Hackarens guide för att säkra din organisation

Jag heter Rachel Tobac och jag är en hacker, en etisk hacker, för att vara tydlig. Det innebär att företag anlitar mig för att berätta för dem var deras sårbarheter finns, så att jag kan hålla dem och deras kunder säkra. Som en etisk hacker som har brutit mot system för nyhetsreportrar, miljardärer och alla däremellan vet jag från första hand hur ofta människor faller för mycket enkla principer för övertalning som har bestått tidens tand, och de tekniska verktyg som kunde ha skyddat dem från det ödet.

Sättet att skydda dig själv och ditt företag är tredelat.

• Först, bekanta dig själv och ditt team med principerna för övertalning som vi använder när du hackar så att du kan känna igen och stänga av de sociala ingenjörerna.

• Därefter beväpnar du dig själv och din organisation med rätt teknik - lösenordshanterare (eller lösenordshanterare) och rätt multifaktorautentisering för din hotmodell.

• Slutligen, eftersom den här tekniken går så snabbt kan du framtidssäkra din säkerhet genom att förstå riskerna som kommer härnäst och de verktyg du kan använda för att försvara dig mot dessa nya hot.

Att förstå hur hackare tillämpar principerna för övertalning är avgörande för att utveckla effektiva försvarsstrategier. Genom att känna igen taktiken som hackare och sociala ingenjörer använder kan individer och organisationer anta ett mer "arttigt paranoid" tänkesätt och implementera robusta säkerhetsåtgärder. Att bygga upp medvetenhet, utbilda användare om vanliga tekniker och främja en kultur som är först med säkerheten är viktiga steg för att bekämpa mänskliga attacker. Vaksamhet och skepsis fungerar som kraftfulla sköldar mot den manipulativa taktik som används av hackare i deras strävan efter obehörig åtkomst.

Genom att känna igen taktiken som hackare och sociala ingenjörer använder kan individer och organisationer anta ett mer "arttigt paranoid" tänkesätt och implementera robusta säkerhetsåtgärder.

När någon berättar information om sig själv, vad brukar du göra? Återgälda! Det är den mänskliga naturen. Hackare erbjuder något av värde för andra, oavsett om det är information, hjälp eller en tjänst, och detta kan öka sannolikheten för att deras mål kommer att vara ömsesidiga till deras förfrågningar och berätta information om sig själva eller sin organisation, till exempel. Om jag behöver veta vilket operativsystem (OS) du använder för att skräddarsy min skadliga programvara för din maskin, kan jag erbjuda det operativsystem jag "använder" för att uppmuntra dig att avslöja detaljerna jag behöver när jag hackar.

Vi tenderar att se till andra för vägledning när vi fattar beslut. I grunden betyder detta att vi är mer benägna att vidta vissa åtgärder om vi ser andra, särskilt människor som vi, göra detsamma.

Genom att utge sig för att vara ansedda individer eller organisationer ingjuter hackare en falsk känsla av förtroende, vilket gör socialt bevis till en effektiv teknik för att manipulera mål till att dela känslig information eller delta i riskfyllda handlingar.

Hackare som lyckas övertyga oss om att "alla gör det" använder sociala bevis för att påverka vårt beslutsfattande.

Människor gillar att vara konsekventa och hålla sina åtaganden, särskilt om vi har gjort dem offentligt eller delat dem med andra. Människor är i grunden "allergiska mot att vara besvärliga" - om vi har gett ett åtagande till någon eller gjort ett val att lita på någon, är det mer troligt att vi än inte håller fast vid det tidigare valet.

Hackare kommer att försöka övertyga sina mål att engagera sig i små handlingar eller uttalanden som är i linje med deras slutliga mål, för att öka sannolikheten för att offret följer upp begäran. När en bedragare ser engagemang kommer de ofta att eskalera sina förfrågningar, vilket leder till mer betydande kompromisser.

Människor är mer benägna att säga "ja" till dem de gillar eller känner sig liknade. Hackare kommer att försöka bygga relationer, hitta gemensamma grunder och visa genuint intresse för sina mål. Att utveckla positiva relationer och verka söka genuina kontakter med andra kan förbättra en hackers övertalningsförmåga.

