ما هي الهندسة الاجتماعية؟ الاستراتيجيات المستخدمة وطرق الوقاية منها

لقد وجد المهندسون الاجتماعيون طرقًا عديدة لاستغلال الضحايا عن طريق معلوماتهم الشخصية. مع الزيادة المستمرة في التهديدات الإلكترونية الجديدة، يجب رفع وعي المجتمع وتثقيفه باستمرار حول كيفية التمييز بينها ووقاية أنفسنا منها. نظرًا للتفاعل المباشر مع المستخدم، تعد الهندسة الاجتماعية إحدى أقوى طرق اختراق الشبكات. يعتمد معدل نجاحها بشكل كبير على معرفة الفرد المستهدف ووعيه بمخاطر الأمن السيبراني. إذا كانوا غافلين عن طرق هجومهم، فهذا يجعل مهمة المهاجم سهلة. لسوء الحظ، يقع الكثيرون في ضحايا مخططاتهم..

تعتمد الهندسة الاجتماعية على التفاعلات البشرية وجهل المستخدم بالطرق المستخدمة من المهاجمين. إذا ما هو المهندس الاجتماعي وما هي الخطوات التي يتبعها في الهجوم؟

ما هي الهندسة الاجتماعية؟

عندما يتعلق الأمر بأمن المعلومات، فإن الهندسة الاجتماعية هي نوع من التلاعب النفسي الذي يستخدمه المهاجم لإغراء الناس بمشاركة معلوماتهم الشخصية أو القيام بأعمال معينة. يشن هؤلاء الاشخاص هجماتهم من خلال الرسائل القصيرة والمكالمات الهاتفية ورسائل البريد الإلكتروني ووسائل التواصل الاجتماعي. تعتمد الهندسة الاجتماعية على التفاعل البشري ، مما يعني أن نجاح وفشل الهجوم يعتمد على الضحية المقصودة. وفقًا لـ Cybint Solutions ، فإن 95٪ من انتهاكات الأمن السيبراني ناتجة عن خطأ بشري. كما أكدت رسالة نقلها المخترق المشهور، كيفين متينيك، على أهمية الاستثمار برفع الوعي بالأمن السيبراني للموظفين والعامة. إذا لم يتم تعليم الموظف أو الفرد عن كيفية اكتشاف الاختراقات الإلكترونية او كيفية تفاديها، فسيواصل المهاجمين عمليات التصيد الاحتيالية.

هؤلاء المهاجمين ليس لديهم اهداف محددة، يمكن أن يقوموا بمهاجمة فرد في المجتمع أو شخص يعمل في الشركات الكبرى. الهندسة الاجتماعية هي أكثر الطرق المستخدمة لشن الهجمات الالكترونية. تعتمد استراتيجياتهم بشكل كبير على التلاعب النفسي بدلاً من مهارات الكمبيوتر. من خلال الكذب وانتحال الهوية والحيل النفسية، يحصل هؤلاء المهندسون على البيانات ويحصلون على الوصول الغير مصرح به إلى الأنظمة الخاصة بالفرد أو شخص في منشأة..

الهندسة الاجتماعية ليست بالعالم السيبراني فقط، بل يمكن أن تحدث أيضًا خارجه. على سبيل المثال، يمكن للمتسلل زيارة منشأة والتنكر كموظف ومن خلال المهارات الاجتماعية يمكنه الوصول إلى خادم واختراق أنظمته دون إثارة الشكوك. لكلا الطريقتين، يتم إجراء بحث شامل قبل إجراء الهجوم.

هناك مراحل مختلفة يمر بها المهاجم لتنفيذ هجومه بنجاح: 

المراحل الأربع للهندسة الاجتماعية:

1-البحث: عندما يتم يختار المهاجم ضحية جديدة، يبدأ في البحث عن الشخص للعثور على كل التفاصيل التي يمكن استخدامها لصالحهم. هذه مرحلة حاسمة في الهجوم. لأنه إذا لم يمتثل الضحية بسبب الشك، فقد يؤدي ذلك إلى إعاقة هجومهم وحتى يتسبب في قيام المهاجم بالانسحاب. تستغرق هذه العملية أسابيع أو شهور حتى يشعر المهاجم بالثقة في التنفيذ.

