- المشاركات
- 43
- مستوى التفاعل
- 0
- النقاط
- 6
الهندسة الاجتماعية "Social Engineering"
تُعرف أيضا باسم القرصنة البشرية، وهو فن خداع العاملين والمُستهلكين للكشف عن بيانات الاعتماد الخاصة بهم، ومن ثم استخدامها للوصول إلى الشبكات أو الحسابات وهي فن الوصول إلى المباني أو الأنظمة أو البيانات عن طريق استغلال علم النفس البشري بدلاً من اختراق أو استخدام تقنيات القرصنة التقنية للاستخراج معلومات سرية عن طريق التلاعب النفسي، وهي هجوم استراتيجي يعتمد على التفاعل البشري ونظام احتيال معقد وخداع الأفراد في إعطاء المعلومات الخاصة بهم ككلمة المرور ويفضل المُجرمون استغلال ثقة الناس بدلاً من التكنولوجيا، حيث أنه من الأسهل استغلال البشر للميل الطبيعي إلى الثقة، مما يؤدي إلى نقص الوعي لمثل هذه الجرائم، ناهيك عن أن الهندسة الاجتماعية تم التغاضي عنها ولا تُعامل على أنها تشكل تهديدا كبير.
المُهندس الاجتماعي فإنه يعيش بقدرته على التعامل مع الناس في القيام بالأشياء التي تُساعده على تحقيق هدفه، ولكن النجاح في هذا الأمر يتطلب غالباً قدرا كبيرا من المعرفة والمهارة في التعامل مع أنظمة الكمبيوتر وشبكات الهاتف، لذلك فإن المهندس الاجتماعي قادر على الاستفادة من الناس للحصول على المعلومات باستخدام التكنولوجيا أو بدونها.
كيف تعمل الهندسة الاجتماعية
جمع المعلومات هي المرحلة الأولى، من أجل الحصول على معلومات أكثر عن الضحية المقصودة، ويتم جمع المعلومات من مواقع الشركة، ومنشورات أخرى وأحيانًا عن طريق التحدث إلى مُستخدمي النظام المُستهدف، (التواصل معهم).
خطة الهجوم يحدد المهاجمون كيفية تنفيذ الهجوم، وما هي الأدوات والوسائل التي يمكن استخدامها في الهجوم.
أدوات الاستحواذ وتتضمن برامج الكمبيوتر التي سيستخدمها المُهاجم عند بدء الهجوم.
الهجوم هو استغلال نقاط الضعف في النظام المُستهدف، أو الأفراد.
استخدام المعرفة المُكستبة وذلك من خلال المعلومات التي تم تحصيلها من الأفراد أو المؤسسات
أقسام الهندسة الاجتماعية
❶ الهندسة القائمة على أساس بشري أو إنساني.
❷ الهندسة القائمة على أساس تقني وهي البرامج والتقنيات التي تُساعد الأشخاص الذين يسعون للحصول على المعلومات وبث الإشاعات للوصول الى المعلومة التي يريدون استغلالها ومن أمثلة ذلك :-
➀ الاحتيال الإلكتروني "Phishing"
هو محاولة الحصول على معلومات حساسة، مثل أسماء المُستخدمين وكلمات المرور وتفاصيل بطاقة الائتمان باستخدام البريد الإلكتروني، ومواقع البيع بالمزاد أو غير ذلك.
➁ الاحتيال الصوتي "Vising"
يعتمد هذا النوع على برنامج "War Dialler" وهو برنامج يقوم بالاتصال بالعديد من أرقام الهواتف المُختلفة في المنطقة، وبعد الاتصال يقوم الهاكر بانتظار ضحاياه، ويبدأ الخطر من لحظة رفع السماعة والإجابة على الرسالة الآلية التي تخبره أن بطاقته الائتمانية تخضع للسرقة وعمليات احتيالية وطلب رقم البطاقة، وبعض البيانات السرية وحينها يحصل الهاكر على ما يريد.
