapar en känsla av brådska för att uppmuntra mottagaren att agera utan att tänka efter.
För att se till att din organisation täcker alla dessa scenarier bör du bygga upp en säkerhetsstrategi som omfattar upptäcktsåtgärder, rapporteringsrutiner för säkerhetsincidenter, planer för incidenthantering och hur man utför säkerhets- och integritetsrevisioner.
Din strategiska planering måste inkludera hur du ska minska effekterna av social ingenjörskonst. Detta kommer att bestå av utbildning i säkerhetsmedvetenhet som innefattar rollspel om social ingenjörskonst. När säkerhetsstrategin och åtgärdsplanerna väl är på plats måste de regelbundet ses över och uppdateras i linje med det föränderliga hotbilden och de nya möjligheter som tekniken och arbetsmönstren ger, t.ex. distansarbete.
Personlig utbildning för säkerhetsmedvetenhet
Genomföra utbildningar för säkerhetsmedvetenhet med anställda som baseras på specifika hot. Detta innebär att utbildningen genomförs utifrån den anställdes roll, eftersom olika anställdas roller vanligtvis lockar till sig olika typer av social ingenjörsattacker.
I BEC-bedrägerier (Business Email Compromise) används till exempel ofta social ingenjörskonst för att rikta in sig på personal som arbetar med leverantörsreskontra eller chefer på C-nivå, eftersom dessa roller kontrollerar företagets ekonomi.
En färsk rapport från Onormal säkerhet som undersökte hot via e-post visade att omkring 28 % av de anställda som var målgrupp skulle öppna ett BEC-sms. Av dem som öppnade dessa BEC-relaterade meddelanden svarade 15 % på dem, vilket innebär att de samarbetade med bedragaren och öppnade dörren för ytterligare social ingenjörskonst.
Skräddarsy din utbildning i säkerhetsmedvetenhet för att utföra rollbaserad utbildning med fokus på centrala hot. Använd en plattform som erbjuder rollbaserade mallar som kan användas i simuleringsövningar för nätfiske. Skapa phishing-simuleringar och utbildningssessioner med fokus på den typ av hot som en enskild anställd eller avdelning sannolikt kommer att uppleva.
Uppmuntra rapportering av säkerhetsincidenter
I rapporten Abnormal Security konstaterades också att endast 2,1 % av säkerhetsincidenterna rapporterades till organisationens säkerhetsteam. Detta lämnar ett gapande hål i förmågan att snabbt reagera på en pågående attack.
Eftersom social ingenjörskonst ofta är en del av en kedja av händelser som leder till resultat som t.ex. ekonomisk stöld eller infektion med utpressningstrojaner, kan en tidig varning om en pågående incident ge den intelligens som behövs för att stoppa attacken i dess spår och mildra skadan av attacken.
Det är viktigt att tillhandahålla ett sätt att rapportera incidenter på ett enkelt sätt och att skapa en miljö där ingen får skylla sig själv för att uppmuntra de anställda att rapportera incidenter. Organisationer bör inte enbart förlita sig på brandväggar eller skräppostfilter för att förhindra dessa typer av attacker.
Ge i stället dina anställda möjlighet att rapportera en cyberincident. Att rapportera en incident kan bidra till att lindra konsekvenserna genom att eskalera svaret till en kunnig anställd. Det är viktigt att erbjuda de anställda en säker plats där de kan registrera detaljerna om incidenten, till exempel en särskild portal för rapportering av säkerhetsincidenter.
Med hjälp av den information om incidenten som den anställde lämnar in kan säkerhetsteamet sortera incidenten, fastställa prioriteringar och inleda säkerhetsprotokoll. Till exempel kan MetaCompliance MetaIncident konsolen är ett system för hantering av incidenter under hela livscykeln som innehåller ett incidentregister för att hantera problem. Möjligheten att granska incidentrapportering och svar och generera rapporter med hjälp av data från en säkerhetsincident är också till hjälp för att bevisa att regler följs.
Social ingenjörskonst kommer sannolikt att fortsätta att utmana en organisation. Ny teknik som AI-baserade gränssnitt kommer att göra det möjligt för bedragare att bygga ännu mer sofistikerade verktyg för social ingenjörskonst. Ett företag kan dock stoppa detta lömska hot genom att utveckla fokuserade utbildningsprogram och integrera incidentrapportering i det dagliga arbetet.
