فهم حيل الهندسة الاجتماعية وكيفية منعها

في العصر الرقمي، تمثل الهندسة الاجتماعية والتصيد الاحتيالي تهديدات كبيرة للأمن والخصوصية، مما يؤثر على مجموعة من المنصات الرقمية - من وسائل التواصل الاجتماعي وتطبيقات المراسلة إلى التجارة الرقمية وشركات الدفع والخدمات المصرفية عبر الإنترنت. تشير الإحصاءات الأخيرة إلى اتجاه تصاعدي في حالات الهندسة الاجتماعية، مع تكبد خسائر مالية كبيرة سنويًا. إن فهم هذه التهديدات أمر بالغ الأهمية لحماية النظام البيئي وضمان سلامة جميع أصحاب المصلحة المعنيين.

ما هو الاحتيال والهندسة الاجتماعية؟

يعد التصيد الاحتيالي والهندسة الاجتماعية أشكالًا معقدة من الهجمات الإلكترونية التي تتلاعب بالأفراد بدلاً من استغلال نقاط الضعف في البرامج. في كل عام، ينخرط 58٪ من مستخدمي أنظمة الشركات الذين اتخذوا إجراءات محفوفة بالمخاطر في سلوك من شأنه أن يجعلهم عرضة لتكتيكات الهندسة الاجتماعية الشائعة. وقد تطورت هذه التكتيكات بمرور الوقت لتصبح أكثر تعقيدًا، وتتكيف مع التقدم في تدابير الأمن السيبراني.

التعريف والأنواع

تتضمن الهندسة الاجتماعية التلاعب النفسي لخداع المستخدمين لارتكاب أخطاء أمنية أو التخلي عن معلومات حساسة. التصيد الاحتيالي هو أحد أساليب الهندسة الاجتماعية حيث ينتحل المهاجمون شخصية الكيانات الموثوقة لاستخراج البيانات الحساسة مثل الاسم والعنوان والتفاصيل المصرفية وتفاصيل بطاقة الائتمان. يتضمن ذلك طرقًا مختلفة مثل التصيد الاحتيالي عبر البريد الإلكتروني، والتصيد الاحتيالي (التصيد الصوتي)، والتصيد الاحتيالي (التصيد الاحتيالي عبر الرسائل القصيرة)، والتصيد الاحتيالي بالرمح، وصيد الحيتان - يستهدف هذا النوع المحدد الإدارة العليا للسيطرة على النظام الداخلي والوصول إلى البيانات المميزة. لنلقِ نظرة على بعض الأمثلة الواقعية:

• عروض ترويجية وهمية للعلامة التجارية: يقوم المهاجمون بإنشاء إعلانات مزيفة تقدم خصومات غير واقعية على المنتجات الشعبية لجذب المستهلكين لتقديم التفاصيل الشخصية.

أصدرت شرطة سنغافورة تحذيرات بشأن اتجاه الاحتيال المتزايد حيث ينتحل المجرمون شخصية البنوك عبر الرسائل القصيرة، ويقدمون خطط إيداع ثابتة عالية الفائدة لجذب الضحايا إلى معاملات احتيالية، مما أدى إلى خسارة 12 ضحية على الأقل ما مجموعه 650 ألف دولار سنغافوري منذ يناير 2024 (علبة).

• احتيال المحتال الحكومي: يتظاهر المحتالون بأنهم من الحكومة ويقومون بإنشاء مواقع ويب لجمع المعلومات الشخصية. تستغل هذه الطريقة ثقة الناس في الاتصالات الرسمية لخداعهم لتقديم بيانات حساسة.

أصدرت شرطة سنغافورة تحذيرًا بشأن عملية احتيال جديدة تتضمن رسوم بيانية احتيالية لميزانية 2024 تم تداولها عبر Telegram. تدعي هذه الرسوم البيانية زوراً أنها من وزارة المالية وتخدع الضحايا للنقر على رابط يؤدي إلى موقع ويب مزيف، بزعم التحقق من الأهلية للحصول على المدفوعات النقدية الحكومية. يُطلب من الضحايا تقديم التفاصيل الشخصية، مما يؤدي بعد ذلك إلى محاولات تسجيل دخول غير مصرح بها على حسابات Telegram الخاصة بهم (علبة).

• انتحال شخصية خدمة العملاء: يقوم المخادعون بتقليد دعم العملاء الشرعي لتضليل العملاء وتوجيههم إلى مواقع ضارة تحت ستار حل المشكلات.
• الاحتيال على الرئيس التنفيذي: يُعرف أيضًا باسم تسوية البريد الإلكتروني للأعمال (BEC). إنها عملية احتيال يقوم فيها مجرمو الإنترنت بانتحال شخصية مسؤول تنفيذي في الشركة لخداع الموظفين لإرسال أموال أو معلومات سرية. يعتمد هذا النوع من الاحتيال على السلطة المتصورة للسلطة التنفيذية وغالبًا ما يتضمن طلبات عاجلة وخادعة.

