Framework overview
Framework overzicht
The OSEFP framework provides a systematic structure for understanding social engineering as a discipline. It consists of eight modules that describe the complete lifecycle of a social engineering attack from initial reconnaissance to defence against it.
Het OSEFP-framework biedt een systematische structuur voor het begrijpen van social engineering als vakgebied. Het is opgebouwd uit acht modules die de volledige lifecycle van een social engineering aanval beschrijven van initiële verkenning tot de verdediging ertegen.
Reconnaissance
Informatieverzameling
OSINTReconnaissance also known as recon or OSINT (Open Source Intelligence) is the first and most critical phase of virtually every social engineering attack. The attacker gathers as much information as possible about the target before making any contact.
The more information available, the more convincing the pretext scenario can be constructed. Good reconnaissance largely determines the success of the attack.
Digital OSINT sources
Informatieverzameling ook wel reconnaissance of OSINT (Open Source Intelligence) is de eerste en meest cruciale fase van vrijwel elke social engineering aanval. De aanvaller verzamelt zoveel mogelijk informatie over het doelwit voordat er daadwerkelijk contact wordt opgenomen.
Hoe meer informatie beschikbaar is, hoe overtuigender het pretext-scenario kan worden opgebouwd. Goede verkenning bepaalt voor een groot deel het succes van de aanval.
Digitale OSINT-bronnen
| SourceBron | Type of informationType informatie | Risk scoreRisicoscore |
|---|---|---|
| Job titles, names, departments, org chart, technologiesFunctietitels, namen, afdelingen, organogram, technieken | HighHoog | |
| Social mediaSociale media | Personal interests, travel patterns, relationships, routinesPersoonlijke interesses, reispatronen, relaties, routines | HighHoog |
| Company websiteBedrijfswebsite | Contact persons, email formats, processes, news itemsContactpersonen, e-mailformaten, processen, nieuwsberichten | MediumGemiddeld |
| Job postingsVacatures | Technologies used, internal systems, security toolsGebruikte technologie, interne systemen, beveiligingstools | MediumGemiddeld |
| WHOIS / DNS | Domain owners, IP ranges, mail serversDomeineigenaren, IP-ranges, e-mailservers | MediumGemiddeld |
| Data breachesDatalekken | Passwords, email addresses, personal dataWachtwoorden, e-mailadressen, persoonlijke gegevens | HighHoog |
| GitHub / GitLab | API keys, internal tools, naming conventionsAPI-sleutels, interne tools, naamgevingsconventies | HighHoog |
| Google Dorks | Indexed documents, login pages, internal URLsGeïndexeerde documenten, inlogpagina's, interne URLs | MediumGemiddeld |
Physical reconnaissance
Beyond digital sources, physical observation can also yield valuable information:
- Building inspection: Access systems, camera coverage, security personnel, supplier entrances
- Dumpster diving: Documents, business cards, notes from the bin
- Shoulder surfing: Looking over shoulders in public spaces (café, train, lobby)
- Employee observation: Dress code, movement patterns, smoking breaks
HUMINT (Human Intelligence)
Human Intelligence involves gathering information through human contacts. This may be by phone ("I am calling on behalf of a supplier, could you connect me to the IT department?") or via fake job applications where the attacker engages with employees.
An attacker with your name, job title, direct colleague, and the name of your manager can construct a convincing pretext that bypasses most verification procedures.
Defensive measures
- Limit public information on social media and LinkedIn
- Remove unnecessary metadata from published documents
- Establish a document and media destruction policy
- Monitor data breach databases for your own email addresses
- Train employees in conscious handling of public communications
Fysieke verkenning
Naast digitale bronnen kan ook fysieke observatie waardevolle informatie opleveren:
- Gebouwinspectie: Toegangssystemen, cameracoverage, beveiligingspersoneel, leveranciersingangen
- Dumpster diving: Documenten, visitekaartjes, notities uit de prullenbak
- Shoulder surfing: Meekijken in openbare ruimtes (café, trein, lobby)
- Observatie van medewerkers: Kledingscode, passerbewegingen, rookpauzes
HUMINT (Human Intelligence)
Human Intelligence betreft het vergaren van informatie via menselijke contacten. Dit kan telefonisch zijn ("ik bel voor een leverancier, kunt u mij doorverbinden met de IT-afdeling?") of via nep-sollicitaties waarbij de aanvaller een gesprek aangaat met medewerkers.
