Sosyal Mühendislik Nedir?
Sosyal mühendislik, bir siber suçlunun teknolojiyi değil insanları manipüle ederek sahip olmaması gereken erişime, bilgiye veya kaynaklara ulaşmasıdır. Bilgisayar korsanlarının bir sisteme en sık güvenlik duvarını aşarak veya gelişmiş bir parola kırma algoritması kullanarak sızdığını düşünebilirsiniz; ancak çoğu zaman ihlaller sosyal mühendislik sonucunda gerçekleşir. Bilgisayar korsanları, teknolojik engelleri hedef almak yerine, kuruluşunuzdaki kişilerin şirketin en büyük güvenlik zafiyeti olduğunu varsayarak onları manipüle etmenin bir yolunu “mühendislik” ürünü olarak tasarlar. Kötü niyetli kişiler “sosyal” bir durum kurgular (genellikle bu, bilgisayar korsanının kendi yarattığı bir sorundur!); sosyal mühendislik adı da buradan gelir. Kısacası sosyal mühendis, sizi kendisi için bir şey yapmaya veya özel bilgilere erişim vermeye ikna etmek için son derece inandırıcı bir hikâye uydurur.
Nasıl Çalışır?
Siber suçluların güveninizi kazanmak ve ardından ona ihanet etmek için kullandığı çeşitli psikolojik teknikler vardır. İşte bunlardan birkaçı.Hazırlama (Priming)
Hazırlama, sosyal mühendisin buzları eritmek ve daha meşru görünmek için konuşmayı duygusal olarak yüklemesidir. Bu, kurbanların sorularına yanıt verme olasılığını artırır. Belki konuşmaya sabahının ne kadar zor geçtiğini anlatarak başlarlar ya da arka planda koşuşturan çocukların ses kaydını çalıp anne/babanın telefonda olduğunu söyleyerek onlardan sessiz olmalarını istiyormuş gibi yaparlar. Çocuklar işte, değil mi?Çerçeveleme (Framing)
Reklam programlarını hatırlıyor musunuz (Billy Mays’i çok sevdiğimiz için OxiClean’in 20 dakikalık reklamını izlediğimiz günleri)? Ürünün fiyatını asla doğrudan söylemezlerdi. Bunun yerine “Sadece 49,99 !” derlerdi. İşte bu çerçevelemedir; bilgi, sizin onu algılama biçiminizi manipüle edecek şekilde sunulur. 78 adeta kelepir gibi gelir. Siber suçlular da aynısını yapar; bilgileri veya talepleri, tepkinizi tasarlamak üzere kurgulanmış akıllıca yollarla size sunarlar. Bir dahaki sefere, bir iTunes hediye kartı göndermediğiniz takdirde ailesini doyuramayacak olan bir yabancıdan e-posta aldığınızda kendinize şunu sorun: “Bunu benden doğrudan isteseydi, evet der miydim?”Kayıptan Kaçınma (Loss Aversion)
Marie Kondo ile Derli Toplu Yaşam furyasının zirvesinde eşyalarınızı ayıklamaya koyulup neredeyse hiçbir şeyden vazgeçemediğinizi fark ettiyseniz, yalnız değilsiniz. İnsanlar sahip oldukları şeylerden ayrılmaktan olağanüstü derecede kaçınır. Sosyal mühendisler, olası kurbanın gözü önünde bir şeyin (çoğunlukla paranın) kaybı ihtimalini sallayarak bundan yararlanır; bu da muhakemeyi bulandırır ve kişiyi iş birliği yapmaya veya kişisel bilgilerini paylaşmaya daha istekli hale getirir.Otorite Yanlılığı (Authority Bias)
Ebeveynlerinizin her zaman haklı olmadığını fark etmeniz ne kadar sürdü? İnsanlar, üzerlerinde otoritesi olan kişilerin görüşlerine refleks olarak güvenme eğilimindedir; ayrıca bir otorite figürü tarafından istendiğinde kendi çıkarlarına aykırı davranma olasılıkları çok daha yüksektir. Sosyal mühendisler, olası kurbanların taleplerini sorgulamasını engellemek için çoğunlukla bir yönetici gibi otorite figürü olarak poz verir.Aşinalık Yanlılığı (Familiarity Bias)
Bir lokantada gazlı içecek sipariş ediyorsunuz ve garson Coke mu yoksa Dacey Fizz mi istediğinizi soruyor. Hangisini seçersiniz? Coke, değil mi? İnsanlar bir seçimle karşı karşıya kaldığında, en tanıdık seçeneği seçme (ve ona güvenme) olasılıkları belirgin biçimde daha yüksektir. Sosyal mühendisler, birden fazla eylem seçeneği sunup sizin en tanıdık olanı, yani kendilerinin seçmenizi istediği seçeneği seçeceğinize güvenerek bundan yararlanabilir.
