Het Sociale Dilemma: Risico's en Realiteiten van Social Media in de Digitale Wereld
Auteur: Grant Paling, Product Manager, Global Service Lines
Sociale media. Je houdt ervan of je hebt er een hekel aan, toch? Of waarschijnlijk allebei. Het is de oorzaak van veel blijdschap en tegelijkertijd van veel pijn.
Als je die openingszin leest, hoe denk je dan over sociale media? In een persoonlijke context of een zakelijke context? Is er voor jou een lijn die je trekt tussen waar sociale media persoonlijk worden gebruikt versus zakelijk of is het gewoon een vage warboel?
Enkele cijfers
Als het gaat om cyberrisico's, is sociale media zeker een van de snelst groeiende risico's. In de Security Navigator van 2024 kunnen we in onze Threat Detection-gegevens zien dat het aantal acties voor sociale bedreigingen licht is gestegen als percentage van alle incidenten. In combinatie met het feit dat het totale aantal bevestigde incidenten is gedaald ten opzichte van het 2023-rapport, betekent dit dat er een stijging was in deze categorie waar veel andere categorieën zijn gedaald:
Als we wat beter kijken, wordt de prevalentie van sociale tactieken nog duidelijker. Als we kijken naar de meer granulaire VERIS subacties zien we dat twee klassieke sociale tactieken in de top tien staan van meest geziene bedreigingen. Deze observatie wordt ook bevestigd in het rapport "State of the Phish" van Proofpoint, waarin staat dat 84% van de bedrijven in 2022 te maken heeft gehad met een phishing-aanval.
Mensen blijven helaas de zwakste schakel in de keten. De "kwetsbaarheid" die je kunt uitbuiten zonder dat er per se een duidelijke indicator op machineniveau achterblijft. En het is belangrijk om dit ook in overweging te nemen bij het bekijken van de bovenstaande gegevens - hoeveel acties van pure sociale bedreigingen bleven onopgemerkt omdat er geen "papieren spoor" als zodanig was?
Waarom worden sociale media steeds meer gebruikt door cybercriminelen? Is het tegenwoordig aantrekkelijker dan e-mail? Wat maakt het zo'n gevaarlijke dreigingsvector?
Hier volgen enkele punten om over na te denken.
Onduidelijke grenzen: het contextuele gebruik van jouw sociale media
Sociale media begon als een platform om met elkaar in contact te komen voor persoonlijk gebruik. Tot platformen zoals LinkedIn opkwamen, postten we vooral foto's van onze kinderen en huisdieren, schreven we lange berichten waarvan we dachten dat iemand ze zou lezen en natuurlijk werd de kunst van het "trollen" populair om ons eraan te herinneren dat niet alle sociale interacties positief zijn. Als we sociale media vergelijken met e-mail, is er bij e-mail een scheiding tussen zakelijk gebruik en persoonlijk gebruik die veel minder in onze psyche verankerd zit. Met e-mail heb je werk-e-mail en persoonlijke e-mail. En voor velen van ons is dat een duidelijke scheiding die we maken (en in veel gevallen worden we gedwongen die te maken!). Maar als het gaat om accounts voor sociale media - Facebook, WhatsApp en zelfs LinkedIn - is die scheiding niet zo duidelijk. Mensen overschrijden grenzen. Er is geen "contextomschakeling" en ik zou willen stellen dat de extra waakzaamheid die je misschien hebt (hopelijk door een goed gestructureerd bewustmakingsprogramma) bij het afhandelen van inkomende zakelijke e-mails, niet altijd wordt overgedragen op het gebruik van sociale media. Ik denk dat we bij het gebruik van sociale media nog steeds een meer ontspannen en informele houding hebben die in onze cultuur is ingebakken (gezien het vrij informele begin en ons meer algemene gebruik ervan vandaag de dag).
Laten we een scenario nemen waarbij je dezelfde phishingpoging krijgt. Het doel is om je een link te sturen waarop je vervolgens klikt, die je naar een phishingsite brengt en malware downloadt om een aanval te beginnen. De oudste truc uit het boek, toch? Laten we het eens vergelijken:
Je krijgt een e-mail van een collega van je werk met de tekst "Heb je dit gezien? We worden overgenomen..." met een link om op te klikken, via je zakelijke e-mail.
Je krijgt een LinkedIn bericht van een collega die zegt "Heb je dit gezien? We worden overgenomen..." met een link om op te klikken, via LinkedIn messenger.
Wat is je reactie op deze twee pogingen om dezelfde fraude te plegen? Roept de ene meer argwaan op dan de andere? Welke denk je dat de eindgebruikers in jouw bedrijf eerder zullen melden als een phishingpoging?
Sociale media: Het begin van het einde
Een ander groot verschil tussen sociale media en e-mail is de moeite die is gestoken in het monitoren van de beveiliging.
Wat e-mail betreft, besteden bedrijven al zolang ik me kan herinneren geld aan e-mailbeveiliging. Aan de andere kant besteden veel bedrijven nog steeds bijna niets aan de beveiliging van sociale media. Een groot verschil is natuurlijk dat bedrijven eigenaar zijn van hun e-mailaccounts en dat het daarom makkelijker is om controle uit te oefenen. In vergelijking daarmee zijn sociale media het Wilde Westen.
