सोशल इंजीनियरिंग क्या है?
सोशल इंजीनियरिंग वह तरीका है जिसमें कोई साइबर अपराधी तकनीक के बजाय लोगों को बरगलाकर ऐसी पहुँच, जानकारी या संसाधन प्राप्त कर लेता है जो उसे नहीं मिलने चाहिए। आप भले ही यह सोचते हों कि हैकर किसी सिस्टम में सेंध लगाने के लिए सबसे अधिक फ़ायरवॉल तोड़ते हैं या किसी उन्नत पासवर्ड-क्रैकिंग एल्गोरिदम का उपयोग करते हैं, लेकिन अधिकतर मामलों में उल्लंघन सोशल इंजीनियरिंग के परिणामस्वरूप ही होते हैं। तकनीकी अवरोधों को निशाना बनाने के बजाय, हैकर आपके संगठन के लोगों को बरगलाने का तरीका “इंजीनियर” करते हैं, इस धारणा के साथ कि वही कंपनी की सबसे बड़ी सुरक्षा कमज़ोरी हैं। ये दुर्भावनापूर्ण तत्व एक “सामाजिक” स्थिति गढ़ते हैं (अक्सर ऐसी समस्या, जिसे हैकर स्वयं पैदा करता है!) — इसीलिए इसे सोशल इंजीनियरिंग कहा जाता है। सरल शब्दों में, सोशल इंजीनियर एक बेहद विश्वसनीय कहानी गढ़ता है, ताकि आप उसके लिए कोई काम कर दें या उसे निजी जानकारी तक पहुँच दे दें।
यह कैसे काम करता है?
साइबर अपराधी आपका भरोसा जीतने और फिर उसे तोड़ने के लिए अनेक मनोवैज्ञानिक तकनीकों का उपयोग करते हैं। उनमें से कुछ इस प्रकार हैं।Priming
Priming तब होती है जब सोशल इंजीनियर बातचीत को भावनात्मक रूप से प्रभावित करता है, ताकि संकोच दूर हो और वह अधिक विश्वसनीय लगे। इससे पीड़ितों के उसके प्रश्नों का उत्तर देने की संभावना बढ़ जाती है। हो सकता है वह बातचीत की शुरुआत यह बताकर करे कि उसकी सुबह कितनी कठिन रही, या पृष्ठभूमि में बच्चों के दौड़ने-भागने की आवाज़ की ऑडियो फ़ाइल चला दे, और फिर उन्हें शांत रहने के लिए कहने का दिखावा करे क्योंकि मम्मी/पापा फ़ोन पर हैं। बच्चे तो बच्चे ही होते हैं, है ना?Framing
क्या आपको इन्फ़ोमर्शियल याद हैं (वह दौर जब हम बिली मेज़ के प्रशंसक होने के कारण OxiClean का 20 मिनट का विज्ञापन देख लिया करते थे)? वे उत्पाद की कीमत कभी सीधे-सीधे नहीं बताते थे। इसके बजाय वे कहते थे “केवल 12.99 की छह आसान किस्तें!” यही framing है; जानकारी को इस तरह प्रस्तुत किया जाता है कि वह आपके ग्रहण करने के तरीके को प्रभावित करे। 13 की छह आसान किस्तें सौदा-सा लगती हैं। साइबर अपराधी भी यही करते हैं; वे जानकारी या अनुरोध ऐसे चतुर ढंग से आपके सामने रखते हैं कि आपकी प्रतिक्रिया को अपने अनुसार ढाल सकें। अगली बार जब आपको किसी अजनबी का ईमेल मिले, जो कहता हो कि यदि आप उसे iTunes गिफ़्ट कार्ड नहीं भेजेंगे तो वह अपने परिवार का पेट नहीं भर पाएगा, तो स्वयं से पूछें, “यदि उसने यह बात मुझसे सीधे-सीधे माँगी होती, तो क्या मैं हाँ कहता/कहती?”Loss Aversion
यदि Tidying Up with Marie Kondo की लोकप्रियता के चरम पर आपने घर की सफ़ाई का अभियान शुरू किया और पाया कि आप लगभग किसी भी चीज़ को छोड़ने को तैयार नहीं हैं, तो आप अकेले नहीं हैं। मनुष्य अपनी चीज़ों को छोड़ने से अत्यधिक कतराते हैं। सोशल इंजीनियर इसका लाभ उठाते हैं: वे संभावित पीड़ित के सामने किसी चीज़ — अक्सर पैसे — के खो जाने का भय दिखाते हैं, जिससे उसका विवेक धुंधला पड़ जाता है और वह सहयोग करने या व्यक्तिगत जानकारी साझा करने के लिए अधिक तैयार हो जाता है।Authority Bias
आपको यह समझने में कितना समय लगा कि आपके माता-पिता हमेशा सही नहीं होते? लोग स्वाभाविक रूप से अपने ऊपर अधिकार रखने वालों की राय पर भरोसा कर लेते हैं; जब कोई अधिकारी व्यक्ति उनसे कुछ करने को कहता है, तो वे अपने ही हितों के विरुद्ध कार्य करने की भी कहीं अधिक संभावना रखते हैं। सोशल इंजीनियर अक्सर किसी कार्यकारी जैसे अधिकारी व्यक्ति का रूप धारण करते हैं, ताकि संभावित पीड़ित उनके अनुरोधों की बारीकी से जाँच न करें।Familiarity Bias
आप किसी डाइनर में सोडा मँगा रहे हैं और वेट्रेस पूछती है कि आपको Coke चाहिए या Dacey Fizz। आप कौन-सा चुनेंगे? Coke, है ना? विकल्प सामने होने पर लोग सबसे परिचित विकल्प को चुनने (और उस पर भरोसा करने) की कहीं अधिक संभावना रखते हैं। सोशल इंजीनियर इसका लाभ उठा सकते हैं: वे कार्रवाई के कई रास्ते सामने रखते हैं और भरोसा रखते हैं कि आप सबसे परिचित रास्ता चुनेंगे — वही, जो वे चाहते हैं कि आप चुनें।
कुछ उदाहरण क्या हैं?
