مهندسی اجتماعی چیست؟ انواع آن و نحوه مقابله آن

مهندسی اجتماعی یا سوشیال انجینرینگ چیست؟ با انواع حملات مهندسی اجتماعی، ساختار آنها و نحوه مقابله با آنها بیشتر آشنا شوید!

پیام های زیر را بخوانید و اگر برایتان آشنا به نظر می‌رسد، با مهندسی اجتماعی به طور اجمالی آشنایید! اگر خیر، واقعا خوشا به حالتان!!

((“دوست عزیز، من اینجا سرگردان هستم و باید به کشورمان برگردم. من نیاز به کمک شما دارم زیرا کیفم را که حاوی کیف پول، تلفن همراه، بلیط رفت و برگشت و سایر اشیاء قیمتی بود از من دزدیدند. از شما می خواهم مبلغ xxxxx یا هر مبلغی که در توان دارید به من قرض دهید تا به من کمک کند تا به خانه برگردم تا بتوانم قبض های هتلم را پزداخت کنم و به خانه برگردم. قول می دهم، به محض اینکه سالم به خانه برگردم، با یک مبلغ xxxxx دلار اضافی به شما بازپرداخت خواهم کرد. لطفاً اگر می توانید کمکی به من کنید، به من اطلاع دهید.”))

((“برنده عزیز خوش شانس، تبریک می گویم، شما xxxx دلار/تومان در xxxxx برنده شده‌اید. لطفاً بلافاصله برای جزئیات بیشتر در مورد برنده شدن خود با این شماره 00000000 با نماینده ما تماس بگیرید.))

اگرچه این اصطلاح هیچ قرابتی به جنبه خوب مهندسی و اجتماعی بودن ندارد، اما در درجه اول ماهیت ضد اجتماعی و مخرب دارد. مهندسی اجتماعی فرآیند دستکاری ذهن انسان برای انتشار اطلاعات محرمانه و شخصی است. این یک حمله با فرمول‌بندی مناسب است که توسط مجرمان یا هکر ها ساخته شده است تا افراد را فریب دهند تا اطلاعات حیاتی مانند رمزهای عبور، اطلاعات بانکی و غیره را در اختیار دیگران قرار دهند. اطلاعات بدون اطلاع کاربر این مهندسی هوشمند است که در آن کاربران به جای هک شدن، رمز عبور خود را آزاد می کنند.

پیشنهادات ویژه:

1. خدمات بهبود و افزایش امنیت سایت

2. دوره آموزش امنیت سایت

مهندسی اجتماعی چیست؟

مهندسی اجتماعی اصطلاحی است که برای مشخص کردن مجموعه گسترده‌ای از فعالیت های مخرب ناشی از تعاملات انسانی استفاده می شود. Special Engineering از دستکاری روانی برای گمراه کردن کاربران برای ایجاد خطاهای امنیتی یا افشای اطلاعات حساس استفاده می کند.

مقاله مرتبط: آشنایی با انواع حملات سایبری + نحوه مقابله [54 حمله]

مهندسی اجتماعی چگونه کار می کند؟

طیف وسیعی از تلاش‌های مهندسی اجتماعی مبتنی بر ارتباط مستقیم بین مهاجمان و قربانیان است. به جای استفاده از روش‌های بروت فورس برای نقض داده‌های شما، مهاجم معمولاً سعی می‌کند کاربر را متقاعد کند که خودش را به خطر بیاندازد. چرخه حمله روشی ثابت برای گمراه کردن شما برای این جنایتکاران فراهم می کند.

انواع حملات مهندسی اجتماعی: ضربه زدن به افراد برای کسب اطلاعات

هکر با افراد تعامل می‌کند و جزئیات لازم را دریافت می کند. این می تواند به هر یک از روش های زیر رخ دهد:

هکر با تظاهر به عنوان یک کاربر معتبر سیستم، به صورت فیزیکی به یک اپراتور کمکی دسترسی پیدا می‌کند که تشخیص آن دشوار است، زیرا آنها برای کمک به کارمندان تعیین شده‌اند.
یک همکار بیش از حد مشتاق نیز می تواند به بهانه حل یک مشکل جعل هویت کند و به سیستم های دیگران دسترسی پیدا کند.
هکر همچنین می‌تواند وانمود کند که کارکنان پشتیبانی فنی فروشنده سازمان است و توضیح می‌دهد که در حال عیب‌یابی مشکل خاصی است که کاربر باید شناسه و رمز عبور را برای حل مشکل به اشتراک بگذارد. کارمندان ساده لوح اگر هوشیار نباشند می توانند در دام چنین درخواست هایی بیفتند.
کارمندان همچنین می توانند قربانی شوند اگر رمزهای عبور و نام فایل های مهم را در تکه های کاغذ یا پرینت شده گذاشته و بدون توجه به آن رهایشان کنند تا راه را برای دستان هکر هموار کنند.

