استفاده از آسیب‌های مهندسی اجتماعی در حملات هکری

به گزارش پایگاه اطلاع رسانی پایداری ملی، سازمان‌ها در همه جای دنیا از همه نوع فناوری برای کمک به حفاظت از زیرساخت‌ها و نقاط پایانی در برابر خطرات امنیتی بهره برده‌اند اما فناوری تنها موردی نیست که باید ایمن‌سازی شود. 

محققان در گزارش تازه‌ای که شرکت امنیتی اینتل سکیوریتی منتشر کرده و عنوان آن «هک کردن سیستم عامل انسانی» نام دارد در مورد نقش مهندسی اجتماعی در امنیت سایبری می‌گویند. 

در این گزارش مهندسی اجتماعی این‌گونه تعریف شده است: کاربرد عامدانه تکنیک‌های فریب‌کارانه‌ای که طراحی شده‌اند تا افراد را وادار به افشای اطلاعات یا انجام اقداماتی کنند که احتمالاً به انتشار آن اطلاعات منجر شود. 

اینتل سکیوریتی توضیح می‌دهد که دو نوع حمله مهندسی اجتماعی شکار و کِشت وجود دارد. در حملات شکار، مجرمان درصدد کسب اطلاعات و استفاده از کاربران با حداقل تعامل‌اند در حالی که در حملات کشت، مهاجمان ارتباطی با قربانی برقرار و پس از آن در طول زمان اطلاعات را استخراج می‌کنند. 

به گفته راج سامانی، معاون و مسئول ارشد فناوری در اینتل سکیوریتی، ایمیل در تمام انواع مهندسی اجتماعی اصلی‌ترین عامل خطر است. 

طبق گزارش سازمان فناوری اطلاعات ایران، اینتل سکیوریتی با آزمون آنلاینی که در ماه می سال ۲۰۱۴ به اجرا درآورد نشان داد که چقدر راحت می‌توان با ایمیل فیشینگی که برای مهندسی اجتماعی طراحی شده افراد را به دام انداخت. هدف این آزمون کسب اطلاع از میزان مهارت آزمون‌دهندگان در شناسایی حملات فیشینگ بدافزاری در میان ایمیل‌های کاری بود. 

در میان بیش از ۱۶۰۰۰ شرکت‌کننده این آزمون حداقل ۸۰ درصد  در دام یکی از هفت ایمیل فیشینگ افتادند. علاوه بر این، معلوم شد که کارکنان بخش‌های حسابداری و مالی و منابع انسانی که حساس‌ترین داده‌های شرکت‌ها را در اختیار دارند، بدتر از سایر بخش‌ها عمل می‌کنند. 

بسته به این که حمله مهندسی اجتماعی برای شکار است یا کشت، اینتل سکیوریتی چهار مرحله را برای این حملات شناسایی کرده است؛ نخست تحقیق است که برای برخی از حملات بدون هدف، اختیاری است و دوم به دام انداختن است که شامل درگیر کردن هدف و ایجاد داستانی‌ است که موجب شکل‌گیری تعامل می‌شود. 

مرحله سوم چیزی‌ است که اینتل سکیوریتی با عنوان «بازی» از آن یاد می‌کند و این مرحله‌ای از مهندسی اجتماعی‌ است که برای استخراج اطلاعات طراحی شده است. مرحله چهارم و آخر، خروج است که طی آن، هدف مهاجم پایان دادن به تعامل با قربانی‌ است بدون این‌که قربانی متوجه این سوء‌استفاده شود.

در گزارش اینتل سکیوریتی آمده است که افراد، فرایندها، و فناوری برای کاستن از خطر لازم‌اند. فناوری به تنهایی برای محافظت کاربران کافی نیست زیرا مسیرهای تهاجم فراتر از مکانیسم‌های ارتباطات دیجیتالی‌ است. 

مسئول ارشد فناوری در اینتل سکیوریتی گفته است: ایمیل متداول‌ترین روش است اما ارتباط رودررو، تلفن و موارد دیگر را نیز مدنظر قرار دهید. واقعیت این است که تنها مجموعه‌ای از کنترل‌ها می‌تواند بهترین راه مبارزه با این خطر باشد. 

به نظر نمی‌رسد که در سال ۲۰۱۵ و بعد از آن حملات مهندسی اجتماعی کاهشی پیدا کند و احتمال رشد ارزش داده‌های شخصی و تقاضای بازار برای داده‌های سرقتی نیز وجود دارد. 

به گفته وی این روش کار اکثر گروه‌های مجرمان سایبری و نیز گروه‌های هکتیویست است و حملات اجتماع‌بنیاد در آینده قابل‌پیش‌بینی، همچنان ادامه خواهد داشت.