Der menschliche Faktor und Social Engineering

Ich sehe weiterhin Vorfälle, die nicht in einer Software-Schwachstelle beginnen. Sie beginnen in einer Nachricht, die dringend wirkt, in einem Vorgesetzten, der „jetzt nicht sprechen kann“, und in einem Mitarbeiter, der nicht schlecht dastehen will. Social Engineering ist keine Magie. Es ist das Design der Eile.

Warum Hinweise nicht reichen

Ein Schild „nicht klicken“ konkurriert nicht mit einer Gehaltsabrechnung, die heute gezahlt wird, oder mit einem Lieferanten, der droht, den Dienst zu kappen. Die menschliche Verteidigung ist ein Verifizierungsverfahren, keine Kampagne. Wenn es schlecht angesehen ist, einen Vorgesetzten zu verifizieren, hat der Angreifer bereits interne Politik auf seiner Seite.

Die Hacker-Kultur, ernst gelesen, lehrt genau das: der Gegner greift nicht das System an, das Sie sich vorstellen; er greift die Gewohnheit an, die Sie nicht hinterfragen. Ein Ton der Autorität, ein informeller Kanal und eine Ausnahme „nur dieses eine Mal“ reichen, um eine Tür zu öffnen, die der Perimeter für geschlossen hielt.

Wie die Eile operiert

1. Es wird Dringlichkeit hergestellt: eine Überweisung, ein Zugang, ein Schweigen, das „nicht warten kann“.
2. Es wird Autorität hergestellt: der Name eines Direktors, eines Anwalts, eines kritischen Lieferanten.
3. Es wird eine Ausnahme vom Verfahren verlangt, kein technischer Sturmangriff.
4. Es wird die Angst, schlecht dazustehen, mehr genutzt als die Angst vor dem Vorfall.

Drei Gewohnheiten einer Organisation, die schwer zu täuschen ist

• Bestätigungskanäle für Geld, Zugänge und Kontenänderungen. Immer. Ohne Ausnahmen für „dieses eine Mal“.
• Kulturelle Erlaubnis zu zweifeln. Wer fragt, setzt sich nicht dem Spott aus.
• Übungen, die lehren, nicht jagen. Das Ziel ist, die Verifizierungszeit zu verkürzen, nicht eine Rangliste der Dummen zu veröffentlichen.

Fragen des Vorstands

• Welche Zahlungen, Zugänge oder Lieferantenwechsel können ohne einen zweiten Bestätigungskanal erfolgen?
• Ist ein Mitarbeiter, der an einer Anordnung des Vorsitzes zweifelt, geschützt oder exponiert?
• Wann war die letzte Social-Engineering-Übung, die in Lernen und nicht in Demütigung endete?
• Unterwirft sich die Geschäftsleitung demselben Verfahren wie der Rest, oder ist sie die dauerhafte Ausnahme?