ما هي الهندسة الاجتماعية؟
الهندسة الاجتماعية هي أن يحصل مجرم إلكتروني على وصول أو معلومات أو موارد لا ينبغي أن تكون بحوزته، وذلك عن طريق التلاعب بالأشخاص بدلًا من التلاعب بالتقنية. وقد تظن أن الطريقة الأكثر شيوعًا لاختراق المهاجمين للأنظمة هي اختراق جدار الحماية أو استخدام خوارزمية متطورة لكسر كلمات المرور، لكن في أغلب الأحيان تحدث الاختراقات نتيجة للهندسة الاجتماعية. فبدلًا من استهداف الحواجز التقنية، “يهندس” المهاجمون طريقة للتلاعب بالأشخاص داخل مؤسستك، انطلاقًا من افتراض أنهم أكبر نقطة ضعف أمنية في الشركة. يختلق الجهات الخبيثة موقفًا “اجتماعيًا” (وغالبًا ما تكون مشكلة يصطنعها المهاجم بنفسه!)، ومن هنا جاءت تسمية الهندسة الاجتماعية. ببساطة، يختلق مهندس الهندسة الاجتماعية قصة مقنعة للغاية ليخدعك فتقوم بأمر ما لصالحه أو تمنحه حق الوصول إلى معلومات خاصة.
كيف تعمل؟
هناك مجموعة متنوعة من الأساليب النفسية التي يستخدمها المجرمون الإلكترونيون لكسب ثقتك ثم خيانتها. وفيما يلي بعضها.التهيئة (Priming)
التهيئة هي أن يشحن مهندس الهندسة الاجتماعية المحادثة عاطفيًا لكسر الجليد وليبدو أكثر مصداقية. وهذا يجعل ضحاياه أكثر استعدادًا للإجابة عن أسئلته. فقد يبدأ المحادثة بالحديث عن مدى صعوبة صباحه، أو يشغّل ملفًا صوتيًا لأطفال يركضون في الخلفية، ثم يتظاهر بأنه يطلب منهم الهدوء لأن الأم أو الأب يتحدث على الهاتف. أطفال، أليس كذلك؟التأطير (Framing)
هل تتذكر الإعلانات التجارية المطولة (يوم كنا نشاهد إعلانًا مدته 20 دقيقة عن OxiClean لمجرد أننا نحب Billy Mays)؟ لم يكونوا يذكرون لك سعر المنتج بشكل مباشر أبدًا. بل كانوا يقولون “فقط 49.99 دولارًا” أو “ست دفعات سهلة بقيمة 12.99 دولارًا!”. هذا هو التأطير؛ إذ تُعرض المعلومة بطريقة تتلاعب بكيفية تلقيك لها. فقد يبدو مبلغ 78 دولارًا باهظًا بشكل مبالغ فيه، بينما تبدو ست دفعات سهلة بقيمة 13 دولارًا صفقة رابحة. يفعل المجرمون الإلكترونيون الأمر نفسه؛ فهم يقدمون لك المعلومات أو الطلبات بطرق ذكية مصممة لهندسة طريقة تفاعلك. في المرة القادمة التي تصلك فيها رسالة بريد إلكتروني من شخص غريب لا يستطيع إطعام أسرته ما لم ترسل إليه بطاقة هدايا iTunes، اسأل نفسك: “لو طلب مني ذلك بوضوح ومباشرة، هل كنت سأوافق؟“النفور من الخسارة (Loss Aversion)
إذا كنت في ذروة الضجة حول Tidying Up with Marie Kondo قد شرعت في حملة لترتيب المقتنيات وإزالة الفوضى، ثم وجدت نفسك غير راغب في التخلي عن أي شيء تقريبًا، فأنت لست وحدك. فالبشر يميلون بشدة إلى النفور من التخلي عما يملكونه. ويستغل مهندسو الهندسة الاجتماعية ذلك لمصلحتهم بالتلويح أمام الضحية المحتملة بخسارة شيء ما، وغالبًا المال، مما يشوّش حكمها ويجعلها أكثر استعدادًا للتعاون أو مشاركة معلوماتها الشخصية.الانحياز للسلطة (Authority Bias)
كم من الوقت استغرقت لتدرك أن والديك لا يكونان على صواب دائمًا؟ يميل الناس إلى الوثوق تلقائيًا بآراء من لهم سلطة عليهم، كما أنهم أكثر عرضة للتصرف ضد مصلحتهم الشخصية عندما يطلب منهم ذلك شخص ذو سلطة. وغالبًا ما ينتحل مهندسو الهندسة الاجتماعية صفة شخصية ذات سلطة، مثل أحد المديرين التنفيذيين، لثني الضحايا المحتملين عن التدقيق في طلباتهم.الانحياز للمألوف (Familiarity Bias)
أنت في مطعم وتطلب مشروبًا غازيًا، فتسألك النادلة إن كنت تريد Coke أم Dacey Fizz. أيهما تختار؟ Coke، أليس كذلك؟ فعند مواجهة خيارات، يكون الناس أكثر ميلًا بشكل ملحوظ إلى اختيار الخيار الأكثر ألفة (والوثوق به). ويستغل مهندسو الهندسة الاجتماعية ذلك لمصلحتهم بعرض عدة مسارات للتصرف، مع الاعتماد على أنك ستختار الأكثر ألفة، وهو ما يريدونك أن تختاره.