Een aanvaller met uw naam, functietitel, directe collega en de naam van uw leidinggevende kan een overtuigend pretext bouwen dat de meeste verificatieprocedures omzeilt.
Defensieve maatregelen
- Beperk publieke informatie op sociale media en LinkedIn
- Verwijder overbodige metadata uit gepubliceerde documenten
- Zorg voor een beleid voor document- en mediavernietiging
- Monitor datalekdatabases op eigen e-mailadressen
- Train medewerkers in bewust omgaan met publieke uitingen
Pretexting
Personas & ScenariosPersona's & Scenario'sPretexting is the deliberate construction of a fabricated situation a pretext to manipulate a victim into providing information or performing an action. In essence, the attacker plays a role that the target trusts or must obey.
An effective pretext consists of three components: a credible persona, a plausible scenario, and sufficient verifiable details to dispel doubt.
Common pretext archetypes
Pretexting is het opzettelijk construeren van een gefabriceerde situatie een pretext om een slachtoffer te manipuleren tot het afgeven van informatie of het uitvoeren van een handeling. In essentie speelt de aanvaller een rol die het doelwit vertrouwt of moet gehoorzamen.
Een effectieve pretext bestaat uit drie componenten: een geloofwaardige persona, een plausibel scenario, en voldoende verifieerbare details om twijfel weg te nemen.
Veelgebruikte pretext-archetypen
IT helpdesk employeeIT-helpdesk medewerker
"I am calling on behalf of the IT department. We are detecting unusual activity on your account and need to verify this immediately."
"Ik bel namens de IT-afdeling. Wij detecteren ongebruikelijke activiteit op uw account en moeten dit direct verifiëren."
Supplier / TechnicianLeverancier / Monteur
Physical access to the premises via a fake work order. Uniform and tool bag increase credibility.
Fysieke toegang tot het pand via een nep-werkorder. Uniform en gereedschapstas verhogen de geloofwaardigheid.
Government / RegulatorOverheid / Regelgever
"We are conducting a compliance audit on behalf of the tax authority / GDPR supervisor." Fear of fines is a powerful trigger.
"Wij voeren een compliance-audit uit namens de Belastingdienst / AVG-toezichthouder." Angst voor boetes is een krachtige trigger.
New colleagueNieuwe collega
"I just started and don't have access to [system X] yet. Could you help me?" Empathy lowers the threshold.
"Ik ben net begonnen en heb nog geen toegang tot [systeem X]. Kun jij mij even helpen?" Medeleven verlaagt de drempel.
Building a convincing pretext
- Target analysis: Understand the structure, processes, and culture of the target organisation
- Persona selection: Choose a role that is credible given the available information
- Legend building: Create verifiable details: fake email address, phone number, LinkedIn profile
- Script: Prepare the conversation including possible counter-questions and escalation scenarios
- Rehearsal: Practise the pretext until it feels natural
Detection signals
- Unexpected contact via an unknown channel or number
- Request for information that normally goes through a formal process
- Time pressure or threat upon refusal
- Request to skip verification steps
- Knowledge of internal details that is suspiciously specific
Bouwen van een overtuigende pretext
- Doelanalyse: Begrijp de structuur, processen en cultuur van de doelorganisatie
- Persona-selectie: Kies een rol die geloofwaardig is gegeven de beschikbare informatie
- Legend-opbouw: Creëer verificeerbare details: nep-e-mailadres, telefoonnummer, LinkedIn-profiel
- Script: Bereid het gesprek voor inclusief mogelijke tegenvragen en escalatiescenario's
- Rehearsal: Oefen de pretext totdat hij natuurlijk aanvoelt
Detectie-signalen
- Onverwacht contact via een onbekend kanaal of nummer
- Verzoek om informatie die normaal via een formeel proces verloopt
- Tijdsdruk of dreiging bij weigering
- Verzoek om verificatiestappen over te slaan
- Kennis van interne details die twijfelachtig specifiek is
Elicitation
Elicitatie
Conversation TechniquesGesprekstechniekenElicitation is the art of gathering information without asking direct questions. It is a subtle conversation technique in which the conversation partner unknowingly shares information, driven by social norms, pride, curiosity, or helpfulness.