2-التخطيط: بعد أن جمعوا معلومات كافية يبدأُ في التخطيط لكيفية تنفيذ هجومهم إما عن طريق البريد الإلكتروني ، أو الاتصال الهاتفي ، أو الرسائل القصيرة ، أو عبر وسائل التواصل الاجتماعي. ثم يبدأ في الاتصال بالضحية، يعتمد المهاجم في خطته اعتمادًا كاملاً على شخصية الضحية وردة فعله. تستمر هذه المرحلة لأسابيع لكسب ثقة الضحية..

3-الاستغلال: مع الوقت سيحاول المهاجم تدريجياً تشجيع الضحية على الكشف عن معلوماته شخصية أو معلومات عن شركته. إنهم يحققون ذلك باستخدام استراتيجياتهم العديدة..

4-التنفيذ: بعدها يقوم المهاجم بشن هجومه والحصول على البيانات أو الوصول إليها دون إثارة شك الضحية. عادةً عندما يبدأ الهجوم لا يدرك الضحية ما أصابه وعندها يكون المهاجم قد مسح أثر ويبقى متخفيًا.

التكتيكات شائعة الاستخدام:

Pretexting: هذا الأسلوب هو عندما يخلق المهندس الاجتماعي قصة وهي سلسلة من الأكاذيب لإخبار الضحية. يتم إنشاء القصة بعد أن يقوم المهاجم بتجميع معلومات حول الفرد. يتصل المهاجم بالشخص إما عن طريق البريد الإلكتروني أو مكالمة هاتفية ويبدأ في استخدام الاستراتيجيات النفسية للتلاعب بالضحية ولكسب ثقته. كما أنهم ينتحلون شخصية زميل في العمل أو ممثل من أحد البنوك أو مسؤولي الضرائب، وما إلى ذلك لجعل المكالمة تبدو حقيقية. يحتاج هؤلاء المجرمون إلى كسب ثقة ضحاياهم قبل طلب معلوماتهم الحساسة. تمكن الكثير من المهاجمين من تحقيق هدفهم في سرقة كلمات المرور وحتى المعلومات البنكية من خلال هذا التكتيك.

Baiting: يمكن شن هذا الهجوم عبر الإنترنت أو في العالم الواقعي. الطُعم هو عندما يغري المهاجم ضحيته لتحميل ملفات خبيثة على شكل قائمة تشغيل موسيقى مجانية أو اشتراك فيلم مجاني. يستخدم هؤلاء المهاجمون في الغالب الوسائط المادية كطُعم لهم.

 Tailgating: عندما يسعى المهاجم إلى الدخول إلى منطقة محظورة ، حيث يكون الوصول غير مراقب أو يتحكم فيه التحكم الإلكتروني، فيمكنه ببساطة السير خلف شخص لديه القدرة على الدخول. يعتبر الـ Tailgating غير فعال في بعض المنشآت، مثل تلك التي يجب على جميع الموظفين فيها تمرير البطاقة لدخول مبنى. من ناحية أخرى، في الشركات متوسطة الحجم، سيبدأ المهاجمون محادثات مع الموظفين ويستخدمون هذا التمويه لتجاوز مكتب الاستقبال.

طرق الوقاية منها:

الاستثمار في رفع مستوى الوعي بالأمن السيبراني لموظفيك ولنفسك، يجب أن تبدأ الشركات والمؤسسات في التركيز على تحسين أمن عاملهم البشري. الطريقة الأكثر فاعلية لتجنب الهجمات الإلكترونية هي تعليم الموظفين ونفسك بأحدث أنواع الهجمات وأفضل الممارسات حول كيفية تجنبها.

في الخاتمة:

عند تلقي بريد إلكتروني أو مكالمة، لا شيء يمكن التنبؤ به. ستتعرض دائمًا للعديد من أنواع الهجمات، لكن إدراكك لها سوف يمنحك اليد العليا. مع المهندسين الاجتماعيين، فإن أفضل طريقة لتجنب التعرض للخداع من قبلهم هي القدرة على التمييز بين استراتيجياتهم. ستستمر تهديدات الأمن السيبراني في التطور.