فهرست مندرجات[پنهان شدن][نمایش]
اگرچه اکثر مجرمان سایبری دستکاری ماهری هستند، اما این بدان معنا نیست که آنها همیشه دستکاری های فنی ماهر هستند. سایر مجرمان سایبری روش دستکاری افراد را ترجیح می دهند.
به عبارت دیگر، آنها از مهندسی اجتماعی استقبال می کنند، که عملی است برای راه اندازی یک حمله سایبری با استفاده از نقایص موجود در طبیعت انسان.
در یک مورد ساده مهندسی اجتماعی، اگر یک مجرم سایبری جعل هویت یک متخصص فناوری اطلاعات باشد و از جزئیات ورود شما بخواهد تا یک حفره امنیتی در سیستم شما برطرف شود، ممکن است این اتفاق بیفتد.
اگر اطلاعات را ارائه دهید، به یک شخص بد اجازه دسترسی به حساب خود را داده اید بدون اینکه آنها حتی نگران دسترسی به ایمیل یا رایانه شما باشند.
در هر زنجیره امنیتی، ما تقریباً ضعیف ترین حلقه هستیم زیرا در معرض انواع فریبکاری هستیم. تکنیکهای مهندسی اجتماعی از این آسیبپذیری در افراد برای فریب قربانیان برای افشای اطلاعات خصوصی استفاده میکنند.
مهندسی اجتماعی مانند اکثر تهدیدات سایبری همیشه در حال تحول است.
در این مقاله، وضعیت فعلی مهندسی اجتماعی، انواع مختلف حملاتی که باید مراقب آنها باشید و علائم هشدار دهنده ای که باید مراقب آنها باشید را مورد بحث قرار خواهیم داد.
بیایید مقدمه مهندسی اجتماعی را شروع کنیم.
مهندسی اجتماعی چیست؟
مهندسی اجتماعی در محاسبات به تکنیکهایی اشاره دارد که مجرمان سایبری برای متقاعد کردن قربانیان به انجام یک اقدام مشکوک، که اغلب مستلزم نقض امنیت، انتقال پول یا افشای اطلاعات شخصی است، استفاده میکنند.
این فعالیتها اغلب منطق را به چالش میکشند و بر خلاف قضاوت بهتر ما هستند.
با این حال، کلاهبرداران میتوانند ما را متقاعد کنند که از تفکر منطقی دست برداریم و بدون فکر کردن به آنچه در واقع انجام میدهیم، با دستکاری احساسات خود - اعم از مثبت و منفی - مانند خشم، ترس و عشق، شروع به عمل بر اساس غریزه کنیم.
در تعریف ساده، مهندسی اجتماعی این است که چگونه هکرها مغز ما را به خطر می اندازند، درست همانطور که با بدافزارها و ویروس ها برای به خطر انداختن ماشین های ما انجام می دهند.
مهاجمان اغلب از مهندسی اجتماعی استفاده میکنند، زیرا معمولاً بهرهبرداری از افراد سادهتر از شناسایی ضعف شبکه یا نرمافزار است.
از آنجایی که مجرمان و قربانیان آنها هرگز نیازی به تعامل شخصی ندارند، مهندسی اجتماعی همیشه جزء یک کلاهبرداری گسترده است.
به طور کلی هدف اصلی این است که قربانیان:
- نرم افزارهای مخرب در گوشی هوشمند آنها.
- نام کاربری و رمز عبور خود را رد کنید.
- مجوز یک افزونه، برنامه افزودنی یا برنامه شخص ثالث مخرب را بدهید.
- از طریق حواله، انتقال وجه الکترونیکی یا کارت های هدیه پول ارسال کنید.
- نقش قاطر پول را برای انتقال و پولشویی غیرقانونی بازی کنید.