I sin bok, Influence, The Psychology of Persuasion, illustrerar Cialdini denna princip med idén om Tupperware Party. "The Tupperware Home Parties Corporation ordnar så att sina kunder köper från och åt en vän snarare än en okänd säljare. På så sätt kommer attraktionen, värmen, tryggheten och vänskapsplikten att påverka försäljningsmiljön”, skriver Cialdini.

Människor är mer benägna att följa förfrågningar från auktoritativa personer eller de som uppfattas ha expertis inom en viss domän. Hackare kommer att låtsas trovärdighet, expertis eller auktoritet inom ett relevant område för att öka deras övertygande effekt.

Goda sociala ingenjörer utnyttjar auktoritetsprincipen genom att skickligt skapa nätfiske-e-postmeddelanden för att efterlikna kommunikation som kommer från pålitliga och auktoritativa enheter. De kan försöka vinna ditt förtroende genom att utge sig för dina medarbetare, din chef, din chefs chef eller teknisk support. Genom att ta på sig en auktoritativ roll ökar hackare chanserna för offren att följa deras instruktioner, som att tillhandahålla inloggningsuppgifter eller ge fjärråtkomst till sina system.

Principen om knapphet antyder att vi värdesätter saker som är begränsade i tillgänglighet. När vi uppfattar något som sällsynt, exklusivt eller efterfrågat är vi mer motiverade att skaffa det. När en hacker lyfter fram de unika funktionerna, begränsade kvantiteter eller tidsbegränsade erbjudanden som är förknippade med deras förslag, kan de skapa en känsla av brådska och öka erbjudandets upplevda värde.

Knapphetsprincipen gäller även för tid. Vem av oss har inte påverkats av ”Akta nu! Den här affären kommer inte att vara länge!” e-post?

Enhet är den sjunde principen som Cialdini lade till i sitt senare verk. Det betonar kraften i delade identiteter och en känsla av tillhörighet. Genom att betona gemensamma drag och anpassa individer till en delad gruppidentitet eller sak, ökar hackare vår motivation att samarbeta med dem och följa deras önskemål. När jag till exempel hackar chefer tenderar jag att låtsas tillhöra samma gym, styrelse, samhällsgrupp osv.

• Time boxning en begäran för att övertyga dig att vidta åtgärder snabbt.

• Skapa brådska genom att tillverka ett överhängande hot eller tidsbegränsningar.

• Brådskande tillverkning genom att utge sig för att vara en pålitlig auktoritetsfigur eller organisation och kräva omedelbara åtgärder för att undvika allvarliga konsekvenser.

• Framkalla panik eller rädsla genom att betona tidskänsliga situationer, såsom nära förestående kontostängning, juridiska konsekvenser eller ekonomisk förlust.

• Att använda tidsbegränsade erbjudanden eller anspråk på begränsad tillgänglighet för att pressa individer att fatta impulsiva beslut.

• Att skapa brådskande situationer, som ett intrång i ett konto eller ett säkerhetsintrång, för att omedelbart agera och avslöja känslig information.

• Utnyttja aktuella händelser eller nyhetsämnen för att skapa en känsla av brådska och dra nytta av människors önskan att hålla sig informerade eller involverade.

Skickliga cyberbrottslingar drar nytta av den naturliga mänskliga benägenheten att prioritera omedelbara åtgärder framför noggrant övervägande, och utnyttjar vår sårbarhet i stunder av upplevd brådska för att uppnå efterlevnad och underlätta deras illvilliga avsikter.

Att skapa en stark försvarslinje mot hacking är avgörande för både individer och organisationer. Organisationer bör prioritera en omfattande cybersäkerhetsstrategi som omfattar mänskliga baserade sociala ingenjörsåtgärder, detektionssystem, tekniska verktyg och protokoll för incidentrespons.

Nu är det inte enbart CSO:s ansvar att få säkerhetskulturen rätt. Alla i C-suiten spelar en viktig roll när det gäller att betona vikten av en robust försvarslinje mot hackare, minska risken för framgångsrika intrång och skydda ditt företags kritiska tillgångar och rykte.

