ما هي الهندسة الاجتماعية؟ تعريفها وأنواعها

⚡ ملخص ذكي

الهندسة الاجتماعية هي فن التلاعب بالناس لحملهم على الكشف عن معلومات سرية أو منحهم حق الوصول، وتشرح هذه الصفحة كيفية تنفيذ هذه الهجمات، والتقنيات التي يفضلها المهاجمون، والتدابير المضادة التي توقفها.

🎯 الهدف البشري: تستهدف الهندسة الاجتماعية الأشخاص بدلاً من البرامج، مستغلة الثقة والخوف والفضول والجشع.
🔄 دورة الهجوم: يقوم المهاجمون بجمع المعلومات، والتخطيط، والحصول على الأدوات، ثم الهجوم، ثم إعادة استخدام ما تعلموه.
🎭 التقنيات الأساسية: إن الألفة والترهيب والتصيد الاحتيالي والتجسس والفضول والجشع هي العوامل الدافعة لمعظم الحوادث المبلغ عنها.
🛡️ الدفاع الشخصي: تعمل المصادقة متعددة العوامل، ومدير كلمات المرور، والطلبات التي تم التحقق منها على منع معظم المحاولات.
🏢 الدفاع التنظيمي: تحوّل سياسات الأمن والتدريب المتكرر على التوعية الموظفين إلى طبقة كشف.
🤖 مخاطر عصر الذكاء الاصطناعي: لقد توسعت هذه الهجمات الآن لتشمل انتحال الصوت والفيديو بتقنية التزييف العميق، لتتجاوز بكثير نطاق البريد الإلكتروني.

اقرأ المزيد

ما هي الهندسة الاجتماعية؟

الهندسة الاجتماعية هي فن التلاعب بمستخدمي نظام حاسوبي لحملهم على كشف معلومات سرية يمكن استخدامها للوصول غير المصرح به إلى ذلك النظام. ويشمل المصطلح أيضاً استغلال طيبة الإنسان، وجشعه، وفضوله للدخول إلى مبانٍ محظورة أو لإقناع المستخدمين بتثبيت برامج خبيثة.

إن معرفة الحيل التي يستخدمها المهاجمون لخداع المستخدمين وسرقة بيانات تسجيل الدخول أمرٌ أساسي لحماية أنظمة الحاسوب. ولأن الهدف هو شخص وليس خادمًا، فلا يمكن لأي جدار حماية بمفرده سدّ هذه الثغرة.

ستتعرف في هذه المقالة على أساليب الهندسة الاجتماعية الشائعة والتدابير الأمنية التي تتصدى لها.

كيف تعمل الهندسة الاجتماعية؟

تتبع هجمات الهندسة الاجتماعية دورة متكررة. يوضح الرسم البياني أدناه المراحل الخمس التي يمر بها المهاجم.

هنا،

تجميع المعلوماتفي هذه المرحلة الأولى، يجمع المهاجم أكبر قدر ممكن من المعلومات عن الضحية المستهدفة. وتأتي هذه المعلومات من مواقع الشركات الإلكترونية، والوثائق العامة، ووسائل التواصل الاجتماعي، والمحادثات العادية مع المستخدمين.
خطة الهجوم: يحدد المهاجم كيفية تنفيذ الهجوم ومن سيتم التواصل معه أولاً.
الحصول على الأدواتوتشمل هذه البرامج الحاسوبية والأدوات المستخدمة عند شن الهجوم.
هجوم: يستغل المهاجم نقاط الضعف في النظام المستهدف، وعادةً ما يكون ذلك عن طريق حث شخص ما على التصرف.
استخدم المعرفة المكتسبة: التفاصيل التي يتم جمعها على طول الطريق، مثل أسماء الحيوانات الأليفة أو تواريخ ميلاد المؤسسين، تغذي الهجمات اللاحقة مثل تخمين كلمات المرور.

أنواع هجمات الهندسة الاجتماعية

تتخذ أساليب الهندسة الاجتماعية أشكالاً عديدة.تمثل الأسباب الستة التالية معظم الحوادث المبلغ عنها.