تکنیکهای مهندسی اجتماعی توسط مجرمان استفاده میشود، زیرا اغلب سادهتر است که از تمایل ذاتی شما به اعتماد به دیگران استفاده کنید تا اینکه بفهمید چگونه برنامه خود را هک کنید.
به عنوان مثال، مگر اینکه رمز عبور واقعا ضعیف باشد، فریب دادن کسی که رمز عبور خود را به شما بگوید بسیار ساده تر از تلاش برای هک کردن آن است.
مهندسی اجتماعی چگونه کار می کند؟
مهندسان اجتماعی با استفاده از طیف وسیعی از استراتژی ها حملات سایبری را انجام می دهند. اکثر حملات مهندسی اجتماعی با انجام شناسایی و تحقیق در مورد قربانی توسط مهاجم شروع می شود.
به عنوان مثال، اگر هدف یک شرکت باشد، هکر می تواند در مورد ساختار سازمانی شرکت، فرآیندهای داخلی، اصطلاحات تخصصی صنعت، شرکای تجاری بالقوه و جزئیات دیگر اطلاعات کسب کند.
تمرکز بر اعمال و عادات کارگران با دسترسی سطح پایین و در عین حال اولیه، مانند یک نگهبان یا مسئول پذیرش، یکی از استراتژیهای مورد استفاده مهندسین اجتماعی است.
مهاجمان می توانند جستجو کنند رسانه های اجتماعی اطلاعات شخصی را حساب می کند و رفتار آنها را هم به صورت آنلاین و هم حضوری مشاهده می کند.
مهندس اجتماعی میتواند از شواهد جمعآوریشده برای برنامهریزی حمله و بهرهبرداری از نقصهای کشفشده در مرحله شناسایی استفاده کند.
اگر واقعاً حمله انجام شود، مهاجم می تواند سیستم ها یا شبکه های محافظت شده، پول از اهداف، یا دسترسی به داده های خصوصی مانند شماره های تامین اجتماعی، جزئیات کارت اعتباری یا جزئیات بانکی را دریافت کند.
انواع متداول حملات مهندسی اجتماعی
یادگیری در مورد تکنیک های معمول مورد استفاده در مهندسی اجتماعی یکی از بهترین راهبردها برای دفاع از خود در برابر حمله مهندسی اجتماعی است.
امروزه، مهندسی اجتماعی معمولاً به صورت آنلاین رخ می دهد، از جمله از طریق کلاهبرداری در رسانه های اجتماعی، زمانی که مهاجمان هویت یک منبع قابل اعتماد یا یک مقام عالی رتبه را برای فریب قربانیان برای افشای اطلاعات حساس فرض می کنند.
در اینجا برخی دیگر از حملات مهندسی اجتماعی رایج است:
فیشینگ
فیشینگ نوعی رویکرد مهندسی اجتماعی است که در آن ارتباطات به گونهای پنهان میشوند که از یک منبع قابل اعتماد به نظر میرسند.
این ارتباطات، که اغلب ایمیلها هستند، برای فریب دادن قربانیان به افشای اطلاعات شخصی یا مالی است.
به هر حال، چرا باید به مشروعیت ایمیل یک دوست، عضو خانواده یا شرکتی که می شناسیم مشکوک باشیم؟ کلاهبرداران از این اطمینان سوء استفاده می کنند.
کاش
Vishing یک نوع پیچیده از حمله فیشینگ است. همچنین به عنوان "فیشینگ صوتی" شناخته می شود. در این حملات، یک شماره تلفن اغلب جعل می شود تا معتبر به نظر برسد - مهاجمان ممکن است به عنوان کارکنان فناوری اطلاعات، همکاران یا بانکدار ظاهر شوند.
برخی از مهاجمان ممکن است از تغییر دهنده های صدا استفاده کنند تا هویت خود را بیش از پیش پنهان کنند.
فیشینگ نیزه
شرکت های بزرگ یا افراد خاص هدف فیشینگ نیزه ای هستند که نوعی حمله مهندسی اجتماعی است. هدف حملات فیشینگ نیزه ای افراد قوی یا گروه های کوچک، مانند رهبران تجاری و شخصیت های عمومی هستند.
