Social Engineering ist eine extrem effiziente Methode um an Unternehmensinformationen zu kommen; und zwar ohne Einsatz von technischen Hilfsmitteln.
Der Angreifer geht schrittweise vor. In Telefonaten mit verschiedenen Unternehmensmitarbeitern entlockt er im ersten Schritt Namen von weiteren Mitarbeitern, insbesondere die von Verantwortungsträgern, und Informationen über Organisationsstrukturen. Im zweiten Schritt verwendet er für seinen Angriff die zuvor herausgelockten Informationen als Mittel zur Vertrauensbildung.
Beispiel 1
Ein Angreifer ruft beim Helpdesk an und behauptet, ein Mitarbeiter oder Kunde des Unternehmens zu sein, der sein Passwort vergessen hat und bittet darum, dass sein Passwort auf einen definierten Wert zurückgesetzt wird. Im Gespräch streut er Namen von Mitarbeitern oder die von Vorgesetzten oder sonstige relevante Informationen ein, und spielt auf diese Weise einen neuen Kollegen vor.
Beispiel 2
Bei einem anderen Angriff gibt der Angreifer vor, ein IT-Mitarbeiter zu sein und fragt den Anwender nach seinem Passwort oder anderen sensiblen Informationen. Wieder ist das Telefonat gut vorbereitet und gespickt mit Detailwissen, welches den Anrufer scheinbar legitimiert.