الهندسة الاجتماعية وكيفية الحماية منها

الهندسة الاجتماعية تعرف بانها فن التلاعب بالعنصر البشري وخداعه لاستغلال ضعفه النفسي والاجتماعي بهدف جعله يكشف عن معلومات سرية أو يقوم بإجراءات خطيرة قد تؤدي إلى اختراق الأنظمة والبيانات.

باختصار بدلاً من اختراق الأنظمة التقنية مباشرةً تستهدف الهندسة الاجتماعيةالعقل البشري لتكون هي نقطة الضعف التي يتسلل منها المهاجم.

كيف تعمل الهندسة الاجتماعية

تعتمد هذه التقنية على استغلال مشاعر مثل الثقة، الفضول، الخوف أو الرغبة في المساعدة لجعل الضحية يقع في الفخ. وتتبع عملية الهجوم عادةً الخطوات التالية:

١.التحضير وجمع المعلومات

يجمع المهاجم معلومات أساسية عن الضحية أو المنظمة التي ينتمي إليها.

٢.التسلل وبناء الثقة

يبدأ المهاجم بالتفاعل مع الضحية منتحلاً صفة شخص موثوق به (مثل موظف بنك فني دعم فني أو مسؤول في الشركة).

٣.الاستغلال (الهجوم) بمجرد بناء الثقة يستغل المهاجم نقطة ضعف الضحية لتحفيزه على اتخاذ الإجراء المطلوب مثل:

*إفشاء كلمة مرور.

*النقر على رابط ضار.

*تنزيل ملف مصاب ببرامج خبيثة.

٤.الانسحاب

ينسحب المهاجم بعد حصوله على المعلومات أو الوصول المطلوب.

أبرز أنواع هجمات الهندسة الاجتماعية

تتعدد أساليب الهندسة الاجتماعية، ومن أشهرها:

أ/التصيّد الاحتيالي إرسال رسائل (غالباً عبر البريد الإلكتروني) تبدو وكأنها واردة من مصدر موثوق به (مثل بنك أو شبكة اجتماعية) ولكنها تحتوي على روابط أو مرفقات ضارة تهدف لسرقة بيانات الاعتماد.

ب/التذرُّع/انتحال الهوية اختلاق سيناريو أو قصة مزيفة ومقنعة لخداع الضحية وإقناعه بتقديم معلومات سرية.

مثال: الاتصال بالضحية وادعاء المهاجم أنه من الدعم الفني ويحتاج كلمة مروره لإصلاح مشكلة عاجلة

ج/الاصطياد الإغرائي إغراء الضحية بمكافأة أو فائدة مقابل تنفيذ إجراء ما.

أشهر مثال: ترك قرص ذاكرة {USB} (فلاش ميموري) مصاب ببرامج ضارة في مكان عام على أمل أن يعثر عليه شخص فضولي ويوصله بجهازه.

د/الصفحات والمواقع المخادعة

إنشاء صفحات ويب تحاكي تماماً شكل ووظيفة المواقع الموثوقة (مثل صفحة تسجيل الدخول لبنك أو لخدمة سحابية) بهدف سرقة بيانات تسجيل الدخول بمجرد إدخالها

(حم)كيف تحمي نفسك ومؤسستك من هجمات الهندسة الاجتماعية تعتمد بشكل أساسي على الوعي البشري واليقظة المستمرة، لأن المهاجم يستهدف العواطف ونقاط الضعف الإنسانية بدلاً من العيوب التقنية في الأنظمة.

إليك أهم خطوات وإجراءات الحماية:

1.التوعية والتدريب المستمر

تُعدّ هذه الخطوة خط الدفاع الأول ضد الهندسة الاجتماعية، حيث يجب عليك وعلى جميع من تتعامل معهم:

*الشك الصحي:

لا تثق بأي شخص يطلب منك معلومات حساسة (كلمات مرور، أرقام بطاقات ائتمان، بيانات شخصية) عبر الهاتف البريد الإلكتروني، أو الرسائل الفورية، حتى لو بدا أنه مصدر موثوق.