دسترسی غیر مستقیم از طریق کامپیوتر

فیشینگ:

پیام‌هایی که بانک‌ها، کارت‌های اعتباری یا سایر شرکت‌های خرید آنلاین مانند آمازون، eBay را تقلید یا جعل می‌کنند، نمونه‌هایی از فیشینگ هستند. درخواست برای تأیید اطلاعات، ایمیل‌ های نادرست و چت‌ها روش‌های مختلفی برای گرفتن اطلاعات محرمانه هستند. این فرآیند به‌قدری واقعی به نظر می‌رسد که کاربران وقتی هوشیار نیستند طعمه آسانی برای چنین نامه‌هایی می‌شوند.

طعمه گذاری:

دانلود رایگان یک فیلم یا یک فایل موسیقی جاسازی شده با یک کد مخرب، دسترسی آسانی برای هکرها برای هدف قرار دادن و به دست آوردن اطلاعات خاص است. این اتفاق با آلوده شدن سیستم قربانی به نرم‌افزار مخربی رخ می‌دهد که هکر را برای نزدیک‌تر شدن به سیستم تسهیل می‌کند.

کلاهبرداری آنلاین:

تبلیغات چشمک زن از پنجره های پاپ آپ قربانیان را وسوسه می کند تا نرم افزارهای بارگذاری شده با ویروس را بدون اینکه متوجه شوند دانلود یا نصب کنند. کرم‌ های تروجان، ویروس‌ها و رمزهای عبور بخشی جدایی ناپذیر از برنامه هکرها برای آلوده کردن سیستم‌های دیگر را تشکیل می‌دهند. علاوه بر این، طعمه‌هایی در پلتفرم‌های رسانه‌های اجتماعی برای به اشتراک گذاشتن اطلاعات و پورتال‌های شغلی برای نام بردن از چند مورد گذاشته می‌شوند.

چرا مهندسی اجتماعی بسیار خطرناک است؟

اعتماد و اطمینان انسانی جنبه های کلیدی مهندسی اجتماعی است. مهاجمان زمان و منابع قابل توجهی را به تحقیق در مورد قربانی اختصاص می دهند. بینش های کلیدی به دست می آید و ترکیبی از کلمات و اعمال و همچنین فناوری برای فریب دادن هدف برای اعتماد به آنها قبل از شروع حمله استفاده می شود. وجود خطای انسانی توسط کاربران مجاز، به جای ضعف در نرم افزار یا سیستم عامل، مهندسی اجتماعی را بسیار موثر می کند!

چرخه حیات حمله مهندسی اجتماعی

حملات مهندسی اجتماعی در یک یا چند مرحله رخ می دهد و نیازی به درک پیشرفته امنیت سایبری ندارد. چرخه عمر مهندسی اجتماعی مراحل مختلفی دارد.

بررسی: شامل یافتن قربانیان، کسب اطلاعات و انتخاب روش‌های حمله مانند ایمیل‌های فیشینگ یا تماس‌های تلفنی است.
قلاب: مستلزم فریب دادن قربانی (ها) برای به دست آوردن دسترسی با مهندسی کردن هدف و کنترل تماس است.
بازی: در فاز سوم، مهاجم حمله را اجرا می کند و اطلاعات قربانی را به دست می آورد.
خروج: این مرحله نهایی است که نشان می‌دهد پس از حمله موفقیت‌آمیز توسط مهندس اجتماعی، آنها با پاک کردن تمام آثار بدافزار و پنهان کردن مسیرها، تعامل را متوقف می‌کنند تا پیدا نشوند.

حملات مهندسی اجتماعی چگونه اتفاق می افتد؟

پایه مهندسی اجتماعی ارتباط مستقیم بین مهاجم و قربانی است. به جای استفاده از روش‌های بروت فورس برای نقض داده‌های شما، مهاجم معمولاً سعی می‌کند کاربر را متقاعد کند که خودش را به خطر بیاندازد.

