وقتی صحبت از هک و کلاهبرداریهای فضای مجازی میشود، صحنههایی از فیلمها در ذهن بسیاری تداعی میشود. هکرهایی نابغه با دانش فنی بسیار بالا که ساعتها پشت چندین مانیتور مینشینند و تایپ میکنند. هکرهایی که فقط افراد ثروتمند، مدیران ارشد یا شرکتهای بزرگ را هدف قرار میدهند.
اما واقعیت تا حد زیادی متفاوت است. برای بسیاری از حملات سایبری، مهاجم فقط به شناخت رفتار انسان، کمی اطلاعات درباره قربانی و یک داستان باورپذیر نیاز دارد. مهندسی اجتماعی دقیقاً از همین نقطه شروع میشود: جایی که مهاجم بهجای شکستن رمزها و لایههای دفاعی سیستم، تلاش میکند تا شما را متقاعد کند که خودتان در را باز کنید.
نکته نگرانکننده اینجاست که برای قربانی شدن توسط ترفندهای مهندسی اجتماعی لازم نیست که ثروتمند، مدیرعامل یا کاربر کمتجربهای باشید. هر فردی هدف یک حمله مهندسی اجتماعی است؛ از یک کارمند تازهکار گرفته تا مدیر ارشد یک شرکت.
مهندسی اجتماعی چیست؟
مهندسی اجتماعی مجموعهای از ترفندها را در بر میگیرد که از شما بر علیه خودتان استفاده میکند. در این روش مهاجم، بهجای تکیه صرف بر آسیبپذیریهای فنی، ذهن فرد را دستکاری میکند تا اقدامی به نفع مهاجم انجام دهد.
این اقدام گاهی بسیار ساده است:
- کلیک روی یک لینک
- باز کردن یک فایل
- وارد کردن نام کاربری و رمز عبور
- تغییر اطلاعات حساب بانکی
- انتقال پول
- ارسال یک سند محرمانه
- دادن دسترسی به یک حساب یا سیستم
- یا حتی باز کردن یک در برای فردی که نباید وارد ساختمان شود.
نکته مهم این است که مهندسی اجتماعی لزوماً به معنای «فریب دادن یک فرد سادهلوح» نیست. بسیاری از حملات دقیقاً به این دلیل موفق میشوند که قربانی در حال انجام یک کار کاملاً عادی است. در این حالت، مهاجم تلاش میکند تا یک درخواست مخرب را در دل یک موقعیت آشنا قرار دهد: یک درخواست از طرف مدیر، یک مشکل در تحویل بسته، یک هشدار امنیتی، یک تغییر حقوق و دستمزد یا یک فرم مربوط به کنفرانس.
به بیان ساده، مهاجم نمیخواهد شما فکر کنید: «آیا این یک حمله سایبری است؟» او میخواهد شما فکر کنید: «این کار معمولی من است؛ فقط باید سریع انجامش بدهم.»
الگوی مشترک بیشتر حملات مهندسی اجتماعی
با وجود تفاوت ظاهری حملات، بسیاری از آنها از چند اهرم روانشناختی مشابه استفاده میکنند.
- اعتماد: مهاجم خود را جای یک فرد یا سازمان مورد اعتماد میگذارد: مدیرعامل، واحد فناوری اطلاعات، بانک، منابع انسانی، فروشنده یا حتی یک دوست و همکار. هدف این است که قربانی پیش از بررسی درخواست، برای صحتسنجی زمان نگذارد و صرفا اعتماد کند.
- اقتدار: افراد معمولاً درخواستهای افراد صاحبمنصب را جدیتر میگیرند. به همین دلیل مهاجم خود را مدیرعامل، مدیر مالی، حسابدار، وکیل یا مدیر فناوری اطلاعات معرفی میکند. مثلا: «مدیر مالی گفته این حواله باید تا یک ساعت دیگر انجام شود. در صورت تاخیر، مسئولیت آن با شماست.»
