SOCIAL ENGINEERING
WANNEER MENSEN HET DOELWIT WORDEN.
Wat is Social Engineering?
Social Engineering is een type aanval waarbij aanvallers psychologische manipulatie inzetten met als doel om medewerkers te verleiden persoonlijke of bedrijfsgevoelige informatie te verstrekken. Middels overtuigende verhalen en verzonnen scenario’s, wordt ingespeeld op menselijke emoties waar ieder mens tot op zekere hoogte gevoelig voor is, zoals vertrouwen, behulpzaamheid, nieuwsgierigheid, of angst.
Social Engineering Services
NFIR Security Awareness
Maak van uw medewerkers de sterkste schakel.
Van Social Engineering naar heldere rapportage!
Stap 1: intake
Tijdens de intake bespreken we de scope onderdelen, doelen en aanvalsscenario’s van de social engineering-opdracht. Tijdens de intake is ook een social engineer/ethisch hacker van NFIR aanwezig. De intake is een belangrijk vertrekpunt omdat wij graag binnen de scope alle onderdelen willen testen en alle kwetsbaarheden willen identificeren. Op basis van de intake maken wij een ureninschatting en voorstel.
Stap 2: Voorstel en afspraken
Nadat u de ureninschatting en voorstel heeft ontvangen bespreken wij graag uw vragen. In overleg zoeken wij naar een geschikt moment om de social engineering opdracht uit te voeren.
Stap 3. uitvoering
Tijdens de social engineering opdracht houden wij u op de hoogte over de voortgang en kwetsbaarheden. Dit gebeurt zonder verstoring van de organisatie. realistisch , maar veilig.
Stap 4: Resultaten & Rapportage
De resultaten worden helder, transparant en volledig controleerbaar gepresenteerd in een overzichtelijke rapportage. Een standaard onderdeel van onze social engineering dienstverlening is het toelichten van de resultaten naar aanleiding van de opgeleverde rapportage.
Stap 5: Verbeteren
Nu de resultaten bekend zijn kunnen de kwetsbaarheden gemitigeerd worden. Indien gewenst kunnen wij nadat de kwetsbaarheden zijn gemitigeerd een hertest uitvoeren.
Na het oplossen van de gevonden kwetsbaarheden is het continu bij leren van uw medewerkers de volgende stap. Met de security-awareness dienst van NFIR worden de medewerkers bewust gemaakt van de gevaren met betrekking tot informatiebeveiliging.
Aanvalsscenario's
Black Box
Bij een Black Box aanvalsscenario wordt vooraf minimale informatie verstrekt door de opdrachtgever. De social engineers zullen als 'buitenstaanders' opereren zonder voorkennis en beschikken alleen over de voorkennis die binnen de scope valt. Bij Social Engineering gebruiken we diverse technieken, waaronder Open Source Intelligence (OSINT) om zwakke plekken te ontdekken.
Grey Box
Bij een Grey Box aanvalsscenario wordt ‘beperkt’ informatie gedeeld die gebruikt wordt voor de social engineering opdracht. De opdrachtgever verstrekt alleen beperkte, vooraf overeengekomen informatie over de organisatie, zoals functietitels, organisatiediagrammen of interne processen. De social engineering specialisten gebruiken deze beperkte informatie om realistische maar ethische simulaties uit te voeren.
Test uw organisatie met Social Engineering
Heeft u tussentijds vragen? Neemt u dan telefonisch contact met ons op op het algemene NFIR telefoonnummer: 088 323 0205
FAQ's
Wat is social engineering?
Social engineering is een type aanval dat afhankelijk is van menselijke interactie om toegang te krijgen tot vertrouwelijke informatie of bronnen. Het is een vorm van manipulatie die door aanvallers wordt gebruikt om mensen te misleiden om gevoelige informatie vrij te geven of bepaalde acties uit te voeren.
Wanneer is een social engineering opdracht relevant voor mijn organisatie?
Wanneer u inzicht wilt in hoe kwetsbaar uw organisatie is voor phishing, social engineering en menselijke fouten in informatiebeveiliging.
Wat levert een social engineering opdracht op voor bedrijven?
Een social engineering pentest geeft inzicht in menselijke risico’s en laat zien waar security awareness en gedrag verbeterd kunnen worden.
Hoe verloopt een social engineering traject van begin tot eind?
Een traject bestaat uit een intake, het afstemmen van de aanpak, de uitvoering van realistische tests, analyse van de resultaten en een eindrapport met aanbevelingen.
Welke technieken worden gebruikt tijdens een social engineering pentest?
Er worden technieken gebruikt zoals phishing e-mails, AI Voice phishing en soms fysieke toegangsproeven.
Wat kost een social engineering pentest en wat bepaalt de prijs?
De prijs hangt af van de omvang van de test, het aantal scenario’s en de complexiteit van de organisatie.
Wat maakt een social engineering pentest effectief voor security awareness?
Een pentest is effectief wanneer realistische scenario’s worden gecombineerd met duidelijke inzichten en opvolging richting medewerkers.
Hoe helpt een social engineering pentest bij het ontdekken van menselijke risico’s?
De test laat zien hoe medewerkers omgaan met bijvoorbeeld phishing en andere social engineering technieken, en waar risico’s liggen.
Waarom is het belangrijk om aan social engineering scenario's te testen?
Social engineering behoort tot de basistechniek van cybercriminelen en ligt ten grondslaag aan de meeste cyberincidenten. Deze techniek speelt vooral in op de medewerkers van uw organisatie, aangezien er bij social engineering misbruik wordt gemaakt van menselijke eigenschappen zoals de wil om behulpzaam te zijn. Door uw organisatie weerbaarder te maken tegen social engineering technieken, versterkt u de factor mens. Een onmisbare schakel in de driehoek van technieken, processen en de mens.
Kunnen medewerkers hier negatieve gevolgen van ondervinden?
Nee. Het doel van de test is inzicht krijgen in processen en gedrag, niet om individuele medewerkers te bestraffen. Resultaten worden geanonimiseerd en gebruikt om de organisatie als geheel te verbeteren.
Hoe realistisch zijn de aanvallen?
De aanvallen worden gebaseerd op actuele dreigingen, OSINT en uw organisatiestructuur. Hierdoor sluiten scenario’s aan op de praktijk en zijn ze vergelijkbaar met echte aanvallen.
Worden medewerkers vooraf geïnformeerd?
Dit hangt af van de doelstelling. In veel gevallen worden medewerkers niet vooraf geïnformeerd om realistisch gedrag te meten. Management of relevante stakeholders zijn uiteraard wel op de hoogte.
Hoe lang duurt een social engineering test?
Dit varieert per opdracht, maar ligt doorgaans tussen enkele dagen en enkele weken, afhankelijk van de complexiteit en omvang van de organisatie.