Trots vår övergripande upptagenhet och tendens att göra flera saker (även om vi vet att det inte är bra för fokus), måste vi vara försiktigt skeptiska i alla våra onlineinteraktioner för att försvara oss mot illvilliga aktörer. Jag kallar detta för "att vara artigt paranoid" och det betyder att använda två kommunikationsmetoder för att bekräfta att någon är den de säger att de är innan de uppfyller deras begäran - lite som mänskligt baserad MFA! Om du är osäker, välj multifaktorkommunikation. Till exempel, om någon skickar e-post till dig från en ny e-postadress och begär känsliga uppgifter, ring dem med det nummer du redan har lagrat.

Ett proaktivt tillvägagångssätt för att skydda känslig information kan räcka långt för att upprätthålla säkerheten i din organisation.

Genom att vara "arttigt paranoid" om känsliga förfrågningar som förfrågningar om banköverföringar, tillgång till företagsdata, bankbyten, administratörskontoändringar etc., kan vi fånga cyberattacker i ögonblicket.

Öppen källkodsintelligens eller OSINT är ett spaningssteg vi tar innan hacket påbörjas. Vi försöker hitta så mycket allmänt tillgänglig information om ett mål som möjligt, såsom deras kontaktinformation, tekniska verktyg som används, gillar/ogillar, etc.

Hackare använder OSINT för att söka efter sökmotorer, utforska massiva offentliga forum eller söka igenom mängder av offentliga register online för att hitta de detaljer som behövs för att starta en attack.

Ditt företag kan bli offer för nätfiske genom olika vilseledande tekniker. Nätfiske utförs vanligtvis via e-post, meddelanden eller bedrägliga webbplatser som är utformade för att lura anställda eller individer inom en organisation att avslöja känslig information eller utföra skadliga handlingar.

Angripare kan utge sig för att vara betrodda enheter som banker, tjänsteleverantörer eller företagsledare, vilket skapar en känsla av brådska eller betydelse för att manipulera mottagare.

(Kommer du ihåg dessa principer för övertalning?)

Hackare hittar ofta lösenord online i vad som vanligtvis kallas en "lösenordsdump". Detta är helt enkelt ett enormt antal lösenord som samlats in från hackade webbplatser, dataintrång eller underjordiska forum där cyberbrottslingar handlar med stulen information. Dessa dumpar innehåller ofta vanlig text eller hashade lösenord tillsammans med tillhörande användarnamn eller e-postadresser. Lösenordsdumpar utgör betydande risker eftersom de ofta är den första källan till OSINT som angripare utnyttjar för att se om de lätt kan bryta mot en organisations system. När ett lösenord väl hittats i en lösenordsdump kan illvilliga personer använda det för att försöka få obehörig åtkomst till användarkonton, delta i identitetsstöld eller starta andra cyberattacker.

Hackare använder ofta taktik som social ingenjörskonst, där de utnyttjar psykologiska faktorer för att övertyga mål att klicka på skadliga länkar, ladda ner skadliga bilagor eller tillhandahålla inloggningsuppgifter. Genom att efterlikna legitima kommunikationskanaler kan nätfiske-bedrägerier framgångsrikt lura anställda att avslöja konfidentiell data, äventyra nätverkssäkerheten eller möjliggöra obehörig åtkomst.

• Är du eller din organisation i allmänhetens ögon?

• Är du eller din organisation för närvarande inriktad på en trakasseringskampanj?

• Stöder du eller din organisation journalister, aktivister eller andra mål för nationalstatsaktörer?

• Talar du offentligt om ditt arbete och din roll?

• Postar du eller din organisation på ett detaljerat sätt på sociala medier?

• Har du eller din organisation många följare eller uppmärksamhet på sociala medier?

• Måste du lita på många olika typer av människor och roller för att få ditt jobb gjort?

Ju fler av dessa faktorer du relaterar till, desto större är sannolikheten att du oftare kommer att bli föremål för cyberbrottslingar.

Använd en andra kommunikationsmetod för att vara artigt paranoid: Se till att alla i ditt team förstår vanliga sociala ingenjörsbedrägerier. Uppmuntra alla anställda att bekräfta att människor är de de säger att de är och bygg in det i dina rutiner så att ditt team inte känner sig besvärligt att bekräfta dina önskemål.