چرخه حمله روشی ثابت برای گمراه کردن شما برای این جنایتکاران فراهم می کند. مراحل مهم چرخه حمله مهندسی اجتماعی:

با به دست آوردن اطلاعات شما یا سازمان بزرگتری که در آن مشارکت دارید، آماده می‌شوند.
با ایجاد رابطه یا آغاز برخوردی که با اعتماد شروع می شود، نفوذ می‌کنند.
برای پیشبرد حمله، پس از ایجاد اعتماد و ضعف، از قربانی سوء استفاده می‌کنند.
پس از انجام فعالیت مورد نظر کاربر، اتصال را قطع میکنند.

چگونه حملات مهندسی اجتماعی را شناسایی کنیم؟

برخی از واضح‌ترین شاخص‌های هشداردهنده نیز سخت‌ترین شناسایی هستند، زیرا به عنوان فعالیت‌های معمولی ظاهر می‌شوند.

پیوست یا پیوند غیرمعمول: فیشینگ ایمیل و smishing (فیشینگ تلفن همراه) اغلب شامل یک پیوست یا لینک به یک وب سایت مخرب است.
یک درخواست غیرمعمول: کلاهبرداران ممکن است با درخواست چیزی غیرعادی خود را تسلیم کنند. این امر به ویژه در صورتی آشکار می شود که کلاهبردار جعل هویت کارمند دیگری مانند مدیر مالی یا مدیر عامل باشد.
یک درخواست یا تقاضای سریع: ضرورت یک نمونه عالی از روش دستکاری روانشناختی است.
پیشنهادی که برای واقعی بودن خیلی خوب است: گاهی اوقات باج‌گیری یا اجبار توسط مجرمان سایبری برای استخراج اطلاعات به‌ویژه در مرحله جمع‌آوری اطلاعات یک حمله مهندسی اجتماعی استفاده می‌شود.

تکنیک های حمله مهندسی اجتماعی چگونه است؟

طعمه گذاری

حملات طعمه، همانطور که از نام آن پیداست، از قول دروغین برای برانگیختن طمع یا کنجکاوی قربانی استفاده می کنند.

بهانه سازی

مهاجم با گفتن یک سری دروغ هایی که با دقت طراحی شده‌اند، اطلاعات جمع آوری می کند.

فیشینگ

کلاهبرداری های فیشینگ، یکی از رایج ترین انواع حملات مهندسی اجتماعی، کمپین های ایمیل و پیامک هستند که برای القای ترس، علاقه یا فوریت به قربانیان طراحی شده‌اند.

ابزار ترسناک (Scareware )

این یکی، مسلماً، بسیار مؤثر و صراحتاً بسیار ناراحت کننده است. همانطور که از نام آن پیداست، حملات مهندسی اجتماعی ترسناک برای ترساندن شما از رعایت هشدارها، تهدیدهای ساختگی و هشدارهای “فوری” طراحی شده‌اند. معمولاً این تهدیدات نادرست به قربانی می گویند که نرم افزار خاصی را نصب کند که تهدید را از بین می برد. بسیاری از تهدیدات ترسناک با عباراتی مانند “رایانه شما ممکن است به برنامه های جاسوس افزار مضر آلوده شده باشد” بیان می شوند.

نیزه فیشینگ

این فیشینگ به شکل متمرکزتر است، دقیقاً به همان شکلی که چاقو زدن ماهی با نیزه روش مستقیم‌تری برای ماهیگیری است تا کشیدن تور در آب. با فیشینگ نیزه‌ای، مهاجم اطلاعاتی درباره شما دارد و از آن‌ها استفاده می‌کند تا کلاهبرداری خود را قانع‌کننده‌تر نشان دهد. آنها از هر چیزی برای جلب اعتماد شما استفاده خواهند کرد.

به عنوان مثال، شاید آنها توانسته‌اند نام برخی از دوستان یا خانواده شما را پیدا کنند یا محل کار شما را یاد گرفته باشند. آنها می توانند از این اطلاعات شخصی برای ارسال پیام قانع کننده تر استفاده کنند. آنها می توانند جعل هویت بخش فناوری اطلاعات شما باشند و از شما بخواهند که ورود خود را با کلیک کردن روی پیوندی که به عنوان مثال شما را به یک صفحه “رسمی” می فرستد، تأیید کنید. با این حال، وقتی به آنجا می‌رسید، صفحه اطلاعات شما را می‌دزدد.

دم زنی (Tailgating )

این شکل از مهندسی اجتماعی بیشتر یک اقدام فیزیکی است، جایی که کلاهبردار کاربران مجاز را مستقیماً در یک منطقه امن دنبال می کند و اقدامات امنیتی مانند کشیدن کارت شناسایی را دور می زند. از این رو، ما اصطلاح “دم زنی” را داریم.

