مهندسی اجتماعی چیست ؟

طعمه گذاری (Baiting)
همانطور که از نامش پیداست، حملات طعمه از یک وعده دروغین برای تحریک حرص و طمع یا کنجکاوی قربانی استفاده می کنند. آنها کاربران را به دامی می کشانند که اطلاعات شخصی آنها را می دزدد یا سیستم های آنها را با بدافزار تحمیل می کند.
به عنوان مثال، مهاجمان طعمه (معمولاً درایوهای فلش آلوده به بدافزار “USB drop attack”) را در مناطق آشکاری که قربانیان احتمالی آنها را می بینند رها می کنند. به عنوان مثال (در اتاق کار کارمندان، آسانسورها، پارکینگ ها) طعمه ظاهری معتبر دارد، مانند برچسبی که آن را به عنوان لیست حقوق و دستمزد شرکت نشان می دهد.
قربانیان از روی کنجکاوی طعمه را برمی دارند و آن را در رایانه محل کار یا خانه قرار می دهند که در نتیجه بدافزار به طور خودکار روی سیستم نصب می شود .کلاهبرداری با طعمه لزوماً نباید در دنیای فیزیکی انجام شود. شکل‌های آنلاین طعمه‌گذاری شامل تبلیغات فریبنده‌ای است که به سایت‌های مخرب منتهی می‌شود یا کاربران را به دانلود برنامه‌های آلوده به بدافزار تشویق می‌کند.

ابزار ترسناک (Scareware)
Scareware شامل بمباران قربانیان با هشدارهای نادرست و تهدیدهای ساختگی می شود .کاربران فریب می‌خورند و فکر می‌کنند سیستم‌شان به بدافزار آلوده شده است، و باعث می‌شود نرم‌افزاری را نصب کنند که هیچ سود واقعی (غیر از مهاجم) ندارد یا خود بدافزار است. همچنین به عنوان نرم افزار فریب، نرم افزار اسکنر سرکش و کلاهبرداری شناخته می شود.
یک مثال رایج ترسناک، بنرهای بازشو با ظاهری قانونی است که در مرورگر شما هنگام گشت و گذار در وب ظاهر می شود و متنی مانند “رایانه شما ممکن است به برنامه های جاسوس افزار مضر آلوده شده باشد” را نمایش می دهد. یا پیشنهاد می کند که این ابزار (اغلب آلوده به بدافزار) را برای شما نصب کند، یا شما را به یک سایت مخرب هدایت می کند که در آن رایانه شما آلوده می شود.
Scarewareهمچنین از طریق ایمیل های هرزنامه توزیع می شود که هشدارهای جعلی را ارائه می دهد یا به کاربران پیشنهاد خرید خدمات بی ارزش/مضر می دهد.

بهانه آوردن، بهانه دادن (Pretexting)
در اینجا یک مهاجم، اطلاعاتی را از طریق یک سری دروغ های هوشمندانه به دست می آورد. این کلاهبرداری اغلب توسط مجرمی آغاز می شود که وانمود می کند به اطلاعات حساس قربانی نیاز دارد تا یک وظیفه مهم را انجام دهد.
مهاجم معمولاً با ایجاد اعتماد به قربانی خود با جعل هویت همکاران، پلیس، مقامات بانک و مالیات یا سایر افرادی که دارای اختیارات حق شناسایی هستند، شروع می کند. مهاجم سوالاتی می پرسد که ظاهراً برای تأیید هویت قربانی مورد نیاز است و از طریق آنها اطلاعات شخصی مهمی را جمع آوری می کند.
انواع اطلاعات و سوابق مرتبط با استفاده از این کلاهبرداری جمع آوری می شود، مانند شماره های تامین اجتماعی، آدرس ها و شماره تلفن های شخصی، سوابق تلفن، تاریخ تعطیلات کارکنان، سوابق بانکی و حتی اطلاعات امنیتی مربوط به یک کارخانه فیزیکی.

فیشینگ (Phishing)
به‌عنوان یکی از محبوب‌ترین انواع حملات مهندسی اجتماعی، کلاهبرداری‌های فیشینگ، کمپین‌های ایمیل و پیامک هستند که هدفشان ایجاد حس فوریت، کنجکاوی یا ترس در قربانیان است. سپس آنها را وادار می کند تا اطلاعات حساس را فاش کنند، روی پیوندهای وب سایت های مخرب کلیک کنند یا پیوست های حاوی بدافزار را باز کنند.
یک مثال، ایمیلی است که برای کاربران یک سرویس آنلاین ارسال می‌شود و به آنها از نقض خط‌ مشی هشدار می‌دهد که نیاز به اقدام فوری از سوی آنها دارد، مانند تغییر رمز عبور ضروری. این شامل پیوندی به یک وب‌سایت غیرقانونی است که تقریباً از نظر ظاهری شبیه به نسخه قانونی آن است که از کاربر می‌خواهد اعتبار فعلی و رمز عبور جدید خود را وارد کند. پس از ارسال فرم، اطلاعات برای مهاجم ارسال می شود.
با توجه به اینکه پیام‌های یکسان یا تقریباً یکسان برای همه کاربران در کمپین‌های فیشینگ ارسال می‌شود، شناسایی و مسدود کردن آنها برای سرورهای ایمیلی که به پلتفرم‌های اشتراک‌گذاری تهدید دسترسی دارند بسیار آسان‌تر است.

نیزه فیشینگ (Spear phishing)
این یک نسخه هدفمندتر از کلاهبرداری فیشینگ است که به موجب آن یک مهاجم افراد یا شرکت های خاصی را انتخاب می کند. سپس پیام‌های خود را بر اساس ویژگی‌ها، موقعیت‌های شغلی و تماس‌های متعلق به قربانیان خود تنظیم می‌کنند تا حمله آنها کمتر آشکار شود. فیشینگ نیزه‌ای به تلاش بسیار بیشتری از طرف مجرم نیاز دارد و ممکن است هفته‌ها و ماه‌ها طول بکشد تا انجام شود. تشخیص آنها بسیار سخت تر است و اگر به طور ماهرانه انجام شوند، میزان موفقیت بهتری دارند.

یک سناریوی فیشینگ نیزه ای ممکن است شامل مهاجمی باشد که با جعل هویت مشاور فناوری اطلاعات سازمان، ایمیلی را برای یک یا چند کارمند ارسال می کند. دقیقاً همانطور که مشاور معمولاً انجام می دهد، جمله بندی و امضا شده است، در نتیجه گیرندگان را فریب می دهد تا فکر کنند که یک پیام معتبر است. این پیام از گیرندگان می خواهد تا رمز عبور خود را تغییر دهند و پیوندی را در اختیار آنها قرار می دهد که آنها را به یک صفحه مخرب هدایت می کند که در آن مهاجم اکنون اعتبار آنها را ضبط می کند.