<p>Inom hälso- och sjukvården hanteras känslig patientinformation. I framtiden kommer alltmer information att lagras elektroniskt och därmed bli mer lättillgänglig. Användarna av informationssystemen kan vara en säkerhetsrisk. Metoderna som används vid intrångsförsök inriktas alltmer på att involvera människor istället för att enbart använda sig av teknik.</p><p>Syftet med detta arbete är att undersöka användarnas upplevelse och medvetenhet om icke tekniska hot mot informationssäkerheten för digitalt lagrad patientinformation.</p><p>Datainsamlingen genomfördes i form av kvalitativa intervjuer med sjuksköterskor anställda på ett sjukhus i västra Sverige. Resultatet visar att det allt överskuggande upplevda hotet var intrång och förlust av sekretess i den elektroniska patientjournalen. Hoten uppfattades som interna främst från personal och till viss del från patienter. Intrång av externa aktörer ansågs osannolikt och av mer teknisk natur. En social engineering attack skulle kunna vara lyckosam, skadan som skulle kunna åstadkommas förstärks av icke fungerande utloggningsrutiner, kombinerat med vissa brister i lösenordshanteringen och användarnas omedvetenhet om hoten.</p>

Hacking information systems is continuously on the increase. Social engineering attacks is performed by manipulating the weakest link in the security chain; people. Consequently, this type of attack has gained a higher rate of success than a technical attack. Based in Expert Systems, this study proposes a proactive and integrated Intelligent Social Engineering Security Model to mitigate the human risk and reduce the impact of social engineering attacks. Many computer users do not have enough security knowledge to be able to select a strong password for their authentication. The author has attempted to implement a novel quantitative approach to achieve strong passwords. A new fuzzy logic tool is being developed to evaluate password strength and measures the password strength based on dictionary attack, time crack and shoulder surfing attack (social engineering). A comparative study of existing tools used by major companies such as Microsoft, Google, CertainKey, Yahoo and Facebook are used to validate the proposed model and tool. A comprehensive literature survey and analytical study performed on phishing emails representing social engineering attacks that are directly related to financial fraud are presented and compared with other security threats. This research proposes a novel approach that successfully addresses social engineering attacks. Another intelligent tool is developed to discover phishing messages and provide educational feedback to the user focusing on the visible part of the incoming emails, considering the email’s source code and providing an in-line awareness security feedback.

Information security importance is rising. Information security awareness' is spreading, and this gives a clear picture of the growing demand for information security. Information security does not only consist of essential information but also the customer. An information system could be either a system user or a device. Protecting vital information is one of the security issues facing our modern technology, but also protecting system users. System users are the weakest link in information security chain due to wrong prioritizing of information security.Standardization of information security must not differ across organizations. Although every organization has a prioritized level of protection, managing information security should not be completely different from one organization over the other. However, this is not the case. The standards of information security across multiple organizations differ. The gap between organizations concerning information security is enormous. The difference between organizations is due to how organizations value their information access. One of the main security issues confronting information security is the end-user security. System users are still the weakest link in the information security chain. An organization's security cannot depend only on the implemented system, but also, the security level of the system users. The end-users within an organization are essential in cultivating better information security practices. Neglecting end users' importance in information security makes it easier for cyber-attacks and end-users manipulations.The inability to protect end-users as a physical system exposes the possibilities of manipulating end-users through various Social Engineering techniques to elicit essential information. Social Engineering is the term used to influence a person without their knowledge to give out sensitive information. Social Engineering comprises of different factors; psychology and computer science. Social Engineering acquires vital information by manipulating the weakest link in information security chains, the system user.Social Engineering proves that end-users are still the weakest link in the information security chain. This experiment demonstrates that people do use unknown USB drive they find. The consequences of this act, in general, could be harmful. Moreover, that, there are possibilities through Social Engineering, to expose organizations' systems infrastructures to cyber-attacks.The result from this project visualizes that, the most valuable assets an organization has are the people within the organization. An organization employee could expose a well-secured system to cyber-attacks without knowing about it.

