social engineering
Manipulationsteknik hvor gerningsmanden udnytter menneskelig tillid, autoritet eller hjælpsomhed til at få ofret til at afsløre følsomme oplysninger, give adgang til systemer eller udføre handlinger, der kan bruges til kriminelle formål.
Definition
Social engineering er en form for manipulation, hvor en gerningsmand forsøger at narre, påvirke eller manipulere en person til at afsløre fortrolige oplysninger, give adgang til beskyttede systemer eller udføre handlinger, som gerningsmanden kan udnytte til kriminelle formål. I stedet for at angribe tekniske sikkerhedssystemer direkte, retter teknikken sig mod den menneskelige faktor – ofte kaldet "menneskehacking".
Metoden udnytter menneskelige egenskaber som tillid, respekt for autoritet, hjælpsomhed, frygt eller uvidenhed. Gerningsmanden kan udgive sig for at være en troværdig person, for eksempel en kollega, IT-support, bankansat eller myndighedsperson, for at overtale ofret til at udlevere adgangskoder, bankoplysninger eller anden sensitiv information. Social engineering kan udføres ansigt til ansigt, over telefon, via e-mail eller gennem sociale medier.
Teknikken anvendes ofte som indledende fase i mere omfattende kriminelle forløb. Phishing-angreb, hvor ofret modtager falske e-mails fra tilsyneladende legitime afsendere, er en af de mest udbredte former. Vishing (voice phishing) foregår over telefon, hvor gerningsmanden typisk udgiver sig for at være fra en bank eller myndighed. Andre varianter omfatter pretexting, hvor gerningsmanden opfinder en historie for at få adgang til information, og baiting, hvor ofret lokkes med et tilbud eller en belønning.
I juridisk forstand kan social engineering udgøre grundlaget for flere strafbare handlinger. Afhængig af formål og udførelse kan det omfatte bedrageri efter straffelovens § 279, databedrageri efter § 279 a, hvor der skabes uberettiget adgang til IT-systemer, eller uberettiget logning efter straffelovens § 263. Hvis teknikken bruges til at skaffe identitetsoplysninger, kan det også være identitetstyveri.
Social engineering er særligt relevant i moderne kriminalitet, fordi selv avancerede tekniske sikkerhedssystemer kan omgås, hvis gerningsmanden får en medarbejder eller bruger til frivilligt at give adgang. Teknikken kræver ikke nødvendigvis teknisk ekspertise, men snarere psykologisk indsigt og evnen til at opbygge tillid hurtigt. Derfor betragtes menneskelig bevidsthed og træning som en central del af it-sikkerhed.
