Vad är social engineering?

Syftet med social engineering

Syftet är förstås att få dig att logga in på ditt bankkonto med en bankdosa eller ett BankID så att bedragaren kan komma över dina tillgångar. Motiven är dock inte alltid ekonomiska även om det är det vanligaste. Ibland kan det handla om att få tag på känslig personlig data eller annan konfidentiell information som exempelvis företagshemligheter.

Genom att utge sig för att vara en myndighetsperson eller annan person i en falsk ställning, försöker bedragaren lura oskyldiga människor att agera på sätt som ger bedragaren tillgång till det den är ute efter. Bedragaren utnyttjar kunskaper om mänskligt beteende och vet vilka svagheter som hen kan utnyttja för att få de som utsätts för brottet att agera som önskat.

Ofta finns det ett inslag av tidspress och/eller chock som tvingar den som har blivit kontaktad att agera nu. Det är både företag och individer som utsätts för social engineering-attacker och bedragaren tar kontakt vanligtvis via ett telefonsamtal men även genom e-post eller sms förekommer.

Mänskliga svagheter

När du blir utsatt för ett bedrägeriförsök går allt väldigt snabbt. Du utsätts för stark press och din mentala skyddsutrustning monteras ner fortare än du kan tro. Varje del av upplägget är noga konstruerat för att du ska gå i fällan och bli vilseledd. Målet är att du inte ska hinna tänka efter eller ens förstå att du blir utsatt för ett bedrägeri. Och de som tar kontakt är oftast mycket trevliga och trovärdiga.

Formerna för social engineering ändras

Upplägget för social engineering-attacker förändras konstant. Bedragare hittar ständigt nya metoder i takt med att allmänheten blir mer misstänksam och lär sig de vanligaste formerna.

Just nu förekommer det att bedragare påstår sig ringa från Klarna eller andra företag för att ”stoppa en felaktig faktura”. Bedragaren uppger att du måste legitimera dig med ditt BankID. Dra genast åt dig öronen och lägg på luren.

När det här skrivs cirkulerar också en speciellt smaklös variant av social engineering där personer blir uppringda av en person som uppger att den är polis. Uppringaren uppger att det har hänt en olycka där ditt barn har blivit allvarligt skadat. Det är vanligt att uppringaren uppger barnets personnummer och även ditt eget. Två poliser är på väg hem till dig i detta nu påstås det, ”polisen” i telefonen vill först bara att du bekräftar din identitet genom att legitimera dig med ditt BankID. Händer detta dig så avsluta samtalet omedelbart.

Social engineering kan även gälla Swish

Ett annat vanligt exempel är att du blir uppringd av en okänd person som har ”råkat” överföra pengar felaktigt till dig över Swish. Du ombeds flytta tillbaka pengarna men när du loggar in med ditt BankID hinner bedragaren före och flyttar en mycket större summa.

För säkerhets skull kan du sätta en daglig beloppsgräns på Swish som gör att det omöjligt att flytta summor över den gräns du anger. I undantagsfall kan det faktiskt vara en ärlig person som råkat flytta pengar till dig av misstag. Rådgör först med din banks kundtjänst innan du gör något.

BankID tekniskt säkert

98,7 procent av Sveriges befolkning i åldern 21-50 år har ett eller flera BankID enligt BankIDs egna siffror för 2019. Ironiskt nog har den stora utbredningen av BankID lett till att bedragare har fått tillgång till ett nytt sätt för att lura människor på. Bedrägerier kopplat till BankID har ökat explosionsartat de senaste åren.

Trots att mycket görs för att göra BankID säkrare och applikationen rent tekniskt håller en mycket hög säkerhetsnivå, lyckas bedragare sikta in sig på den svagaste länken – det vill säga vi som använder applikationen.

Oavsett hur säker BankID är som teknisk lösning, är det alltså ändå det mänskliga beteendet som utgör det största säkerhetshotet. Något som från BankIDs perspektiv är mycket svårare att komma åt. Som Peter Forsman, abuseansvarig på Internetstiftelsen och ledande expert på bedrägeribrott på nätet har sagt: ”Det är som att ha en ytterdörr med 50 hänglås på, men ändå lämna bort nycklarna.”