مهندسی اجتماعی و راه‌های مقابله با آن
امروزه در هر لحظه مجرمان سایبری در تلاش هستند تا به زیر ساخت یا سامانه‌های سازمان‌ها نفوذ کنند. از آن‌جایی که بهره‌برداری از نقاط ضعف انسانی «با استفاده از حملاتی مانند مهندسی اجتماعی، فیشینگ و غیره» در بین نفوذگران بسیار متداول است، در این مقاله قصد داریم حملات مهندسی اجتماعی را به همراه مثال‌های عملی و روش‌های مقابله با این حملات مورد بررسی قرار دهیم.
مهندسی اجتماعی چیست؟
بر خلاف آن‌چه که عموم تصور می‌کنند، مهاجمین سایبری بیش از آسیب‌پذیری‌های امنیتی در زیر ساخت‌ها، از عدم آگاهی و نقاط ضعف پرسنل و مدیران سازمان‌ها برای نفوذ به زیرساخت آن‌ها بهره می‌برند. به عبارتی دیگر مهاجمین سایبری اغلب به جای نفوذ به سرویس‌ها، سعی خواهند کرد تا اعتماد پرسنل سازمان‌ها را به منظور دست‌یابی به مقاصد خود جلب کنند. در واقع زمانی که مهاجمین سایبری بدافزاری را توسعه می‌دهند، تلاش می‌کنند تا با استفاده از روش‌های مهندسی اجتماعی و سواستفاده از سهل‌انگاری قربانی، فرد را فریب دهند که بدافزار را بر روی رایانه و موبایل خود اجرا یا لینک یک وب‌سایت آلوده را باز کند. این حملات می‌توانند به‌صورت آنلاین، حضوری یا از طریق تعاملات دیگر رخ دهند.
به‌طور کلی مهاجمین سایبری ممکن است اهداف مختلفی را مانند خراب‌کاری، سرقت و غیره در حملات خود دنبال کنند. باورپذیری و اعتماد به نفس، در موفقیت حملات مهندسی اجتماعی نقش مهمی دارد. به همین دلیل آن‌ها از پیش در مورد فرد قربانی تحقیق می‌کنند تا سناریوی متناسب با او را ساخته و اعتمادش را بدون هیچ شک و ظنی جلب کنند.
اکنون که مفاهیم اساسی را درک کرده‌اید، احتمالا از خود می‌پرسید که «حمله‌ی مهندسی اجتماعی چیست و چگونه می‌توانم آن را تشخیص دهم؟»
انواع مختلفی از حملات مهندسی اجتماعی وجود دارد که در ادامه به چند مورد اشاره می‌کنیم:
- روش‌های فیزیکی مانند جست‌وجو در زباله‌های سازمان برای پیدا کردن اطلاعات مفید
- روش‌های اجتماعی مانند طراحی فیشینگ هدفدار
- روش‌های فنی مانند جمع‌آوری اطلاعات کارمندان از طریق شبکه‌های اجتماعی و سواستفاده از آن
- روش‌های فنی-اجتماعی مانند طعمه‌گذاری
در بخش‌های بعد به بررسی این موارد می‌پردازیم.
نمونه‌هایی از حملات مهندسی اجتماعی
حملات Phishing
در حملات فیشینگ مهاجمین اغلب وانمود می‌کنند که از درون سازمان یا فردی مورد اطمینان هستند. هدف اصلی این نوع حملات، متقاعد کردن افراد به افشای اطلاعات شخصی و محرمانه خود مانند نام کاربری، رمز عبور و اطلاعات بانکی خواهد بود. یکی از متداول‌ترین انواع فیشینگ، ارسال انبوه ایمیل‌های آلوده با محتوای جذاب و هدفمند برای وادار کردن مخاطب به کلیک روی یک لینکِ ورود به سایت یا دانلود یک اپلیکیشن است.
حملات Baiting
نوعی حمله‌ی مهندسی اجتماعی است که در آن مهاجم قصد دارد با وعده‌های دروغین، قربانی را فریب دهد تا اطلاعات شخصی و مالی خود را در اختیار مهاجم قرار داده یا با ارسال فایل‌های مخرب رایانه فرد قربانی را به بدافزار آلوده کند.
به‌عنوان مثال یکی از رایج‌ترین انواع حملات Baiting یا طعمه‌گذاری، USB یا Disk مخرب نام دارد. در این حملات مهاجمین USBهای آلوده به بدافزار را در محل عبور قربانیان به‌طوری که توسط آن‌ها قابل مشاهده باشد رها می‌کنند تا توجه‌شان را جلب کرده و آن‌ها را ترغیب کنند تا USB آلوده را به رایانه‌ی خود متصل کنند. همین کار کافیست تا بدافزار به‌طور خودکار بر روی رایانه‌ی قربانی نصب شود.
در مثال دیگر از حملات طعمه‌گذاری آنلاین می‌توان به ارسال تبلیغات وسوسه‌انگیز به قربانیان اشاره کرد که در صورت کلیک بر روی آن‌ها فرد قربانی به سمت یک سایت آلوده هدایت خواهد شد.
حملات Physical Breach
در این حملات مهاجم تلاش می‌کند تا خود را به‌عنوان فردی مورد اعتماد برای دسترسی به مناطق یا اطلاعات حفاظت شده، معرفی کند. مهاجمین ممکن است وانمود کنند که نماینده‌ی یک سازمان شناخته‌شده و قابل اعتماد هستند. آن‌ها هویت خود را مبهم، اما به اندازه‌ی کافی باورپذیر جلوه می‌دهند تا از سوالات احتمالی پیش‌گیری کنند. در حال حاضر این نوع حملات، یکی از رایج‌ترین انواع تهاجم به سازمان‌ها، دولت‌ها و کسب‌وکارها است.
