چه شده است مهندسی اجتماعی? 11 مثال که باید مراقب آنها باشید
فهرست مندرجات
به هر حال مهندسی اجتماعی دقیقاً چیست؟
مهندسی اجتماعی به عمل دستکاری افراد برای استخراج اطلاعات محرمانه آنها اشاره دارد. نوع اطلاعاتی که مجرمان به دنبال آن هستند ممکن است متفاوت باشد. معمولاً افراد برای اطلاعات بانکی یا رمزهای عبور حسابشان هدف قرار می گیرند. مجرمان همچنین سعی می کنند به رایانه قربانی دسترسی پیدا کنند تا نرم افزارهای مخرب را نصب کنند. سپس این نرم افزار به آنها کمک می کند تا هر اطلاعاتی را که ممکن است نیاز داشته باشند استخراج کنند.
مجرمان از تاکتیک‌های مهندسی اجتماعی استفاده می‌کنند، زیرا اغلب به راحتی می‌توان از یک فرد با جلب اعتماد او بهره‌کشی کرد و او را متقاعد کرد که از جزئیات شخصی خود چشم پوشی کند. این راه راحت‌تر از هک کردن مستقیم رایانه شخصی بدون اطلاع اوست.
نمونه های مهندسی اجتماعی
شما می توانید با اطلاع از روش های مختلف مهندسی اجتماعی، بهتر از خود محافظت کنید.
1. بهانه دادن
بهانه سازی زمانی استفاده می شود که مجرم بخواهد به اطلاعات حساس قربانی برای انجام یک کار حیاتی دسترسی پیدا کند. مهاجم سعی می کند اطلاعات را از طریق چندین دروغ با دقت ساخته شده به دست آورد.
جنایتکار با ایجاد اعتماد با قربانی شروع می کند. این ممکن است با جعل هویت دوستان، همکاران، مقامات بانک، پلیس یا سایر مقاماتی که ممکن است چنین اطلاعات حساسی را درخواست کنند، انجام شود. مهاجم به بهانه تایید هویت از آنها یک سری سوالات می پرسد و در این فرآیند اطلاعات شخصی را جمع آوری می کند.
از این روش برای استخراج انواع مشخصات شخصی و رسمی از یک فرد استفاده می شود. چنین اطلاعاتی ممکن است شامل آدرس های شخصی، شماره تامین اجتماعی، شماره تلفن، سوابق تلفن، جزئیات بانکی، تاریخ تعطیلات کارکنان، اطلاعات امنیتی مربوط به مشاغل و غیره باشد.
2. سرقت انحرافی
این یک نوع کلاهبرداری است که به طور کلی شرکت های پیک و حمل و نقل را هدف قرار می دهد. مجرم سعی می کند شرکت هدف را فریب دهد و آنها را وادار می کند بسته تحویل خود را به مکان تحویل متفاوتی نسبت به مکانی که در ابتدا در نظر گرفته شده است ارائه دهند. این تکنیک برای سرقت کالاهای گرانبها که از طریق پست تحویل داده می شوند استفاده می شود.
این کلاهبرداری ممکن است به صورت آفلاین و آنلاین انجام شود. ممکن است به پرسنلی که بسته ها را حمل می کنند نزدیک شده و متقاعد شوند که تحویل را در مکان دیگری تحویل دهند. مهاجمان همچنین ممکن است به سیستم تحویل آنلاین دسترسی پیدا کنند. سپس آنها می توانند برنامه تحویل را متوقف کنند و تغییراتی در آن ایجاد کنند.
3 فیشینگ
فیشینگ یکی از محبوب ترین اشکال مهندسی اجتماعی است. کلاهبرداری های فیشینگ شامل ایمیل و پیام های متنی است که ممکن است حس کنجکاوی، ترس یا فوریت را در قربانیان ایجاد کند. متن یا ایمیل آنها را تحریک می کند تا روی پیوندهایی کلیک کنند که منجر به وب سایت های مخرب یا پیوست هایی می شود که بدافزار را روی دستگاه های آنها نصب می کنند.
به عنوان مثال، کاربران یک سرویس آنلاین ممکن است ایمیلی دریافت کنند که ادعا می کند یک تغییر خط مشی وجود دارد که از آنها می خواهد بلافاصله رمز عبور خود را تغییر دهند. این نامه حاوی پیوندی به یک وب سایت غیرقانونی است که مشابه وب سایت اصلی است. سپس کاربر اعتبار حساب خود را در آن وب سایت وارد می کند و آن را قانونی می داند. با ارسال مشخصات آنها، اطلاعات در دسترس مجرم خواهد بود.