استغلال الألفة

يقلّ شكّ المستخدمين بالأشخاص الذين يعرفونهم، لذا قد يقضي المهاجم بعض الوقت في التظاهر بأنه وجه مألوف أولًا - أثناء تناول الطعام، أو الاستراحات، أو المناسبات الاجتماعية. عندما يتطلب مبنى ما رمز دخول أو بطاقة، فمن المرجح أن يفتح له شخص مألوف الباب. تشجع هذه الألفة نفسها الناس على الإجابة عن أسئلة عادية مثل مكان لقائهم بشريك حياتهم أو اسم معلمهم. هذه هي الإجابات التي تطلبها مطالبات استعادة كلمة المرور، حتى تصبح وسيلة للوصول إلى حسابات البريد الإلكتروني.

ظروف مرعبة

يتجنب الناس أي شخص يبدو غاضباً أو عدائياً. باستخدام هذه التقنية، يفتعل المهاجم جدالاً حاداً عبر الهاتف أو خلافاً مع شريك له، ثم يطلب معلومات من المستخدم. يجيب العديد من المستخدمين ببساطة لإنهاء الموقف. وتثني هذه الحيلة نفسها الموظفين عن إجراء فحص دقيق عند نقاط التفتيش الأمنية.

التصيد

تستخدم عمليات التصيد الاحتيالي الخداع والتضليل للحصول على البيانات الشخصية. ينتحل المحتالون صفة خدمة شرعية، مثل موقع بريد إلكتروني أو موقع مصرفي عبر الإنترنت، ويطلبون من المستخدم تأكيد اسم المستخدم وكلمة المرور. وتُستخدم نفس التقنية لجمع أرقام البطاقات ورموز المرور لمرة واحدة وغيرها من البيانات الشخصية.

ذيل

التسلل يعني اتباع مستخدم مُصرَّح له بالدخول إلى منطقة محظورة. ومن باب المجاملة، يفتح المستخدم الباب، ويدخل المتسلل دون إبراز بطاقة تعريف.

استغلال فضول الإنسان

هنا، يقوم مهندس الأمن الاجتماعي بوضع ذاكرة فلاش USB مصابة ببرمجيات خبيثة في مكان يسهل على المستخدمين الوصول إليه. عادةً ما يقوم المستخدم بتوصيلها، فتبدأ الذاكرة بالعمل تلقائيًا أو تغري المستخدم بفتح ملف باسم جذاب مثل "راتب الموظف". Review.docx.

استغلال جشع الإنسان

يقوم المحتال الاجتماعي باستدراج المستخدم بوعد الربح السهل عبر الإنترنت، ثم يطلب منه ملء استمارة وتأكيد هويته بتفاصيل بطاقة الائتمان.

كيفية منع هجمات الهندسة الاجتماعية؟

تبدأ الوقاية بالعادات الشخصية. تحمي الممارسات التالية من جميع أنواع هجمات الهندسة الاجتماعية:

تجنب توصيل محرك أقراص USB غير معروف بجهاز الكمبيوتر الخاص بك.
لا تنقر على الروابط الموجودة في رسائل البريد الإلكتروني غير المتوقعة؛ اكتب العنوان أو استخدم إشارة مرجعية محفوظة.
استخدم كلمات مرور طويلة وفريدة مخزنة في مدير كلمات المرور.
قم بتفعيل المصادقة متعددة العوامل، مع تفضيل استخدام تطبيق أو مفتاح مادي على الرسائل النصية القصيرة.
كن حذراً بشأن الصداقات التي تقتصر على الإنترنت فقط والتي تتحول بسرعة إلى علاقات مالية أو علاقات نفوذ.
حافظ على تحديث نظام التشغيل وجميع التطبيقات.
قم بتأمين أجهزتك باستخدام تشفير القرص وقفل الشاشة.
قم بتثبيت برامج مكافحة الفيروسات أو برامج حماية نقاط النهاية ذات السمعة الطيبة.
قم بعمل نسخ احتياطية لبياناتك بانتظام واختبر عملية الاستعادة.
قم بتمزيق المستندات الحساسة بدلاً من التخلص منها.
استخدم شبكة افتراضية خاصة (VPN) على الشبكات غير الموثوقة.
قم بقفل جهاز الكمبيوتر المحمول الخاص بك كلما ابتعدت عنه.
تحقق من الطلبات غير المعتادة من خلال قناة ثانية معروفة قبل اتخاذ أي إجراء.

إجراءات مكافحة الهندسة الاجتماعية

إن العادات الفردية ليست سوى نصف الحل. ولأن كل أسلوب يستغل تحيزاً بشرياً يمكن التنبؤ به، يمكن للمنظمة وضع تدابير مضادة لكل أسلوب.