- فوریت: فوریت یکی از قدرتمندترین ابزارهای مهندسی اجتماعی است. پیامی مانند «حساب شما تا ۳۰ دقیقه دیگر مسدود میشود» یا «پرداخت حقوق در حال انجام است؛ همین حالا اطلاعات بانکی را تأیید کنید» فرصت بررسی را از قربانی میگیرد.
- کنجکاوی: گاهی مهاجم بهجای ترساندن، وعدهای را پیشنهاد میدهد که قربانی دوست دارد آن را ببیند: «آیا این عکس شماست؟»
- عادت: مهاجمان از کارهایی سوءاستفاده میکنند که افراد هر روز انجام میدهند: «سند را بررسی و امضا کنید.»، «رمز عبور شما منقضی شده است.»، «فاکتور جدید آماده بررسی است.» و «برای ادامه، حساب خود را تأیید کنید.» هرچه یک درخواست عادیتر به نظر برسد، احتمال اینکه فرد آن را بدون بررسی انجام دهد، بیشتر میشود.
رایجترین ترفندهای مهندسی اجتماعی
اصطلاحات زیادی برای توصیف این حملات وجود دارد اما بخش بزرگی از آنها در چند دسته اصلی قرار میگیرند. البته در یک حمله مهندسی اجتماعی گاهی همزمان از چند ترفند استفاده میشود.
خدمت در ازای اطلاعات (Quid Pro Quo)
در حملات خدمت به ازای اطلاعات، مهاجم در ازای ارائه یک خدمت یا مزیت مطلوب، از قربانی اطلاعات حساسی درخواست میکند.
مثلا مهاجم خود را بهعنوان کارشناس پشتیبانی فناوری اطلاعات معرفی میکند. سپس با کاربر تماس میگیرد تا مشکلی رایج مانند کندی شبکه یا بهروزرسانی سیستم را برطرف کند. در جریان این فرایند، مهاجم از کاربر اطلاعات ورود به حساب را میگیرد.
پس از دریافت این اطلاعات، مهاجم از آنها برای دسترسی به دادههای حساس ذخیرهشده روی دستگاه و برنامههای آن استفاده کند. گاهی هم این اطلاعات را در بازارهای غیرقانونی به فروش میرساند.
فیشینگ (Phishing)
فیشینگ به تلاش برای فریب قربانی از طریق پیام یا ارتباط جعلی گفته میشود؛ ایمیل یکی از رایجترین شکلهای آن است. البته فیشینگ از طریق پیامک، تماس صوتی، شبکههای اجتماعی یا حتی صفحات وب جعلی نیز انجام میشود.
کلاهبرداریهای فیشینگ امروزی بسیار پیچیدهتر شدهاند. مجرمان سایبری ممکن است خود را جای فروشگاهها، ارائهدهندگان خدمات یا سازمانهای دولتی جا بزنند. آنها اطلاعاتی را درخواست میکنند که در ظاهر بیخطر به نظر میرسند؛ مانند آدرس ایمیل، شماره تلفن، تاریخ تولد یا نام اعضای خانواده.
هرچه مهاجم اطلاعات بیشتری درباره قربانی داشته باشد، این حمله طبیعیتر و قابلاعتمادتر به نظر میرسد.
بهانهسازی (Pretexting)
در روش بهانهسازی، مهاجم یک داستان ساختگی اما باورپذیر ایجاد میکند و از قربانی میخواهد بر اساس آن داستان اقدامی انجام دهد. مثلا: «من از طرف مدیر مالی شرکت X تماس میگیرم و برای تکمیل پرداخت به تأیید شما نیاز دارم.»
