An Analysis of the Impact of Psychological Factors and Techniques Across Different Types of Social Engineering

Elke dag maken mensen keuzes over waar ze op klikken, wat ze openen en wat ze vertrouwen. In de wereld van cybersecurity vormen deze keuzes de eerste verdedigingslinie. Aanvallers hoeven niet altijd complexe computercode te breken; vaak moeten ze simpelweg een persoon misleiden om een wachtwoord af te staan of een virus te downloaden. Deze methode van manipulatie wordt social engineering genoemd. Het berust op het uitbuiten van de werking van de menselijke geest, waarbij specifieke psychologische triggers worden gebruikt om voorzichtigheid te omzeilen. Sommige van deze triggers zijn bekende emoties zoals angst of de belofte van een beloning, terwijl andere sociale gewoonten zijn, zoals het gehoorzamen van een baas of het vertrouwen in een bekend merk. Begrijpen welke emotionele trigger het beste werkt bij welk type bericht is cruciaal, omdat het organisaties helpt hun werknemers te leren hoe ze de val kunnen herkennen voordat deze dichtklapt.

Een team onderzoekers in Duitsland zette zich sch de opdracht om deze vallen in kaart te brengen. Ze wilden weten of bepaalde emotionele triggers beter werkten met specifieke soorten berichten. Werkt bijvoorbeeld de belofte van gratis geld beter in een sms of in een e-mail? Werkt de angst voor een geblokkeerde bankrekening beter via de telefoon of in een pop-up venster? Om de antwoorden te vinden, voerden de onderzoekers een gecontroleerd experiment uit in een laboratorium. Ze verzamelden twaalf vrijwilligers en toonden hen een reeks gesimuleerde aanvallen. Elke deelnemer zag vijfentwintig verschillende scenario's. Deze scenario's werden gecreëerd door vijf verschillende soorten berichten te mengen met vijf verschillende psychologische triggers. De berichttypen omvatten standaard e-mails, gerichte e-mails die leken te komen van een specifiek persoon, sms-berichten, telefoontjes en pop-up vensters die op een scherm verschijnen. De psychologische triggers waren nieuwsgierigheid, hebzucht, vertrouwen, angst en het gevoel een autoriteitsfiguur te moeten gehoorzamen.

De onderzoekers vroegen de vrijwilligers niet om daadwerkelijk op links te klikken of echte informatie weg te geven. In plaats daarvan toonden ze hen afbeeldingen van de berichten of speelden zij opnames van de gesprekken af en stelden zij een eenvoudige vraag: zou u hierop reageren? De vrijwilligers legten ook hardop hun denkproces uit terwijl ze naar de scenario's keken. Dit stelde de onderzoekers in staat om niet alleen te zien wat mensen deden, maar ook waarom zij die keuzes maakten. De studie was klein en vond plaats in een stille kamer, dus de resultaten zijn een eerste blik op hoe deze factoren met elkaar interageren, in plaats van een definitieve regel voor de hele wereld.

De resultaten onthulden een duidelijk patroon in hoe mensen reageren. De meest succesvolle combinatie om de vrijwilligers te misleiden was een gerichte e-mail die een financiële beloning beloofde. Wanneer een e-mail leek te komen van een specifiek persoon en een aanbieding deed, zei drie op de vier deelnemers dat ze zouden reageren. Dit suggereert dat de combinatie van persoonlijke aandacht en de belofte van geld een krachtige lokaas is. De op één na meest effectieve methode was een standaard e-mail die ofwel een beloning beloofde of de ontvanger vroeg om de afzender te vertrouwen, zoals een bericht dat beweerde van een streamingdienst te zijn. In deze gevallen zei meer dan de helft van de vrijwilligers dat ze met het bericht in contact zouden gaan.

Echter, niet alle combinaties werkten. De onderzoekers ontdekten dat sommige methoden bijna volledig faalden. Wanneer de aanvallers probeerden de autoriteit van een baas te gebruiken om een dringende actie te eisen, werkte dit zelden, vooral als het bericht binnenkwam via een telefoongesprek, een sms of een pop-up venster. Sterker nog, wanneer een telefoongesprek probeerde nieuwsgierigheid te gebruiken om iemand te laten luisteren, faalde het volledig; niemand van de vrijwilligers zei te willen reageren op dat specifieke scenario. De vrijwilligers legden uit dat zij deze kanalen ongepast vonden voor het type verzoek. Bijvoorbeeld, zij vonden dat een baas niet zou bellen om om een bestand te vragen om te downloaden, of dat een bedrijf geen sms zou sturen over een gedeelde map.

De studie toonde ook aan dat het type emotie ertoe deed. Angst was een sterke motivator, maar het had een tweesnijdend zwaard. Wanneer een bericht beweerde dat een bankrekening geblokkeerd was, voelden veel mensen de drang om dit op te lossen, maar een nog grotere groep voelde zich verdacht en weigerde te klikken omdat ze zich zorgen maakten over de veiligheid. Hebzucht was daarente tegenover een directere drijfveer. Wanneer een bericht een korting of een aanbieding bood, waren mensen eerder geneigd actie te ondernemen, mits het bericht er legitiem uitzag. Vertrouwen speelde ook een grote rol; wanneer een bericht leek te komen van een bekend bedrijf zoals een streamingdienst, waren mensen bereid om te klikken, maar alleen als het bericht aankwam in een formaat dat zij verwachtten, zoals een e-mail.

Interessant genoeg ontdekten de onderzoekers dat het vertrouwen van een persoon in de eigen digitale veiligheid niet altijd overeenkwam met hun gedrag. Sommige vrijwilligers die zeiden zeer veilig te zijn in het omgaan met digitale risico's, trapten nog steeds in de vallen, terwijl anderen die ze zich onveilig voelden juist voorzichtiger waren. Dit suggereert dat je je veilig voelen niet hetzelfde is als veilig zijn. De studie benadrukte ook dat telefoontjes en sms-berichten over het algemeen minder effectief waren dan e-mails. De vrijwilligers waren van nature wantrouwiger tegenover telefoontjes en sms-berichten, waarbij ze vaak aangaven dat deze kanalen niet passend voelden voor het type verzoek dat werd gedaan.

Uiteindelijk schetst het onderzoek een beeld van menselijke kwetsbaarheid die specifiek en situationeel is. Het gaat niet alleen om naïviteit; het gaat om de context. Een bericht dat werkt in het ene formaat kan falen in een ander, en een belofte van geld werkt beter dan een bevel van een baas. De meest effectieve aanvallen waren die welke een bekend, vertrouwd formaat combineerden met een sterke emotionele haak. Hoewel de studie klein was, biedt het een duidelijke kaart van welke psychologische triggers het gevaarlijkst zijn in welke digitale omgevingen, wat een gids biedt voor het bouwen van betere verdedigingen en bewustzijnstraining voor de toekomst.