Avsnittet: 153 – Varför vi blir lurade av hackaren
Inspelat: 2021-02-11 (publicerat 2022-02-13)
Deltagare: Mattias Jadesköld och Erik Zalitis
Detta avsnitt är ett samarbete med Nordlo.

Lyssna på avsnittet – lurad av hackaren

Medan du lyssnar – lurad av hackaren

Vi har pratat insiders, spear-phishing, psykologin bakom attackerna och flera gånger nämnt social engineering. Idag tittar vi på offrets synvinkel. Hur känner sig den som lurats och vem lägger de skulden på? Vi pratar också om bevekelsegrunder

I filmen ”Polka king”, skapar bandledaren Jan Lewan ett ponzibedrägeri och lurar av pensionärer sina pengar. Fillmen är baserad på riktiga händelser.

Författaren Maria Konnikova nämner att vi är benägna att lita på andra, vilket är en bra egenskap för oss människor. De som lätt litar på andra, är oftare lyckade och mer intelligenta, vilket föranleder Mattias att förolämpa mig. Hejdlöst roligt, men inte riktigt sant. Enligt mig i alla fall.

Så offret har ett antal sårbarheter som gör att de blir lurade och som attackerarna är väl medvetna om hur man använder:

Temporära faktorer

Stress

Personen hinner inte tänka innan de svarar eller agerar. Fungerar bra över telefon, där attackeraren stressar personen att agera nu.

Tidsbrist

Motsvarande, fast när man skickar mejl. ”Jag måste ha svar inom en timme.” Det gör att offret inte anser sig ha tid att kontrollera eller låta ärendet gå genom korrekta procedurer.

Bevekelsegrunder

Alltså vad vi är svaga för. Våra mentala ”sårbarheter”.

Smicker

Offret visas uppskattning, blir flirtad med eller får beröm för egenskaper.

Hot

Fungerar bra över mejl, telefon eller vid fysiskt möte. Alla hot är inte direkta, en del kan vara implicita och behöver inte heller formuleras. Man kan ”få en känsla av” att om man inte gör som hackaren vill, kommer man få ett straff.

Bestämdhet / påstridighet

Offret får något förklarat för sig med sådan självklarhet att de inte vågar eller känner att de kan sätta sig emot hackaren.

Det finns fler, men dessa är de vi pratar om i avsnittet.

”Livsituationsfaktorer”

Vem du är och var du är i livet du är, kan avgöra vad som fungerar mot dig.

Likhet

Offret förstår att bedragaren är i liknande situation eller har liknande värderingar och det bygger tillit. Det kan vara att man hejar på samma lag, också har barn, är av samma nationalitet eller har samma politiska värderingar.

Svag position

Offret arbetar i en position där han/hon kan antas ha kort erfarenhet och lägre status i företaget. Det kan vara en servicefunktion och bedragaren kan då lätt visa upp en (påhittad) auktoritet. Även en mellannivå-chef kan skrika ”vet du vem jag är?”.

Ringa erfarenhet

Offret är ny på jobbet och vågar inte säga emot eller försöka visa att de veta bättre.

Det finns fler, men dessa är de vi pratar om i avsnittet.

Länkar – lurad av hackaren

• Bedragare utnyttjar det djupt mänskliga
• Ilan Tzorya
• Nordlo

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #153 – Varför vi blir lurade av hackaren? dök först upp på IT-säkerhetspodden.

Avsnittet: 124 – Cyberpsykologi – en grundsten i riskhantering
Inspelat: 2021-05-14 (publicerat 2021-05-16)
Deltagare: Mattias Jadesköld, Erik Zalitis och Robert Willborg
Detta avsnitt är ett samarbete med SIG Security.

Lyssna på avsnittet

Medan du lyssnar

Nu har vi ju många gånger sagt att social engineering är den mest kraftfulla attacken mot ett företag. Alltså att lura folk att hjälpa dig läcka ut deras data, ta över deras system eller helt enkelt gör det du säger till dem att göra. Inga brandväggar skyddar mot sådant.

Vi har talat om hur insiderhoten ser ut, så nu är det dags att diskutera riskhanteringen i frågan: alltså hur hanterar du risken som dina användare kan vara? Cyberpsykologi! Alltså att se våra mänskliga beteenden som en viktig del i riskmodellering och hantering.

Detta kan verka självklart och till och med floskelvarning, men det är skillnad på att säga att det är viktigt gentemot att faktiskt skapa policies, arbetsmetoder och sköta riskerna konsekvent genom att se psykologin som en central faktor. Alltså, fråga dig själv detta: hur ofta bryr du dig om att tänka på säkerhet ur ett psykologiskt perspektiv?

A) Ibland om det känns bra,
B) Har väl gjort det någon gång.
C) Vi gör inte det idag. Men vi tänker på att införa det.
D) En gång gjorde jag det… Låt mig berätta om detta tillfälle… Allt jag vet om IT-säkerhet bygger på denna händelse.
E) Vi gör det idag och har en plan där alla delar är byggda så att vi tar hänsyn till hur människor tänker och agerar.

Allt annat än E) är att inte inte göra någonting alls.

