מהי הנדסה חברתית?
הנדסה חברתית היא מצב שבו פושע סייבר משיג גישה, מידע או משאבים שאסור שיהיו בידיו באמצעות מניפולציה על אנשים ולא על טכנולוגיה. אף שייתכן שתחשבו כי הדרך הנפוצה ביותר שבה האקרים פורצים למערכת היא חדירה דרך חומת אש או שימוש באלגוריתם מתוחכם לפיצוח סיסמאות, ברוב המקרים פריצות מתרחשות כתוצאה מהנדסה חברתית. במקום לתקוף מחסומים טכנולוגיים, ההאקרים “מהנדסים” דרך לתמרן את האנשים בארגון שלכם, מתוך הנחה שהם החוליה החלשה ביותר באבטחה של החברה. גורמים זדוניים אלה בונים סיטואציה “חברתית” (בדרך כלל בעיה שההאקר יוצר בעצמו!) – ומכאן השם הנדסה חברתית. בפשטות, המהנדס החברתי ממציא סיפור משכנע במיוחד כדי להערים עליכם לעשות עבורו דבר מה או להעניק לו גישה למידע פרטי.
כיצד זה עובד?
פושעי סייבר משתמשים במגוון טכניקות פסיכולוגיות כדי לזכות באמונכם – ולאחר מכן לבגוד בו. הנה כמה מהן.הטמעה מקדימה (Priming)
הטמעה מקדימה היא מצב שבו מהנדס חברתי טוען את השיחה ברגש כדי לשבור את הקרח ולהיראות אמין יותר. כך גדל הסיכוי שהקורבנות ישיבו על שאלותיו. ייתכן שהוא יפתח את השיחה בשיתוף על בוקר קשה שעבר עליו, או שישמיע ברקע הקלטה של ילדים רצים, ואז יעמיד פנים שהוא מבקש מהם להירגע כי אמא/אבא בטלפון. ילדים, מה לעשות.מסגור (Framing)
האם אתם זוכרים פרסומות אינפומרציאליות (בימים שבהם צפינו בפרסומת של 20 דקות על OxiClean רק כי אהבנו את בילי מייז)? הן אף פעם לא היו אומרות לכם ישירות מהו מחיר המוצר. במקום זאת היו אומרות “רק 49.99 דולר” או “שישה תשלומים קלים של 12.99 דולר!”. זהו מסגור; המידע מוצג באופן שמשפיע על הדרך שבה תקבלו אותו. 78 דולר עשויים להיראות מחיר מופקע, אך שישה תשלומים קלים של 13 דולר נראים כמו מציאה. פושעי סייבר עושים את אותו הדבר; הם יציגו בפניכם מידע או בקשות בדרכים חכמות שנועדו “להנדס” את אופן התגובה שלכם. בפעם הבאה שתקבלו דוא”ל מזר שאינו יכול לפרנס את משפחתו אלא אם תשלחו לו כרטיס מתנה של iTunes, שאלו את עצמכם: “אילו הוא היה מבקש זאת ממני בפשטות, האם הייתי מסכים?”סלידה מהפסד (Loss Aversion)
אם בשיא ההתלהבות סביב Tidying Up with Marie Kondo יצאתם למסע סידור ופינוי ומצאתם את עצמכם מתקשים להיפרד כמעט מכל דבר, אתם לא לבד. בני אדם סולדים במיוחד מהיפרדות מדברים שבבעלותם. מהנדסים חברתיים מנצלים זאת לטובתם בכך שהם מניפים לנגד עיני הקורבן הפוטנציאלי אובדן של דבר מה – לרוב כסף – ובכך מעיבים על שיקול דעתו ומגבירים את נכונותו לשתף פעולה או למסור מידע אישי.הטיית סמכות (Authority Bias)
כמה זמן לקח לכם להבין שהוריכם אינם תמיד צודקים? אנשים נוטים לתת אמון אוטומטי בדעותיהם של בעלי סמכות עליהם; כמו כן, סביר יותר בהרבה שיפעלו נגד האינטרס של עצמם כשדמות סמכותית מבקשת זאת מהם. מהנדסים חברתיים מתחזים לעיתים קרובות לדמות סמכותית, כגון מנהל בכיר, כדי להניא קורבנות פוטנציאליים מלבחון את בקשותיהם בעין ביקורתית.הטיית היכרות (Familiarity Bias)
אתם יושבים במסעדה ומזמינים משקה תוסס, והמלצרית שואלת אם תרצו קוקה-קולה או Dacey Fizz. במה תבחרו? בקוקה-קולה, נכון? כשעומדים בפני בחירה, סביר יותר בהרבה שאנשים יבחרו באפשרות המוכרת ביותר (ויתנו בה אמון). מהנדסים חברתיים יכולים לנצל זאת לטובתם על ידי הצגת כמה דרכי פעולה, מתוך ביטחון שתבחרו באפשרות המוכרת ביותר – זו שהם רוצים שתבחרו.