Een gat dat op beide vlakken actief wordt uitgebuit, is het gebrek aan community sharing. In de huidige digitale economie ben je zo goed als je zwakste schakel en helaas is je zwakste schakel vaak een derde partij die minder in cyberveiligheid investeert dan jij.
Laten we een voorbeeld nemen dat ik enkele maanden geleden bij een van onze klanten zag (en dat ik sindsdien bij meerdere bedrijven heb gezien).
Op zoek naar een nieuw begin, maar met een slecht einde
De eerste fase van de aanval begon met wat bekend staat als "wervingsfraude". Want wie wil er nou geen nieuwe baan? TOCH?!?!
Ik hoop dat als je "JA, IK!" naar het scherm riep, je niet naast je baas zat. Dan zou je daar heel wat uit te leggen hebben. Grapje natuurlijk, velen van jullie zien je baas waarschijnlijk maar af en toe in het echt en er kijkt dus niemand over je schouder mee...
Maar terug naar het verhaal. Het antwoord is dat ook al ben jij perfect gelukkig in je job, velen zijn dat niet. En in dit verhaal richtten de fraudeurs zich op makelaars voor een financiële dienstverlener en deden ze zich voor als headhunters van een concurrerend bedrijf. Ze lokten via sociale media. Het zag eruit als elke andere InMail - recruiter die je nog nooit hebt ontmoet, beloftes van onnoemelijke rijkdom en uitstekende voordelen. Je hoefde alleen maar te reageren.
Hier werd het interessant. Voor de paar werknemers die wel reageerden, moedigden de aanvallers de gebruikers aan om naar Discord te gaan, om het gesprek voort te zetten. Het zou makkelijker zijn om de details te delen, zeiden ze. (En moeilijker om hun activiteiten te traceren).
Dat deden ze dus en de aanvallers vroegen hen om hun CV te uploaden naar een link. De vertrouwende werknemers deden dit, maar het werkte niet. Was de aanval mislukt?
Natuurlijk niet. Dit was altijd al het plan. Om de aanvallers te parafraseren: "Oh u opent het via uw telefoon? Daar hebben we problemen mee gehad, kunt u verbinding maken via uw laptop?"
En natuurlijk deden onze kandidaten voor deze super speciale rol precies dat. En op naar de phishing site en BOEM. Onze aanvallers zijn binnen. Gelukkig konden we de aanval detecteren toen de aanvallers zich van daaruit begonnen te verplaatsen, omdat onze klant onze beheerde detectie- en responsdiensten had ingeschakeld. Maar niet iedereen heeft natuurlijk een goed niveau van beveiligingsmonitoring en veel van dit soort aanvallen zijn wel geslaagd waar deze mislukte.
Had de aanval eerder gestopt kunnen worden? En hoe?
- Ten eerste is het moeilijk. Het is moeilijk, want stel dat je hebt geïnvesteerd in een service zoals onze Managed Cybercrime Monitoring service die het monitoren van zowel frauduleuze domeinen als het monitoren van frauduleuze social media accounts die inbreuk proberen te maken op je merk omvat. Dat is allemaal goed en wel, maar in dit geval was het een derde partij (een concurrent!) wiens merk werd gebruikt tegen jouw gebruikers en dan word je blootgesteld doordat je concurrenten(!) verzuimen hun rol te spelen. Het eerste advies zou zijn: wees niet de zwakke schakel. Controleer het gebruik van je eigen merk zoveel mogelijk en zorg ervoor dat je derde partijen (tijdens je beveiligingsbeoordelingen van derde partijen) hetzelfde doen. Netwerk met je collega's via cybersecurity communities. Deel best practices. Doe wat je kunt.
- Zorg ervoor dat je gebruikers net zo goed op de hoogte zijn van social media scams als van e-mail phishing. Want aanvallers komen door meer dan één deur. Hetzelfde geldt voor andere opkomende alternatieven zoals vishing, smishing en QR-code scams.
- Als je een kwaadaardige site ontdekt, meld het dan. We hebben het Phishing Initiative, als onderdeel van onze rol in het opbouwen van een veiligere digitale samenleving. Laten we zoveel mogelijk samenwerken, want we weten dat onze tegenstanders dat ook doen (afgezien van de rare ruzies tussen ransomware-groepen).
Samenvatting
Sociale media blijft een groeiende dreigingsvector die aandacht verdient en moet worden meegenomen in risicoanalyses. Sociale media-accounts van bedrijven zijn duidelijk digitale activa die moeten worden beschermd, maar bij volmacht kunnen de (vaak persoonlijke) accounts van leidinggevenden en andere sleutelfiguren in het bedrijf het doelwit zijn. Of je het nu leuk vindt of niet, het beveiligen van sociale media en de bijbehorende risico's van gehackte accounts, uitbuiting van merken en social engineering (om er maar een paar te noemen) is een verantwoordelijkheid van alle bedrijven en vereist enige aandacht. Je kunt natuurlijk een beroep doen op Orange Cyberdefense om je te adviseren over dit onderwerp en bijbehorende diensten te leveren die je helpen om, net als wij, je steentje bij te dragen aan een veiligere digitale samenleving.
Het veiligste op dit moment is waarschijnlijk om niet in te gaan op vacatures. Je baas zou het ook waarderen. Veel plezier met je sociale contacten en zorg dat je waakzaam blijft!