Fysiska säkerhetsåtgärder: Se till att individer med höghotmodeller har tillgång till fysiska säkerhetsåtgärder för att förbättra sin säkerhet. Genomför regelbundna riskbedömningar för att identifiera sårbarheter i deras fysiska miljö och implementera lämpliga åtgärder för att minska riskerna i deras hotmodell.

Digitala säkerhetsåtgärder: Personer med hög profil riktas ofta mot eller efterliknar sig via digitala kanaler. Implementera kraftfulla cybersäkerhetsåtgärder för att skydda dina VIPs digitala närvaro. Detta inkluderar lösenordshanterare, MFA, kryptering av kommunikationskanaler, regelbunden uppdatering av mjukvara och system och utbildning i säkerhetsmedvetenhet för att utbilda dina VIPs om de vanligaste hoten de kommer att ta emot.

AI-verktyg har gjort det möjligt för hackare att sömlöst emulera alla varumärkesröster. Innan dessa generativa AI-verktyg blev så tillgängliga skulle det ta alldeles för lång tid för en hackare att lära sig att skriva som ett specifikt företag. Endast den mest hantverksmässiga hackaren skulle ta sig tid att studera ett företags e-post och webbplatskopia.

Och om engelska inte är en hackers förstaspråk, skulle de göra fel som kan göra det lättare att snabbt upptäcka en bluff. Men nu kan vem som helst helt enkelt be en generativ AI-app som ChatGPT att skriva i samma stil som vilket företag som helst och en hackare behöver inte ens prata engelska bra för att få majoriteten av kopian korrekt. Nu har hackare en stark uppmaning till handling med en obefläckad kopia skriven med någon annans varumärkesröst på ett språk som angriparen inte ens brukar tala.

Genom att använda AI för att analysera stora mängder data kan dessa illvilliga aktörer replikera tonen, stilen och meddelandena från välkända varumärken, och effektivt lura intet ont anande individer. Från spjutfiske-e-postmeddelanden till falska sociala mediekampanjer, AI-drivna attacker kan inte skiljas från legitima

kommunikation, vilket leder till förödande konsekvenser för både individer och organisationer. Förmågan att manipulera varumärkesröster genom AI förstärker den redan komplexa kampen mot onlinebedrägerier och utgör ett allvarligt hot mot integriteten hos digitala plattformar.

Individer med modeller med högt hot, som VIPs, möter oöverträffade utmaningar i det AI-drivna hackinglandskapet. I takt med att AI utvecklas blir det allt svårare att skilja mellan autentiskt och AI-genererat innehåll, vilket suddar ut gränserna mellan sanning och bedrägeri. VIPs, som ofta är måltavlor för sofistikerade hackningsförsök, måste navigera i denna förrädiska miljö med ökad försiktighet. De konfronteras med det ständiga hotet om AI-genererad identitetsstöld, där motståndare kan tillverka övertygande personer för att manipulera och utnyttja sårbarheter för ondskefulla syften – till exempel kunde jag imitera en VIP på 60 minuter till hennes team på 5 minuter med hjälp av ett AI Voice Cloning Tool.

För tredje året i rad samarbetade Bitwarden med Propeller Insights för att genomföra en global undersökning av internetanvändare för att förstå tillståndet för lösenordshantering.

Undersökningen undersöker lösenordsvanor (inklusive en fortsatt trend av lösenordsåteranvändning), cybersäkerhetsrisker och löftet och särdragen med lösenordslös autentisering.

Tyvärr visar några av fynden på hög nivå att många människor fortfarande har några riskabla lösenordsvanor.

• 19 % erkände att de använt "lösenord" som sitt lösenord.

• 52 % har använt välkända namn, texter eller personnamn (som deras barn eller husdjur). 84 % av de tillfrågade återanvänder lösenord.

• 11 % återanvänder lösenord på mer än 15 sajter.

• 60 % har använt samma lösenord i 3+ år.

• 26 % av dem som återanvänder lösenord har återanvänt samma lösenord i mer än ett decennium.

• 34 % skriver fortfarande ner sina lösenord på papper som Post-it-lappar eller ett anteckningsblock.