این امر به ویژه در مشاغلی که به مجوز کارت کلید نیاز دارند رایج است. طبیعت انسان تمایل دارد که مؤدب و کمک کننده باشد، بنابراین یک کارمند قانونی می تواند به طور قابل تصوری ورود قانونی داشته باشد و سپس، از روی ادب، در را برای کلاهبردار احتمالی باز نگه دارد. یک بار دیگر، می بینیم که این مهاجمان چگونه اجتماعی از یک ویژگی اساسی طبیعت انسان برای پیشبرد برنامه خود سوء استفاده می کنند!

روش های غیرمعمول مهندسی اجتماعی

در برخی شرایط، مجرمان سایبری از ابزارهای پیچیده‌ای برای انجام هک خود استفاده می کنند، مانند:

فیشینگ مبتنی بر فکس: وقتی مشتریان یک بانک ایمیلی جعلی دریافت کردند که ادعا می‌کرد از طرف بانک است و از آنها درخواست می‌کرد تا کدهای دسترسی خود را تأیید کنند، روش تأیید از طریق مسیرهای ایمیل/اینترنت معمولی نبود. در عوض، به مصرف کننده دستور داده شد که فرم را در ایمیل پیست کند، آن را پر کند و به شماره تلفن مجرم سایبری فکس کند.
توزیع سنتی ویروس پستی: در ژاپن، کلاهبرداران از یک سرویس تحویل در خانه برای توزیع سی دی های آلوده به تروجان سوء استفاده کردند. دیسک ها بین مشتریان یک بانک ژاپنی توزیع شد. آدرس مشتریان قبلاً از بانک اطلاعاتی بانک به سرقت رفته بود.

راه هایی برای محافظت از خود در برابر حملات مهندسی اجتماعی

در اینجا برخی از اقدامات حفاظتی حیاتی در برابر انواع حملات سایبری آورده شده است:

قبل از ارسال ایمیل ها یا پیام ها محتاط باشید.
از احراز هویت دو مرحله ای استفاده کنید.
رمزهای عبور قوی ایجاد کنید.
از افشای نام مدارس، حیوانات خانگی، محل تولد یا سایر اطلاعات شخصی خود خودداری کنید.
هرگز به کاربران غیرمجاز اجازه ندهید به شبکه Wi-Fi اصلی شما بپیوندند.
از VPN استفاده کنید.
همه دستگاه ها و سرویس های متصل به شبکه باید ایمن و به درستی نگهداری شوند.
هرگز وسایل الکترونیکی خود را در مکان های عمومی ناامن نگذارید.
سعی کنید همه نرم افزارهای خود را به طور مداوم بروز نگه دارید.

چرا مهندسی اجتماعی موثر است؟

انسان‌ها به گونه‌ای تکامل یافته‌اند که به شیوه‌های خاصی برای ساختن سیستم‌های اجتماعی قوی و منسجم عمل می‌کنند و رفتار می‌کنند. اعتماد جزء ضروری جوامع منسجم است و زمانی که اعتماد کاهش می‌دهد، روابط شکست می‌خورد.

کلاهبرداران رفتار انسان و اهمیت ایجاد ارتباطات قابل اعتماد را درک می کنند. آنها همچنین یاد می گیرند که چگونه افراد را با ظاهر شدن به عنوان افراد قابل اعتماد یا ایجاد اعتماد گمراه کنند.

نمونه هایی از حملات مهندسی اجتماعی

فیشینگ با نیزه: از این کلاهبرداری ایمیلی برای انجام حملات هدفمند به افراد یا مشاغل استفاده می شود.
بهانه سازی: فرد خاطی، هویت ساختگی به خود می گیرد تا قربانیان را برای ارائه اطلاعات فریب دهد.
Tailgating: هدف این حمله علیه شخصی است که می تواند یک مجرم را با ورود فیزیکی به یک ساختمان یا منطقه امن فراهم کند.

حملات مهندسی اجتماعی: انواع رایج و نحوه جلوگیری از آنها

هر چه جامعه بیشتر به اینترنت متکی باشد، حملات آنلاین رایج تر می شوند. هکرها و مجرمان سایبری زرادخانه رو به رشدی از سلاح ها را در اختیار دارند تا ویران کنند، داده ها را سرقت کنند، مرتکب کلاهبرداری شوند یا به سازمان ها و مصرف کنندگان آسیب وارد کنند.