همچنین گاهی مجموعهای از سوالات معمولی طرح میشود که بین آنها چند سوال حساس هم وجود دارد. مثلا مهاجم با فرد تماس میگیرد و خود را کارشناس Hr شرکت X معرفی میکند. سپس با طرح چند سؤال ظاهراً عادی، اعتماد فرد را جلب میکند؛ مثلاً درباره سمت شغلی، سابقه کاری یا واحد محل خدمت او میپرسد. در میان این پرسشها، سؤالهای حساستری نیز مطرح میشود؛ برای مثال: «نام مدیر مستقیم شما چیست؟»، «ایمیل سازمانیتان چیست؟» یا «برای تأیید اطلاعات بیمهای، کد ملی و تاریخ تولدتان را میفرمایید؟»
در مسابقهها و قرعهکشیهای جعلی نیز سناریو مشابه است. مهاجم ادعا میکند که فرد برنده یک جایزه شده است و برای دریافت آن، اطلاعات شخصی یا مالی قربانی را درخواست کند. نکته مهم در بهانهسازی این است که مهاجم صرفاً یک درخواست مستقیم مطرح نمیکند؛ بلکه ابتدا زمینه و داستانی میسازد که باعث شود درخواست او طبیعی و قابلاعتماد به نظر برسد.
نکته مهم: بسیاری از مهاجمان نیازی به یک ترفند فنی خارقالعاده ندارند. یک داستان خوب و زمانبندی مناسب برای به دست آوردن اطلاعات کافی است.
طعمهگذاری (Baiting)
در حملات طعمهگذاری، کلاهبردار با ارائه وعدههای وسوسهانگیز، قربانی را ترغیب میکند تا اطلاعات شخصی خود را افشا کند یا بدافزار روی سیستم نصب کند.
طعمهگذاری میتواند به شکل تبلیغات جذاب یا پیشنهادهای آنلاین ظاهر شود؛ مثلا دانلود رایگان بازی یا فیلم یا حتی پیشنهاد ارتقای تلفن همراه. مهاجم امیدوار است تا رمز عبوری که قربانی برای استفاده از این پیشنهاد وارد میکند، در سایتهای دیگری نیز استفاده شده باشد. در این صورت، مهاجم به حسابها و اطلاعات قربانی دسترسی پیدا میکند یا این اطلاعات را در بازارهای غیرقانونی به مجرمان دیگر میفروشد.
حمله طعمهگذاری فقط به فضای آنلاین محدود نمیشود و گاهی شکل فیزیکی دارد. یکی از نمونههای رایج، فلشدرایو آلوده به بدافزار است. مهاجم یک فلش آلوده را در محلی قرار میدهد که احتمال دیدهشدن آن توسط قربانی زیاد است. قربانی برای اینکه متوجه شود فلش متعلق به چه کسی است، آن را به رایانه متصل میکند و در این فاصله بدافزار روی سیستم اجرا یا نصب میشود.
سوء استفاده از ایمیل تجاری (BEC)
سوء استفاده از ایمیل تجاری یا BEC یکی از ترفندهای مهندسی اجتماعی است که در آن مهاجم خود را جای یک مدیر یا فرد قابل اعتماد و دارای اختیار در امور مالی سازمان جا میزند.
در این سناریو، کلاهبردار رفتار مدیر موردنظر را بهدقت زیر نظر میگیرد. سپس با استفاده از ترفندهایی مانند جعل هویت، یک حساب ایمیل جعلی ایجاد میکند یا حتی به روشی به رمز عبور ایمیل مدیر دست پیدا میکند. سپس با جعل هویت مدیر، برای کارکنان یا زیردستان او ایمیلی ارسال میکند و از آنها میخواهد اقداماتی مانند انتقال وجه، تغییر اطلاعات بانکی یا سایر امور مالی را انجام دهند.
BEC خسارت مالی بسیار سنگینی به شرکتها وارد میکند. برخلاف بسیاری از کلاهبرداریهای سایبری، این حملات الزاماً به لینک مخرب یا بدافزاری متکی نیستند، پس ابزارهایی مانند فایروال یا آنتیویروسها آن را شناسایی نمیکنند. در عوض، این ترفند بیشتر از رفتار و اعتماد انسانی سوءاستفاده میکند. عاملی که بهخصوص در سازمانهای بزرگ، نظارت و مدیریت آن دشوارتر است.
