Social engineering: definitie, technieken en voorbeelden

Social engineering is het manipuleren van een persoon zodat die informatie, toegang of een handeling weggeeft die hij of zij met een koel hoofd niet zou geven. De aanvaller breekt geen systeem open: hij overtuigt iemand om de deur open te doen. Het kan via e-mail, sms, telefoon of persoonlijk contact.

Dit artikel behandelt de definitie, de belangrijkste technieken, voorbeeldscenario's, de psychologische hefbomen, de waarschuwingssignalen en de manier om een team te trainen. Het vult onze gids over security awareness training en oefenen tegen vishing aan.

Wat is social engineering? De definitie

NIST, het Amerikaanse normalisatie-instituut, omschrijft het als het misleiden van een persoon zodat die gevoelige informatie prijsgeeft, ongeautoriseerde toegang verschaft of fraude pleegt, door vertrouwen te winnen. CISA, het Amerikaanse cyberveiligheidsagentschap, beschrijft een aanval waarbij de dader menselijke interactie gebruikt om informatie over een organisatie te verkrijgen of te compromitteren.

Het woord “engineering” kan misleiden: aan het doelwit is niets technisch. Wat wordt aangevallen is een menselijke beslissing, snel genomen, onder druk en met goede bedoelingen.

Daarom werken deze aanvallen. Volgens het activiteitenverslag 2025 van Cybermalveillance.gouv.fr, de Franse nationale hulpdienst voor slachtoffers van cybercriminaliteit, werden meer dan 500 000 hulpverzoeken geregistreerd, 20 % meer dan in 2024. Een firewall beschermt niet tegen een medewerker die te goeder trouw een code voorleest.

De belangrijkste technieken van social engineering

De technieken verschillen per kanaal en per voorwendsel. Het principe blijft gelijk: een situatie creëren waarin de persoon gehoorzaamt.

• Pretexting: de aanvaller verzint een geloofwaardige rol en context, zoals een auditor, leverancier of nieuwe collega, om informatie los te krijgen.
• Phishing: een e-mail of nepsite die een vertrouwde organisatie nabootst om inloggegevens te verzamelen of een klik uit te lokken. Ons artikel over de definitie van phishing werkt dit uit.
• Vishing: dezelfde truc via de stem, aan de telefoon. Zie de definitie van vishing. CISA wijst erop dat het getoonde nummer vervalst kan zijn.
• Smishing: phishing via sms, met een link of een nummer om terug te bellen.
• Baiting: de aanvaller laat een lokaas achter, zoals een “verloren” usb-stick op een parkeerplaats of een te mooi aanbod, zodat iemand het gebruikt.
• Tailgating: iemand komt een gebouw binnen door een medewerker te volgen die de deur openhoudt, vaak met een pakket of een koffie in de hand.
• Quid pro quo: een “gunst” in ruil voor informatie. Een valse technicus biedt aan een computerprobleem op te lossen in ruil voor een wachtwoord.
• Zich voordoen als helpdesk of directielid: de aanvaller doet zich voor als de helpdesk, de directie of de bank. Zie CEO-fraude en social engineering gericht op de helpdesk.

Voorbeelden van social engineering (typische scenario's)

De drie situaties hieronder zijn illustratieve scenario's, bedacht voor dit artikel. Ze beschrijven geen echte gevallen.

De valse medewerker van de IT-support

Stel dat een directiesecretaresse wordt gebeld. Een man stelt zich voor als IT-support en meldt een waarschuwing op haar computer. Om dit te “verhelpen” vraagt hij haar wachtwoord en daarna de code die ze net per sms kreeg. Het voorwendsel is aannemelijk, de afdeling bestaat echt en de hulp wordt aangeboden zonder dat ze erom vroeg.

De valse bestuurder

Een treasurymanager krijgt een bericht en daarna een telefoontje van de “financieel directeur”. Een vertrouwelijke overname vereist binnen een uur een overschrijving, en hij mag het aan niemand vertellen. Alles ontmoedigt controle: autoriteit, tijdsdruk, geheimhouding.

De valse bankmedewerker

De eigenaar van een kleine onderneming wordt gebeld door een zogenaamde adviseur van haar bank. Er loopt een verdachte transactie, die nu geblokkeerd moet worden, en daarvoor moet ze een code bevestigen die per sms is binnengekomen. De code blokkeert niets: hij keurt de overschrijving van de aanvaller goed. Ons artikel over de werkwijze van de valse bankadviseur beschrijft deze reeks stap voor stap.

De psychologische hefbomen achter deze aanvallen

De psycholoog Robert Cialdini beschrijft in Influence zes principes die onze beslissingen sturen: wederkerigheid, consistentie, sociaal bewijs, autoriteit, sympathie en schaarste. Oplichters passen ze toe op een kort gesprek, met een vooraf geschreven script. Aan de telefoon komen zes hefbomen bijna altijd terug.

