Glem hacking – sosial manipulasjon er den største trusselen på nett 

Rekk opp hånda hvis du på stående fot kan forklare hvordan phishing, spoofing, wangiri, hacking og ID-tyveri fungerer. Spesielt phishing-angrep – der nettkriminelle forsøker å fiske til seg personlig informasjon – har tatt seg opp under korona-situasjonen.

Heldigvis er det faktisk ikke så viktig å til enhver tid holde seg oppdatert i mylderet av digitale trusler – i hvert fall ikke ifølge Thorbjørn Busch, spesialrådgiver hos Telenor, og en av de som står på frontlinjene i kampen mot svindel og kriminalitet på nett. 

Ifølge ham kommer man veldig langt ved å følge tre prinsipper: gode passord, totrinnsverifisering og bevissthet rundt sosial manipulasjon. 

Mens det har blitt skrevet mye om de to første, har det ikke på langt nær vært like mye fokus på det siste. Det er synd, mener Busch.

– Sosial manipulasjon er nøkkelen til nesten all nettkriminalitet. Hvis man er bevisst på det, har man allerede gjort veldig mye for å sikre seg, forteller han. 

Kort fortalt dreier sosial manipulasjon seg om alle måter mennesker med lumske hensikter forsøker å få deg til å utføre en handling som ikke er i din beste interesse.

Det er et sett med metoder som svindlere, sjarlataner og lurendreiere har brukt siden slanger smøg seg rundt i Edens hage – og som den dag i dag utgjør grunnlaget for majoriteten av digitale sikkerhetstrusler.   

– Mange tror at digitale angrep består i å bruke avanserte verktøy for å bryte seg inn på datamaskiner, mobiltelefoner eller ulike kontoer. Men det er faktisk veldig vanskelig å hacke en telefon eller en datamaskin. Da er det mye enklere å manipulere deg til å gjøre sikkerhetsfeil, forteller Busch.

Hva slags «sikkerhetsfeil» kan det være snakk om? Det handler som regel om å få deg til å røpe sensitiv informasjon som kan misbrukes: passord, personnummer, kredittkortinformasjon – og så videre. 

Dette kan gjøres ved å få deg til å klikke på en lenke eller fylle ut et skjema på en nettside – i tillegg til å lure det ut av deg direkte via telefon eller e-post. 

Derfor begynner nesten all nettkriminalitet med forsøk på sosial manipulasjon via falske henvendelser på i e-post, telefon eller SMS. 

Men hvordan gjenkjenner man sosial manipulasjon? Busch forteller at de fremste kjennetegnene er at man spiller direkte på følelser og tidspress til å få deg til å utføre en bestemt handling. 

– Det handler om å treffe noe i følelsesregisteret hos offeret. De skal gjerne ha deg til å føle frykt, eventuelt grådighet eller nysgjerrighet. Ofte forsøker de å skape et tidspress også – de gir et inntrykk av at du må gjøre som de sier NÅ, ellers forsvinner muligheten.  

Et eksempel er «Microsoft-svindel», der du mottar en telefon fra noen som utgir seg å være fra Microsoft. Nummeret er «spoofet» slik at det ser ut som om de ringer fra Norge, og de skaper frykt ved å fortelle at datamaskinen din kan ha fått virus eller blitt hacket. Men frykt ikke – de i andre enden kan hjelpe deg.   

 «Hjelpen» i dette tilfelle innebærer ting som å gi dem kontroll over datamaskinen via fjerntilgang eller å kjøpe og installere et spesielt antivirusprogram – som de selv har fylt opp med virus. Derfra er veien kort til identitetstyveri eller å overta maskinen din med løsepengevirus.

Sosial manipulasjon er en måte å bygge tillit på, og overbevise deg om at det er i din interesse å gjøre som svindleren sier. Det betyr at når du får henvendelse som krever handling fra din side – som å gå inn på en bestemt nettside eller oppgi informasjon om deg og dine digitale kontoer – er Busch sitt råd at man må stoppe og tenke.  

– Det viktigste spørsmålet er: forventer jeg å få denne henvendelsen? Hvis ikke, gjelder det å bruke litt tid på å tenke hva denne personen vil. Hva er det de vil jeg skal føle? Prøver de å skape et tidspress?  

Å være obs på uventede e-poster og telefoner er ekstra viktig på jobb. Busch ser at flere svindlere ofte har gjort grundig forarbeid, og på meget troverdig vis kan utgi seg å representere IT-avdelinger, kunder, klienter eller til og med direktører når de jakter etter bedriftshemmeligheter eller informasjon om  sikkerhetssystemer. 

– Hvis du får en uventet henvendelse på jobb: kontakt avsenderen via andre kanaler og ta en avsjekk, eller spør om råd fra kolleger eller overordnede. 

Busch advarer mot å tro at sosial manipulasjon bare fungerer på de aller mest godtroende av oss. 

– Det er snakk om å utnytte følelser som er såpass grunnleggende, som vi alle responderer på. Vår erfaring er at absolutt alle kan manipuleres, så alle må være på vakt. 

Busch har selv jobbet med nettsikkerhet for politiet, og rundt seg i Telenors sikkerhetsteam har han folk med bakgrunn fra både politiet og forsvaret. Til sammen representerer de veldig mange år i skyttergraven for å sikre norske forbrukere og datasystemer – og den klokkeklare anbefalingen er at alle må ta sosial manipulasjon på alvor.

– Folk tenker at det skal veldig avanserte programvarer til, og at deres største sikkerhetsbekymring er supersmarte hackere med veldig avanserte verktøy. I virkeligheten handler de mest avanserte angrepene handler om sosial manipulasjon.