Bazı Örnekler Nelerdir?
Bilgisayar korsanlarının bir sisteme en sık güvenlik duvarını aşarak veya gelişmiş bir parola kırma algoritması kullanarak sızdığını düşünebilirsiniz; ancak çoğu zaman ihlaller sosyal mühendislik sonucunda gerçekleşir.Kimlik Avı (Phishing)
Kimlik avı, en popüler türü e-posta dolandırıcılıkları olmak üzere, sosyal mühendisliğin açık ara en yaygın biçimidir. Bu e-postalar sizi özel bilgileri paylaşmaya, bir bağlantıya tıklamaya veya cihazınıza kötü amaçlı yazılım bulaştıran bir eki açmaya yönlendirir. Kimlik avı hakkında gelecek ay daha fazla konuşacağız. Smishing ve Vishing, kimlik avının sırasıyla kısa mesaj ve sesli arama yoluyla gerçekleştirilen türleridir. Arayan kimliğinin istedikleri adla görünmesini sağlayabilirler; böylece güvendiğiniz biri gibi davranıp yeni numara aldıklarını söyleyebilir veya sizden kendileri için bir şey yapmanızı isteyebilirler. ÖRNEK: Başka bir şubeden Janet’ten, veritabanının çöktüğünü ve belirli bir müşteriyle ilgili hesap bilgilerine acilen ihtiyaç duyduğunu söyleyen “acil” bir sesli mesaj alırsınız. “Janet”i geri aradığınızda kişisel bilgileri kimlik avcısıyla paylaşırsınız; o da bu verileri söz konusu müşterinin banka hesabını ele geçirmek için kullanır.Fiziksel İhlaller
Sosyal mühendisler bazen bir binaya girmek için çalışan veya kurye gibi güven veren yüzler gibi davranır, ardından içeride gözetimsiz kaldıklarında bilgisayarları ele geçirir veya özel evrakları karıştırır. ÖRNEK: Postacı üniforması giyen biri, bir yığın paketi zar zor taşıyarak arkanızdan yaklaşır. Ofisinize girerken nezaketle kapıyı onun için açık tutarsınız, ancak postacının kılığına girmiş bir siber suçlu olduğu ortaya çıkar. Paketlerin içinde ne var? Şirket bilgisayarlarına ve sunucularına takarak ağınızı ele geçirmek için kullandığı saldırı cihazları.Bilgi Güçtür!
Sosyal mühendisler usta manipülatörlerdir, ancak zihin kontrolü uygulamazlar. Elbette bilgisayar korsanları sizi kandırmaya çalışacaktır, ancak kuruluşunuzu daha iyi korumanın gücü sizin elinizdedir. Sosyal mühendislik teknikleri hakkında daha fazla bilgi edinerek, kötü niyetli kişileri fark etmek için ihtiyaç duyduğunuz bilgiyle kendinizi donatmış olursunuz. Yarattığınız etkiyle gurur duyun ve yeni edindiğiniz bilgileri iş arkadaşlarınızla (ve sevdiklerinizle) paylaşın; böylece herkes güvende kalabilir.