4. نیزه فیشینگ
این یک نوع کلاهبرداری فیشینگ است که بیشتر متوجه یک فرد یا یک سازمان خاص است. مهاجم پیام‌های خود را بر اساس موقعیت‌های شغلی، ویژگی‌ها و قراردادهای مربوط به قربانی سفارشی می‌کند، به طوری که ممکن است واقعی‌تر به نظر برسد. فیشینگ نیزه ای مستلزم تلاش بیشتری از جانب مجرم است و ممکن است زمان بیشتری نسبت به فیشینگ معمولی بگیرد. با این حال، شناسایی آنها دشوارتر است و میزان موفقیت بهتری دارند.
به عنوان مثال، مهاجمی که قصد فیشینگ نیزه ای را بر روی یک سازمان دارد، ایمیلی را به کارمندی ارسال می کند که جعل هویت مشاور فناوری اطلاعات شرکت است. ایمیل به گونه‌ای تنظیم می‌شود که دقیقاً مشابه نحوه انجام آن توسط مشاور باشد. به اندازه کافی معتبر به نظر می رسد که گیرنده را فریب دهد. این ایمیل از کارمند می خواهد تا رمز عبور خود را با ارائه پیوندی به یک صفحه وب مخرب که اطلاعات آنها را ثبت کرده و برای مهاجم ارسال می کند، تغییر دهد.
5. حفره آب
کلاهبرداری آب حفره از وب سایت های قابل اعتمادی که به طور مرتب توسط افراد زیادی بازدید می شود، سوء استفاده می کند. مجرم اطلاعاتی را در مورد یک گروه هدف از افراد جمع آوری می کند تا مشخص کند که اغلب از کدام وب سایت ها بازدید می کنند. سپس این وب سایت ها از نظر آسیب پذیری آزمایش می شوند. با گذشت زمان، یک یا چند نفر از اعضای این گروه آلوده می شوند. سپس مهاجم می تواند به سیستم امن این کاربران آلوده دسترسی پیدا کند.
این نام از تشبیه نحوه نوشیدن آب توسط حیوانات با تجمع در مکان های مورد اعتماد خود در هنگام تشنگی گرفته شده است. آنها در مورد اقدامات احتیاطی دو بار فکر نمی کنند. شکارچیان از این موضوع آگاه هستند، بنابراین در همان نزدیکی منتظر می مانند و زمانی که گاردشان از کار افتاده است آماده حمله به آنها هستند. حفره آب در چشم انداز دیجیتال می تواند برای انجام برخی از مخرب ترین حملات به گروهی از کاربران آسیب پذیر به طور همزمان مورد استفاده قرار گیرد.
6. طعمه گذاری
همانطور که از نام آن مشخص است، طعمه گذاری شامل استفاده از یک وعده دروغین برای تحریک کنجکاوی یا طمع قربانی است. قربانی در دام دیجیتالی اغوا می شود که به مجرم کمک می کند تا اطلاعات شخصی او را بدزدد یا بدافزار را در سیستم خود نصب کند.
طعمه گذاری می تواند از طریق رسانه های آنلاین و آفلاین انجام شود. به عنوان یک مثال آفلاین، مجرم ممکن است طعمه را به شکل فلش درایو که در مکان های آشکار به بدافزار آلوده شده است، رها کند. این ممکن است آسانسور، حمام، پارکینگ و غیره شرکت مورد نظر باشد. درایو فلش ظاهری معتبر خواهد داشت که باعث می شود قربانی آن را بگیرد و در رایانه محل کار یا خانه خود قرار دهد. سپس درایو فلش به طور خودکار بدافزار را به سیستم صادر می کند.
اشکال آنلاین طعمه گذاری ممکن است به شکل تبلیغات جذاب و فریبنده ای باشد که قربانیان را تشویق به کلیک بر روی آن کند. این پیوند ممکن است برنامه های مخرب را بارگیری کند، که سپس رایانه آنها را با بدافزار آلوده می کند.