➂ الرسائل الاقتحامية المُزعجة "Spam"
يُعتبر استخدام الرسائل الاقتحامية الأسلوب الأكثر شيوعاً، حيث يتم إرسال نفس البريد الإلكتروني لملايين المُستخدمين مع طلب لتعبئة التفاصيل الشخصية، ويتم استخدام هذه التفاصيل من المُحتالين لأنشطتهم غير المشروعة، ومعظم الرسائل تأتي بمُذكرة عاجلة ويُطلب من المُستخدم إدخال بيانات الاعتماد لتحديث معلومات الحساب أو تغيير التفاصيل أو التحقق من الحسابات. وفي بعض الأحيان، قد يطلبوا تعبئة نموذج للوصول إلى خدمة جديدة من خلال رابط يتم توفيره في البريد الإلكتروني.
لماذا يلجأ مُعظم الهاكر لاستخدام الهندسة الاجتماعية
❶ سهولة الإعداد والتنفيذ
لقد أصبح من الصعب اختراق النظام واكتشاف ثغراته، وخاصة إذا كان ذلك النظام محميا من قبل أصحابه، إلا أن كل تلك المصاعب تزول إن وجدت شخصا يوصلك لها. وعلاوة على ذلك فإن الهندسة الاجتماعية لا تتطلب كثير من الهاكر سوى أن يتحلى بالود وحسن الأسلوب والثقة والتحليل الجيد للضحية؛ ليسهل عليه إقناعها، وهو أمر لا يحتاج إلى تعليم أو تدريب.
❷ قله الحماية والوعي لها
تهتم كثير من الشركات وتحرص على الحماية المادية للشركة، سواء ما يتعلق بالأقفال والأمن البشري وتدريب موظفيها، وفي المقابل ربما تجهل كثيراً عن الحماية من الهندسة الاجتماعية، فتعتقد مُعظم الشركات أن الأمن مسؤولية القسم الخاص بها، ولكنها في الحقيقة على كل موظف مسؤولية حماية نفسه وحماية المؤسسة، فالمعلومات التي تبدو صغيرة وغير مهمة، قد تكون نقطة هجوم الهاكر ومفتاحه الرئيسي.
❸ صعوبة الكشف والتعقب
تُعتبرجرائم الهندسة الاجتماعية من الجرائم النظيفة التي لا يوجد لها أدلة، أو أجهزة، فهي تعتمد كليا على البشرولذلك نجد أن من الصعب جداً كشفها.
الأساليب التي يتم استخدامها في الهندسة الاجتماعية
➀ الهاتف هو أكثر هجمات الهندسة الاجتماعية تقع عن طريق الهاتف، حيث يتصل المهاجم مُدعياً أنه شخص ذو منصب وله صلاحيات، ويقوم تدريجيا بسحب المعلومات من الضحية.
➁ البحث في المُهملات حيث توجد الكثير من المعلومات الهامة التي يمكن الحصول عليها من سلة مهملات الشخص أو الضحية.
➂ الهندسة الاجتماعية حيث يُمكن أن تكون في أي مكان على شبكة الإنترنت، ويُعرف هذا النوع من هجوم الهندسة الاجتماعية على أنها إعادة نظام الرد الآلي (الرد الصوتي التفاعلي) من خلال الرقم المجاني وخداع الناس بالاتصال برقم الهاتف وإدخال التفاصيل الخاصة بهم.
➃ استغلال الشائعات أصبحت شبكات التواصل الاجتماعي ومنها فيسبوك مصدراً من مصادر انتشار الشائعات وبشكل سريع جدا، بالتالي باتت المُساهمَ الأكبر في نشر الشائعات بشكل أو بآخر، وهي مصدر تسهيل عمل من ينوي استغلال الشائعات لتغليف روابطهم الخبيثة بها.
➄ استغلال عواطف الضحية وطباعه الشخصية ويقصد باستغلال العواطف الشخصية استخدام نصوص أو صور تُخاطب عاطفة الضحية وتؤدي إلى سقوطه في فخ فتح وتشغيل الملف الخبيث أو فتح رابط خبيث، ويمكن أن تكون العواطف عواطف سلبية أو ايجابية.
➅ استغلال المواضيع الساخنة بشكل مشابه لاستغلال الشائعات، يستغل المُهاجمون المواضيع الساخنة لتمرير عمليات احتيالهم بعكس الشائعات.