ما بعض الأمثلة؟
قد تظن أن الطريقة الأكثر شيوعًا لاختراق المهاجمين للأنظمة هي اختراق جدار الحماية أو استخدام خوارزمية متطورة لكسر كلمات المرور، لكن في أغلب الأحيان تحدث الاختراقات نتيجة للهندسة الاجتماعية.التصيد الاحتيالي (Phishing)
التصيد الاحتيالي هو الشكل الأكثر شيوعًا للهندسة الاجتماعية بفارق كبير، وأكثر أنواعه انتشارًا هو الاحتيال عبر البريد الإلكتروني. تستدرجك هذه الرسائل إلى مشاركة معلومات خاصة، أو النقر على رابط، أو فتح مرفق يصيب جهازك ببرمجية خبيثة. وسنتحدث أكثر عن التصيد الاحتيالي في الشهر القادم. التصيد عبر الرسائل النصية (Smishing) والتصيد عبر المكالمات الصوتية (Vishing) نوعان من التصيد الاحتيالي يتمان عبر الرسائل النصية والمكالمات الصوتية على التوالي. ويمكنهم جعل معرّف المتصل يعرض أي اسم يختارونه، فيتظاهرون بأنهم شخص تثق به ويخبرونك بأن لديهم رقمًا جديدًا أو أنهم بحاجة إلى أن تقوم بأمر ما من أجلهم. مثال: تتلقى رسالة صوتية “عاجلة” من Janet من فرع آخر تقول فيها إن قاعدة بياناتها متوقفة وإنها تحتاج فورًا إلى معلومات حساب عميل معين. وعندما تعاود الاتصال بـ”Janet”، تشارك معلومات شخصية مع المحتال الذي يستخدم تلك البيانات لاختراق الحساب المصرفي للعميل المذكور.الاختراقات المادية
ينتحل مهندسو الهندسة الاجتماعية أحيانًا صفة موظفين أو وجوه ودودة مثل سائقي التوصيل للدخول إلى مبنى، ثم يخترقون أجهزة الكمبيوتر أو يفتشون الأوراق الخاصة عندما يُتركون دون مراقبة في الداخل. مثال: يقترب منك شخص يرتدي زي ساعي البريد من الخلف وهو يحاول موازنة كومة من الطرود. تمسك الباب له بلطف أثناء دخولك إلى مكتبك، لكن يتبين أن ساعي البريد كان مجرمًا إلكترونيًا متنكرًا. ماذا في الطرود؟ أجهزة اختراق يوصلها بأجهزة الكمبيوتر والخوادم الخاصة بالشركة لاختراق شبكتك.المعرفة قوة!
مهندسو الهندسة الاجتماعية بارعون في التلاعب، لكنهم لا يمارسون السيطرة على العقول. صحيح أن المهاجمين سيحاولون خداعك، لكنك تملك القدرة على حماية مؤسستك بشكل أفضل. ومن خلال التعرف أكثر على أساليب الهندسة الاجتماعية، فإنك تزوّد نفسك بالمعرفة اللازمة لكشف الجهات الخبيثة. افخر بتأثيرك وانشر ما اكتسبته من معرفة جديدة بين زملائك الموظفين (وأحبائك) لكي يبقى الجميع في أمان.