7. Quid Pro Quo
حمله quid pro quo به معنای حمله "چیزی برای چیزی" است. این نوعی از تکنیک طعمه گذاری است. به‌جای طعمه‌گذاری قربانیان با وعده سود، یک حمله quid pro quo در صورتی که یک اقدام خاص اجرا شده باشد، خدمات ارائه می‌دهد. مهاجم در ازای دسترسی یا اطلاعات، سود جعلی را به قربانی ارائه می دهد.
رایج ترین شکل این حمله زمانی است که یک مجرم جعل هویت یکی از کارکنان فناوری اطلاعات یک شرکت است. سپس مجرم با کارمندان شرکت تماس می گیرد و نرم افزار جدید یا ارتقای سیستم را به آنها پیشنهاد می دهد. سپس از کارمند خواسته می شود که در صورت تمایل به ارتقا، نرم افزار آنتی ویروس خود را غیرفعال کند یا نرم افزار مخرب را نصب کند.
8. دم زنی
حمله tailgating نیز Piggybacking نامیده می شود. این شامل مجرمی است که به دنبال ورود به داخل یک مکان محدود شده است که اقدامات احراز هویت مناسبی ندارد. مجرم می تواند با وارد شدن به پشت شخص دیگری که مجاز به ورود به منطقه است، به آن دسترسی پیدا کند.
به عنوان مثال، مجرم ممکن است خود را به عنوان راننده تحویلی که دستانش پر از بسته است، جعل کند. او منتظر است تا یک کارمند مجاز وارد در شود. سپس مامور تحویل گیرنده از کارمند می خواهد که در را برای او نگه دارد و در نتیجه به او اجازه دسترسی بدون هیچ گونه مجوزی را می دهد.
9. تله عسل
این ترفند شامل این است که مجرم به صورت آنلاین وانمود می کند که یک فرد جذاب است. فرد با اهداف خود دوست می شود و یک رابطه آنلاین با آنها جعل می کند. سپس مجرم از این رابطه استفاده می کند تا اطلاعات شخصی قربانیان خود را استخراج کند، از آنها پول قرض کند یا آنها را وادار کند که بدافزار را در رایانه خود نصب کنند.
نام «تله عسل» از تاکتیک‌های جاسوسی قدیمی می‌آید که در آن از زنان برای هدف قرار دادن مردان استفاده می‌شد.
10. سرکش
نرم افزار Rogue ممکن است به شکل ضد بدافزار سرکش، اسکنر سرکش، ترسناک سرکش، ضد جاسوس افزار و غیره ظاهر شود. این نوع بدافزار رایانه ای، کاربران را گمراه می کند تا برای یک نرم افزار شبیه سازی شده یا جعلی که قول حذف بدافزار را داده است، پول پرداخت کنند. نرم افزار امنیتی سرکش در سال های اخیر به یک نگرانی فزاینده تبدیل شده است. یک کاربر ناآگاه ممکن است به راحتی طعمه چنین نرم افزاری شود که به وفور در دسترس است.
11. بدافزار
هدف از حمله بدافزار این است که قربانی را وادار به نصب بدافزار در سیستم خود کند. مهاجم احساسات انسانی را دستکاری می کند تا قربانی را مجبور کند که بدافزار را وارد رایانه خود کند. این تکنیک شامل استفاده از پیام های فوری، پیام های متنی، رسانه های اجتماعی، ایمیل و غیره برای ارسال پیام های فیشینگ است. این پیام‌ها قربانی را فریب می‌دهند تا روی پیوندی کلیک کند که وب‌سایتی حاوی بدافزار را باز می‌کند.
تاکتیک های ترساندن اغلب برای پیام ها استفاده می شود. ممکن است بگویند که مشکلی در حساب شما وجود دارد و باید فوراً روی پیوند ارائه شده کلیک کنید تا وارد حساب خود شوید. سپس پیوند باعث می شود فایلی را دانلود کنید که از طریق آن بدافزار بر روی رایانه شما نصب می شود.
آگاه باشید، ایمن بمانید
آگاه نگه داشتن خود اولین قدم برای محافظت از خود است حملات مهندسی اجتماعی. یک نکته اساسی این است که هر پیامی که رمز عبور یا اطلاعات مالی شما را می خواهد نادیده بگیرید. می‌توانید از فیلترهای هرزنامه‌ای که به همراه سرویس‌های ایمیل شما ارائه می‌شوند برای پرچم‌گذاری چنین ایمیل‌هایی استفاده کنید. دریافت یک نرم افزار ضد ویروس قابل اعتماد نیز به امنیت بیشتر سیستم شما کمک می کند.