➆ استغلال موضوع الأمن الرقمي وضعف الخبرة التقنية للضحية في هذا النوع من الهندسة الاجتماعية يدعي المُهاجم أن رابطا ما أو ملفا ما سيُسهم في حماية جهاز الضحية، في حين أنه في حقيقة الأمر الملف أو الرابط خبيث، وسيُسهم في تدمير الجهاز أو الحصول على معلومات مُعينة.
➇ انتحال الشخصي يمكن للمهاجم أن ينشئ مثلا حسابا على فيسبوك، أو بريد إلكتروني باسم مُستعار أو باسم مُطابق لاسم صديق لك أو لاسم شخص تعرفه بنية انتحال الشخصية.
➈ استغلال السُمعة الجيدة لتطبيقات مُعينة ومن هنا يدعي المهاجم أن رابطا أو ملفا هو نفسه النسخة المُحدثة مثلا من تطبيق معين، لكنه في الحقيقة يتضمن ملفا خبيثا، وهناك أيضا حالات أخرى يقوم فيها الرابط بتحميل الملف الخبيث وتنصيبه ثم تحميل التطبيق الحميد الحقيقي وتنصيبه بحيث يعتقد الضحية أنه قام بتنصيب التطبيق الحميد.
➉ التصيد الاحتيالي وهو النوع الأكثر شيوعاً من هجوم الهندسة الاجتماعية ، حيث يقوم المهاجم بإعادة إنشاء بوابة موقع على شبكة الإنترنت أو يحصل على دعم من شركة مشهورة ويرسل الرابط للضحايا عبر رسائل البريد الإلكتروني أو المنابر الإعلامية والاجتماعية.
الحماية من الهندسة الاجتماعية
أولاً : كيف نحمي أنفسنا من الهندسة الاجتماعية ؟
عدم مُشاركة أي معلومات أو أي بيانات شخصية مع أي جهة كانت، فعلى الرغم من سهولة القيام بهذا الأمر إلا أن الكثير من المستخدمين يغفلون عن هذه النصيحة.
التحقق دائماً من الأشخاص الذين تتحدث إليهم، سواءً عبر الهاتف أو عبر البريد الإلكتروني أو خدمات التواصل الفوري وغيرها، فمثلاً لو كان المُتصل من شركة رسمية فلا تجد حرجاً أن تطلب منه معلوماته الكاملة وأن يقوم بالاتصال من رقم هاتف رسمي يُمكن التحقق منه.
عدم فتح مُرفقات البريد الإلكتروني من أشخاص غير معروفين، نظرا لكون هذه الطريقة مستعملة على نطاق واسع لنشر البرمجيات الخبيثة، أو الحصول على المعلومات الشخصية، وذلك من خلال انتحال هوية شركات كبرى وإرفاق بعض الملفات في البريد.
العمل على تأمين الهاتف الذكي أو الحاسب المحمول، وفلترة البريد المُزعج من خلال الاعتماد على أدوات خاصة، وكذا برامج قوية لمُكافحة الفيروسات ورسائل وصفحات التصيد.
ثانياً : التدابير الوقائية ضد الهندسية الاجتماعية
من الملاحظ أن مُعدل نجاح الجرائم الحاسوبية يرتفع بشكل مُطرد، وهو أمر راجع إلى زيادة مُستوى الهندسة الاجتماعية، والعروض التي يتم تقديمها من طرف جهات خبيثة.
❶ السياسة الأمنية: وهي سياسة مكتوبة بشكل جيد، وينبغي أن تشمل النهج التقني وغير التقني. وينبغي إدماج كل منظمة الأمن في أهدافها التشغيلية.
❷ التعليم والتدريب: يتعين على الموظفين حضور التداريب المطلوب، كما يتعين على المنظمات برمجة دورات تدريبية تنشيطية من حين لآخر.
❸ توجيه شبكة الاتصال: يجب أن تكون لدى المُنظمة خطة لحماية شبكة الاتصال بمواقع "whitelisting" وتعطيل التطبيقات غير المُستخدمة والمنافذ، وعلى مُستخدمي الشبكة الحفاظ على كلمات السر المُعقدة والتي يجب أن تتغير كل 60 يوماً.
➍ عمليات مُراجعة الحسابات: المُنظمات التي لها نشاط عليها التحقق من التقيد بسياسة الأمن، والتي تشمل العناصر الهامة المُتعلقة بأمن الأشخاص والمُنظمة.
