تنفق المؤسسات نسبة كبيرة من ميزانياتها التكنولوجية على تأمين أنظمتها. يخصص الكثير من الوقت والموارد لبرامج الأمن وأدوات المراقبة والتحديثات الأمنية . رغم أن كل هذا مهم ، فقد أثبت تاريخ حوادث الأمن السيبراني أن البشر وليسوا التكنولوجيا هي الحلقة الأضعف في سلسلة الأمن.
على الرغم من أن الذكاء الاصطناعي والتعلم الآلي يحرزان ببطء في مجال الأمن السيبراني ، فإن الغالبية العظمى من البنية التحتية لأمن تكنولوجيا المعلومات التي تستخدمها الشركات اليوم تم بناؤها لتتوافق مع الأوامر التي أصدرها لها البشر. في هذا المعنى ، فإن التكنولوجيا ليس لديها أي اعتبار خاص بها وتتبع فقط رمز البرمجة. البشر ، من ناحية أخرى ، يتمتعون باستقلالية في التفكير ولا يتبعون دائمًا نمطًا للفكر والحركة يمكن التنبؤ به.
هذا هو السبب في أن السبيل الأسهل والأكثر فعالية للتحايل على الضوابط الأمنية هو الهندسة الاجتماعية. الهندسة الاجتماعية هي استخدام الخداع لاختراق أنظمة المؤسسة. في حين أن مشهد التهديدات يزداد تعقيدًا كل يوم ، إلا أنه لا يزال من تقنيات الهندسة الاجتماعية التي تلحق أكبر ضرر بأنظمة الشركة وبيانات الأعمال.
نظرًا لأن الهندسة الاجتماعية تعتمد اعتمادًا كبيرًا على التلاعب بالأهداف البشرية والكذب عليها ، فهناك بالضرورة أشكال مختلفة قد يتخذها الهجوم. فيما يلي أكثر أساليب هجوم الهندسة الاجتماعية شيوعًا.
1. التصيد
يعد التصيد الاحتيالي أكثر أنواع الهجمات الاجتماعية شيوعًا. ما يقرب من نصف حركة البريد الإلكتروني العالمية عبارة عن رسائل غير مرغوب فيها تمثل نسبة كبيرة منها رسائل البريد الإلكتروني المخادعة. ومع ذلك ، يمكن أيضًا تنفيذ الخداع عبر الرسائل القصيرة والرسائل الفورية والوسائط الاجتماعية. تسعى الرسالة إلى خداع المستلم لإفشاء المعلومات الحساسة (مثل كلمات المرور وأرقام بطاقات الائتمان وأرقام التأمين الاجتماعي) أو زيارة عنوان URL ضار مخادع.
لكي يعمل التصيد الاحتيالي ، يجب أن يحاكي محتوى الرسالة والألوان والشعارات والصور وعناوين جهات الاتصال تلك الخاصة بالمؤسسة التي يعتبرها المستلم محترمة وجديرة بالثقة. يجب أن تخلق الرسالة أيضًا شعورًا بالإلحاح من خلال التلميح إلى أن الموقف قد ينفد عن السيطرة إذا لم يتم تسليم المعلومات على الفور.
2. tailgating
الخداع هو تكتيك يمكن استخدامه للحصول على وصول افتراضي إلى تطبيق ما. Tailgating (يشار إليها أيضًا باسم piggybacking) هي تقنية هندسية اجتماعية تهدف إلى منح وصول مادي فردي إلى منطقة دون الحصول على إذن مناسب.
في أبسط صوره ، سينتظر المهاجم أن يقوم شخص مصرح له باستخدام بطاقة الوصول الخاصة به أو بيانات اعتماد بيومترية لفتح باب إلكتروني للتحكم في الوصول. سوف يسيرون خلفهم قبل أن يغلق الباب.
هذه الطريقة تحتاج من المهاجم التواجد في مكان بشكل مادي . ويحاول بهذه الطريقة الوصول الى المنطقة التي يريدها من خلال التحايل على المستخدم الذي يملك صلاحيات الدخول الى المكان .
3. التظاهر
يقوم المهاجم باختلاق ذريعة معقولة ولكن ملفقة تهدف إلى إرساء اسس الثقة بينه وبين الضحية من اجل استخراج المعلومات الحساسة منه يمكنه ، على سبيل المثال ، الاتصال بالهدف والتظاهر بأنه يحتاج إلى معلومات معينة من أجل تنشيط حساب نظام جديد أو التحقق من هوية الهدف.
هذه الطريقة قد تستغرق أسابيع من جمع المعلومات حتى يبدو المهاجم وكأنه من موثوق به. على سبيل المثال ، إذا اختاروا أسماء الموظفين الفعليين في قسم تكنولوجيا المعلومات ، فإن الفرد المستهدف سيكون أكثر ثقة في أي طلب للمعلومات المقدمة إليهم. في حين أن المحفز الأساسي للتصيد الاحتيالي هو الحاجة الملحة والخوف ، فإن تقنية التظاهر تسعى إلى بناء الثقة.