Det är också viktigt att inte skapa personberoenden, att se till att IT-avdelningen inte blir den sura grindvakten som säger ”Nej” till det mesta, att förstå men inte acceptera att folk pinkar in revir, få bort ”my little server”-administratörerna som hellre startar ett krig mot IT-avdelningen än att bli av med den där servern som de har under skrivbordet.

Men var är säkerheten i detta? Svaret är att det blir säkrare när folk känner att de är delaktiga i att följa policies, acceptera att de inte kan få behålla sina höga behörigheter utan att det finns en anledning och att man gör instruktioner och utbildningar som är lätta att förstå och ta till sig.

Att använda cyberpsykologi är att kunna bygga en organisation som faktiskt arbetar mot att hålla en högre säkerhetsnivå rent allmänt.

Diskussionen kommer också in på frågan om hur vi gör när vi anställer folk. När vi tittar på deras bakgrund, är det konstigt om det inte finns några avtryck på nätet? För en 60-åring? Kanske inte? För en 20-åring? Ja, det är mer rimligt att det borde finnas.

Sen är moral och vad vi ser som varningstrianglar när vi tittar på andra personer också något som förändras över tiden. Bill Clinton vågade inte erkänna att han ”rökt på”, så han sa ”I smoked, but did not inhale”. Detta gjorde att han klarade den, för den tiden, kontroversiella frågan. I slutet av 2006 fick Obama också frågan och sa med humor i rösten: ”I inhaled frequently…that was the point.”. Vid den tiden och med tanke på Obamas ungdomliga framtoning, var det inte längre ett problem.

Länkar

Rekommenderade böcker inom cyberpsykologi:
Mary Aiken: The Cyber Effect
Christopher Hadnagy: Social Engineering, the art of human hacking
Patrik Wincent: Den Digitala Drogen
Yasmin Winberg och Julia Lundin: Badfluencer
Kevin Mitnick: The art of Deception
Kevin Mitnick: The art of Intrusion

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #124 – Cyberpsykologi – en grundsten i riskhantering dök först upp på IT-säkerhetspodden.

Avsnittet heter #99 – Hur man blir hackad med David Jacoby
Det spelades in 2020-11-01 och lades ut 2020-11-08.
Deltagare: Erik Zalitis och Mattias Jadesköld
Detta avsnitt är ett samarbete med SIG Security.
Show notes skrivna av Erik Zalitis.

Någon vitsig typ föreslog att vi skulle byta titeln till ”Hur man blir hackad AV David Jacoby”. Och det vore onekligen en roligare rubrik. Så till avsnittet…

Jag startade Rodecastern några minuter i fyra söndagen den 1 november 2020 efter att ha fått kontakt med David som sprang runt i sitt hus med sitt headset på. Vi kom att prata i 90 minuter, men någonstans måste man ju dra en gräns, så avsnittet är knappt 60 minuter. Bland det bortklippta i detta videosamtal finns när jag fick se Davids alla Amigor, C64or och Ataris som fanns i källaren. Han har också ett antal BBS:er som man kan ”ringa” till via telnet också.. Otroligt häftigt.

Snacket kom dock att handla om hans jobb som ”evangelist” och jag försökte ta reda på om det är teknikerroll som också gör dig till en säljare. Det håller inte David med om, utan påpekar att han istället vill prata om säkerhetsproblem och lösningar med en publik som inte vill ha en djup teknisk beskrivning, utan snarare en aha-upplevelse.

David håller inte heller riktigt med om att han är ett varumärke själv. Men hans evangelism sätter faktiskt både honom och hans arbetsgivare, Kaspersky, på kartan. Han har synts i TV-program, hörts i poddar och uttalats sig offentligt i IT-säkerhetsfrågor. Det är vad evangelismen innebär i stora drag, eller vad han ser som en viktig del av den.

Här är attacktyperna vi diskuterade och som David rankade efter hur allvarliga de är just nu:

• Phishing.
• Attachment (skadlig kod i bilagor).
• Sårbarheter (Buffertöverskrivningar).
• Fake-antivirus och uppdateringar.
• Social engineering.
• DoS (Denial of service).
• XSS, CSRF (session hijacking).

Två frågor som han ställde till mig var:

• Hur mycket får jag köpa din Facebook-sida för?
• Hur tror du pass blir stulna?

Ska inte avslöja något om svaren, men de är väldigt intressanta och visar hur hackare tänker och hur annorlunda det är mot andra personer.

Errata

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om något vi sagt.

Länkar

Davids arbetsgivare, Kaspersky:
https://www.kaspersky.se/

Vårt förra avsnitt med honom:
https://www.itsakerhetspodden.se/podcast/46-david-jacoby/

Presentation av honom hos Kaspersky:
https://www.kaspersky.se/about/team/david-jacoby

En riktig jobbigt typ att ge hemelektronik till är han också:
https://www.expressen.se/nyheter/david-jacoby-hackade-sin-hemelektronik/

Allt detta gjordes möjligt att SIG Security:
https://www.sigsecurity.org/

Davids hemsida för de som inte är helt fast i sociala medias garn:
http://www.davidjacoby.se/

Inlägget Show Notes för #99 – Hur blir man hackad med David Jacoby dök först upp på IT-säkerhetspodden.