تُعرف أيضا باسم القرصنة البشرية، وهو فن خداع العاملين والمُستهلكين للكشف عن بيانات الاعتماد الخاصة بهم، ومن ثم استخدامها للوصول إلى الشبكات أو الحسابات وهي فن الوصول إلى المباني أو الأنظمة أو البيانات عن طريق استغلال علم النفس البشري بدلاً من اختراق أو استخدام تقنيات القرصنة التقنية للاستخراج معلومات سرية عن طريق التلاعب النفسي، وهي هجوم استراتيجي يعتمد على التفاعل البشري ونظام احتيال معقد وخداع الأفراد في إعطاء المعلومات الخاصة بهم ككلمة المرور ويفضل المُجرمون استغلال ثقة الناس بدلاً من التكنولوجيا، حيث أنه من الأسهل استغلال البشر للميل الطبيعي إلى الثقة، مما يؤدي إلى نقص الوعي لمثل هذه الجرائم، ناهيك عن أن الهندسة الاجتماعية تم التغاضي عنها ولا تُعامل على أنها تشكل تهديدا كبير.
المُهندس الاجتماعي فإنه يعيش بقدرته على التعامل مع الناس في القيام بالأشياء التي تُساعده على تحقيق هدفه، ولكن النجاح في هذا الأمر يتطلب غالباً قدرا كبيرا من المعرفة والمهارة في التعامل مع أنظمة الكمبيوتر وشبكات الهاتف، لذلك فإن المهندس الاجتماعي قادر على الاستفادة من الناس للحصول على المعلومات باستخدام التكنولوجيا أو بدونها.
كيف تعمل الهندسة الاجتماعية
جمع المعلومات هي المرحلة الأولى، من أجل الحصول على معلومات أكثر عن الضحية المقصودة، ويتم جمع المعلومات من مواقع الشركة، ومنشورات أخرى وأحيانًا عن طريق التحدث إلى مُستخدمي النظام المُستهدف، (التواصل معهم). خطة الهجوم يحدد المهاجمون كيفية تنفيذ الهجوم، وما هي الأدوات والوسائل التي يمكن استخدامها في الهجوم. أدوات الاستحواذ وتتضمن برامج الكمبيوتر التي سيستخدمها المُهاجم عند بدء الهجوم. الهجوم هو استغلال نقاط الضعف في النظام المُستهدف، أو الأفراد. استخدام المعرفة المُكستبة وذلك من خلال المعلومات التي تم تحصيلها من الأفراد أو المؤسساتأقسام الهندسة الاجتماعية
❶ الهندسة القائمة على أساس بشري أو إنساني.
❷ الهندسة القائمة على أساس تقني وهي البرامج والتقنيات التي تُساعد الأشخاص الذين يسعون للحصول على المعلومات وبث الإشاعات للوصول الى المعلومة التي يريدون استغلالها ومن أمثلة ذلك :-
➀ الاحتيال الإلكتروني "Phishing"
هو محاولة الحصول على معلومات حساسة، مثل أسماء المُستخدمين وكلمات المرور وتفاصيل بطاقة الائتمان باستخدام البريد الإلكتروني، ومواقع البيع بالمزاد أو غير ذلك.
➁ الاحتيال الصوتي "Vising"
يعتمد هذا النوع على برنامج "War Dialler" وهو برنامج يقوم بالاتصال بالعديد من أرقام الهواتف المُختلفة في المنطقة، وبعد الاتصال يقوم الهاكر بانتظار ضحاياه، ويبدأ الخطر من لحظة رفع السماعة والإجابة على الرسالة الآلية التي تخبره أن بطاقته الائتمانية تخضع للسرقة وعمليات احتيالية وطلب رقم البطاقة، وبعض البيانات السرية وحينها يحصل الهاكر على ما يريد.
