مهندسی اجتماعی چیست؟

دسته بندی ها : میکروبوک امنیت عمومی کاربران ۵ فروردین ۱۳۹۹ آپا دانشگاه تبریز 52 بازدید

در میکروبوک های قبلی با حملات سایبری بیشتر آشنا شدیم. اما  نوع دیگری از حملات وجود دارد که در آن مهاجمین بر خلاف حملات سایبری، معمولا تخصص فنی بالایی برای نفوذ نیاز ندارند و ازشیوه فریب کاربران برای دسترسی به اطلاعات  استفاده می کنند. این مهاجمین با نام “مهندسین اجتماعی” شناخته می شوند.

مهندسی اجتماعی چیست؟
مهندسی اجتماعی روشی است که در پی به دست آوردن اطلاعات و داده های محرمانه با فریب و یا سواستفاده از اطمینان اشخاص اجرا می شود. در مهندسی اجتماعی، یک سازمان یا شخص قصد حمله به یک سازمان یا شخص دیگر را دارد و اهدافی  مثل بدست آوردن شماره و مشخصات کارت اعتباری، اطلاعات حساس نظامی، اطلاعات محرمانه تجاری و هر نوعی از اطلاعات که دسترسی به آن ممکن نیست را دنبال می کند تا از داده های بدست آمده برای دستیابی به سیستم ها و انجام اقدامات مخرب علیه شخص یا سازمانی که داده های آنها افشا شده، استفاده کند.

آنچه مهندسی اجتماعی را  خطرناک می کند این است که به آسیب پذیری در نرم افزار و سیستم عامل ها بستگی ندارد، بلکه وابسته به خطاهای انسانی بوده و اگر کاربران با شیوه های حمله مهندسی اجتماعی آشنا نباشند درصد آسیب پذیری بسیار بالایی را خواهیم داشت. مهندسی اجتماعی تکنیک های مختلفی دارد که در ادامه به آن ها خواهیم پرداخت.

تکنیک های مهندسی اجتماعی
حملات مهندسی اجتماعی به اشکال مختلفی رخ می دهد و می تواند هر جایی که تعامل انسان در آن دخیل باشد، انجام شود. در ادامه به برخی از اشکال متداول حملات مهندسی اجتماعی اشاره خواهیم کرد.

  1. Baiting (طعمه گذاری)

مهاجمین با حملات طعمه گذاری، از یک وعده دروغین برای ترساندن قربانی یا کنجکاوی او استفاده می کنند و سعی می کنند  با به دام انداختن کاربران، اطلاعات شخصی آنها را سرقت و یا بدافزارهای خود را وارد سیستم آن ها کنند.

جدیدترین شکل حمله مهندسی اجتماعی با روش طعمه گذاری، استفاده از رسانه های فیزیکی برای پخش کردن بدافزارها است. مثلا، مهاجمین  حافظه های جانبی آلوده به بدافزار را همراه با برچسب هایی مانند لیست حقوق و دستمزد شرکت و یا مواردی شبیه به آن، در مناطقی آشکار که قربانیان احتمالی حتماً آنها را مشاهده می کنند ، قرار می‌دهند (به عنوان مثال  سرویس بهداشتی، آسانسور، پارکینگ شرکت هدف).  قربانیان طعمه گذاری که تصور می کنند آن حافظه جانبی یک منبع معتبر است، از روی حس کنجکاوی آن را به یک کامپیوتر خود متصل می‌کنند و در نتیجه نصب بدافزار به صورت خودکار روی سیستم آن ها انجام می شود.

 

  1. Scareware (ترساندن)

در روشScareware قربانیان با هشدارهای دروغین و تهدیدهای ساختگی در ارتباط با وجود مشکلی در سیستم خود مواجه می شوند و فریب خورده و تصور می کنند که سیستمشان دچار این مشکل شده است. بنابراین، از آنها خواسته می شود نرم افزاری را برای حل مشکل نصب کنند که این نرم افزار که در واقع بدافزار می باشد، اطلاعات سیستم را به نفع مهاجم سرقت خواهد کرد.

