رد کردن لینک ها

حملات مهندسی اجتماعی چگونه انجام می شود؟

اشتراک گذاری

در این مقاله می خواهیم در مورد نوعی حمله در فضای سایبر توضیح دهیم که هميشه بيش‌ترين درصد موفقيت و بيش‌ترين ميزان آسيب رساني را دارد. این حمله یکی از رایج ترین روش های هک می باشد که بدون نیاز به داشتن هرگونه دانش فنی در خصوص فناوری اطلاعات قابل اجرا می باشد. به اینگونه حملات در اصطلاح فنی مهندسی اجتماعی گفته می شود. مبانی اینگونه حملات بسیار ساده است، در اینگونه حملات به جای اینکه سیستم ها مورد هدف قرار بگیرند ، افراد بصورت مستقیم مورد هدف قرار می گیرند.

در ادامه چیستی، مراحل و تکنیک های این حمله را بیان  کرده و در آخر مقاله نیز راه های مقابله با حملات مهندسی اجتماعی را برای شما توضیح می دهیم.

حمله مهندسی اجتماعی

مهندسی اجتماعی یا همان Social Engineering اصطلاحی است که برای طیف وسیعی از فعالیت های مخرب حاصل از تعاملات انسانی به کار می رود. این روش از فریب دادن کاربران در جهت انجام اشتباهات امنیتی یا دادن اطلاعات حساس استفاده می‌کند. به عبارت دیگر، فرد مهاجم در این روش، با استفاده از فریب روانشناسی، قربانی را مجبور به ارتکاب اشتباهات امنیتی و ارائه ی اطلاعات مهم می نماید. در واقع هدف از مهندسی اجتماعی دستیابی به اطلاعات، سواستفاده و حمله از این طریق است.

منطق این حملات بسیار ساده است اگر در خصوص چیزی اطلاعاتی می خواهید، سئوال کنید …. انجام اینگونه حملات در اثر بعد روانشناسی به نام اعتماد است که پرسنل یا افراد به دیگران می کنند. در اینگونه حملات مهاجمین از طریق ایجاد روابط صمیمی و دوستانه خود را به هدف خود نزدیک می کنند، آنها سعی بر آن دارند که اعتماد قربانی را جلب کنند.

بعد از اینکه اعتماد قربانی جلب شد از وی درخواست اطلاعات یا کاری را می کنند که به آن نیاز دارند، معمولا افرادی که با چاپلوسی و زبان بازی میانه خوبی دارند می توانند در انجام اینگونه حملات موفق باشند. اینگونه مهاجمین ابتدا سعی می کنند خود را به شما از لحاظ فکری و کلامی نزدیک کنند و در ادامه با شما دوست شوند، سپس از شما درخواست اطلاعات می کنند هر چند در وهله اول این اطلاعات ممکن است کم و بی ارزش به نظر برسد، اینگونه مهاجمین معمولا به یک فرد اکتفا نمی کنند و همین عملیات روانی را با چندین نفر مختلف انجام می دهند تا در نهایت بتوانند اطلاعات بیشتری بدست بیاورند، معمولا درخواستشان را به گونه ای به شما ارائه می دهند که برای شما قابل باور باشد.

مراحل حملات مهندسی اجتماعی

حمله مهندسی اجتماعی را می توان در 4 مرحله بیان نمود:

  1. اولین مرحله در حملات مهندسی اجتماعی جمع آوری اطلاعات می باشد در این مرحله حمله کننده سعی دارد اطلاعات مفیدی در مورد هدف را از روشهای مختلف جمع آوری کند مانند لیست تلفن، تاریخ تولد، چارت سازمانی، شبکه های اجتماعی و غیره
  2. مرحله دوم برقراری ارتباطات می باشد. این مرحله شروع تعاملات انسانی می باشد که نیاز به مهارت بالای فرد حمله کننده در ارتباط برقرار کردن دارد. مهاجم سعی بر این دارد با فرد ارتباط برقرار کرده و اعتماد وی را جلب نماید.
  3. در مرحله سوم مهاجم پس از جلب اعتماد فرد، سعی دارد فرد را به دادن اطلاعات و یا انجام کاری وادار نماید که بصورت عادی فرد اینکار را انجام نمیدهد، مانند دادن پسورد به مهاجم، دادن شماره کارت ملی، دادن مشخصات کارت بانکی، واریز پول به حساب مهاجم و غیره
  4. اما مرحله آخر عمل و اجرا می باشد. هنگامیکه فرد درخواست حمله کننده را انجام میدهد، این چرخه کامل میگردد.