این شکل از حمله مهندسی اجتماعی اغلب به خوبی مورد تحقیق قرار می گیرد و به طرز فریبنده ای استتار می شود، که تشخیص آن را چالش برانگیز می کند.
له کردن
Smishing نوعی حمله فیشینگ است که از پیام های متنی (SMS) به عنوان وسیله ارتباطی استفاده می کند. با ارائه URL های مضر برای کلیک یا شماره تلفن برای تماس، این حملات معمولاً از قربانیان خود نیاز به اقدام سریع دارند.
معمولاً از قربانیان خواسته می شود تا اطلاعات خصوصی را ارائه دهند که مهاجمان می توانند علیه آنها استفاده کنند.
برای متقاعد کردن قربانیان برای اقدام سریع و در معرض حمله قرار گرفتن، حملات ضربتی اغلب احساس فوریت را به تصویر میکشند.
ترسافزار
استفاده از مهندسی اجتماعی برای ترساندن افراد برای نصب نرم افزارهای امنیتی جعلی یا دسترسی به وب سایت های آلوده به بدافزار به عنوان scareware شناخته می شود.
Scareware معمولاً به صورت پنجرههای پاپآپ ظاهر میشود که به شما در ریشهکن کردن عفونت ادعایی رایانه از لپتاپ کمک میکند. با کلیک کردن بر روی پنجره بازشو، ممکن است ناخواسته بدافزار بیشتری نصب کنید یا به یک وب سایت خطرناک ارسال شوید.
اگر فکر میکنید که نرمافزار ترسناک یا پاپآپ مزاحم دیگری دارید، اغلب از یک برنامه ریشهکنی ویروس قابل اعتماد برای اسکن رایانه خود استفاده کنید. برای بهداشت دیجیتال مهم است که دستگاه شما را به صورت دوره ای از نظر خطرات بررسی کند.
همچنین ممکن است با جلوگیری از حملات مهندسی اجتماعی آینده به محافظت از اطلاعات شخصی شما کمک کند.
طعمه زدن
حملات مهندسی اجتماعی همچنین می توانند به صورت آفلاین شروع شوند. آنها لزوماً به صورت آنلاین راه اندازی نمی شوند.
Baiting عملی است که مهاجم یک شی آلوده به بدافزار مانند درایو USB را در جایی که احتمال کشف آن وجود دارد، رها می کند. این دستگاهها اغلب عمداً برای برانگیختن علاقه مارک تجاری میشوند.
کاربری که از روی کنجکاوی یا طمع این ابزار را برمیدارد و آن را در رایانه شخصی خود قرار میدهد، در معرض خطر آلوده کردن ناخواسته دستگاه به ویروس است.
وحشی
یکی از جسورانهترین تلاشهای فیشینگ که نتایج فاجعهباری دارد، شکار نهنگ است. هدف معمولی این نوع حملات مهندسی اجتماعی یک فرد مجرد و با ارزش است.
اصطلاح "کلاهبرداری مدیر عامل" گاهی اوقات برای توصیف صید نهنگ استفاده می شود که نشانه ای از هدف را به شما می دهد.
از آنجایی که آنها به طور موثر لحن گفتار تجاری مناسبی را در نظر می گیرند و از دانش خودی صنعت به نفع خود استفاده می کنند، شناسایی حملات نهنگ نسبت به سایر حملات فیشینگ دشوارتر است.
ارسال پیام کوتاه
بهانهسازی فرآیند ساختن یک موقعیت نادرست یا «بهانهای» است که هنرمندان کلاهبردار برای فریب قربانیان خود از آن استفاده میکنند.