Inom hälso- och sjukvården hanteras känslig patientinformation. I framtiden kommer alltmer information att lagras elektroniskt och därmed bli mer lättillgänglig. Användarna av informationssystemen kan vara en säkerhetsrisk. Metoderna som används vid intrångsförsök inriktas alltmer på att involvera människor istället för att enbart använda sig av teknik. Syftet med detta arbete är att undersöka användarnas upplevelse och medvetenhet om icke tekniska hot mot informationssäkerheten för digitalt lagrad patientinformation. Datainsamlingen genomfördes i form av kvalitativa intervjuer med sjuksköterskor anställda på ett sjukhus i västra Sverige. Resultatet visar att det allt överskuggande upplevda hotet var intrång och förlust av sekretess i den elektroniska patientjournalen. Hoten uppfattades som interna främst från personal och till viss del från patienter. Intrång av externa aktörer ansågs osannolikt och av mer teknisk natur. En social engineering attack skulle kunna vara lyckosam, skadan som skulle kunna åstadkommas förstärks av icke fungerande utloggningsrutiner, kombinerat med vissa brister i lösenordshanteringen och användarnas omedvetenhet om hoten.

A primeira metade do século XX foi marcada por uma profunda alteração no tratamento dado à Questão Social. O Estado assumiu a gestão do problema alterando a maneira de lidar com o segmento pobre da sociedade. A gradual transição de um Estado Liberal para um Estado Corporativo, iniciada na década de 20, foi um marco na intervenção na área social. Forte engenharia social teve início no Brasil nessa época. À direita ou à esquerda do espectro político, grupos plenamente constituídos buscaram na juventude a força social renovadora. Esta tese analisa as disputas pelo controle do poder no Brasil, especificamente a disputa pela juventude, grupo social tido como essencial para reprodução dos projetos políticos em confronto. / The first half of the twentieth century was marked by a profound change in the treatment given to the Social Question. The state took over management of the problem by changing the way of dealing with the poor segment of society. The gradual transition from a Liberal State to a Corporate State, started in the decade of 20, was a mark in the intervention in social problems. Strong social engineering began in Brazil at that time. To the right or left of the political spectrum, fully formed groups sought to force the youth social novel. This thesis analyzes the dispute for control of power in Brazil, specifically the dispute for youth, social group considered essential for replication of the projects in political confrontation. Keywords: Youth Social Matter.

Denna studie kommer undersöka hur företag hanterar phishinghotet. Phishingmail är ettangreppssätt som faller in i begreppet social engineering och kan användas för att luramänniskor att uppge information som de inte ska dela med sig av. Ett phishingmail har sommål att efterlikna ett vanligt mail som tillexempel en fakturapåminnelse. Men istället för attpengarna går till den angivna avsändaren kan attackeraren istället kapa bankuppgifterna. Målet med attacken kan vara olika, det kan vara att ta del av information så sombankuppgifter och eller lösenord. Det kan också sprida skadlig kod som infekterarmottagarens dator med virus. Phishingmail kan se ut på olika sätt och det gör det svårt att geett exakt exempel på hur ett phishingmail ser ut. Målet med denna studie är att ge en uppfattning av hur företag som intervjuas hanterarphishingattacker. Studien har som syfte att identifiera problem, för att ge en bild avhanteringen av phishingattacker. Bilden kommer besvara frågor som, vilka policys finns föratt motverka hotet, hur och när utbildas de anställda samt hur ser de själva på phishing somhot? Sammanställningen bestå av intervjuer från anställda på olika företag som ansvarar förinformationssäkerheten. Efter att intervjuerna genomförts sammanfattas svaren för att kunna utförasammanställningen. Målet med sammanställningen är att redovisa ett resultat som besvararfrågan, vilka åtgärder som finns hos organisationerna för att motverka phishinghotet.Sammanställningen har delats upp i tre huvudgrupper: handlingsplan, utbildning och kultur.Genom att placera in svaren i rätt huvudgrupp blir det en helhetsbild och ett resultat kanpresenteras.Företagen visar förståelse för i vilka problem phishingmail kan ge ett företag. Det finns i regelåtgärder på varje företag för att motverka och förminska hotet. Viss utbildning ges tillanställda. Men phishing anses inte vara ett så stort hot. Den generella uppfattningen frånföretagen är att phishing inte anses vara ett stort hot. Samtidigt berättar dom om händelser däranställda öppnar skadliga mail trotts att det inte finns något hot enligt dom själva. Efter genomförda intervjuer och insamling av information kunde en eventuell annan bristpresenteras. Flera utav de företag som kontaktades ville inte ställa upp på studien på grund avolika anledningar. Så som att det inte fanns någon IT-avdelning eller ren okunskap inomämnet. Detta kan visa på att det finns brister hos flera företag där det inte finns enhelhetslösning på hur informations ska säkras upp och hur informationssäkerheten ska utvecklas.

