İçindekiler[Saklamak][Göstermek]
Çoğu siber suçlu yetenekli manipülatörler olsa da, bu onların her zaman yetenekli teknolojik manipülatörler oldukları anlamına gelmez; diğer siber suçlular insanları manipüle etme uygulamasını tercih ediyor.
Başka bir deyişle, insan doğasındaki kusurlardan yararlanarak bir siber saldırı başlatma uygulaması olan sosyal mühendisliği benimsiyorlar.
Basit bir sosyal mühendislik vakasında, bir siber suçlu bir BT uzmanının kimliğine bürünürse ve sisteminizdeki bir güvenlik açığını düzeltmek için oturum açma bilgilerinizi isterse bu gerçekleşebilir.
Bilgileri verirseniz, kötü bir kişinin e-postanıza veya bilgisayarınıza erişme konusunda endişelenmesine gerek kalmadan hesabınıza erişmesine izin vermiş olursunuz.
Her güvenlik zincirinde, çeşitli hilelere açık olduğumuz için neredeyse genellikle en zayıf halkayız. Sosyal mühendislik teknikleri, kurbanları özel bilgileri ifşa etmeleri için kandırmak için bu güvenlik açığından yararlanır.
Siber tehditlerin çoğu gibi sosyal mühendislik de her zaman gelişmektedir.
Bu makalede, sosyal mühendisliğin mevcut durumunu, dikkat edilmesi gereken farklı saldırı türlerini ve dikkat edilmesi gereken uyarı işaretlerini tartışacağız.
Sosyal mühendisliğe girişle başlayalım.
Sosyal mühendislik nedir?
Bilişimde sosyal mühendislik, siber suçluların kurbanları sıklıkla bir güvenlik ihlali, para aktarımı veya kişisel bilgilerin ifşa edilmesini gerektiren şüpheli bir eylemde bulunmaya ikna etmek için kullandıkları teknikleri ifade eder.
Bu faaliyetler sıklıkla mantığa meydan okur ve daha iyi karar vermemize karşı çıkar.
Bununla birlikte, dolandırıcılar, öfke, korku ve sevgi gibi duygularımızı hem olumlu hem de olumsuz olarak manipüle ederek, mantıklı düşünmeyi bırakmaya ve gerçekte ne yaptığımızı düşünmeden içgüdüsel olarak hareket etmeye bizi ikna edebilir.
Basitçe tanımlamak gerekirse, sosyal mühendislik, bilgisayar korsanlarının, makinelerimizi tehlikeye atmak için kötü amaçlı yazılımlar ve virüslerle yaptıkları gibi, beynimizi nasıl tehlikeye attıklarıdır.
Saldırganlar sıklıkla sosyal mühendisliği kullanır çünkü bireylerden yararlanmak, bir ağ veya yazılım zayıflığını belirlemekten sıklıkla daha kolaydır.
Suçlular ve kurbanları hiçbir zaman yüz yüze etkileşime girmek zorunda olmadıklarından, sosyal mühendislik her zaman daha geniş bir dolandırıcılığın bir parçasıdır.
Kurbanları elde etmek: genellikle ana hedeftir:
- Akıllı telefonlarında kötü amaçlı yazılım.
- Kullanıcı adınızı ve şifrenizi reddedin.
- Kötü amaçlı bir eklenti, uzantı veya üçüncü taraf uygulaması için izin verin.
- Havale, elektronik fon transferi veya hediye kartları yoluyla para gönderin.
- Yasadışı parayı iletmek ve aklamak için bir para katırının rolünü oynayın.
Sosyal mühendislik teknikleri suçlular tarafından kullanılır, çünkü başkalarına güvenme eğiliminizden yararlanmak, programınızı nasıl hackleyeceğinizi bulmaktan genellikle daha kolaydır.
Örneğin, parola gerçekten zayıf olmadığı sürece, birisini size parolasını söylemesi için kandırmak, onu hacklemeye çalışmaktan çok daha kolaydır.
Sosyal mühendislik nasıl çalışır?
Sosyal mühendisler, çeşitli stratejiler kullanarak siber saldırılar gerçekleştirir. Çoğu sosyal mühendislik saldırısı, saldırganın kurban üzerinde keşif ve araştırma yapmasıyla başlar.
Örneğin, hedef bir kuruluşsa, bilgisayar korsanı şirketin organizasyon yapısı, iç süreçleri, endüstri jargonu, potansiyel iş ortakları ve diğer ayrıntılar hakkında bilgi edinebilir.
