,

۸ تکنیک رایج در مهندسی اجتماعی که توسط مجرمان استفاده میشود

مهندسی اجتماعی و تکنیک های social engineering

سرقت آوای انتظار شرکت، جعل هویت تماس گیرنده و تکنیک های جدید و قدیم دیگر مهندسی اجتماعی برای به چنگ آوردن کلمات عبور و یا سود توسط هکرها و مجرمین. آگاهی از تاکتیک های آنها اولین خط دفاع شما است.

هکر معروف، Kevin Mitnick باعث رایج شدن عبارت “مهندسی اجتماعی” در دهه ۹۰ شده است اما ایده ی اصلی این عبارت ( فریب دادن کسی به منظور انجام کاری یا افشای اطلاعات حساس) از سال ها پیش وجود داشته است. کارشناسان میگویند که تکنیک های هکر ها برای دزدیدن پسورد و نصب بدافزار و یا کسب منفعت، ترکیبی از روش های قدیمی و جدید میباشد.

در اینجا، رایج ترین شیوه ها برای مهندسی اجتماعی از طریق تلفن و ایمیل و وب را مرور میکنیم.

 

تکنیک اول مهندسی اجتماعی : ده درجه جدایی

اولین هدف یک مهندس اجتماعی که از تلفن استفاده میکند، آن است که هدفش را متقاعد کند که او یک همکار و یا یک شخص خارج سازمانی قابل اعتماد (مثل مجری قانون یا بازرس) میباشد. اما اگر هدف نهایی او، کسب اطلاعات درباره شخصی خاص باشد، اولین تماس و ایمیل های او ممکن است به فرد دیگری غیر از خود او باشد.

وقتی که بحث جرم باشد، بازی قدیمی شش درجه جدایی، لایه های بیشتری دارد. طبق گفته های Sal Lifrieri، ( مامور اداره پلیس نیویورک که بیست سال سابقه دارد و در حال حاضر مشغول آموزش تکنیک های مهندسی اجتماعی در سازمان Protective Operations میباشد) ممکن است بین هدف مجرم و شخصی که ماجرا با آن شروع میشود، ده قدم فاصله باشد.

او میگوید: ” من در جلسات آموزشی ام ، به مردم می گویم که همیشه باید کمی متوهم و تحلیلگر باشید زیرا شما هرگز نمی دانید که دیگران از شما چه می خواهند. هدف قرار دادن کارکنان یک سازمان از نگهبان پارکنیگ و آبدارچی شروع میشود. به همین خاطر است که تمام کارکنان را باید آگاه کرد و آموزش داد. منشی یا مسئول خدماتی که مجرم کارش را با آن شروع میکند، ممکن است تنها ده قدم با شخص مورد نظر مجرم فاصله داشته باشد.”

او میگوید جنایتکاران از ایده های ساده ای استفاده می کنند تا به افراد قابل دسترس تر در یک سازمان نزدیک شده و بتوانند به اطلاعات بیشتری در مورد فردی با سلسله مراتب بالاتر دسترسی پیدا کنند.

Lifrieri میگوید: “تکنیک معمول [برای جنایتکار] صمیمی و دوستانه بودن است تا بتوانند به راحتی بگویند: میخواهم با شما بیشتر آشنا شوم. میخواهم اتفاقات زندگی شما را بدانم. آنها خیلی زود به اطلاعاتی دست میباند که امکان نداشت یک هفته پیش در اختیار کسی بگذارید.”

تکنیک دوم : یاد گرفتن زبان صنفی و ویژه ی آن شرکت

یک مهندس اجتماعی خلاف کار، زبان مخصوص آن سازمان را به خوبی مطالعه میکند و سعی میکند آن را به بهترین نحو ادا کند.

Lifrieri میگوید: “همه چیز مربوط به نشانه های محیطی است. اگر من به زبانی صحبت کنم که شما میشناسیدش، به من اعتماد میکنید. اگر من از عبارات و اصلاحاتی استفاده کنم که شما عادت به شندینشان دارید، بیشتر راغب میشوید اطلاعات مورد نظرم را در اختیار من بگذارید.”