حمله به بهانه، که ممکن است به صورت آفلاین یا آنلاین اتفاق بیفتد، یکی از موفق ترین تکنیک های مهندسی اجتماعی است، زیرا مهاجمان تلاش زیادی می کنند تا خود را قابل اعتماد جلوه دهند.
هنگام افشای اطلاعات خصوصی برای افراد غریبه محتاط باشید زیرا ممکن است تشخیص دروغگویی بهانه ای دشوار باشد.
برای رد تلاش برای مهندسی اجتماعی، اگر کسی در مورد نیاز فوری با شما تماس گرفت، مستقیماً با شرکت تماس بگیرید.
دام عسل
تله عسل نوعی رویکرد مهندسی اجتماعی است که در آن ضارب قربانی را به یک محیط جنسی ناامن اغوا می کند.
سپس مهاجم از این موقعیت برای ارتکاب باج گیری یا اخاذی استفاده می کند. مهندسان اجتماعی با ارسال ایمیلهای هرزنامه با این تظاهر دروغین که «شما را از طریق دوربین شما میبینند» یا چیزی به همان اندازه شیطانی، اغلب تلههای عسل میاندازند.
اگر چنین پیامی دریافت کردید، مطمئن شوید که وب کم شما محافظت شده است.
سپس، فقط خودداری کنید و از پاسخ دادن خودداری کنید، زیرا این ایمیل ها چیزی بیش از هرزنامه نیستند.
Quid Pro Quo
لاتین به معنای "چیزی برای چیزی" است، در این مثال به قربانی اشاره دارد که در ازای همکاری خود پاداش دریافت می کند.
یک تصویر عالی زمانی است که هکرها به عنوان دستیاران فناوری اطلاعات ظاهر می شوند. آنها با حداکثر تعداد ممکن کارمندان یک شرکت تماس می گیرند و ادعا می کنند که راه حل ساده ای دارند و اضافه می کنند که "شما فقط باید AV خود را غیرفعال کنید."
هر کسی که تسلیم آن شود، باج افزار یا ویروس های دیگری روی رایانه خود نصب شده است.
خیاط کردن
Tailgating، همچنین به عنوان piggybacking شناخته می شود، زمانی اتفاق می افتد که یک هکر فردی را با استفاده از یک کارت دسترسی معتبر به یک ساختمان امن تعقیب کند.
برای انجام این حمله، فرض بر این است که شخصی که اجازه ورود به ساختمان را دارد به اندازه کافی با ملاحظه است که در را برای شخصی که پشت سر خود می آید باز نگه دارد.
چگونه می توانید از حملات مهندسی اجتماعی جلوگیری کنید؟
با استفاده از این اقدامات پیشگیرانه، شما و کارکنانتان بهترین شانس را برای جلوگیری از تهاجمات مهندسی اجتماعی خواهید داشت.
کارمندان را آموزش دهید
علت اصلی خطاپذیری کارکنان در برابر حملات مهندسی اجتماعی ناآگاهی است. برای آموزش پرسنل نحوه واکنش به تلاش های معمولی برای نقض، سازمان ها باید آموزش های آگاهی امنیتی ارائه دهند.
به عنوان مثال، اگر کسی بخواهد یک کارمند را به محل کار منتقل کند یا اطلاعات حساسی را درخواست کند، چه باید کرد.
برخی از متداول ترین حملات سایبری در لیست زیر توضیح داده شده است:
- حملات DDoS
- حملات فیشینگ
- حملات Clickjacking
- حملات Ransomware
- حملات بدافزار
- چگونه به دم زنی پاسخ دهیم
مقاومت در برابر حمله را بررسی کنید
برای آزمایش آن، حملات مهندسی اجتماعی کنترل شده را به شرکت خود انجام دهید. ایمیلهای فیشینگ نادرست ارسال کنید و کارکنانی را که پیوستها را باز میکنند، روی پیوندهای مضر کلیک میکنند یا واکنش نشان میدهند به آرامی سرزنش کنید.