حملات Scareware
Scareware نوعی بدافزار فریب‌دهنده است که قربانیان را فریب می‌دهد تا تصور کنند رایانه‌شان آلوده به ویروس است. در نتیجه ممکن Scareware شما را به خرید نرم‌افزارهای جعلی نیز تحریک کند.
حملات Pretexting
در این نوع حملات مهاجم از قبل اطلاعاتی در مورد قربانی دارد که ممکن است شامل برخی داده‌های شخصی و سازمانی شود. مهاجم با استفاده از این نوع اطلاعات قربانی را مجاب می‌کند که از یک سازمان بزرگ و معتبر تماس گرفته است و از اعتماد ایجاد شده سواستفاده می‌کند تا داده‌های مهم و محرمانه‌ای مانند اطلاعات بانکی، داده‌های سازمانی و شخصی را از او دریافت کند.
حملات Tailgating
این حملات زمانی صورت می‌گیرد که مهاجم تلاش می‌کند به دنبال یک فرد معتبر یا در کنار او، به یک منقطه‌ی حفاظت‌شده ورود کند. به‌عنوان مثال، ممکن است مهاجم، لباس مامور پست را پوشیده و همراه با بسته‌هایی در دست، نزدیک ورودی سازمان منتظر بماند تا به همراه کارمندی که درب سازمان را به منظور عبور و مرور خود باز کرده، وارد سازمان شود. این اقدام می‌تواند مهاجم را قادر به دور زدن پیشرفته‌ترین راه‌کارهای امنیتی فیزیکی کند.
یک سناریو مهندسی اجتماعی واقعی برای درک بهتر آن
فرض کنید شما کاربر فعال یک شبکه اجتماعی مانند Twitter هستید. ناگهان ایمیلی از پشتیبانی Twitter مبنی بر این که شما در فضای این شبکه اجتماعی اقدام به پخش محتوایی کرده‌اید که مخالف سیاست‌های آن است، دریافت می‌کنید. اقدامی مانند پخش ویدیوهایی که شامل صحنه‌های خشن، حیوان‌آزاری و یا محتوایی در راستای نقض حقوق انسانی است و در نتیجه آن‌ها قصد از دسترس خارج کردن صفحه شخصی شما را دارند. در این ایمیل لینکی جهت اعتراض به این تصمیم قرار داده می‌شود تا شما جهت اثبات عدم صحت مطالب نسبت داده شده به خودتان، بدون بررسی اعتبار ایمیل ارسال شده از طرف پشتیبان واقعی Twitter، روی لینک کلیک کنید.
در این مثال حتی ممکن است پاسخی مبنی بر مورد قبول واقع شدن اعتراضتان دریافت کنید اما شما در واقع قربانی یک حمله‌ی مهندسی اجتماعی شده‌اید.
چگونه حملات مهندسی اجتماعی را شناسایی کنیم؟
هر سازمانی ممکن است هدف حملات مهندسی اجتماعی قرار بگیرد که اگر پرسنل و مدیران ارشد خود را در برابر این نوع حملات آگاه و ایمن نکند، با آسیب‌های جدی و جبران‌ناپذیر در کسب‌وکار خود مواجه می‌شود. دفاع در برابر حملات مهندسی اجتماعی نیاز به تمرکز و آگاهی بالایی دارد. برای شناسایی این حملات پرسش سوال‌های زیر از خود زمانی که با موارد مشکوک مواجه شده‌اید، می‌تواند بسیار موثر باشد:
- آیا پیامی که دریافت کرده‌ام از یک فرستنده‌ی قانونی است؟ زمانی که پیام مشکوکی دریافت می‌کنید، با دقت آدرس ایمیل و جزییات آن را بررسی کنید. به‌عنوان مثال «[email protected]» به‌جای «[email protected]».
- آیا پیوست‌ها یا لینک‌ها مشکوک هستند؟ اگر نام پیوند یا فایلی در متن پیام، مبهم و عجیب به‌نظر می‌رسید؛ از مورد تایید یا مجاز بودن هویت فرستنده اطمینان حاصل کنید. به‌طور کلی پیشنهاد می‌شود در صورت مشاهده چنین مواردی، با واحد فناوری اطلاعات یا امنیت سازمان تماس حاصل شود.
- آیا وب‌سایتی که مشاهده می‌کنم، جزییات عجیب‌وغریبی وجود دارد؟ وقتی وارد سایتی می‌شوید، حتما جزییات URL آن را با دقت بررسی کنید که تغییر حروف کوچک و بزرگ ناگهانی در آن وجود نداشته باشد.
با انجام اقداماتی ساده و در دسترس، می‌توان این مخاطرات را به حداقل رساند. اقداماتی مانند:
- همواره به‌روز نگه داشتن سیستم‌عامل و تمام اپلیکیشن‌ها
- پاسخ ندادن به ایمیل‌های مشکوک
- عدم افشای اطلاعات به افراد غیر مرتبط
- استفاده از احراز هویت دو مرحله‌ای
مهاجمان سایبری هر لحظه در تلاش هستند با جمع‌آوری اطلاعات کافی، برقراری ارتباط و بهره‌برداری حساب‌شده، حمله‌ی خود را از نقطه‌ی مناسبی آغاز کنند. با آگاه بودن از حمله‌ی مهاجمان و روش‌های مقابله با آن‌ها می‌توان امنیت خود را بالا برد و این مخاطرات را کاهش داد. آموزش‌های آگاهی‌رسانی سایبری به پرسنل کمک می‌کند تا درک بهتری نسبت به حملات داشته و با رفتار امن خود آسیب‌پذیری در برابر این حملات را به حداقل برسانند.
نویسنده‌ی مقاله:
هانیه کازریان
دانشجوی امنیت سایبری