Güvenlik görevlisi veya resepsiyon görevlisi gibi düşük düzeyde ancak ilk erişime sahip çalışanların eylemlerine ve alışkanlıklarına odaklanmak, sosyal mühendisler tarafından kullanılan bir stratejidir.
Saldırganlar arama yapabilir sosyal medya kişisel bilgileri hesaplar ve davranışlarını hem çevrimiçi hem de şahsen gözlemler.
Toplum mühendisi daha sonra bir saldırı planlamak ve keşif aşamasında keşfedilen kusurlardan yararlanmak için toplanan kanıtları kullanabilir.
Saldırı gerçekten gerçekleşirse, saldırgan korumalı sistemler veya ağlar, hedeflerden para alabilir veya Sosyal Güvenlik numaraları, kredi kartı bilgileri veya banka bilgileri gibi özel verilere erişebilir.
Sosyal mühendislik saldırılarının yaygın türleri
Sosyal mühendislikte kullanılan tipik teknikleri öğrenmek, kendinizi bir sosyal mühendislik saldırısından korumak için en büyük stratejilerden biridir.
Günümüzde, sosyal mühendislik, saldırganların, kurbanları hassas bilgileri ifşa etmeleri için kandırmak için güvenilir bir kaynak veya üst düzey bir yetkilinin kimliğini üstlendiğinde, sosyal medya dolandırıcılıkları da dahil olmak üzere, yaygın olarak çevrimiçi olarak gerçekleşmektedir.
İşte diğer bazı yaygın sosyal mühendislik saldırıları:
Phishing
Kimlik avı, iletişimlerin güvenilir bir kaynaktan geliyormuş gibi görünmeleri için gizlendiği bir tür sosyal mühendislik yaklaşımıdır.
Genellikle e-posta olan bu iletişimler, mağdurları kişisel veya finansal bilgileri ifşa etmeye yönlendirmeyi amaçlar.
Sonuçta, tanıdığımız bir arkadaştan, aile üyemizden veya şirketten gelen bir e-postanın meşruluğundan neden şüphelenelim? Dolandırıcılar bu güvenden yararlanır.
vishing
Vishing, karmaşık bir kimlik avı saldırısı türüdür. “Sesli kimlik avı” olarak da bilinir. Bu saldırılarda, bir telefon numarası gerçekmiş gibi görünmek için sıklıkla taklit edilir – saldırganlar BT personeli, iş arkadaşları veya bankacılar gibi davranabilir.
Bazı saldırganlar, kimliklerini daha da gizlemek için ses değiştiriciler kullanabilir.
Yemleme kancası
Büyük şirketler veya belirli kişiler, bir tür sosyal mühendislik saldırısı olan mızraklı kimlik avının hedefidir. Mızraklı kimlik avı saldırılarının hedefleri, güçlü bireyler veya iş dünyası liderleri ve tanınmış kişiler gibi küçük gruplardır.
Bu sosyal mühendislik saldırısı biçimi sıklıkla iyi araştırılır ve aldatıcı bir şekilde kamufle edilir, bu da tespit edilmesini zorlaştırır.
Sigara içmek
Smishing, iletişim aracı olarak metin (SMS) mesajlarını kullanan bir tür kimlik avı saldırısıdır. Tıklanacak zararlı URL'ler veya iletişim kurulacak telefon numaraları sunarak, bu saldırılar genellikle kurbanlarından hızlı bir şekilde harekete geçmelerini gerektirir.
Kurbanlardan sık sık saldırganların kendilerine karşı kullanabilecekleri özel bilgileri sağlamaları istenir.
Kurbanları hızlı hareket etmeye ve saldırıya uğramaya ikna etmek için, smishing saldırıları sıklıkla bir aciliyet hissi uyandırır.
Scareware
Bireyleri sahte güvenlik yazılımı yüklemeye veya kötü amaçlı yazılım bulaşmış web sitelerine erişmeye korkutmak için sosyal mühendisliğin kullanılması, korkutma yazılımı olarak bilinir.
Scareware tipik olarak, dizüstü bilgisayarınızdan sözde bir bilgisayar bulaşmasını ortadan kaldırmada size yardımcı olmayı teklif eden açılır pencereler olarak kendini gösterir. Açılır pencereye tıklayarak, istemeden başka kötü amaçlı yazılım yükleyebilir veya tehlikeli bir web sitesine gönderilebilirsiniz.