➂ الرسائل الاقتحامية المُزعجة "Spam"
يُعتبر استخدام الرسائل الاقتحامية الأسلوب الأكثر شيوعاً، حيث يتم إرسال نفس البريد الإلكتروني لملايين المُستخدمين مع طلب لتعبئة التفاصيل الشخصية، ويتم استخدام هذه التفاصيل من المُحتالين لأنشطتهم غير المشروعة، ومعظم الرسائل تأتي بمُذكرة عاجلة ويُطلب من المُستخدم إدخال بيانات الاعتماد لتحديث معلومات الحساب أو تغيير التفاصيل أو التحقق من الحسابات. وفي بعض الأحيان، قد يطلبوا تعبئة نموذج للوصول إلى خدمة جديدة من خلال رابط يتم توفيره في البريد الإلكتروني.
لماذا يلجأ مُعظم الهاكر لاستخدام الهندسة الاجتماعية
❶ سهولة الإعداد والتنفيذ
لقد أصبح من الصعب اختراق النظام واكتشاف ثغراته، وخاصة إذا كان ذلك النظام محميا من قبل أصحابه، إلا أن كل تلك المصاعب تزول إن وجدت شخصا يوصلك لها. وعلاوة على ذلك فإن الهندسة الاجتماعية لا تتطلب كثير من الهاكر سوى أن يتحلى بالود وحسن الأسلوب والثقة والتحليل الجيد للضحية؛ ليسهل عليه إقناعها، وهو أمر لا يحتاج إلى تعليم أو تدريب.
❷ قله الحماية والوعي لها
تهتم كثير من الشركات وتحرص على الحماية المادية للشركة، سواء ما يتعلق بالأقفال والأمن البشري وتدريب موظفيها، وفي المقابل ربما تجهل كثيراً عن الحماية من الهندسة الاجتماعية، فتعتقد مُعظم الشركات أن الأمن مسؤولية القسم الخاص بها، ولكنها في الحقيقة على كل موظف مسؤولية حماية نفسه وحماية المؤسسة، فالمعلومات التي تبدو صغيرة وغير مهمة، قد تكون نقطة هجوم الهاكر ومفتاحه الرئيسي.
❸ صعوبة الكشف والتعقب
تُعتبرجرائم الهندسة الاجتماعية من الجرائم النظيفة التي لا يوجد لها أدلة، أو أجهزة، فهي تعتمد كليا على البشرولذلك نجد أن من الصعب جداً كشفها.
الأساليب التي يتم استخدامها في الهندسة الاجتماعية
➀ الهاتف هو أكثر هجمات الهندسة الاجتماعية تقع عن طريق الهاتف، حيث يتصل المهاجم مُدعياً أنه شخص ذو منصب وله صلاحيات، ويقوم تدريجيا بسحب المعلومات من الضحية.
➁ البحث في المُهملات حيث توجد الكثير من المعلومات الهامة التي يمكن الحصول عليها من سلة مهملات الشخص أو الضحية.
➂ الهندسة الاجتماعية حيث يُمكن أن تكون في أي مكان على شبكة الإنترنت، ويُعرف هذا النوع من هجوم الهندسة الاجتماعية على أنها إعادة نظام الرد الآلي (الرد الصوتي التفاعلي) من خلال الرقم المجاني وخداع الناس بالاتصال برقم الهاتف وإدخال التفاصيل الخاصة بهم.
➃ استغلال الشائعات أصبحت شبكات التواصل الاجتماعي ومنها فيسبوك مصدراً من مصادر انتشار الشائعات وبشكل سريع جدا، بالتالي باتت المُساهمَ الأكبر في نشر الشائعات بشكل أو بآخر، وهي مصدر تسهيل عمل من ينوي استغلال الشائعات لتغليف روابطهم الخبيثة بها.
➄ استغلال عواطف الضحية وطباعه الشخصية ويقصد باستغلال العواطف الشخصية استخدام نصوص أو صور تُخاطب عاطفة الضحية وتؤدي إلى سقوطه في فخ فتح وتشغيل الملف الخبيث أو فتح رابط خبيث، ويمكن أن تكون العواطف عواطف سلبية أو ايجابية.
➅ استغلال المواضيع الساخنة بشكل مشابه لاستغلال الشائعات، يستغل المُهاجمون المواضيع الساخنة لتمرير عمليات احتيالهم بعكس الشائعات.