מהן כמה דוגמאות?
אף שייתכן שתחשבו כי הדרך הנפוצה ביותר שבה האקרים פורצים למערכת היא חדירה דרך חומת אש או שימוש באלגוריתם מתוחכם לפיצוח סיסמאות, ברוב המקרים פריצות מתרחשות כתוצאה מהנדסה חברתית.פישינג (Phishing)
פישינג הוא עד כה הצורה הנפוצה ביותר של הנדסה חברתית – וסוגו הפופולרי ביותר הוא הונאות בדוא”ל. הודעות דוא”ל אלה מפתות אתכם לשתף מידע פרטי, ללחוץ על קישור או לפתוח קובץ מצורף שמדביק את ההתקן שלכם בתוכנה זדונית. בחודש הבא נרחיב בנושא הפישינג. Smishing ו-Vishing הן גרסאות של פישינג המתבצעות באמצעות הודעת טקסט ושיחה קולית, בהתאמה. התוקפים יכולים לגרום לזיהוי המתקשר להציג כל שם שיבחרו, ולכן הם יכולים להתחזות למישהו שאתם סומכים עליו ולומר לכם שהוא קיבל מספר חדש או שהוא זקוק לעזרתכם. דוגמה: אתם מקבלים הודעה קולית “דחופה” מג’נט מסניף אחר, שאומרת שמסד הנתונים שלה אינו פעיל ושהיא זקוקה בדחיפות למידע על חשבון של לקוח מסוים. כשאתם מתקשרים בחזרה אל “ג’נט”, אתם מוסרים מידע אישי לפישר, שמשתמש בנתונים אלה כדי לפרוץ לחשבון הבנק של אותו לקוח.פריצות פיזיות
מהנדסים חברתיים מתחזים לעיתים לעובדים או לדמויות ידידותיות, כגון שליחים, כדי להיכנס למבנה, ולאחר מכן, כשהם נותרים ללא השגחה בפנים, הם פורצים למחשבים או מפשפשים במסמכים פרטיים. דוגמה: אדם לבוש במדי דוור מתקרב אליכם מאחור כשהוא מתאמץ לאזן ערימת חבילות. אתם מחזיקים לו את הדלת בנימוס בעת הכניסה למשרד, אך מתברר שהדוור היה פושע סייבר בתחפושת. מה יש בחבילות? התקני פריצה, שאותם הוא מחבר למחשבים ולשרתים של החברה כדי לפגוע ברשת שלכם.ידע הוא כוח!
מהנדסים חברתיים הם מנהלי מניפולציות מומחים, אך הם אינם שולטים במחשבות. אמנם ההאקרים ינסו להערים עליכם, אך הכוח להגן טוב יותר על הארגון שלכם נמצא בידיכם. כשתלמדו עוד על טכניקות של הנדסה חברתית, תצטיידו בידע הדרוש לכם כדי לזהות גורמים זדוניים. התגאו בהשפעה שלכם ושתפו את הידע החדש שרכשתם עם עמיתיכם לעבודה (ועם יקיריכם), כדי שכולם יישארו מוגנים.