اسمیشینگ یا فیشینگ پیامکی (Smishing)
اسمیشینگ (SMS Phishing) نوعی حمله مهندسی اجتماعی است که بهطور مشخص از پیامک استفاده میکند. در این حمله، مجرم تلاش میکند تا کاربر را به کلیک روی لینکی ترغیب کند که او را به یک وبسایت مخرب هدایت میکند. سپس از قربانی خواسته میشود تا نرمافزار یا محتوای آلودهای را دانلود کند.
اجرای بسیاری از کمپینهای اسمیشینگ برای مهاجم نسبتاً ساده است. او با استفاده از شمارههای جعلی یا سرویسهای ارسال پیام انبوه و هدایت قربانی به یک صفحه مخرب این کار را انجام میدهد.
حتما شما هم با پیامکهایی که ظاهراً از طرف پستچی، شرکتهای ارسال کالا یا مأمور تحویل ابلاغیه هستند، برخورد کردهاید. معمولاً در این پیامها ادعا میشود که بسته یا ابلاغیهای در انتظار شماست. بنابراین برای مشاهده یا دریافت آن باید روی یک لینک کلیک کنید یا مبلغ اندکی بابت هزینه ارسال یا تحویل پرداخت کنید.
لینک موجود در پیامک کاربر را به یک صفحه جعلی هدایت میکند که ظاهر آن شبیه سایت یک سازمان یا شرکت معتبر است. در این صفحه، مهاجم اطلاعاتی مانند شماره کارت بانکی، رمز پویا یا سایر اطلاعات شخصی را درخواست میکند. در برخی موارد نیز هدف اصلی، نصب بدافزار یا سرقت اطلاعات ورود به حسابهای کاربر است.
تله عاطفی (Honeytrap)
تله عاطفی یکی از ترفندهای مهندسی اجتماعی است. این ترفند افرادی را هدف قرار میدهد که در وبسایتهای دوستیابی یا شبکههای اجتماعی به دنبال رابطه عاطفی هستند.
مجرم با ساختن یک شخصیت خیالی و ایجاد یک پروفایل جعلی آنلاین، با قربانی ارتباط برقرار میکند و اعتماد او را بهتدریج به دست میآورد. سپس از این رابطه سوءاستفاده میکند. او قربانی را فریب میدهد تا برای او پول ارسال کند، اطلاعات شخصیاش را در اختیارش بگذارد یا بدافزاری را روی دستگاه خود نصب کند.
نمونههایی از مهندسی اجتماعی در زندگی واقعی
در سالهای اخیر کیفیت جعل هویت و حملات مهندسی اجتماعی بسیار بالا رفته است. هوش مصنوعی نیز به کمک این کلاهبرداران آماده است.
یکی از معروفترین نمونههای ترکیب مهندسی اجتماعی و هوش مصنوعی در سال ۲۰۲۴ در هنگکنگ رخ داد. یک کارمند بخش مالی یک شرکت چندملیتی پس از شرکت در یک ویدئوکنفرانس که در آن مدیر مالی و چند همکار دیگر ظاهراً حضور داشتند، در مجموع حدود ۲۰۰ میلیون دلار هنگکنگ، معادل حدود ۲۵.۶ میلیون دلار آمریکا، در ۱۵ تراکنش به پنج حساب منتقل کرد. گزارشهای منتشرشده درباره این پرونده میگویند که تمامی افراد حاضر در تماس، به جز قربانی، با استفاده از دیپفیک شبیهسازی شده بودند.
نکته جالب این پرونده این بود که قربانی در ابتدا مشکوک شده بود. اما دیدن چهره و شنیدن صدای مدیران و همکارانی که میشناخت، تردید او کم شد.
حادثه دیگری در آوریل ۲۰۲۵ اتفاق افتاده بود. نیک جانسون، توسعهدهنده ارشد Ethereum Name Service، درباره یک حمله فیشینگ بسیار پیچیده هشدار داد. در این حمله، پیام ظاهراً از زیرساختهای گوگل ارسال شده بود. این پیام کاربر را به صفحهای در sites.google.com هدایت میکرد؛ صفحهای که ظاهر آن شبیه پورتال پشتیبانی رسمی گوگل طراحی شده بود.
