مهندسی اجتماعی یک حمله روانی علیه یک شرکت یا سازمانی است که هدف آن بهره گیری از تمایل طبیعی مردم به اعتماد به دیگران است. یک مهاجم مهندسی اجتماعی بهانه و دستاویزی میسازد که برای اهداف (دیگران) آشناست و سپس تعصبات شناختی آنها را کشف میکند تا آنها را به یک احساس کاذب امنیت و اعتماد بیندازد. به طور خلاصه، مهاجم یک ضمیر دگرگون را در نظر خود فرض میکند که انتظار میرود به طور ذاتی (به مهاجم) اعتماد کند.

با استفاده از این رابطه اعتماد جعلی، مهاجم اشخاص مورد هدف را به دام می­اندازد تا آنها داده ­های حساس را افشا کنند یا عملی را انجام دهند که آنها معمولاً انجام نمی­دهند. برخی از داده­های فاش شده، مانند اعتبار نامه ممکن است هدف نهایی مهاجم باشد. داده­ های دیگر  مانند نام مدیر بخش ممکن است وسیله­ای برای رسیدن به هدف باشد.

نوع دوم داده­ها ممکن است بی­اهمیت به نظر برسد، اما این واقعیت به دو دلیل قابل توجه است. اولاً به دلیل اینکه اطلاعات مهم به نظر نمی­رسند، اهداف آنها کمتر می­توانند باعث محافظت آنها بشود. بنابراین آنها احتمالاً بدون اینکه مشکوک شوند، آنرا آشکارا فاش می­کنند. دوم اینکه مهندسی اجتماعی یک فرآیند تکراری است. هر تکه از اطلاعاتی را که مهاجم بدست می­آورد، اطلاعاتی است که می­تواند برای تقویت بیشتر مشروعیت ظاهری بهانه و دستاویز مهاجم مورد استفاده قرار گیرد که به نوبه خود باعث می­شود آنها به اهداف خود اعتماد بیشتری داشته باشند، بنابراین بیشتر احتمال دارد که اطلاعات حساس­تری را بروز دهند.

مهندسی اجتماعی چه ارتباطی با امنیت نرم ­افزار دارد؟

مهندسی اجتماعی به خودی خود هدف نیست بلکه غالباً وسیله­ای برای رسیدن به هدف است. مهندسی اجتماعی ممکن است فقط یک وجه حمله پیچیده علیه یک سیستم به خصوص قوی باشد. به عنوان مثال فرض کنید که با استفاده از یک شگرد فنی، مهاجم به اعتبار کاربر دسترسی پیدا کرده است. اما تصور کنید که هدف نهایی مهاجم دستیابی به سیستمی است که نیاز به احراز هویت دو مرحله ­ای دارد و توسط یک رمز کلید هر دقیقه شش رقم دیجیتالی متفاوت نمایش داده می­شود. با استفاده از مهندسی اجتماعی و یک بهانه قانع­ کننده، ممکن است مهاجم بتواند کاربر را فریب دهد تا اطلاعات چند عاملی را که امکان دسترسی به سیستم را فراهم می­کند، افشا کند.

معمول ­ترین حملات مهندسی اجتماعی چه هستند؟

۱) حملات مبتنی بر تلفن: مهاجمان با اشخاص مورد هدف تماس گرفته و آنها را به سمت سایت­های فیشینگ سوق می­دهد یا مستقیماً از آنها اطلاعات حساس می­خواهد.

۲) حملات به صورت حضوری: مهاجمان به عنوان کارگران نگهداری، کارگران ساختمانی یا نقش­های جعلی مشابه برای دسترسی به مناطق محدود ظاهر می­شوند.

۳) حرکت با فاصله کم به دنبال شخص هدف: مهاجمان به عنوان کارمند ظاهر می­شوند و افراد مجاز را از طریق درهای قفل­ شده به مناطق ممنوع دنبال می­کنند.

۴) حملات شخص ثالث: مهاجمان اهداف را از طریق شخص ثالث دنبال می­کنند یعنی در خارج از سازمان هدف. هدف این است که تلفن یا کامپیوتر شخصی را با بد افزار آلوده کنند سپس به شبکه سازمان هدف متصل شوند. شخص ثالث ممکن است یک سایت دوست ­یابی آنلاین یا شبکه­ های اجتماعی باشد.