ما هي الهندسة الاجتماعية؟

كيف تعمل الهندسة الاجتماعية؟

في هجوم الهندسة الاجتماعية التقليدي، سيتواصل المجرم الإلكتروني مع الضحية المنشودة بزعم أنه من مؤسسة موثوقة. وفي بعض الحالات، سينتحل حتى شخصية أحد الأفراد الذين تعرفهم الضحية جيدًا.

وإذا انطلت الحيلة (صدّقت الضحية أن المعتدي نفس الشخصية التي يزعمها)، فسيشجع المعتدي الضحية على اتخاذ إجراء إضافي. قد يتمثل هذا الإجراء في إفشاء معلومات حساسة مثل كلمات مرور، أو تاريخ الميلاد، أو تفاصيل الحساب البنكي. أو قد يشجع المعتدي الضحية على زيارة موقع إلكتروني يحتوي على برمجيات ضارة مثبتة تستطيع التسبب في خلل لحاسوب الضحية. وفي أسوأ السيناريوهات، قد يستحوذ الموقع الإلكتروني الضار على معلومات حسّاسة من الجهاز أو يتحكم في الجهاز بشكل كامل.

لماذا تعتبر الهندسة الاجتماعي خطرة للغاية؟

يتمثل أحد أكبر مخاطر الهندسة الاجتماعية في أنه ليس ضروري أن تنجح الهجمات ضد الجميع: فبإمكان ضحية واحدة مخدوعة أن توفر معلومات كافية لشن هجوم من الممكن أن يؤثر على مؤسسة بأسرها.

وبمرور الوقت، تطورت هجمات الهندسة الاجتماعية على نحو متزايد. فلم تعد المواقع الإلكترونية أو رسائل البريد الإلكتروني المزيفة وحدها تبدو واقعية بما يكفي لخداع الضحايا للكشف عن البيانات التي يمكن استخدامها لسرقة الهوية، بل أصبحت الهندسة الاجتماعية أيضًا واحدة من أكثر الطرق شيوعًا للمهاجمين لخرق الدفاعات الأولية للمؤسسات من أجل التسبب في مزيد من الخلل والضرر.

كيف أحمي نفسي ومؤسستي ضد الهندسة الاجتماعية؟

في الوقت الذي تختبر فيه الهجمات النفسية قوة أفضل أنظمة الأمان، يمكن للشركات الحد من مخاطر الهندسة الاجتماعية من خلال التدريب على التوعية.

لذا فالتدريب المستمر المُصمم خصيصًا لمؤسستك موصى به بشدة. وينبغي أن يشتمل هذا التدريب على عروض توضيحية للطرق التي قد يحاول المهاجمون من خلالها تطبيق الهندسة الاجتماعية على موظفيك. على سبيل المثال، محاكة سيناريو ينتحل فيه مهاجم شخصية موظف بنكي يطلب من الشخص المستهدف أن يؤكد معلومات حسابه. وقد يتمثل سيناريو آخر في مدير كبير (تم نسخ أو انتحال عنوان بريده الإلكتروني) يطلب من الشخص المستهدف إرسال مدفوعات مالية إلى حساب معيّن.

يساعد التدريب على تعليم الموظفين الدفاع ضد هذه الهجمات وفهم سبب أهمية دورهم المؤسسي في إطار الثقافة الأمنية.

كما يتعيّن على المؤسسات أيضًا وضع مجموعة واضحة من السياسات الأمنية لمساعدة الموظفين في اتخاذ أفضل القرارات عندما يتعلق الأمر بالتصدي لمحاولات الهندسة الاجتماعية. وتتضمن الأمثلة للإجراءات المفيدة التي يمكن تبنّيها ما يلي:

• إدارة كلمات المرور:    تساعد إرشادات مثل عدد ونوع الأحرف التي يجب أن تتضمنها كل كلمة مرور، وعدد مرات تغيير كلمة المرور، وحتى قاعدة بسيطة تنص على أنه لا ينبغي للموظفين الكشف عن كلمات المرور لأي شخص - بغض النظر عن مناصبهم - في تأمين أصول المعلومات.

• المصادقة متعددة العوامل: ينبغي أن تستخدم المصادقة على خدمات الشبكة عالية الخطورة، مثل تجمّعات أجهزة المودم والشبكات الخاصة الافتراضية (VPN)، مصادقة متعددة العوامل بدلاً من كلمات المرور الثابتة.

• تأمين البريد الإلكتروني بدفاعات مكافحة التصيد الاحتيالي: قد تقلل طبقات متعددة من دفاعات البريد الإلكتروني من خطر التصيد الاحتيالي وهجمات الهندسة الاجتماعية الأخرى. وتحتوي بعض أدوات تأمين البريد الإلكتروني على تدابير مدمجة للحماية من التصيد الاحتيالي.