Uppsatsens syfte är dels att undersöka hur en bankorganisations och bankenhets säkerhetsarbete mot social engineering ser ut, men även om anställda är medvetna om hot och skyddsåtgärder inom social engineering. De social engineerings-metoder som tas upp i uppsatsen är dumpster diving, pretexting, nätfiske, shoulder surfing och tailgating. Tillsammans med dessa presenteras metodspecifika skyddsåtgärder. Ytterligare allmänna skyddsåtgärder för social engineering som informationssäkerhetspolicy, ledningens ansvar och rådgivning, informationssäkerhetsmedvetandegörande, utbildning och träning berörs. Uppsatsen är en kvalitativ fallstudie och undersökningen bestod av ett flertal intervjuer med anställda på en bankenhet inom en bankorganisation. Uppsatsens resultat visar att flertalet skyddsåtgärder inom social engineering och de olika metoderna finns inom bankenheten. Medvetenheten hos de anställda är generellt god om social engineering i allmänhet som hot. Det visar sig dock att medvetenheten är varierande och i vissa fall bristande hos några av de anställda inom vissa social engineerings-metoder och skyddsåtgärder som tas upp i uppsatsen.

Abstrakt  Social Engineering är konsten att manipulera människor, för att på så sätt vinna deras förtroende. Med hjälp av detta förtroende kan attackeraren sedan kringgå säkerhetssystem och få tillgång till organisationers information. Vi har i denna uppsats genomfört elva intervjuer på tre stora organisationer med både IT-chefer och övrig personal. Med dessa intervjuer har vi sedan försökt få en bild av hur medvetenheten ser ut samt vilka åtgärder organisationerna tar för att förhindra Social Engineering. Med denna uppsats vill vi belysa den ovisshet som råder kring Social Engineering, men även farorna och hur effektiv en attack av denna typ kan vara. Slutsaten är att medvetenheten om Social Engineering är låg på de organisationer vi intervjuvat och att de åtgärder som finns inte alltid är tillräckliga.  Nyckelord: Social Engineering, Social manipulatör, Phishing, Dumpster diving, Säkerhetspolicy

abstract: Despite an abundance of defenses that work to protect Internet users from online threats, malicious actors continue deploying relentless large-scale phishing attacks that target these users. Effectively mitigating phishing attacks remains a challenge for the security community due to attackers' ability to evolve and adapt to defenses, the cross-organizational nature of the infrastructure abused for phishing, and discrepancies between theoretical and realistic anti-phishing systems. Although technical countermeasures cannot always compensate for the human weakness exploited by social engineers, maintaining a clear and up-to-date understanding of the motivation behind---and execution of---modern phishing attacks is essential to optimizing such countermeasures. In this dissertation, I analyze the state of the anti-phishing ecosystem and show that phishers use evasion techniques, including cloaking, to bypass anti-phishing mitigations in hopes of maximizing the return-on-investment of their attacks. I develop three novel, scalable data-collection and analysis frameworks to pinpoint the ecosystem vulnerabilities that sophisticated phishing websites exploit. The frameworks, which operate on real-world data and are designed for continuous deployment by anti-phishing organizations, empirically measure the robustness of industry-standard anti-phishing blacklists (PhishFarm and PhishTime) and proactively detect and map phishing attacks prior to launch (Golden Hour). Using these frameworks, I conduct a longitudinal study of blacklist performance and the first large-scale end-to-end analysis of phishing attacks (from spamming through monetization). As a result, I thoroughly characterize modern phishing websites and identify desirable characteristics for enhanced anti-phishing systems, such as more reliable methods for the ecosystem to collectively detect phishing websites and meaningfully share the corresponding intelligence. In addition, findings from these studies led to actionable security recommendations that were implemented by key organizations within the ecosystem to help improve the security of Internet users worldwide. / Dissertation/Thesis / Doctoral Dissertation Computer Science 2020

The purpose of this work is to demonstrate different opportunities to counter spear phishing in an organization. Data has been collected through 15 interview situations through semi-structured interviews and then analyzed using a thematic analysis method linked to the study's theory regarding social psychological factors. The result shows that education and awareness regarding IT-security is generally low among respondents. The result also shows that it is of great importance for users and organizations to understand and be able to protect themselves against Social engineering and specifically spearphishing. Furthermore, it was found that everyone in an organization needs to know about threats and risks so that the organization will not suffer badly in the event of attack attempts.