اطلاعات و آگاهی دو مورد از مؤثرترین سلاح‌هایی هستند که ما در مبارزه با مهندسی اجتماعی مانند فیشینگ و سایر کلاهبرداری‌ها در اختیار داریم. برای این منظور، بیایید به حملات مهندسی اجتماعی، از جمله مثال‌ها و تکنیک‌ها، و پیشگیری نگاه کنیم.

چگونه از حملات مهندسی اجتماعی جلوگیری کنیم؟

پس از آشنایی با همه این اشکال حملات مهندسی اجتماعی، چه کسی می تواند کسی را به خاطر خاموش کردن نوت بوک، پد، یا تلفن همراه خود و عقب نشینی آرام از آن سرزنش کند؟ خوشبختانه، ما نیازی به متوسل شدن به چنین اقدامات شدیدی نداریم. بسیاری از ابزارهای آزمایش شده برای پیشگیری از مهندسی اجتماعی وجود دارد، و ما قصد داریم به برخی از آنها نگاهی بیندازیم.

فقط به یاد داشته باشید، بسیاری از حملات مهندسی اجتماعی به احساسات انسانی مانند ترس، کنجکاوی، طمع یا شفقت بستگی دارد. به خاطر داشته باشید که این افراد بی‌وجدان سعی می‌کنند از شما به نفع خودشان سو استفاده کنند.

واکنش تکانشی نشان ندهید. عادت کنید نفس عمیق بکشید، بنشینید و با آرامش و بی‌علاقه به اطلاعات جدید نگاه کنید. فقط فوراً روی پیوندهای غیرمعمول کلیک نکنید یا ایمیل ها و متن های عجیب و غریب را باز نکنید.

ایمیل ها یا فایل های پیوست را از منابع مشکوک باز نکنید. اگر آدرس ایمیل را نمی شناسید، ایمیل را باز نکنید یا روی پیوند کلیک نکنید. در واقع ایمیل را کاملاً حذف کنید.

مراقب پیشنهادات فریبنده باشید.

نرم افزار آنتی ویروس خود را بروز نگه دارید. در حالی که هیچ برنامه آنتی ویروسی نمی تواند امنیت 100% را به شما ارائه دهد، اکثر برندهای معتبر کار بسیار خوبی در غربالگری بدافزارها و حملات فیشینگ انجام می دهند. اما مراقب باشید که نرم افزار آنتی ویروس بروز باشد. شرکت های نرم افزار آنتی ویروس به طور منظم نسخه های جدیدی را منتشر می کنند که برای مدیریت آخرین طرح های حمله طراحی شده‌اند.

فیلترهای هرزنامه ایمیل خود را روی «بالا» تنظیم کنید. به گزینه “تنظیمات” در ایمیل خود بروید و فیلتر هرزنامه را روی “بالا” تنظیم کنید. فقط به یاد داشته باشید که گهگاه پوشه اسپم را بررسی کنید،زیرا که برخی از ایمیل های معتبر و مهم، گاها اشتباها به آنجا ارسال شوند.

هرگز رمز عبور یا اطلاعات مالی را آنلاین ندهید! شرکت ها یا سازمان های دولتی که با آنها سروکار دارید اطلاعات شخصی شما را به صورت آنلاین از شما نمی خواهند.

به پیام هایی که درخواست پول می کنند یا پول می دهند نادیده بگیرید. کمک به خیریه قابل ستایش است، اما مطمئن شوید که خیریه هایی را که به آنها پول می دهید بررسی کرده‌اید. حتی اگر ایمیلی از یکی از آنها دریافت کردید که درخواست کمک های مالی یکباره را دارد، کمی وقت بگذارید و وب سایت آنها را بررسی کنید تا ببینید آیا پیشنهاد/درخواست تجدیدنظر در آنجا وجود دارد یا خیر.

پروتکل امنیتی مناسب در محل را تمرین کنید. هرگز اجازه ندهید غریبه‌ای شما را در محل کارتان همراهی کند، اگر کارت ندارد. برخی از شرکت ها از هر فرد می خواهند که کارت خود را بکشد حتی اگر در از قبل باز باشد.

نکاتی که باید به خاطر بسپارید

ارسال کننده های هرزنامه ترجیح می دهند ابتدا اقدام کنید و بعداً در نظر بگیرید. اگر ارتباط باعث ایجاد حس فوریت می شود یا از روش های فروش با فشار بالا استفاده می کند، محتاط باشید. هرگز اجازه ندهید عجله آنها بر تحلیل دقیق شما تأثیر بگذارد.
مراقب هرگونه متن ناخواسته باشید. اگر به نظر می رسد ایمیل از طرف شرکتی است که شما استفاده می کنید، تحقیقات خود را انجام دهید.