راه های حمله مهندسی اجتماعی

مهندسی اجتماعی انواع مختلفی دارد و روش های مختلفی برای انجام آن وجود دارد، نقطه مشترک همه آن ها روابط انسانی می باشد و همانطور که اشاره شد اعتماد نقطع عطف آن می باشد. راه های متداول حمله مهندسی اجتماعی به شرح ذیل می باشد:

فیشینگ:

در فیشینگ اطلاعات کاربران مورد نفوذ واقع می شود یا به سرقت برود. حمله فیشینگ در کشور ما بسیار متداول می باشد. این حمله در حقیقت نوعی جعل و فریب محسوب شده و باعث می شود تا اطلاعات مهمی از حساب های کاربری، حساب های بانکی و یا اطلاعات شخصی افراد مورد سو استفاده قرار گیرد. فیشینگ نوعی از حملات مهندسی اجتماعی است که اغلب برای سرقت اطلاعات کاربران، از جمله مشخصات کارت های بانکی و اکانت های مهم استفاده می شود. این حملات زمانی رخ میدهند که یک مهاجم، با جلب اعتماد کاربر، او را تشویق به پرداخت در یک صفحه جعلی بانکی، باز کردن یک ایمیل جعلی، کلیک روی لینک مخرب یا دیگر روش های اخذ اطلاعات به طور فریبنده دارد.

طعمه گذاری

حملات طعمه گذاری همانطور که از نام آن نیز پیداست، از یک وعده دروغین برای تحریک طمع یا کنجکاوی قربانی استفاده می کنند. آنها کاربران را به دامی سوق می دهند که اطلاعات شخصی آنها را دزدیده یا سیستم های آنها را به بدافزار آلوده می کند.

رایج ترین شکل طعمه گذاری از رسانه های فیزیکی برای پراکنده کردن بدافزار استفاده می کند. به عنوان مثال ، مهاجمان طعمه را به صورت درایوهای فلش آلوده به بدافزار در مناطق قابل توجهی که قربانیان بالقوه مطمئناً آنها را می بینند قرار می دهند. طعمه ظاهری معتبر دارد، مانند برچسبی که آن را به عنوان لیست حقوق و دستمزد شرکت نشان می دهد. قربانیان از روی کنجکاوی طعمه را برمی دارند و آن را وارد رایانه محل کار یا خانه می کنند و در نتیجه بدافزار خودکار روی سیستم نصب می شود.

کلاهبرداری طعمه گذاری لزوماً نباید در دنیای فیزیکی انجام شوند. انواع آنلاین طعمه گذاری شامل تبلیغات فریبنده ای است که منجر به ایجاد سایت های مخرب می شود یا کاربران را به بارگیری یک برنامه آلوده به بدافزار ترغیب می کند.

ترساندن

در این روش از ترساندن قربانی استفاده می شود. مهاجم شروع به هشدارهای دروغین و تهدیدات ساختگی می نماید تا قربانی تصور کند که سیستم به بدافزار آلوده شده است. در نتیجه، قربانی را مجبور به نصب نرم افزار مورد نظر خود و یا بدافزار می کند.

به طور مثال در مرورگر هشداری دریافت می شود که سیستم شما دچار آلودگی شده است و از این طریق شما به نصب نرم افزارهای آلوده خودشان ترغیب می نمایند.

نرم افزارهای تبلیغاتی

بدافزاری است که مرورگر شما را مجبور می کند به سمت تبلیغات وب هدایت شود، که اغلب خود به دنبال دانلود بیشتر نرم افزارهای مخرب هستند. نرم افزارهای تبلیغاتی مزاحم اغلب به برنامه های “رایگان” وسوسه انگیز مانند بازی ها یا افزونه های مرورگر منتقل می شوند.