به جای اینکه به عنوان شکست امنیت سایبری تلقی شوند، این موارد باید به عنوان موقعیت های بسیار آموزشی دیده شوند.
امنیت عملیات
OPSEC روشی برای تشخیص رفتار دوستانه است که ممکن است برای مهاجم آینده مفید باشد. OPSEC می تواند داده های حساس یا مهم را در صورت پردازش مناسب و گروه بندی با داده های دیگر افشا کند.
شما می توانید مقدار اطلاعاتی را که مهندسان اجتماعی می توانند با استفاده از روش های OPSEC به دست آورند، محدود کنید.
نشت داده ها را پیدا کنید
دانستن اینکه آیا اعتبارنامه ها در نتیجه تلاش فیشینگ افشا شده اند یا خیر، می تواند چالش برانگیز باشد.
شرکت شما باید دائماً به دنبال افشای دادهها و اعتبارنامههای لو رفته باشد، زیرا برخی از فیشرها ممکن است ماهها یا حتی سالها طول بکشد تا از اعتباری که جمعآوری میکنند استفاده کنند.
اجرای احراز هویت چند عاملی
یک روش احراز هویت چندعاملی را اعمال کنید که برای دسترسی به منابع حیاتی، نیاز است که کاربران دارای یک رمز، رمز عبور و اطلاعات بیومتریک خود باشند.
پیاده سازی سیستم مدیریت ریسک شخص ثالث
قبل از وارد کردن فروشندگان جدید یا ادامه کار با تامین کنندگان فعلی، سیستمی برای مدیریت ریسک های اشخاص ثالث، خط مشی مدیریت فروشنده ایجاد کنید و خطر امنیت سایبری ارزیابی
به خصوص پس از فروخته شدن داده های دزدیده شده در وب تاریک، جلوگیری از نقض داده ها بسیار ساده تر از پاک کردن آنها است.
نرم افزاری را بیابید که می تواند به طور خودکار ریسک فروشنده را مدیریت کند و به طور منظم امنیت سایبری فروشندگان خود را ردیابی، رتبه بندی و ارزیابی کند.
تنظیمات برگزیده ایمیل اسپم خود را تغییر دهید.
تغییر تنظیمات ایمیل یکی از ساده ترین روش ها برای دفاع از خود در برابر تلاش های مهندسی اجتماعی است. می توانید فیلترهای هرزنامه خود را بهبود بخشید تا ایمیل های کلاهبرداری مهندسی اجتماعی را از صندوق ورودی خود دور نگه دارید.
همچنین میتوانید مستقیماً آدرسهای ایمیل افراد و سازمانهایی را که میدانید واقعی هستند به فهرست تماسهای دیجیتالی خود اضافه کنید – هر کسی که وانمود میکند آنها هستند اما از آدرس دیگری در آینده استفاده میکنند به احتمال زیاد یک مهندس اجتماعی است.
نتیجه
در نهایت، مهندسی اجتماعی یک تکنیک نسبتا ساده است که می تواند برای ارتکاب کلاهبرداری، کلاهبرداری یا سایر جرایم استفاده شود. ممکن است برای هر کسی حضوری، تلفنی یا آنلاین رخ دهد.
مهندسان اجتماعی نیازی به فنی بودن ندارند. آنها فقط باید بتوانند شما را فریب دهند تا به آنها اطلاعات خصوصی بدهید.
این یک کلاهبرداری بالقوه فاجعه بار است زیرا همه ما در خطر هستیم. رسانههای اجتماعی همچنین مهندسان اجتماعی را قادر میسازد تا با ساختن حسابهای جعلی که به سادگی با حسابهای واقعی اشتباه گرفته میشوند یا حتی جعل هویت افراد واقعی، حیلهگرتر شوند.
همیشه هنگام مشاهده پروفایل های عجیب و غریب یا ناآشنا در رسانه های اجتماعی احتیاط کنید.
پاسخ دهید