نمونه هایی از scareware، در پنجره های پاپ_آپ (pop up) هنگام وب گردی ظاهر می شوند و به صورت متن هایی از قبیل “رایانه شما ممکن است به برنامه های جاسوسی آلوده شده باشد” نمایش داده می شوند. Scareware همچنین می تواند از طریق ایمیل اسپم فرستاده شود و پیشنهادهایی را برای کاربران به منظور خرید خدمات بی ارزش یا مخرب ارائه دهند. با عمل کردن به این توصیه ها، کاربران یا  یک بدافزار روی کامپیوترشان نصب می کنند و یا به یک سایت مخرب که کامپیوتر شان را آلوده خواهد کرد، هدایت می شوند.

 

  1. Pretexting (اطاعت کردن)

در این روش مهاجم از طریق یک سری دروغ های هوشمندانه، به اطلاعات دسترسی پیدا می کند. کلاهبرداری غالباً توسط مهاجمی آغاز می شود که وانمود می کند  به اطلاعات حساس یک قربانی احتیاج دارد تا بتواند یک کار مهم را انجام دهد. مهاجم معمولاً با جعل هویت همکاران قربانی، پلیس، بانک و مقامات مالیاتی یا سایر افراد که قربانی به آن ها اعتماد دارد و پرسیدن سوالاتی که ظاهرا برای تایید هویت او لازم است اقدام به جمع آوری اطلاعات شخصی و سو استفاده می کند. با این روش،انواع اطلاعات و سوابق مربوطه مانند شماره های بیمه، آدرس های شخصی و شماره تلفن ها ، سوابق تلفنی ، تاریخ مرخصی کارکنان، سوابق بانکی و حتی اطلاعات امنیتی مربوط به یک کارخانه جمع آوری می شود.

 

دو روش بسیار معروف و تاثیر گذار مهندسی اجتماعی که این روزها به شدت گریبان گیر شده و قربانیان زیادی را گرفتار خود کرده است، روش های Phishing و Spear phishing هستند که به علت اهمیت آن ها در میکروبوک های بعدی به طور مفصل با آن ها آشنا خواهیم شد.

 

اما چگونه می توانیم مانع از حملات این مهاجمین شویم؟

همانطور که اشاره شد، مهندسان اجتماعی از احساسات انسانی مانند کنجکاوی یا ترس استفاده می کنند تا عملیاتی انجام دهند که قربانیان خود را به دام گرفتار کنند. بنابراین، هر وقت از طریق ایمیل پیامی را درمورد پیشنهادی که در وب سایت نمایش داده می شود، دریافت می کنید یا هنگامی که با نرم افزارهای ناشناسی روبرو می شوید، احتیاط کنید. هوشیاری می تواند به شما در محافظت از اطلاعات خود در برابر حملات مهندسی اجتماعی در حوزه دیجیتال کمک کند.

علاوه بر این ، نکات زیر می تواند به بهبود هوشیاری شما در رابطه با حملات  مهندسی اجتماعی کمک کند.

  • ایمیل هایی با منابع مشکوک و پیوست های آن ها را باز نکنید – اگر فرستنده مورد نظر را نمی شناسید ، نیازی به پاسخگویی به ایمیل ندارید.
  • از تایید هویت چندمرحله ای استفاده کنید.
  • نسبت به پیشنهاد های وسوسه انگیز مراقب باشید – اگر یک پیشنهاد خیلی فریبنده به نظر می رسد، قبل از پذیرفتن آن، در مورد آن تحقیق کنید.
  • آنتی ویروس خود را به روزرسانی کنید – اطمینان حاصل کنید که به روزرسانی ها به صورت خودکار انجام می‌شوند و مرتبا سیستم خود را برای جلوگیری از حملات احتمالی اسکن کنید.

 

در حال حاضر ، بهترین روش دفاع در برابر حملات مهندسی اجتماعی، آموزش کاربران و مجهز بودن به آخرین لایه های امنیتی برای تشخیص بهتر و پاسخ دادن به حملات است.

راه آسان‌تری برای ارتباط با کاربران‌مان پیدا کرده‌ایم :) عضویت در کانال

نظرات کاربران

    دیدگاهتان را بنویسید

    نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *

    لینک کوتاه :

    عضویت در خبرنامه ویژه مشتریان سیگما پلاس

    با عضویت در خبرنامه ویژه سیگما پلاس از آخرین جشنواره های سایت باخبر شوید!