Korkunç bir yazılım veya başka bir müdahaleci açılır pencereniz olduğunu düşünüyorsanız, bilgisayarınızı sık sık taramak için güvenilir bir virüs temizleme programı kullanın. Cihazınızı risklere karşı periyodik olarak incelemeniz dijital hijyen açısından önemlidir.
Gelecekteki sosyal mühendislik saldırılarını önleyerek kişisel bilgilerinizin korunmasına da yardımcı olabilir.
canını sıkma
Sosyal mühendislik saldırıları çevrimdışı da başlayabilir; mutlaka çevrimiçi olarak başlatılmazlar.
Tuzaklama, bir saldırganın USB sürücü gibi kötü amaçlı yazılım bulaşmış bir nesneyi keşfedilmesi muhtemel bir yere bırakma uygulamasıdır. Bu cihazlar genellikle ilgi uyandırmak amacıyla markalaştırılır.
Gadget'ı alan ve merak veya açgözlülükten dolayı kendi bilgisayarına koyan bir kullanıcı, bu makineye istemeden bir virüs bulaştırma riskiyle karşı karşıya kalır.
balina avcılığı
Felaket sonuçları olan en cesur kimlik avı girişimlerinden biri balina avcılığıdır. Bu tür bir sosyal mühendislik saldırısının tipik hedefi, tek, yüksek değerli bir kişidir.
"CEO dolandırıcılığı" terimi, bazen size hedefin bir göstergesini veren balina avcılığını tanımlamak için kullanılır.
Uygun bir ticari konuşma tonuna sahip olduklarından ve içeriden öğrenilen sektör bilgisini kendi avantajları için kullandıklarından, balina avcılığı saldırılarını tespit etmek diğer kimlik avı saldırılarından daha zordur.
Ön mesajlaşma
Bahane, dolandırıcıların kurbanlarını aldatmak için kullandıkları sahte bir durum veya “bahane” üretme sürecidir.
Çevrimdışı veya çevrim içi olarak gerçekleşebilecek rüşvet saldırıları, en başarılı sosyal mühendislik tekniklerinden biridir, çünkü saldırganlar kendilerini güvenilir göstermek için çok çaba harcarlar.
Bir bahanenin aldatmacasını tespit etmek zor olabileceğinden, özel bilgileri yabancılara ifşa ederken dikkatli olun.
Bir sosyal mühendislik girişimini ekarte etmek için, acil bir ihtiyaç hakkında biri sizi ararsa doğrudan şirketle iletişime geçin.
Bal kapanı
Bal tuzağı, saldırganın kurbanı güvenli olmayan bir cinsel ortama sürüklediği bir tür sosyal mühendislik yaklaşımıdır.
Saldırgan daha sonra şantaj yapmak veya şantaj yapmak için durumdan yararlanır. Sosyal mühendisler, "sizi kameranızdan görüyorlar" ya da aynı derecede hain bir şey gibi sahte e-postalar göndererek, sık sık bal tuzağı kurarlar.
Böyle bir mesaj alırsanız, web kameranızın korunduğundan emin olun.
Ardından, sakin olun ve yanıt vermekten kaçının, çünkü bu e-postalar spam'den başka bir şey değildir.
Bedel
Latince “bir şey için bir şey” anlamına gelir, bu durumda kurbanın işbirliği karşılığında ödül alması anlamına gelir.
Mükemmel bir örnek, bilgisayar korsanlarının BT asistanı olarak poz vermesidir. Bir firmada mümkün olduğunca çok çalışana telefon edecekler ve basit bir çözüme sahip olduklarını iddia edecekler ve “yalnızca AV'nizi devre dışı bırakmanız gerektiğini” de sözlerine eklediler.
Buna yenik düşen herkesin bilgisayarında fidye yazılımı veya diğer virüsler yüklüdür.
tailgating
Bindirme olarak da bilinen arkadan yükleme, bir bilgisayar korsanının geçerli bir erişim kartı kullanan bir kişiyi güvenli bir binaya kadar takip etmesiyle oluşur.
Bu saldırıyı gerçekleştirmek için, binaya girme izni olan kişinin, arkasından gelen kişiye kapıyı açık tutacak kadar düşünceli olacağı varsayılır.
Sosyal Mühendislik saldırılarını nasıl önleyebilirsiniz?
Bu önleyici tedbirleri kullanarak, siz ve personeliniz sosyal mühendislik saldırılarından kaçınmak için en iyi şansa sahip olacaksınız.
Çalışanları eğitin
Çalışanların sosyal mühendislik saldırılarına karşı yanılabilirliğinin ana nedeni bilgisizliktir. Personele tipik ihlal girişimlerine nasıl tepki vereceklerini öğretmek için kuruluşlar güvenlik bilinci eğitimi sunmalıdır.
