مهندسی اجتماعی(Social Engineering)

حملات مهندسی اجتماعی در انواع مختلفی وجود دارند و می‌توانند در هر مکانی که تعامل انسانی وجود دارد، رخ دهند. در اینجا پنج نوع رایج از حملات دیجیتال مهندسی اجتماعی آورده شده است که بیشتر به ‌طور آنلاین و از طریق تکنولوژی انجام می‌شوند.

• Baiting

در حملات Baiting، همان‌طور که از نام آن پیداست، مهاجمان با استفاده از وعده‌های فریبنده و دروغین سعی می‌کنند طمع یا کنجکاوی قربانیان را تحریک کنند. هدف این حملات این است که کاربران را به دام انداخته تا اطلاعات شخصی آن‌ها به سرقت برود یا سیستم‌هایشان آلوده به بدافزار شود. یکی از بدترین انواع حملات Baiting، استفاده از رسانه‌های فیزیکی برای پخش بدافزار است. به ‌طور مثال، مهاجمان فلش‌درایوهایی آلوده به بدافزار را در مکان‌های مشهودی مثل سرویس‌ها، آسانسورها یا پارکینگ‌ها قرار می‌دهند، جایی که قربانیان آن‌ها را ببینند. این فلش‌درایوها معمولاً ظاهری معتبر دارند، مثلاً برچسبی که آن‌ها را به‌ عنوان لیست حقوقی شرکت نشان می‌دهد. قربانیان به‌ دلیل کنجکاوی یا طمع این فلش‌درایوها را برمی‌دارند و آن‌ها را به کامپیوتر خود متصل می‌کنند، که منجر به نصب خودکار بدافزار بر روی سیستم می‌شود. حملاتBaiting لزوماً محدود به دنیای فیزیکی نمی‌شوند. نسخه‌های آنلاین این حملات شامل تبلیغاتی فریبنده هستند که کاربران را به وب‌سایت‌های مخرب هدایت می‌کنند یا آن‌ها را تشویق می‌کنند تا برنامه‌های آلوده به بدافزار را دانلود کنند.

• Scareware

در حملات Scareware، قربانیان با هشدارهای جعلی و تهدیدات دروغین فریب داده می‌شوند. این حملات به گونه‌ای طراحی شده‌اند که قربانیان را قانع کنند که سیستم آن‌ها به بدافزار آلوده شده است و به این ترتیب آن‌ها را وادار می‌کنند نرم‌افزارهایی را نصب کنند که یا هیچ کارکردی ندارند، یا خود به عنوان بدافزار عمل می‌کنند. یک مثال رایج از حملات Scareware، بنرهای پاپ‌آپی هستند که هنگام مرور وب در مرورگر شما ظاهر می‌شوند و پیامی مانند “کامپیوتر شما ممکن است به برنامه‌های جاسوسی خطرناک آلوده شده باشد” را نشان می‌دهند. این پیام‌ها معمولاً پیشنهاد می‌دهند که ابزار خاصی (که معمولاً بدافزار است) برای شما نصب کنند یا شما را به وب‌سایت‌های مخرب هدایت می‌کنند که در آنجا سیستم شما آلوده می‌شود. این نوع حملات همچنین از طریق ایمیل‌های اسپم نیز منتشر می‌شوند که هشدارهای جعلی ارسال کرده و به کاربران پیشنهاد می‌دهند خدمات بی‌ارزش یا مضر را خریداری کنند.

• Pretexting

در این نوع حملات، مهاجم با استفاده از مجموعه‌ای از دروغ‌های هوشمندانه و فریبکارانه، سعی می‌کند اطلاعات حساس قربانی را به ‌دست آورد. این کلاهبرداری معمولاً با فردی آغاز می‌شود که وانمود می‌کند برای انجام یک وظیفه ضروری، به اطلاعات محرمانه قربانی نیاز دارد. مهاجم اغلب خود را به‌ عنوان همکار، مأمور پلیس، کارمند بانک یا مسئول مالیاتی معرفی می‌کند و سعی می‌کند با جلب اعتماد قربانی، اطلاعات مهمی را از او جمع‌آوری کند. این سوالات به ‌ظاهر برای تأیید هویت قربانی مطرح می‌شوند، اما در واقع هدف اصلی آن‌ها سرقت اطلاعات حساس مانند آدرس‌ها، شماره‌های تلفن، سوابق بانکی و … می‌باشد.

• Phishing

فیشینگ یکی از متداول‌ترین انواع حملات مهندسی اجتماعی است که معمولاً از طریق ایمیل‌ها و پیامک‌ها انجام می‌شود. در این حملات، مهاجمان تلاش می‌کنند با ایجاد احساس فوریت، کنجکاوی یا ترس، قربانیان را به افشای اطلاعات حساس، کلیک بر روی لینک‌های مخرب یا باز کردن لینک‌های آلوده به بدافزار ترغیب کنند. یک نمونه ساده از فیشینگ زمانی است که ایمیلی به کاربران یک سرویس آنلاین ارسال می‌شود و آن‌ها را از نقض قوانین مطلع می‌کند، به‌گونه‌ای که از آن‌ها می‌خواهد فوراً اقدامی انجام دهند، مثلاً رمز عبور خود را تغییر دهند. این ایمیل حاوی لینکی به یک سایت جعلی است که ظاهری مشابه سایت اصلی دارد. هنگامی که کاربر روی لینک کلیک می‌کند و اطلاعات ورود خود را وارد می‌کند، این اطلاعات برای مهاجم ارسال می‌شود.

• Spear Phishing

فیشینگ هدفمند، نوعی حمله فیشینگ است که در آن مهاجم به ‌طور خاص افراد یا سازمان‌های مشخصی را مورد هدف قرار می‌دهد. در این حملات، مهاجم پیام‌ها را متناسب با ویژگی‌ها، شغل‌ها و ارتباطات قربانیان طراحی می‌کند تا حمله خود را کمتر قابل شناسایی سازد. این نوع حملات به زمان و تلاش بیشتری نیاز دارند و ممکن است هفته‌ها یا حتی ماه‌ها طول بکشد تا اجرا شوند. به دلیل هدف‌گذاری دقیق‌تر، احتمال موفقیت آن‌ها نیز بیشتر است. یک مثال از فیشینگ هدفمند این است که مهاجم خود را به‌ عنوان مشاور فناوری اطلاعات یک سازمان معرفی کرده و ایمیلی به یکی از کارکنان یا گروهی از آن‌ها ارسال می‌کند. این ایمیل دقیقاً مشابه ایمیل‌هایی است که معمولاً از سوی مشاوران ارسال می‌شود و به ‌طور کامل اعتماد قربانیان را جلب می‌کند. در این ایمیل از کارکنان خواسته می‌شود رمز عبور خود را تغییر دهند و لینک مخربی برای آن‌ها ارسال می‌شود که به یک صفحه جعلی هدایت‌شده است. در نهایت، مهاجم اطلاعات ورود قربانیان را بدست می‌آورد.