 

تکنیک سوم: آوای انتظار

کلاهبرداران موفق نیاز به زمان، پرستیژ و صبر دارند. اغلب، حملات به طور آهسته و روشمند انجام میشود. گردآوری اطلاعات فقط شامل اطلاعات شخصی افراد نمیشود بلکه جمع آوری دیگر نشانه های اجتماعی هم برای ایجاد اعتماد و فریب دیگران نیاز است.

یکی دیگر از تکنیک های های موفق مهندسی اجتماعی، حفظ کردن آوای انتظار شرکت است.

Lifrieri میگوید: “مجرم، آوای انتظار را حفظ و ضبط کرده و در جهت منافعش استفاده میکند. وقتی او به قربانی اش تلفن میکند، برای مدتی با هم صحبت میکنند و بعد میگوید <خط دیگر تلفن من زنگ میخورد. منتظر باشید> و سپس او را پشت خط میگذارد. قربانی، موسیقی آشنای شرکت را میشنود و پیش خودش میگوید <او حتما در همین شرکت کار میکند. این موسیقی خودمان است>. این فقط یک نشانه روانی است.”

مرتبط : ۲۱ راه برای هکر شدن البته یک هکر کلاه سفید

تکنیک چهارم: جعل شماره تلفن (Phone-number spoofing)

این لینک را بخوانید: make a different number show up on the target’s caller ID

مجرمان اغلب از این روش استفاده میکنند.

Lifrieri میگوید: ” مجرم میتواند در آپارتمانش بنشیند و با شما تماس بگیرد، اما شماره ای که روی دستگاه ظاهر میشود، از شماره های شرکت باشد.”

به طور قطع اگر شماره تلفن آشنا باشد، قربانی غیر شکاک، اطلاعات خصوصی از جمله پسورد ها را از طریق تلفن در اختیار شخص دیگر میگذارد.

 

تکنیک پنجم: استفاده از اخبار بر ضد خودتان

said Dave Marcus، مدیر پژوهش های امنیت و ارتباطات در McAfee Avert Labs میگوید: ” افراد بد با استفاده از مطالبی که در صدر اخبار گفته میشود سعی میکنند با اسپم و فیشینگ به کلاهبرداری بپردازند.”

Marcus میگوید که ما در زمان انتخابات ریاست جمهوری شاهد افزایش تعداد ایمیل های اسپم مربوط به انتخابات بودیم.

اومیگوید: ” تعداد زیادی حمله فیشینگ مربوط به بانک ها وجود داشته است. ایمیل میگوید <بانک شما، توسط این بانک خریده شده است. برای اطلاعات بیشتر بر روی این لینک کلیک کنید>. این تلاشی برای به دست آوردن اطلاعات شماست تا بتوانند به حساب شما وارد شده و پول و اطلاعاتتان را سرقت کرده یا به شخص دیگری انتقال دهند.”

مرتبط : هکر کلاه سفید کیست و چگونه یک هکر کلاه سفید شویم ؟

تکنیک ششم: سوء استفاده از اعتماد در سایت های شبکه های اجتماعی

Facebook, Myspace و Linkedin شبکه های اجتماعی بسیار رایجی هستند و مردم اعتماد زیادی به آنها دارند. اخیرا یک حمله فیشینگ، کاربران LinkedIn را هدف قرار داده است. این حمله برای همه غافلگیر کننده بوده است. Marcus میگوید ایمیل هایی که به نظر میرسد از این شبکه ها ارسال میشوند به طور فزاینده ای زیاد شده است در حالیکه این ایمیل ها از طریق کلاهبرداران آمده است.

او میگوید: ” “آنها یک ایمیل دریافت می کنند که می گوید:< این سایت در حال انجام تعمیرات است، اینجا را کلیک کنید تا اطلاعات خود را به روز کنید.> البته، هنگامی که روی لینک کلیک می کنید، به سایت “افراد بد” می روید. “.