➆ استغلال موضوع الأمن الرقمي وضعف الخبرة التقنية للضحية في هذا النوع من الهندسة الاجتماعية يدعي المُهاجم أن رابطا ما أو ملفا ما سيُسهم في حماية جهاز الضحية، في حين أنه في حقيقة الأمر الملف أو الرابط خبيث، وسيُسهم في تدمير الجهاز أو الحصول على معلومات مُعينة.
➇ انتحال الشخصي يمكن للمهاجم أن ينشئ مثلا حسابا على فيسبوك، أو بريد إلكتروني باسم مُستعار أو باسم مُطابق لاسم صديق لك أو لاسم شخص تعرفه بنية انتحال الشخصية.
➈ استغلال السُمعة الجيدة لتطبيقات مُعينة ومن هنا يدعي المهاجم أن رابطا أو ملفا هو نفسه النسخة المُحدثة مثلا من تطبيق معين، لكنه في الحقيقة يتضمن ملفا خبيثا، وهناك أيضا حالات أخرى يقوم فيها الرابط بتحميل الملف الخبيث وتنصيبه ثم تحميل التطبيق الحميد الحقيقي وتنصيبه بحيث يعتقد الضحية أنه قام بتنصيب التطبيق الحميد.
➉ التصيد الاحتيالي وهو النوع الأكثر شيوعاً من هجوم الهندسة الاجتماعية ، حيث يقوم المهاجم بإعادة إنشاء بوابة موقع على شبكة الإنترنت أو يحصل على دعم من شركة مشهورة ويرسل الرابط للضحايا عبر رسائل البريد الإلكتروني أو المنابر الإعلامية والاجتماعية.
الحماية من الهندسة الاجتماعية
أولاً : كيف نحمي أنفسنا من الهندسة الاجتماعية ؟
عدم مُشاركة أي معلومات أو أي بيانات شخصية مع أي جهة كانت، فعلى الرغم من سهولة القيام بهذا الأمر إلا أن الكثير من المستخدمين يغفلون عن هذه النصيحة. التحقق دائماً من الأشخاص الذين تتحدث إليهم، سواءً عبر الهاتف أو عبر البريد الإلكتروني أو خدمات التواصل الفوري وغيرها، فمثلاً لو كان المُتصل من شركة رسمية فلا تجد حرجاً أن تطلب منه معلوماته الكاملة وأن يقوم بالاتصال من رقم هاتف رسمي يُمكن التحقق منه. عدم فتح مُرفقات البريد الإلكتروني من أشخاص غير معروفين، نظرا لكون هذه الطريقة مستعملة على نطاق واسع لنشر البرمجيات الخبيثة، أو الحصول على المعلومات الشخصية، وذلك من خلال انتحال هوية شركات كبرى وإرفاق بعض الملفات في البريد. العمل على تأمين الهاتف الذكي أو الحاسب المحمول، وفلترة البريد المُزعج من خلال الاعتماد على أدوات خاصة، وكذا برامج قوية لمُكافحة الفيروسات ورسائل وصفحات التصيد.ثانياً : التدابير الوقائية ضد الهندسية الاجتماعية
من الملاحظ أن مُعدل نجاح الجرائم الحاسوبية يرتفع بشكل مُطرد، وهو أمر راجع إلى زيادة مُستوى الهندسة الاجتماعية، والعروض التي يتم تقديمها من طرف جهات خبيثة.
❶ السياسة الأمنية: وهي سياسة مكتوبة بشكل جيد، وينبغي أن تشمل النهج التقني وغير التقني. وينبغي إدماج كل منظمة الأمن في أهدافها التشغيلية.
❷ التعليم والتدريب: يتعين على الموظفين حضور التداريب المطلوب، كما يتعين على المنظمات برمجة دورات تدريبية تنشيطية من حين لآخر.
❸ توجيه شبكة الاتصال: يجب أن تكون لدى المُنظمة خطة لحماية شبكة الاتصال بمواقع "whitelisting" وتعطيل التطبيقات غير المُستخدمة والمنافذ، وعلى مُستخدمي الشبكة الحفاظ على كلمات السر المُعقدة والتي يجب أن تتغير كل 60 يوماً.
➍ عمليات مُراجعة الحسابات: المُنظمات التي لها نشاط عليها التحقق من التقيد بسياسة الأمن، والتي تشمل العناصر الهامة المُتعلقة بأمن الأشخاص والمُنظمة.