دروغ طراحی شده و هوشمندانه

در این روش مهاجم، اطلاعات مورد نظر خود را از طریق دروغ های هوشمندانه و از قبل طراحی شده به دست می آورد. غالبا مهاجم وانمود می کند نیاز به اطلاعات مهمی جهت انجام یک کار حیاتی دارد. مهاجم معمولا با اعتماد به نفس و جعل هویت خود را به عنوان یک مقام معتبر مانند یک همکار، افسر پلیس، مقامات بانکی و یا غیره و از موضع قدرت معرفی و اعتماد قربانی را جلب می کند. در این روش، مهاجم سوالاتی را مطرح می کند که ظاهرا برای تایید هویت قربانی لازم است و به این ترتیب اطلاعات مهم مورد نیاز خود را جمع آوری می کند. با این اقدام اطلاعات مورد نیاز فرد کلاهبردار از قبیل کد ها، آدرس، شماره حساب ها، سوابق کاری و بانکی و … جمع آوری می گردد.

بگیر و بده

شاید این اسم برای شما نا مفهوم به نظر بیاد.  این نوع حمله مانند طعمه گذاری بوده و فرد مهاجم در برابر چیزی که می دهد اطلاعات را از شما می گیرد. در این حمله هکر خرابکار در ازای سرویسی که به کاربر می‌دهد از او تقاضای اطلاعات شخصی یا اطلاعات ورود حساب کاربری‌‌اش را می‌کند. برای نمونه تماس تلفنی از هکری که خود را کارمند شرکت کاریابی معرفی می‌کند و در ازای پیدا کردن شغل برای شما اطلاعات شخصی‌تان شامل شماره‌ منزل، شماره تلفن همراه، آدرس منزل و … را می‌گیرد.

فیشینگ هدفمند

این نوع فیشینگ بسیار هدفمند بوده و اطلاعات از قبل جمع آوری شده و قربانیان با هدف انتخاب می شوند. مهاجمان، پیام های خود را بر اساس ویژگی ها، موقعیت شغلی و ارتباطات متعلق به قربانیان تنظیم می کنند تا حمله ی آن ها کمتر به چشم بیاید. به طور مثال مهاجم با شناسایی دارندگان حساب خاصی از بانکی مشخص به آن ها پیام و اعلام میکند که باید رمز خود را تغییر دهند و بدین صورت لینک فیشینگ را برای آن ها ارسال و اطلاعات لازم را جمع آوری می نماید.

راه های مقابله با حملات مهندسی

  • مهمترین عامل عدم اعتماد در فضای مجازی است. بنابراین در فضای مجازی به کسی اعتماد نکنید.
  • دندان طمع را بکشید. می توان گفت در بسیاری موارد موارد از قبیل خرید ارزانتر و … موجب اغفال شما می شوند بنابراین هیچگاه طمع نکنید.
  • مشکوک باشید. به پیشنهادات، لینک ها، برنامه ها؛ افراد و غیره مشکوک باشید.مخصوصا در پیشنهاداتی که بیش از حد فریبنده و وسوسه انگیز هستند.
  • عجله نکنید. در تصمیم گیری ها و کلیک بر روی لینک ها و پاسخ گویی به افراد عجله نکنید. اول فکر و بررسی کنید و بعد تصمیم بگیرید.
  • از احراز هویت چندعاملی استفاده کنید. همواره یکی از با ارزش ترین اطلاعاتی مهاجمان به دنبال آن هستند، مدارک و اعتبارات کاربر است. استفاده از احراز هویت چند عاملی به شما کمک می کند تا در صورت به خطر افتادن سیستم از حساب کاربری خود محافظت کنید.
  • از آنتی ویروس های قوی و مطمئن استفاده کرده و همیشه آن ها را بروزرسانی نمایید.
  • از رمز های عبور قوی و مطمئن استفاده نمایید و به صورت دوره ای آن را تغییر دهید.

اطلاعات خود را در شبکه های اجتماعی منتشر نکنید. همیشه اولین قدم مهاجمین استفاده از همین اطلاعات به ظاهر نه چندان مهم شما می باشد.

به گفتگو بپیوندید

بازگشت به بالای صفحه