نکته جالب این حمله، روش فریب مهاجم بود. مهاجم بهجای اینکه یک دامنه ناشناس و مشکوک برای سایت جعلی خود بسازد، صفحه فیشینگ را روی یک سرویس معتبر گوگل میزبانی کرده بود.
این روش حتی کاربران محتاط را هم فریب میدهد. معمولا فرد با دیدن آدرس google.com یا یکی از زیردامنههای آن با خود فکر کند: «پس سایت متعلق به گوگل است و مشکلی ندارد.»
مشکل اینجاست که sites.google.com بهخودیخود به معنای «صفحه رسمی گوگل» نیست. سرویس Google Sites امکان ساخت سایت را فراهم میکند و مهاجمان میتوانند از این زیرساخت معتبر برای میزبانی صفحات جعلی استفاده کنند.
مهندسی اجتماعی در عصر هوش مصنوعی
هوش مصنوعی الزاماً ماهیت مهندسی اجتماعی را تغییر نداده است؛ بلکه آن را ارزانتر، سریعتر و باورپذیرتر کرده است. مهاجم همچنان همان چیزهای قدیمی را میخواهد: اعتماد شما، توجه شما، رمز عبور شما، دسترسی شما یا پول شما.
تفاوت این است که اکنون برای رسیدن به این هدف، پیامهای شخصیسازیشدهتر تولید میشود، صدا و تصویر را شبیهسازی میکنند و تعداد بیشتری از قربانیان را با هزینه کمتر هدف قرار میدهند. به همین دلیل، نباید به دنبال یک «نشانه جادویی» برای تشخیص حملاتی با سبک مهندسی اجتماعی باشیم. در نتیجه:
- یک تماس تصویری لزوماً هویت فرد را ثابت نمیکند.
- یک دامنه معتبر لزوماً صفحهای معتبر نیست.
- یک پیام از یک حساب واقعی لزوماً به این معنا نیست که صاحب حساب آن را ارسال کرده است.
شاید بهترین قاعده این باشد: اعتماد را از روی ظاهر یک پیام، تماس یا لینک قضاوت نکنیم؛ آن را راستیآزمایی کنیم. مهاجم ممکن است بتواند لحن یک مدیر را تقلید کند، صدای یک آشنا را بسازد یا صفحهای کاملاً شبیه یک سرویس معتبر ایجاد کند. اما نمیتواند تصمیم ما برای مکث، بررسی و تأیید از یک مسیر مطمئن را دور بزند. مثلا:
- در برابر درخواست انتقال پول، تماس را از یک مسیر مستقل تأیید کنید.
- برای درخواستهای حساس، به پیام پاسخ ندهید؛ خودتان شماره یا آدرس رسمی را پیدا کنید.
- برای پرداختهای مالی، تأیید دومرحلهای انسانی تعریف کنید.
- هرگز رمز عبور، کد یکبارمصرف یا سایر اطلاعات حساس را برای پشتیبانی ارسال نکنید.
- روی لینکهای داخل پیامک و ایمیلهای غیرمنتظره کلیک نکنید.
- برای حسابهای مهم، از روشهای احراز هویت چندمرحلهای مقاوم در برابر فیشینگ استفاده کنید.
- اگر تأمینکننده یا مشتری اعلام کرد اطلاعات حساب بانکی او تغییر کرده است، اطلاعات جدید را از طریق یک کانال مستقل و قبلاً شناختهشده تأیید کنید.
- کارکنان را طوری آموزش دهید که بدانند «فوری بودن درخواست» دلیل کافی برای کنار گذاشتن فرآیند امنیتی نیست.
شما چه روشهای دیگری برای مقابله با حملات مهندسی اجتماعی میشناسید؟
پیام شما به ما