Elicitation is applied in combination with a pretext and is particularly effective because the victim experiences the interaction as normal or pleasant.
Core principles of elicitation
Elicitatie is de kunst van het vergaren van informatie zonder directe vragen te stellen. Het is een subtiele gesprekstechniek waarbij de gesprekspartner onbewust informatie deelt, gedreven door sociale normen, trots, nieuwsgierigheid of behulpzaamheid.
Elicitatie wordt toegepast in combinatie met een pretext en is bijzonder effectief omdat het slachtoffer de interactie zelf als normaal of prettig ervaart.
Kernprincipes van elicitatie
Preloading
Introducing an assumption that steers the answer. "You use SAP for accounting, right?" even a denial yields information.
Het introduceren van een aanname die het antwoord stuurt. "Jullie gebruiken toch SAP voor de boekhouding?" zelfs een ontkenning levert informatie op.
Flattery
Genuine or seemingly genuine compliments lower defences. "You clearly know this system inside out may I ask how you..."
Oprechte of schijnbaar oprechte complimenten verlagen de defensie. "U kent dit systeem duidelijk door en door mag ik vragen hoe u..."
Deliberate mistakeBewuste fout
Making an incorrect statement to provoke a correction, thereby obtaining the correct information from the target.
Een foutieve bewering uitlokken met de bedoeling dat het doelwit dit corrigeert en daarmee de correcte informatie geeft.
ReciprocityWederkerigheid
Sharing information yourself to create an atmosphere of openness where the target feels obliged to do the same.
Zelf informatie delen om een sfeer van openheid te creëren waarbij het doelwit zich verplicht voelt hetzelfde te doen.
Expressing doubtUiten van twijfel
"I thought you normally handle that via department X...?" Doubt triggers an explanatory response.
"Ik dacht dat jullie dat normaal via afdeling X regelden...?" Twijfel triggert een verklarende respons.
Active listeningActief luisteren
Repeating and reflecting statements encourages the conversation partner to elaborate. Silence as a technique.
Herhalen en reflecteren van uitspraken moedigt de gesprekspartner aan verder te vertellen. Stilte als techniek.
Conversation principles (NLP-based)
- Building rapport: Mirroring body language, language patterns, and pace
- Open questions: Questions that cannot be answered with yes/no
- Anchoring: Linking emotional associations to specific concepts or situations
- Reframing: Repositioning a request to reduce resistance
Recognising elicitation attempts
Train employees to spot the following signals:
- Conversations that unexpectedly steer towards internal processes or systems
- Questions packaged as confirmations ("you do use...")
- Excessive interest in specific technical or organisational details
- Conversations at unusual times or via informal channels
Gespreksprincipes (NLP-gebaseerd)
- Rapport opbouwen: Spiegelen van lichaamstaal, taalpatroon en tempo
- Open vragen stellen: Vragen die niet met ja/nee beantwoord kunnen worden
- Anchoring: Emotionele associaties koppelen aan specifieke begrippen of situaties
- Reframing: Herpositioneren van een verzoek om weerstand te verminderen
Herkennen van elicitatiepogingen
Train medewerkers op de volgende signalen:
- Gesprekken die onverwacht sturen naar interne processen of systemen
- Vragen die verpakt zijn als bevestigingen ("jullie gebruiken toch...")
- Overdreven interesse in specifieke technische of organisatorische details
- Gesprekken op ongebruikelijke tijdstippen of via informele kanalen
Influence Principles
Beïnvloedingsprincipes
PsychologyPsychologieSocial engineering is at its core applied psychology. Attackers systematically exploit documented principles of human influence primarily based on the work of Robert Cialdini (Influence: The Psychology of Persuasion, 1984).
Social engineering is in de kern toegepaste psychologie. Aanvallers maken stelselmatig gebruik van gedocumenteerde principes van menselijke beïnvloeding primair gebaseerd op het werk van Robert Cialdini (Influence: The Psychology of Persuasion, 1984).
| # | PrinciplePrincipe | DescriptionBeschrijving | SE applicationSE-toepassing | EffectivenessEffectiviteit |
|---|---|---|---|---|
| 1 | AuthorityAutoriteit | People follow authority figuresMensen volgen gezagsfiguren | Fake helpdesk, government agency, managementNep-helpdesk, overheidsinstantie, management | HighHoog |
| 2 | ReciprocityWederkerigheid | Favour for a favourGunst voor gunst | Providing a service to ask something in returnEen dienst verlenen om iets terug te vragen | MediumGemiddeld |
| 3 | ScarcitySchaarste | Limited availability increases valueBeperkte beschikbaarheid verhoogt waarde | "Your account will be blocked in 10 minutes""Uw account wordt over 10 minuten geblokkeerd" | HighHoog |
| 4 | Social proofSociale bevestiging | We follow the behaviour of othersWe volgen het gedrag van anderen | "Your colleagues have already done this""Uw collega's hebben dit al gedaan" | MediumGemiddeld |
| 5 | LikingSympathie | We help people we likeWe helpen mensen die we aardig vinden | Friendly behaviour, shared interests, flatteryVriendelijk gedrag, gedeelde interesses, flattery | MediumGemiddeld |
| 6 | ConsistencyConsistentie | We remain consistent with earlier behaviourWe blijven consistent in eerder gedrag | Foot-in-the-door: small request firstFoot-in-the-door: klein verzoek eerst | SubtleSubtiel |
| 7 | UnityEenheid | Sense of community and shared identityGemeenschapsgevoel en gedeelde identiteit | Referencing common colleagues, organisationVerwijzen naar gemeenschappelijke collega's, organisatie | SubtleSubtiel |
Cognitive biases
Beyond Cialdini's principles, social engineers exploit cognitive biases systematic thinking errors:
- Confirmation bias: People believe information that confirms their existing view
- Authority bias: Titles and uniforms are automatically trusted
- In-group bias: Members of one's own group are trusted more
- Optimism bias: "This won't happen to me" underestimating one's own vulnerability
- Decoy effect: Adding a bad option to make the desired option more attractive
Countermeasures
Knowledge of influence principles is the first defence against them. Train employees to recognise when an appeal is being made to their emotions or automatic reflexes:
- Always pause at urgency signals for rational assessment
- Verify requests via formal channels, regardless of the "authority" of the requester
- Implement a "challenge" system for unusual requests
Cognitieve biases
Naast de Cialdini-principes maken social engineers gebruik van cognitieve biases systematische denkfouten:
- Confirmation bias: Mensen geloven informatie die hun bestaande beeld bevestigt
- Authority bias: Titels en uniformen worden automatisch vertrouwd
- In-group bias: Leden van de eigen groep worden meer vertrouwd
- Optimism bias: "Mij overkomt dit niet" onderschatting van eigen kwetsbaarheid
- Decoy effect: Een slechte optie toevoegen om de gewenste optie aantrekkelijker te maken
Tegenmaatregelen
Kennis van beïnvloedingsprincipes is de eerste verdediging ertegen. Train medewerkers om te herkennen wanneer er een beroep wordt gedaan op hun emoties of automatische reflexen:
- Altijd pauzeren bij urgentie-signalen voor rationele beoordeling
- Verzoeken via formele kanalen verificeren, ongeacht de "autoriteit" van de verzoeker
- Een "challenge"-systeem implementeren voor ongebruikelijke verzoeken