Örneğin, birisi bir çalışanı işyerine yüklemeye çalışırsa veya hassas bilgiler isterse ne yapmalı.
En sık karşılaşılan siber saldırılardan bazıları aşağıdaki listede açıklanmıştır:
- DDoS saldırıları
- Kimlik avı saldırıları
- Tıklama saldırıları
- Ransomware saldırıları
- Kötü amaçlı yazılım saldırıları
- tailgating'e nasıl cevap verilir
Saldırı Direncini Kontrol Et
Test etmek için şirketinize kontrollü sosyal mühendislik saldırıları gerçekleştirin. Sahte kimlik avı e-postaları gönderin ve ekleri açan, zararlı bağlantılara tıklayan veya tepki veren personeli nazikçe azarlayın.
Siber güvenlik başarısızlıkları olarak algılanmak yerine, bu örnekler oldukça eğitici durumlar olarak görülmelidir.
Operasyon Güvenliği
OPSEC, gelecekteki bir saldırgan için avantajlı olabilecek dostane davranışları tespit etmek için bir yöntemdir. OPSEC, uygun şekilde işlenir ve diğer verilerle gruplandırılırsa hassas veya önemli verileri ifşa edebilir.
OPSEC prosedürlerini kullanarak sosyal mühendislerin elde edebileceği bilgi miktarını sınırlayabilirsiniz.
Veri Sızıntılarını Bulun
Kimlik avı girişimi sonucunda kimlik bilgilerinin açığa çıkıp çıkmadığını bilmek zor olabilir.
Bazı kimlik avcılarının topladıkları kimlik bilgilerini kullanması aylar hatta yıllar alabileceğinden, şirketiniz sürekli olarak veri açıklarını ve sızdırılmış kimlik bilgilerini aramalıdır.
Çok faktörlü kimlik doğrulamayı uygulayın
Kritik kaynaklara erişmek için kullanıcıların bir belirteç sahibi olmasını, bir parola bilmesini ve biyometrik bilgilerine sahip olmasını gerektiren çok faktörlü bir kimlik doğrulama yöntemini zorunlu kılın.
Üçüncü taraf bir risk yönetim sistemi uygulayın
Yeni satıcılar getirmeden veya mevcut tedarikçilerle çalışmaya devam etmeden önce, üçüncü tarafların risklerini yönetmek için bir sistem, bir satıcı yönetim politikası oluşturun ve bir satıcı yönetimi politikası yürütün. siber güvenlik riski değerlendirmesi.
Özellikle çalınan veriler karanlık ağda satıldıktan sonra, veri ihlallerini önlemek onları temizlemekten çok daha kolaydır.
Satıcı riskini otomatik olarak yönetebilen ve satıcılarınızın siber güvenliğini düzenli olarak izleyen, sıralayan ve değerlendiren bir yazılım bulun.
Spam e-posta tercihlerinizi değiştirin.
E-posta ayarlarınızı değiştirmek, kendinizi sosyal mühendislik girişimlerinden korumanın en basit yöntemlerinden biridir. Sosyal mühendislik dolandırıcılığı e-postalarını gelen kutunuzdan uzak tutmak için spam filtrelerinizi iyileştirebilirsiniz.
Ayrıca gerçek olduğunu bildiğiniz kişi ve kuruluşların e-posta adreslerini doğrudan dijital kişi listelerinize ekleyebilirsiniz - onlar gibi davranan ancak gelecekte farklı bir adres kullanan herkes büyük olasılıkla bir sosyal mühendistir.
Sonuç
Son olarak, sosyal mühendislik dolandırıcılık, dolandırıcılık veya diğer suçları işlemek için kullanılabilecek oldukça basit bir tekniktir. Şahsen, telefonda veya çevrimiçi olarak herkesin başına gelebilir.
Sosyal mühendislerin çok teknik olmaları gerekmez; sadece sizi kendilerine özel bilgiler vermeniz için kandırabilmeleri gerekir.
Hepimiz tehlikede olduğumuz için bu potansiyel olarak feci bir dolandırıcılık. Sosyal medya aynı zamanda sosyal mühendislerin gerçeklerle karıştırılması kolay olan ve hatta gerçek kişileri taklit eden sahte hesaplar oluşturmalarını sağlayarak daha kurnaz olmalarını sağladı.
Sosyal medyada garip veya tanıdık olmayan profiller görürken daima dikkatli olun.
Yorum bırak