وی توصیه می کند تا کارمندان به منظور دستیابی به هر سایت، آدرس های وب را به صورت دستی تایپ کنند تا از لینک های مخرب جلوگیری کنند. و همچنین به خاطر داشته باشند که این موضوع بسیار نادر است که یک سایت برای تغییر رمز عبور یا به روز رسانی حساب کاربری، درخواستی ارسال کند.

 

تکنیک هفتم:  URL جعلی و استفاده از خطای تایپی

طبق گفته های Marcus، مجرمان بر روی اشتباهات رایج مردم در هنگام تایپ، سرمایه گذاری میکنند. وقتی یک URL را تایپ میکنید و یک حرف را جا می اندازید، به طور ناگهانی میتوانید پیامدهای ناخواسته ای را تجربه کنید.

او میگوید: “مجرمان آماده ی خطاهای تایپی شما هستند. آنها سایتی را آماده میکنند که دقیقا شبیه سایت مورد نظر شما میباشد مثلا گوگل.”

وقتی که کاربران دچار خطای تایپی میشوند، به یک سایت جعلی میروند که در آنجا ممکن است چیزی سرقت یا جایگزین شده و یا بدافزار نصب شود.

 

تکنیک هشتم: استفاده از FUD به منظور تاثیر گذاشتن بر روی بازار سهام

امنیت و آسیب پذیری محصولات یک شرکت و یا کل شرکت می توانند بر روی بازار سهام آنها تاثیر گذار باشند. محققان تأثیر حوادثی نظیر ارائه وصله جدید مایکروسافت را در بازار سهام شرکت بررسی کردند و متوجه شده اند که هر ماه پس از انتشار اطلاعات آسیب پذیری، بازار آنها نوسان قابل توجهی پیدا کردند.

Marcus میگوید: “اطلاعات عمومی منتشر شده بر روی قیمت سهام تاثیر می گذارد. یکی دیگر از نمونه ها اعلام اخبار جعلی در مورد سلامت مدیر عامل یک شرکت است که می تواند تاثیر روانی زیادی در ارزش سهام آن شرکت در کوتاه مدت بگذارد. این یک نمونه واضح از FUD و اثر ناشی از آن در سهام است. ” احتمالا مجرمان موقعیتی کوتاه پیدا می کنند که به آنها اجازه می داد از این ترفند سود ببرد.

برای مثال مهندسی اجتماعی در بازار ارز ایران نیز می باشد که با شایعه ای می توانند تغییرات ناگهانی در قیمت آن بوجود بیاورند و در این مدت از تغییرات بوجود آمده استفاده نمایند.

رویکرد گفتگو استفاده از ایمیل برای اجرای تاکتیک “pump-and-dumping” قدیمی است. کلاهبردار می تواند حجم زیادی از سهام را خریداری کند، ایمیل های انفجاری را تحت پوشش یک مشاور سرمایه گذاری قرار دهد که توانایی بالقوه این سهام را دارد (یعنی ” pump “). اگر تعداد کافی از گیرندگان این ایمیل اسپم برای خرید سهام اقدام کنند، قیمت آن بالا خواهد رفت. کلاهبردار سپس به سرعت سهام خود را با یک سود بزرگ به فروش میرساند.

مسائلی که در اینجا گفته شد اغلب تکنیک های قدیمی مهندسی اجتماعی است که زمانی در دنیا رایج بوده است، امروز از تکنیک های جدیدتر و متنوع تری برای این کار استفاده می کنند که در آینده به آنها نیز خواهیم پرداخت. امیدواریم با روشن کردن این مسائل کمکی به امنیت سازمان ها و در نهایت امنیت ملی کشور انجام دهیم.

 

مرتبط : ۲۰ هکر کلاه سیاه که خطرناک ترین هکرهای معروف دنیا هستند

مرتبط : اف سکیور راه مقابله با حمله سایبری “پیشخدمت شیطانی” را تشریح می کند

 


۸ تکنیک رایج در مهندسی اجتماعی که توسط مجرمان استفاده میشود


 

0 پاسخ

دیدگاه خود را ثبت کنید

Want to join the discussion?
Feel free to contribute!

دیدگاهتان را بنویسید

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *