الهندسه الاجتماعيه " فن اختراق العقول " ماهى وكيف تحمى نفسك منها وما هى خطورتها على المجتمع ؟ أن الهندسة الاجتماعية تعيش أيامها الذهبية ولقد سهّل الذعر واليأس من الاحداث الصحيه الماضيه فى العالم ومع تزايد الدخل والمخاوف الصحية على المجرمين استهداف ضحايا جدد. وتعني الهندسة الاجتماعية بكل بساطه " اختراق " المستخدم بدلاً من نظام الحوسبة نفسه مع محاولة استخراج المعلومات أو حث المستخدم على اتخاذ إجراء يؤدي إلى كشفها. إنها بالطبع طريقة قديمة جداااا ولكنها تحمل اسم جديد يناسب عصر الحوسبة الذي نعيش فيه اليوم . يعرف متخصصين أمن المعلومات أن أساليب المتسللين لا حصر لها. وفيما يلي بعض التكتيكات التي يراها خبراء الهندسة الاجتماعية في الارتفاع في عام 2021 .
1- QRالخبيثة : او اكواد الاستجابه السريعة quick response:
لقد ظهر الاحتيال من خلال هذه الطريقة على السطح خلال العام الماضي . ولقد أصبحت رموز QR طريقة شائعة بشكل متزايد للشركات من اجل التفاعل مع المستهلكين وتقديم الخدمات في خضم الظروف الصحيه السابقه . على سبيل المثال : تخلت العديد من المطاعم عن القوائم المطبوعة مما سمح لعملائها بمسح رمز الاستجابة السريعة ضوئيًا وذلك باستخدام هواتفهم الذكية.
ولكن العديد من مواقع الويب التي ترسل رموز QR تسمح للبائعين " الخارجيين " بالاستفادة من خدماتهم. وهذا بالطبع يعني أنه يمكن للمحتالين القيام باستخدام رمز الاستجابة السريعة المشبوه من اجل تحويل الهواتف إلى وجهة ضارة وذلك ( تمامًا مثل النقر على رابط مشبوه فانه نفس المفهوم .. ولكن بأسلوب معاصر اكثر )
ويقول Oz Alashe الرئيس التنفيذي لشركة CybSafe الأمنية التي يقع مقرها فى المملكة المتحدة إنه سمع عن إغراق بعض الأحياء بالمنشورات التي تحتوي على رموز احتيالية تقول فيها " امسح رمز الاستجابة السريعة هذا للحصول على فرصة للفوز بجهاز Xbox ". وبالطبع غالبًا ما يؤدي مسح الرمز إلى موقع احتيالي يقوم بتنزيل البرامج الضارة على هواتف الضحايا فى النهايه .
2- الاخطارات او ماهو معروف بـ (إشعارات المتصفح) :
على مدى السنوات السابقه طلبت مواقع الويب من زوارها الموافقة على " إشعارات " من الموقع . ما كان يعتبر بالطبع طريقة مفيدة من اجل التفاعل مع القراء وإبقائهم على اطلاع . وهو الآن بالطبع أداة هندسة اجتماعية . ولكن تكمن المشكلة هنا في أن العديد من المستخدمين ينقرون بشكل تلقائى على " نعم " من اجل السماح بهذه الإخطارات او الاشعارات . وذلك على الرغم من أن العديد من المستخدمين لديهم مستوى معين من الحذر بشأن متصفحات الويب فإن تلك الإشعارات تبدو أشبه برسائل النظام من الجهاز نفسه وليس المتصفح .
حتى بالنسبة للمستخدمين الذين لا يقعون في هذا الفخ بتلك السهوله فيجد المتسللون طرقًا من اجل تثبيت برامجهم الضارة في الإخطارات او الاشعارات وتتضمن تلك الطرق : إخفاء الموافقة بطريقة شرعيه وذلك مثل طلب اختبار CAPTCHA قبل الاشتراك أو تبديل مواضع الازرار " القبول " و " الرفض " في التنبيهات. وبمجرد حصول المحتال على الموافقة الغير قانونيه من المستخدم فانه يبدأ في إغراقه بالرسائل مثل ( مخططات التصيد الاحتيالي ، أو إشعارات الاحتيال التي تحتوي على برامج ضارة ) .
3- الاحتيال عن طريق ارسال الرسائل القصيرة :
يفضل جزء كبير منا التواصل عبر الرسائل النصية (عبر WhatsApp وما إلى ذلك) وذلك بدلاً من الاتصال عبر الهاتف. والمشكلة هن هي أننا اعتدنا الآن على إيصال أنواع سرية للغاية من المعلومات من خلال هذه الرسائل. ومع نمو قطاع البقالة وتوصيل الطعام في العام الماضي فلقد نمت كذلك عمليات الاحتيال في التوصيل. تشمل الأنواع الشائعة الأخرى : النصوص التي تعتبر بمثابة معلومات حول الفحوصات الصحيه فى الفتره السابقه التي تربط الضحايا بموقع ويب شبيه بالحكومة يطلب معلومات شخصية حساسة (مثل تاريخ الميلاد ورقم الضمان الاجتماعي).
ولقد لاحظ الخبراء رسائل نصية احتيالية ينتحل فيها المحتالون صفة وزارة الصحة ويخبرون الضحايا أنه يجب عليهم إجراء "اختبار الزامى صحى عبر الإنترنت" عبر رابط مريب ومشكوك فيه. وبعد ذلك وعلى غرار عمليات الاحتيال الأخرى ، يُطلب من الضحايا معلوماتهم الشخصية وغالبًا ما يتم تنزيل البرامج الضارة على أجهزتهم. كما هو الحال مع رموز QR رموز الاستجابه السريعه كما فى[الطريقة الأولى] ولم يطور الضحايا ببساطة المستوى الضروري من الوعي والحذر.
4- تقنية Deepfake :
ان المهندسون الاجتماعيون يستخدمون الآن تقنية deepfakes – وهي عباره عن تسجيلات واقعية بشكل مذهل تستخدم الذكاء الاصطناعي من اجل محاكاة مظهر / صوت شخص معين من اجل خداع الضحايا . ولقد ظهر أحد أقدم الأمثلة الناجحة في عام 2019 عندما تم استخدام تسجيل صوتي مزيف للرئيس التنفيذي من اجل توجيه الموظف لتحويل الأموال إلى حساب مصرفي دولي . ولقد تم ترك التسجيل كبريد صوتي للمرؤوس والذي قد أطاع تعليمات المحتال وقدم له 243000 دولار على طبق من فضه .
5- انتحال الهوية (شريك في سلسلة التوريد) :
يقول جورج غيرشو مسؤول منظمات المجتمع المدني في Sumo Logic إن الهجمات التي تستغل أجزاء من سلسلة التوريد الخاصة بالمؤسسة أصبحت الآن مشكلة كبيرة. " على سبيل المثال ، كان هناك عدد كبير من رسائل البريد الإلكتروني المستهدفة التي قد تبدو وكأنها من شركائك الموثوق بهم ، ولكنها في الواقع متسللون يقومون بانتحال صفة موظفين قد تعرفهم داخل شبكتك " .
-ويقول جورج أن هذا قد حدث له شخصيًا :
لقد اكتشفت هذا الاحتيال عندما لاحظت عروض بطاقات هدايا احتيالية قد تم تقديمها لموظفي Sumo Logic ، متخفية كحوافز أو شكر من شركاء الأعمال الحقيقيين للشركة.
- الهجوم الرئيسي (على SolarWinds) هو مثال مخيف على هذا النهج :
لقد تم إصدار نسخة محددة من هجوم اختراق البريد الإلكتروني للبائع (VEC). فلقد قام باختراق حساب بريد إلكتروني واستخدمه من اجل الوصول إلى حسابات موظفي SolarWinds المستهدفين في الأدوار الفنية والتقنية.
6- الاحتيال او ( طلبات التعاون ) :
باستخدام نهج الهندسة الاجتماعية هذا فان مجرمو الإنترنت يستهدفون المتخصصون في المجالات التعاونية ، بما في ذلك المصممون والمطورون وحتى الباحثون الأمنيون. والطعم هنا : دعوة للتعاون في مشروع جديد. وجعلت عمليات الحظر الأخيرة والتوسع في العمل من المنزل مفهوم جيد للتعاون عن بُعد وأكثر راحة وبالتالي فإن الحيلة تزداد الآن بالطبع .
- مثال : تقوم التهديدات بإرسال مشروع " Visual Studio " يحتوي على تعليمات برمجية ضارة. ويقوم المستخدم بتشغيل البرنامج بنفسه وبالتالى تصاب أجهزته بشكل اسرع واكبر . ويستفيد هذا الهجوم بشكل أساسي من الرغبة / الحاجة لمساعدة فى مساعدة الاخرين .
وتظهر أمثلة هذا الهجوم اهتمامًا كبيرًا بالتفاصيل ، كما يقول Tzury Bar Yochay وهو المؤسس المشارك والمدير التقني لشركة الحلول الأمنية Reblaze.
" يتظاهر المتسللون بأنهم عباره عن باحثون نشيطون وينشئون دليلًا اجتماعيًا وذلك مع مراعاة التحقق من الخلفية للجانب الآخر من خلال استخدام مدونة تتضمن مقالات من مصادر موثوقة مثل " مشاركات الضيف " وحسابات Twitter ، ومقاطع فيديو YouTube ، و LinkedIn ، وما إلى ذلك. يخفف من الشك في (الهدف) بهذه البصمة الاجتماعية الواسعة على ما يبدو ".
7. اسماء النطاقات المماثله :
ينتحل المحتالون أسماء النطاقات المشروعة من اجل خداع الضحايا حتى يعتقدوا أنهم في مكان آمن. ويفعلون ذلك بعدة طرق ، بما في ذلك الاعتماد على خطأ إملائي في اسم المجال (على سبيل المثال : ahmeeed بدلاًahmed ) أو إضافة نطاق مستوى أعلى مختلف (.uk بدلاً من .co.uk) وهكذا من امثله . على عكس (مواقع الاحتيال) والتي فى الغالب ما تم الكشف عنها إلى حد كبير من الماضي وقد تتميز تلك المواقع اليوم بتصميمات متطورة وتقليد متقن للمواقع الأصلية الحقيقية بالضبط . ولا يستخدم المتسللون تلك المواقع فقط من اجل نشر البرامج الضارة وحسب . ولكن أيضًا من اجل جمع معلومات بطاقة الائتمان أو غيرها من البيانات الحساسة وذلك من خلال حقول تسجيل الدخول المزيفة أو النماذج المزيفة الأخرى . نتمنى لكم الفائده دائما معنا .
- لاتنسى الاشتراك فى قناتنا على يوتيوب وتفعيل جرس التنبيهات ليصلك المزيد ...
