De mens als aanvalsroute
Social engineering richt zich op menselijk gedrag. Een aanvaller gebruikt bijvoorbeeld autoriteit, urgentie, behulpzaamheid, nieuwsgierigheid of een geloofwaardig verhaal om toegang, informatie of een handeling te verkrijgen.
Een gecontroleerd social engineering onderzoek laat zien hoe medewerkers, receptie en fysieke toegangscontrole in de praktijk reageren. Het scenario wordt vooraf begrensd en sluit aan op situaties die binnen de organisatie geloofwaardig zijn.
De aanpak werkt vaak via een reeks kleine stappen. Een onschuldig lijkende vraag levert context op, waarna een volgend verzoek geloofwaardiger klinkt. Daarom zijn heldere verificatie- en meldprocedures belangrijk voor receptie, servicedesk en andere functies met veel externe contacten.
Fysieke vormen
- Tailgating of piggybacking
- Pretexting: voordoen als leverancier of medewerker
- Shoulder surfing
- Vishing en phishing
- Informatie verkrijgen bij receptie of servicedesk
Digitale en fysieke scenario’s kunnen elkaar versterken. Een telefoongesprek kan bijvoorbeeld voorafgaan aan een bezoek, terwijl informatie uit openbare bronnen wordt gebruikt om een identiteit aannemelijk te maken.
Waarom testen?
Een training geeft inzicht in kennis. Een social engineering test laat zien wat er onder realistische druk gebeurt en op welke momenten processen onvoldoende steun bieden.
De uitkomst geeft inzicht in de samenhang tussen gedrag, werkafspraken, techniek en aansturing. Zo wordt zichtbaar of medewerkers een verzoek kunnen verifiëren, weten waar zij een incident melden en voldoende ruimte ervaren om een onbekende aan te spreken.
Veilig uitvoeren
Vooraf spreken we mijn bevoegdheden, stopcriteria en de omgang met informatie af. Ik gebruik een proportioneel scenario en verzamel alleen wat nodig is om de onderzoeksvraag te beantwoorden.
Wat krijg je na de test?
Je ziet wat er gebeurde, hoe ver het scenario kwam en welke controles goed reageerden. Ik maak ook duidelijk welke aanpassing snel uitvoerbaar is en welk probleem een structurele oplossing vraagt. Met een hertest kun je later controleren of die verbetering werkt.