تقنية	التدابير التنظيمية المضادة
استغلال الألفة	درّب المستخدمين على عدم استبدال المعرفة الشخصية بالتحقق الأمني. حتى الزميل المعروف يثبت صلاحية الوصول إلى المناطق والمعلومات المحظورة.
ظروف مرعبة	قم بتدريب المستخدمين على التعرف على أساليب الضغط التي تهدف إلى الحصول على معلومات حساسة، ورفضها بأدب، ثم الإبلاغ عن الموقف.
التصيد	تستخدم المواقع الموثوقة اتصالات آمنة لـ تشفير البيانات وإثبات هويتهم. تحقق من شريط العنوان، ولا ترد أبدًا على أي بريد إلكتروني يطلب معلومات شخصية.
ذيل	يُمنع مستخدمو القطارات من السماح لأي شخص آخر بالدخول باستخدام تصريحهم. يقوم كل شخص بتسجيل دخوله بشكل منفصل، ويتحقق موظفو الاستقبال من الزوار غير الحاملين لبطاقات تعريف.
الفضول البشري	قم بتسليم أي ذاكرة فلاش يتم العثور عليها إلى مسؤولي النظام، الذين يقومون بفحصها على جهاز معزول بدلاً من محطة عمل الإنتاج.
جشع الإنسان	قم بتدريب الموظفين على التعرف على عمليات الاحتيال التي تهدف إلى الثراء السريع، ووفر لهم قناة سهلة للإبلاغ عنها.

يدعم التحديث هذا التدريب، لأن المهاجم الذي يفشل في إقناع المستخدم بالتعاون يلجأ إلى البرامج غير المحدثة.

الأسئلة الشائعة

يستغل الاختراق نقاط الضعف في البرامج أو الإعدادات، بينما تستغل الهندسة الاجتماعية نقاط الضعف في الأشخاص. وتجمع معظم الحوادث الحقيقية بين الاثنين - حيث يتم إقناع شخص ما بفعل شيء ما يفتح الباب التقني.

التظاهر هو سيناريو مُختلق ولكنه قابل للتصديق - مدقق حسابات، ساعي بريد، محتال جديدtracيُستخدم مصطلح "tor" لتبرير الطلب. توفر القصة سياقًا كافيًا يجعل تسليم المعلومات أمرًا روتينيًا.

التصيد الصوتي هو هندسة اجتماعية تتم عبر مكالمة صوتية؛ أما التصيد عبر الرسائل النصية فيتم باستخدام الرسائل النصية القصيرة أو تطبيقات المراسلة. وكلاهما ينقل المحادثة من البريد الإلكتروني، حيث يقل التدقيق من قبل المستخدمين وتقل قدرة أنظمة التصفية على رصد الرسائل.

يستغلّ المخترقون البريد الإلكتروني للشركات انتحال شخصية أحد المديرين التنفيذيين أو الموردين، ويطلبون من موظفي الشؤون المالية تغيير تفاصيل الدفع أو الموافقة على تحويل مالي. وتكون الخسائر فادحة لأن الطلب يبدو روتينياً.

تُنتج النماذج التوليدية رسائل سلسة بأي لغة، وتُحاكي صوتًا من عينة قصيرة، لذا لم تعد الأخطاء النحوية دليلاً على الاحتيال. ويرد المدافعون بخطوات تحقق وكشف الشذوذ المدعوم بالذكاء الاصطناعي.

بشكل غير مباشر. يُسرّع GitHub Copilot البرامج النصية التي تحلل سجلات البريد الإلكتروني، وتُحدد النطاقات المُشابهة، وتُنشئ لوحات المعلومات. لا يُمكنه تحديد النية، لذا فإن المراجعة البشرية هي التي تُحدد النتيجة.

افصل الجهاز، وغيّر كلمات المرور المكشوفة من جهاز آخر، وألغِ الجلسات النشطة. أبلغ عن الحادثة فورًا ليتمكن المسؤولون من إعادة تعيين بيانات الاعتماد والتحقق من أي محاولات وصول لاحقة.

تُعزى معظم عمليات الاختراق الناجحة، وفقًا لتقارير القطاع، إلى عنصر بشري كالتصيد الاحتيالي، وانتحال الشخصية، أو استخدام بيانات اعتماد مسروقة. ولذلك، يُعتبر التدريب على التوعية الأمنية عنصرًا أساسيًا في إجراءات الأمن السيبراني.