Social manipulation (social engineering)

Social manipulation (social ingenjörskonst, social engineering) är en strategi som används av enskilda personer eller grupper för att manipulera och vilseleda människor så att de avslöjar känslig information som bankuppgifter eller inloggningsuppgifter, eller agerar på ett sätt som äventyrar deras säkerhet. Det kan också vara att få någon att betala en faktura, köpa och skicka presentkort eller göra en pengaöverföring.

Social manipulation bygger på psykologi och mänskligt beteende snarare än på tekniskt kunnande. Istället för cyberattacker utnyttjas vår tillitsfulla mänskliga natur för att lura oss.

De vanligaste förekommande försöken sker via telefonkontakt (samtalsfiske, telefonfiske) eller genom så kallat nätfiske i e-posten, ofta kallat för det engelska begreppet phishing.

För att inte luras behöver vi vara medvetna och vaksamma.

Nätfiske (phishing)

Nätfiske är en vanlig typ av social manipulation. Det är också den vanligaste starten på en kommande cyberattack.

Nätfiske går ut på att någon via e-postmeddelande, SMS eller chattjänster lurar mottagaren att klicka på en länk, öppna ett dokument, besöka en webbplats eller ladda ner en fil.

Målet är att infektera enheten med skadlig kod och/eller komma över höga behörigheter som ett första steg i ett mer omfattande angrepp.

Bilden visar falsk e-post

Varning för telefonfiske!

En annan typ av social manipulation sker via telefonkontakt - röst eller sms/meddelande (vishing resp. smishing*).

Någon ringer eller messar dig och utger sig vara banken, en myndighet, IT-avdelningen, en hög chef, supporten från Microsoft eller din telefonleverantör. Personen beklagar (påhittade) problem och säger att allt ordnar sig om du loggar in i din bank/dator eller ger personen dina kontouppgifter, lösenord eller koder.

Ofta ringer/messas från förfalskade telefonnummer för att det ska se ut som kontakten kommer från just banken, myndigheten eller IT-avdelningen. Det gör det mer trovärdigt och får i högre grad de som blir uppringda att svara.

*Vishing - Voice Phishing
Smishing - SMS Phishing

Falsk e-post och bedrägerier

Avsändaradressen eller avsändarnamnet i ett e-postmeddelande ("Från"-fältet) kan lätt förfalskas för att dölja det riktiga namnet eller adressen.

På samma sätt som ett telefonnummer kan förfalskas kan man förfalska avsändarnamnet och adressen i e-post och utge sig för att vara till exempel ekonomichefen eller professorn vid en institution.

Falsk e-post kan ofta handla om att begära information (som i nätfiske-exemplen), att överföra pengar till ett konto eller att köpa presentkort.

Exempel

Falsk e-post om gåvokort

Nedan visas en e-postkonversation där en person utger sig för att vara en professor vid universitetet. En professor som är i behov av iTunes gåvokort. Mottagaren, en anställd på samma institution, luras att ordna gåvokort för sina egna pengar och skickar dem till bedragaren.

Tyvärr är det dessutom så att bedrägerier med gåvokort är vanliga, samtidigt som det är i princip omöjligt att få tillbaka pengar som lagts på gåvokort.

Bilden visar en epost-konversation om att köpa gåvokort.

Falsk e-post om nätfiske

Exemplet nedan handlar om en påstådd löneuppdatering med uppmaningen att klicka på en länk.

Syftet med detta försök är att komma åt medarbetares inloggningsuppgifter.

Ofta är den här typen av e-post trovärdigt utformade och gjord för att du ska bli stressad och agera snabbt. Det kan till exempel verka handla om att din brevlåda ska stängas av, din lön som inte betalas ut, en faktura som förfallit. Det är därför väldigt lätt att bli lurad.

Länkar i nätfisken går sällan dit du förväntar dig

Att klicka på länken i meddelandet ovan - som ser ut att vara en lönelista från universitetet men i själva verket är en länk - gör att vi kommer till ett inloggningsformulär som är förvillande likt det äkta formuläret.

Om du inte stressar utan tittar efter, kan du se att det inte är riktigt rätt. Det som avslöjar att det handlar om ett bedrägeri är webbadressen, i det här fallet "summervilledream.org " istället för "mail.uu.se" som syns i adressfältet. Den första bilden visar den falska webbsidan, och den andra bilden visar den äkta sidan.

Skillnaden mellan den falska och den äkta inloggningssidan är inte speciellt stor, eller hur! Vid en hastig titt är det lätt att bli lurad. Det gäller att alltid försäkra sig om att webbadressen stämmer. I det här fallet är det att det ska stå mail.uu.se.

Två exempel på mycket lika webbsidor, där den ena inte har en korrekt adress.

Att undersöka en länk i e-post

Alla länkar i e-post är inte skadliga men förekomsten av skadliga länkar är ganska hög. Därför är det viktigt att ta för vana att undersöka varje länk innan du klickar på den.

För att undersöka en länk kan du föra muspekaren över länken tills ett litet fönster dyker upp - då kan du se vart länken verkligen tar dig. Om du inte kan lita på adressen eller om adressen inte matchar e-postens innehåll, kan det mycket väl handla om nätfiske och skadlig kod. Upptäcker du att avsändaren har ersatt den ursprungliga länkadressen är det ett misstänkt bedrägeri. Lämna länken orörd och rapportera till security@uu.se

Tecken som tyder på nätfiske

Erbjudanden som är för bra för att vara sanna - “Du får en gratis iPhone”
Ologiska budskap - “Du har skatteåterbäring att kvittera ut”
Brister i grammatik och språk - “Du har lösta paket”
Indirekta hot eller liknande - “Om du inte svarar inom 2 dagar så…”, “Ditt konto stängs av...”, "Din brevlåda kommer att tömma."
En länk kan vara misstänkt om adressen inte stämmer överens med innehållet i e-postmeddelandet.
En bilaga kan vara misstänk om den kommer från en okänd källa eller om den bifogade filen har ett tillägg som vanligtvis förknippas med nedladdningar av skadlig programvara (.zip, .exe, .scr, tar) – eller om du inte känner igen filtillägget.

Hur du skyddar dig mot nätfiske och telefonfiske

Lämna inte ut inloggningsuppgifter och andra känsliga uppgifter. Banker och andra seriösa aktörer frågar aldrig efter sådan information.
Svara inte över huvud taget om ett nummer verkar konstigt.
Lägg på luren om uppringaren börjar fråga efter saker.
Försäkra dig om att avsändarnamnet, avsändaradressen och innehållet i ett e-post stämmer överens.
Klicka inte på länkar i misstänkt e-post eller SMS/meddelanden.
Ladda inte ner filer som bifogats till misstänkt e-post
Var extra uppmärksam om den bifogade filen har ett filtillägg som slutar på .exe eller .zip

Rapportera misstänkt e-post, bilagor eller länkar!

Rapportera misstänkt e-post till security@uu.se så skyddar du inte bara dig själv utan även andra användare, både inom universitetet och i andra organisationer! Anmäld misstänkt e-post, med bilagor och länkar, kontrolleras av Säkerhetsavdelningen så att skadliga sidor kan blockeras eller spärras. Säkerhetsavdelningen och Universitetsgemensam IT har ett nära samarbete för att se till att e-post till universitetet är säker, men allt kan inte blockeras automatiskt så det är till stor hjälp om du är vaksam.