आप भले ही यह सोचते हों कि हैकर किसी सिस्टम में सेंध लगाने के लिए सबसे अधिक फ़ायरवॉल तोड़ते हैं या किसी उन्नत पासवर्ड-क्रैकिंग एल्गोरिदम का उपयोग करते हैं, लेकिन अधिकतर मामलों में उल्लंघन सोशल इंजीनियरिंग के परिणामस्वरूप ही होते हैं।Phishing
Phishing सोशल इंजीनियरिंग का अब तक का सबसे आम रूप है — जिसमें सबसे लोकप्रिय प्रकार ईमेल घोटाले हैं। ये ईमेल आपको निजी जानकारी साझा करने, किसी लिंक पर क्लिक करने या ऐसा अटैचमेंट खोलने के लिए फँसाते हैं जो आपके डिवाइस को मैलवेयर से संक्रमित कर देता है। हम अगले महीने phishing के बारे में और बात करेंगे। Smishing और Vishing, phishing के ही रूप हैं जो क्रमशः टेक्स्ट संदेश और वॉइस कॉल के माध्यम से होते हैं। वे कॉलर ID में अपनी इच्छानुसार कोई भी नाम दिखा सकते हैं, इसलिए वे किसी ऐसे व्यक्ति का रूप धारण कर सकते हैं जिस पर आप भरोसा करते हैं और आपसे कह सकते हैं कि उन्हें नया नंबर मिल गया है या उन्हें आपसे कोई काम करवाना है। उदाहरण: आपको दूसरी शाखा की Janet का एक “अत्यावश्यक” वॉइसमेल मिलता है कि उसका डेटाबेस बंद है और उसे किसी विशेष ग्राहक की खाता जानकारी तुरंत चाहिए। जब आप “Janet” को वापस कॉल करते हैं, तो आप phisher के साथ व्यक्तिगत जानकारी साझा कर देते हैं, जो उस डेटा का उपयोग उस ग्राहक के बैंक खाते से छेड़छाड़ करने के लिए करता है।Physical Breaches
सोशल इंजीनियर कभी-कभी कर्मचारी या डिलीवरी ड्राइवर जैसे मिलनसार चेहरों का रूप धारण कर किसी इमारत में प्रवेश पा लेते हैं, और फिर अंदर अकेले छोड़े जाने पर कंप्यूटरों से छेड़छाड़ करते हैं या निजी कागज़ात खंगालते हैं। उदाहरण: डाकिये की वर्दी पहने कोई व्यक्ति पैकेजों का ढेर सँभालते हुए आपके पीछे आता है। आप अपने कार्यालय में प्रवेश करते समय शिष्टतापूर्वक उसके लिए दरवाज़ा खोले रखते हैं, लेकिन पता चलता है कि वह डाकिया वास्तव में भेष बदले हुए साइबर अपराधी था। पैकेजों में क्या था? हैकिंग डिवाइस, जिन्हें वह आपके नेटवर्क से छेड़छाड़ करने के लिए कंपनी के कंप्यूटरों और सर्वरों में लगा देता है।ज्ञान ही शक्ति है!
सोशल इंजीनियर माहिर जोड़-तोड़ करने वाले होते हैं, लेकिन वे दिमाग़ पर नियंत्रण नहीं करते। बेशक, हैकर आपको धोखा देने की कोशिश करेंगे, लेकिन अपने संगठन की बेहतर सुरक्षा करने की शक्ति आपके पास है। सोशल इंजीनियरिंग की तकनीकों के बारे में अधिक जानकर, आप स्वयं को दुर्भावनापूर्ण तत्वों को पहचानने के लिए आवश्यक ज्ञान से लैस कर रहे हैं। अपने प्रभाव पर गर्व करें और अपनी नई जानकारी को अपने सहकर्मियों (और अपने प्रियजनों) के साथ साझा करें, ताकि सभी सुरक्षित रह सकें।