*التفكير الناقد

توقّف وفكّر قبل النقر أو الرد.

هل هذا الطلب منطقي هل كنت أتوقع هذا الاتصال أو هذه الرسالة؟

*الإبلاغ:

عند الاشتباه بأي محاولة تصيّد أو انتحال، يجب الإبلاغ عنها فوراً لقسم تكنولوجيا المعلومات أو الأمن في مؤسستك.

التدريب على سيناريوهات

قم بتدريب الموظفين على التعرف على رسائل التصيّد الاحتيالي الشائعة ومحاولات انتحال الشخصيةوتقنية الإغراء.

2.التحقق من الهوية والمصدر

قبل مشاركة أي معلومات أو اتخاذ أي إجراء بناءً على طلب، يجب التحقق من هوية الطالب بطريقة مستقلة:

*التواصل المستقل

إذا تلقيت مكالمة أو بريداً إلكترونياً من “البنك” أو رئيسك في العمل يطلب بيانات حساسة، لا ترد عبر نفس القناة. بدلاً من ذلك اتصل بالبنك مباشرة على رقمه الرسمي المعروف أو اتصل بالرئيس على رقم هاتفه المكتبي الموثوق.

*فحص عناوين البريد الإلكتروني

انتبه جيداً إلى عنوان البريد الإلكتروني المرسل. غالباً ما يستخدم المهاجمون عناوين مشابهة جداً (مثل: \text{suport@comapny.com} بدلاً من \text{support@company.com}).

*فحص الروابط (\text{URLs}):

قبل النقر على أي رابط مرر مؤشر الفأرة فوقه

(أو اضغط مطولاً على الهاتف) لرؤية عنوان الوجهة الحقيقي والتأكد من أنه يطابق الموقع الرسمي.

ابحث عن بروتوكول الأمانtext{https://}.

3.تطبيق الإجراءات التقنية والأمنية

هذه الإجراءات توفر طبقة إضافية من الحماية حتى في حال وقوع خطأ بشري:

*المصادقة متعددة العوامل (\text{MFA}) قم بتفعيل المصادقة الثنائية(\text{2FA}) أو متعددة العوامل على جميع حساباتك المهمة. هذا يضمن أنه حتى لو تمكن المهاجم من سرقة كلمة المرور الخاصة بك فلن يتمكن من الوصول إلى حسابك دون عامل التحقق الثاني (مثل رمز يتم إرساله إلى هاتفك).

*برامج مكافحة ٤.الفيروسات والتصيّد: استخدم برامج أمنية حديثة وتأكد من تحديث نظام التشغيل ومتصفح الويب بشكل دوري لسد الثغرات الأمنية المعروفة.

*إدارة كلمات المرور: استخدم كلمات مرور قوية ومعقدة وفريدة لكل حساب وفكر في استخدام مدير لكلمات المرور.

*الحذر من الملفات والمرفقات

لا تقم أبداً بتنزيل أو فتح مرفقات من مصادر غير موثوق بها أو رسائل إلكترونية مريبة.

>الحذر من مشاركة المعلومات العامة

يستخدم المهاجمون أدوات جمع المعلومات مفتوحة المصدر (\text{OSINT}) لجمع بيانات عنك لبناء سيناريوهات هجوم مقنعة:

*مراجعة الخصوصية: كن حذراً جداً بشأن ما تنشره على وسائل التواصل الاجتماعي خاصة معلومات مثل تاريخ ميلادك، أسماء أفراد عائلتك، معلومات العمل التفصيلية أو خطط إجازاتك.

*التعامل مع صناديق text{USB} مجهولة:

لا تقم أبداً بتوصيل وحدات تخزين {USB

مجهولة المصدر تجدها في الأماكن العامة بجهازك