بقلم: مصطفى نصر
الهندسة الاجتماعية هي مجموعة من التقنيات التي يستخدمها الأفراد أو الجهات، للتلاعب بالأشخاص نفسيًا، بهدف الحصول على معلومات حساسة أو دفع الناس لاتخاذ إجراءات معينة، غالبًا دون وعي منهم.
تُستخدم هذه التقنيات في مجالات مختلفة، لكنها شائعة بشكل خاص في الهجمات السيبرانية، حيث يعتمد المهاجمون على خداع الأفراد بدلاً من اختراق الأنظمة تقنيًا.
مثال عملي على الهندسة الاجتماعية:
هجوم التصيد الاحتيالي (Phishing) ويكون السيناريو بهذه الصورة: تتلقى بريدًا إلكترونيًا يبدو أنه من البنك الذي تتعامل معه، يحتوي على شعار البنك الرسمي ويبدو احترافيًا.
الرسالة تخبرك أن هناك مشكلة في حسابك البنكي ويطلب منك النقر على رابط لتحديث بياناتك الشخصية (مثل اسم المستخدم وكلمة المرور) لتجنب إغلاق الحساب، الرابط يأخذك إلى صفحة تسجيل دخول مزيفة تشبه تمامًا موقع البنك الحقيقي.
كيف يعمل الهجوم؟
1. الخداع: المهاجم يستخدم بريدًا إلكترونيًا مزيفًا يحاكي أسلوب البنك الرسمي، مع لغة عاجلة مثل “حسابك مهدد!” لدفعك للتصرف بسرعة دون تفكير.
2. التلاعب النفسي: الخوف من فقدان الوصول إلى حسابك يجعلك تنقر على الرابط دون التحقق من صحة البريد.
3. سرقة المعلومات: عند إدخال بياناتك في الصفحة المزيفة، يحصل المهاجم على اسم المستخدم وكلمة المرور، ويستخدمهما للوصول إلى حسابك الحقيقي.
كيفية اكتشافه:
– فحص عنوان البريد:
قد يكون العنوان مثل “[email protected]” بدلاً من العنوان الرسمي “[email protected]”.
– التحقق من الرابط:
مرر مؤشر الفأرة فوق الرابط (دون النقر) لترى إلى أين يأخذك. إذا كان الموقع غريبًا (مثل “bankname-login.xyz”)، فهو مزيف.
– أخطاء لغوية:
بعض رسائل التصيد تحتوي على أخطاء إملائية أو لغوية طفيفة.
– طلبات غير متوقعة:
البنوك الحقيقية نادرًا ما تطلب تحديث بيانات حساسة عبر البريد الإلكتروني.
كيفية الحماية:
– أولا: لا تنقر على روابط في رسائل غير متوقعة. ادخل إلى موقع البنك مباشرة عبر كتابة العنوان في المتصفح.
– ثانياً: تحقق من الرسالة بالاتصال بالبنك عبر رقم هاتفه الرسمي.
– ثالثاً: استخدم برامج مكافحة الفيروسات التي تكتشف المواقع المزيفة.
أنواع الهندسة الاجتماعية:
1. التصيد الاحتيالي (Phishing): إرسال رسائل بريد إلكتروني أو رسائل نصية مزيفة تُصمم لتبدو وكأنها من مصدر موثوق لخداع الضحية لتقديم بيانات مثل كلمات المرور أو معلومات بطاقات الائتمان.
2. التمثيل (Pretexting): اختلاق سيناريو أو هوية مزيفة لكسب ثقة الضحية، مثل انتحال شخصية موظف بنك أو مسؤول تقني.
3. الإغراء (Baiting): تقديم شيء مغرٍ مثل تنزيل مجاني أو جهاز USB ملوث لإغراء الضحية بتثبيت برمجيات خبيثة.
4. التتبع (Tailgating): استغلال الثقة للوصول إلى أماكن محظورة، مثل دخول مبنى خلف موظف دون إذن.
5. الهندسة الاجتماعية الهاتفية (Vishing): استخدام المكالمات الهاتفية لخداع الضحايا واستخراج معلومات حساسة.
كيفية الحماية:
– التوعية: تعليم الأفراد كيفية التعرف على محاولات الهندسة الاجتماعية.
– التحقق من الهوية: التأكد من مصدر أي طلب للمعلومات قبل تقديمها.
– استخدام كلمات مرور قوية: مع تفعيل المصادقة الثنائية (2FA).
– تجنب النقر على روابط مشبوهة: التحقق من عناوين URL قبل فتحها.
– تحديث البرمجيات لضمان الحماية من الثغرات التي قد تستغلها الهجمات.
وختاماً:
اتمنى للجميع تصفحا آمناً، وإياك ثم إياك من الجهات التي تقدم لك جوائز مغرية، ثم يطلبون منك كشرط لاستلام الجائزة إرسال الرابط لآخرين، فهم يشركونك معهم لجذب المزيد من الضحايا.
