När cybersäkerhetshoten fortsätter att utvecklas måste CISO:er och IT-specialister ligga steget före alltmer sofistikerade social engineering-metoder. I det här blogginlägget tittar vi på några av de främsta social engineering-hoten att hålla utkik efter, med fokus på avancerade AI-drivna metoder och traditionella angreppssätt som utnyttjar mänskliga svagheter.

1. AI-drivna nätfiskeattacker

Nätfiske är fortfarande ett stort hot, men AI har gjort dessa attacker mer sofistikerade och effektiva. Multimodala stora språkmodeller (MLLM) gör det möjligt för angripare att skapa mycket personliga nätfiskemeddelanden som är svåra att skilja från legitima. Dessa AI-genererade e-postmeddelanden kan kringgå traditionella säkerhetsåtgärder genom att efterlikna mottagarens förväntade stil och sammanhang.
Motåtgärder:
• Implementera avancerade e-postfilterlösningar som använder AI för att upptäcka nätfiskemönster.
• Genomför regelbundna och riktade nätfiskesimuleringar.
• Utbilda anställda att känna igen och rapportera misstänkta mejl, även om de verkar legitima.

2. Deepfakes och AI-genererat innehåll

Framsteg inom AI har gjort det möjligt att skapa realistiska deepfake-videor och ljud som kan användas för att utge sig för chefer eller offentliga personer. Dessa verktyg kan sprida desinformation, begå bedrägerier eller manipulera opinionen. Den ökade tillgängligheten innebär att även mindre skickliga angripare kan använda dessa metoder.
Motåtgärder:
• Investera i tekniker för att upptäcka deepfakes.
• Utbilda anställda om risker och kännetecken för deepfake-innehåll.
• Verifiera äktheten i video- och ljudkommunikation via flera kanaler.

3. Vishing och smishing

Voice phishing (vishing) och SMS-phishing (smishing) är fortfarande vanliga. Vishing innebär att angripare utger sig för betrodda aktörer i telefonsamtal för att få personlig information, medan smishing använder sms för att leverera skadliga länkar. Dessa metoder utnyttjar människors förtroende för telefonkommunikation.
Motåtgärder:
• Inför röstautentisering för känsliga transaktioner.
• Använd sms-filterlösningar för att blockera kända skadliga länkar.
• Utbilda anställda om risker och indikatorer på vishing- och smishingattacker.

4. Business email compromise (BEC)

BEC-attacker innebär att angripare utger sig för chefer eller betrodda partners för att lura anställda att överföra pengar eller känslig data. De bygger ofta på omfattande research om målet för att skapa övertygande e-post. Mer än en fjärdedel av de 10,9 miljarder dollar i förluster som rapporterades till FBI:s Internet Crime Complaint Center (IC3) 2023 berodde direkt på BEC.
Motåtgärder:
• Använd e-postautentiseringsprotokoll som DMARC, DKIM och SPF.
• Inför multifaktorautentisering (MFA) för e-poståtkomst.
• Etablera strikta verifieringsrutiner för finansiella transaktioner och begäran om känslig information.

5. Pretexting

Pretexting innebär att skapa ett påhittat scenario för att vinna offrets förtroende och manipulera denne till att lämna ut information. Angripare utger sig ofta för auktoriteter eller kollegor, vilket gör att offret känner sig tryggt att dela konfidentiella uppgifter.
Motåtgärder:
• Utveckla och tillämpa policys för att verifiera identiteter innan känslig information delas.
• Ge regelbunden utbildning om risker och tecken på pretexting.
• Uppmuntra en kultur av sund skepsis och verifiering bland anställda.

6. Baiting

Baiting utnyttjar nyfikenhet genom att erbjuda något lockande för att få offret i en fälla. Det kan vara en gratis nedladdning eller ett fysiskt föremål som ett USB-minne med en intressant etikett. När offret tar betet infekteras systemet med skadlig kod (AuraSafe).
Motåtgärder:
• Använd endpoint-skyddslösningar för att upptäcka och blockera skadlig kod.
• Utbilda anställda om risker med okända enheter och oombedda erbjudanden.
• Inför rutiner för hantering av upphittade enheter och rapportering av misstänkta föremål.

7. Mutning av anställda

Mutning innebär att erbjuda pengar eller andra incitament till anställda i utbyte mot känslig information eller åtkomst till skyddade områden. Denna taktik utnyttjar finansiella svagheter eller missnöje hos anställda och utgör ett kraftfullt hot (AuraSafe) (CommSec Cyber Security).
Motåtgärder:
• Skapa en positiv arbetsmiljö för att minska missnöje.
• Inför anonyma rapporteringsmekanismer för mutförsök.
• Genomför regelbunden etikträning för att förstärka vikten av integritet.

8. Quid pro quo-attacker

Vid quid pro quo-attacker erbjuder angriparen en tjänst eller förmån i utbyte mot information. Till exempel kan en angripare låtsas vara IT-support som erbjuder att lösa ett problem i utbyte mot inloggningsuppgifter. Metoden bygger på människors tendens att återgälda tjänster (AuraSafe).
Motåtgärder:
• Fastställ tydliga rutiner för IT-supportförfrågningar och verifieringar.
• Utbilda anställda om risker med att dela information i utbyte mot oombedda erbjudanden.
• Inför rollbaserad åtkomstkontroll för att begränsa effekten av komprometterade inloggningsuppgifter.

När social engineering-hoten blir mer sofistikerade är det avgörande att CISO:er och IT-specialister är vaksamma och proaktiva. Genom att förstå dessa hot och införa robusta motåtgärder kan organisationer skydda sig bättre mot det ständigt föränderliga hotlandskapet.
Regelbunden utbildning, avancerad säkerhetsteknik och en kultur av medvetenhet och verifiering är nyckeln till att minska riskerna med social engineering-attacker. Vill du skydda din organisation mot social engineering-hot? Kontakta våra experter.