211service.com
Hvordan phishing-angrep lurer hjernen vår
google sikkerhets Titan-nøkkel Foto: Google
Det er enkelt og effektivt: å få noen til å klikke på en ondsinnet lenke i en e-post og skrive inn privat informasjon som et passord er den viktigste ferdigheten i mange hackers verktøysett. Phishing er det vanligste form for nettangrep og stadig i vekst.
Og grunnen til at den er så effektiv, ifølge forskning som gjøres ved Google og University of Florida, er at den utnytter hvordan den menneskelige hjernen fungerer – og, avgjørende, hvordan folk ikke klarer å oppdage bedrag, avhengig av faktorer som emosjonell intelligens, kognitiv motivasjon, humør, hormoner og til og med offerets personlighet.
Vi er alle mottakelige for phishing fordi phishing lurer måten hjernen vår tar beslutninger på, sa Daniela Oliveira, en førsteamanuensis ved University of Florida, 7. august på Black Hat cybersecurity-konferansen i Las Vegas.
Problemene begynner med bevissthet: 45 % av internettbrukerne vet ikke engang hva phishing er, ifølge Oliveira og Google-forsker Elie Bursztein.
Humør spiller en rolle: folk som føler seg glade og ikke stresset er det mindre sannsynlig å oppdage bedrag foran dem. Kortisol, et stresshormon, øker årvåkenhet og gjør det mer sannsynlig å oppdage et bedrag. Serotonin og dopamin, hormoner assosiert med positive følelser, kan føre til risikabel og uforutsigbar atferd som gjør folk mer sårbare.
Phishere kan også være eksepsjonelt flinke til å lage meldinger som er ment å overtale en person til å klikke. Autoritet er blant de vanligste og mest effektive våpnene – for eksempel en e-post som hevder å være fra selskapets administrerende direktør, som ber en ansatt om å oppgi informasjon ved å klikke på en lenke. Andre verktøy inkluderer en gevinst/tap-innramming – for eksempel en refusjonsmulighet fra Amazon.
Noen av de mest spisse phishing-e-postene spiller på følelser. Etter de ødeleggende og rekordstore skogbrannene i California i 2018, så Google en umiddelbar bølge av e-poster som ba om penger for å hjelpe ofrene. Følelsesmessige signaler – for eksempel løfter om å matche donasjoner for folk som ble hjemløse – svekket mottakernes evne til å fokusere på innholdet og ledetrådene om at e-posten var et bedrag. Ved å utløse denne følelsesmessige responsen, fikk hackerne folk til å stoppe skepsisen.
Det betyr ikke at det eneste forsvaret mot phishing er å være en permanent stresset og kynisk sinneball. Sunnere og mer effektivt er å aktivere tofaktorautentisering for hver av dine viktige pålogginger (e-post, nettbank, sosiale medier, shoppingsider osv.). Her er en liste over alle nettstedene som støtter tofaktorautentisering .
Når den er aktivert, ber systemet deg om noe i tillegg til et passord når du logger på, for eksempel en kode sendt til telefonen via tekstmelding, en kode fra en autentiseringsapp , eller en fysisk sikkerhetsnøkkel på en USB-pinne (den sikreste metoden av alle, ifølge nyere forskning ). På den måten, hvis du utilsiktet har gitt passordet ditt til en hacker i en phishing-svindel, vil de fortsatt ikke kunne logge på kontoen din. I fjor sa Google det mindre enn 10 % av brukerne hadde tofaktorautentisering aktivert på kontoene sine.