• Tijdsdruk: “U moet binnen tien minuten handelen.” Elke deadline die de beller oplegt is verdacht. Antwoord: “Ik ga dat controleren en bel u over vijf minuten terug.”
• Autoriteit: een functie, een afdeling, een personeelsnummer. Een functie zeg je in een seconde en bewijst niets. Antwoord: “Ik bel terug op het officiële nummer.”
• Schuldgevoel: “U houdt het hele team op.” Verdedig u niet: “Ik begrijp het. De procedure geldt toch.”
• Wederkerigheid: hulp waar u niet om vroeg, gevolgd door een verzoek. Een echte beveiligingsafdeling vraagt niets terug.
• Klein verzoek: een reeks onschuldige stappen waarvan de laatste volstaat om een betaling goed te keuren. Beoordeel het doel van het verzoek, niet de omvang van elke stap.
• Isolatie: “Vertel het aan niemand.” Dit is het betrouwbaarste signaal: geen enkele legitieme dienst verbiedt u om bij collega's na te vragen.

Een frauduleus telefoontje combineert vaak drie of vier hefbomen in minder dan twee minuten. Ze één voor één in gedachten benoemen doorbreekt het drukeffect.

Hoe herken je een poging tot social engineering?

Welk kanaal ook, een aantal signalen keert terug. Geen ervan volstaat alleen, maar twee of drie samen rechtvaardigen een pauze.

• Een ongewoon verzoek: een code, een wachtwoord, een overschrijving of toegang buiten de gebruikelijke procedure.
• Tijdsdruk die de gesprekspartner oplegt.
• Een verzoek om discretie: niets vertellen, niet terugbellen.
• Een kanaal dat wisselt: van e-mail naar telefoon, of van het ene nummer naar het andere.
• Een juist detail dat ten onrechte geruststelt: een naam, een afdeling, een dossiernummer. Die komen vaak uit openbare bronnen en bewijzen geen identiteit.

Bij twijfel adviseert CISA rechtstreeks contact op te nemen met de organisatie via gegevens uit een eerder document, nooit via die in het bericht. Dat is het principe van terugbellen via een onafhankelijk kanaal. Voor de vragen die u vooraf stelt, zie hoe u de identiteit van een beller controleert.

Hoe train je teams om weerstand te bieden?

De lijst met technieken kennen helpt. Het garandeert niet dat je ze live herkent: aan de telefoon is het brein bezig met het gesprek, met beleefd willen zijn en met angst om fouten te maken. Het makkelijkste gedrag, gehoorzamen, wint.

Een reflex ontstaat zoals elke vaardigheid: door te herhalen onder omstandigheden die op de werkelijkheid lijken. Dat is het principe van het rollenspel. De deelnemer spreekt hardop, voelt de druk, probeert een formulering, faalt en begint opnieuw. Ons artikel over nee zeggen aan de telefoon onder druk bevat formuleringen die standhouden.

Met Face Up schrijft een trainer een scenario op basis van een echt telefoontje uit de eigen organisatie. Een persona, gespeeld door een AI, neemt de rol van de beller over, zet de hefbomen achter elkaar in en reageert op de antwoorden van de deelnemer, met stem of video. Na de sessie toont een debriefing wat standhield, wat bezweek, met citaten van de uitgesproken zinnen. De deelnemer kan opnieuw spelen. Voor het principe, zie onze uitleg over AI-rollenspel.

Veelgestelde vragen

Wat is social engineering in één zin?

Het zijn de manipulatietechnieken die iemand ertoe brengen informatie te delen, toegang te geven of een handeling uit te voeren, door te spelen op vertrouwen en druk in plaats van op een technische kwetsbaarheid.

Gaat social engineering alleen over telefoontjes?

Nee. Het gebeurt via e-mail, sms, berichtenapps en persoonlijk (tailgating, valse aannemer). De telefoon heeft een voordeel: een stem wekt vertrouwen en het tempo van het gesprek belet controle.

Wat is het verschil tussen social engineering en phishing?

Social engineering is de familie, phishing is een van de technieken. Phishing gebruikt een geschreven bericht of een nepsite, vishing de stem en smishing sms-berichten.

Wat als ik al heb toegegeven?

Handel meteen: waarschuw de betrokken dienst, blokkeer wat kan en noteer de details van het gesprek. Schuldgevoel mag de melding niet vertragen. Noteer het tijdstip, het getoonde nummer en de gehoorde zinnen.

Om uw teams hardop deze technieken te leren herkennen, ontdek de rollenspellen van Face Up of plan een demo met ons team.