استقال Jaime Ondarza، الرئيس التنفيذي لشركة Fremantle لجنوب أوروبا، بعد أن أرسل عن طريق الخطأ ما يقرب من 940,000 يورو إلى مجرمي الإنترنت في عملية احتيال على الرئيس التنفيذي. أقنع المحتالون، الذين تظاهروا بأنهم كبار المديرين التنفيذيين، أوندارزا بتحويل الأموال لشراء شركة وهمية في آسيا. (رؤية TBI)

• هجمات الاستحواذ على الحساب: يمكن للمهاجمين الوصول إلى حسابات وسائل التواصل الاجتماعي الحقيقية واستخدامها لإرسال روابط التصيد الاحتيالي أو طلبات البيانات إلى جهات اتصال موثوقة، مستغلين الثقة والمصداقية الراسخة.

لماذا يتخذ الموظفون إجراءات محفوفة بالمخاطر؟

لفهم الأسباب الكامنة وراء الإجراءات التي تدفع الأفراد إلى الوقوع ضحية للتصيد الاحتيالي، يجب علينا أولاً التعرف على المشاعر التي توجه هذه القرارات. يحدد Adu-Manu et al. (2022) المشاعر مثل الجشع والخوف والفضول والفتن والتعاطف كدوافع عاطفية رئيسية تساهم في هجمات التصيد الاحتيالي. غالبًا ما يتلاعب المحتالون بهذه المشاعر لجذب المستخدمين إلى اتخاذ إجراءات محفوفة بالمخاطر، مثل النقر على رسائل البريد الإلكتروني المخادعة أو قبول العروض الخادعة التي تبدو غير ضارة. بالإضافة إلى ذلك، تلعب العوامل المتعمدة مثل راحة توفير الوقت والوفاء بالمواعيد النهائية أو الأهداف والحفاظ على الأموال أيضًا أدوارًا مهمة في جعل هذه القرارات المحفوفة بالمخاطر أكثر جاذبية.

التكتيكات الشائعة والناشئة في التصيد والهندسة الاجتماعية

تتطور أساليب الاحتيال والهندسة الاجتماعية باستمرار حيث يستخدم مجرمو الإنترنت أساليب معقدة بشكل متزايد لتجاوز الإجراءات الأمنية واستغلال نقاط الضعف البشرية. فيما يلي بعض التقنيات الأكثر انتشارًا المستخدمة في هذه الهجمات:

• التدخلات البشرية: في قلب الهندسة الاجتماعية يكمن التلاعب بالعواطف والسلوكيات البشرية. يستخدم مجرمو الإنترنت أساليب خادعة تتطلب إجراءات مضادة قوية مثل التعليم المستمر وتطبيق السياسة الصارمة لحماية الأفراد.
• القائمة السوداء/القائمة البيضاء/قائمة الحقائق/Phishtank: يتنقل المهاجمون بمهارة حول المواقع أو يقلدونها في قوائم الأمان، مما يمثل تحديات كبيرة للدفاعات التقليدية التي تعتمد على هذه المستودعات لتحديد التهديدات.
• بنية الويب/مطابقة المحتوى: تتضمن الاستراتيجية المشتركة استنساخ بنية ومحتوى مواقع الويب الشرعية. يخدع هذا التكتيك الضحايا للاعتقاد بأنهم يتفاعلون مع مواقع أصلية، مما يزيد من احتمالية الكشف عن معلومات حساسة.
• تشابه عناوين URL: ينشئ المحتالون عناوين URL تشبه إلى حد كبير عناوين المواقع الشرعية، وهي طريقة مصممة لخداع المستخدمين من خلال استغلال معرفتهم وثقتهم في عناوين الويب المعروفة.
• مطابقة سجل الوصول إلى الويب: من خلال الوصول إلى سجلات حركة مرور الويب وتحليلها، يمكن للمهاجمين إنشاء مواقع تصيد مقنعة تحاكي أنشطة المستخدم المشروعة، مما يجعل هذه المواقع تبدو أكثر مصداقية وبالتالي خداع حتى المستخدمين اليقظين.
• تقنيات متعددة الطبقات: لتعزيز معدل نجاحهم، غالبًا ما يجمع المهاجمون العديد من التقنيات الخادعة. يزيد هذا النهج متعدد الطبقات من تعقيد الهجمات، مما يجعل من الصعب على تدابير الأمان القياسية اكتشافها وحظرها.

حماية منصتك الرقمية

سواء كانت وسائل التواصل الاجتماعي أو تطبيق المراسلة أو التجارة الرقمية أو شركات الدفع أو الخدمات المصرفية عبر الإنترنت - يجب أن تكون القدرة على تحديد أنشطة التصيد ومنعها هي المعيار الجديد لجميع المنصات الرقمية لضمان الشمول الرقمي للمستخدمين النهائيين.

التدخلات على مستوى المستخدم

• التعليم والتدريب: تعد برامج التعليم والتدريب المستمر أمرًا حيويًا. فهي تساعد الأفراد على التعرف على محاولات التصيد الاحتيالي والاستجابة لها، خاصة تلك التي تستخدم أساليب الهندسة الاجتماعية المتطورة. يمكن لجلسات التدريب المنتظمة أن تعزز بشكل كبير وعي المستخدمين واستعدادهم ضد هذه التهديدات.
• سياسات الأمن السيبراني: سياسات الأمن السيبراني القوية هي العمود الفقري لأي مؤسسة آمنة. تعمل هذه السياسات على توجيه سلوك المستخدم وضمان الامتثال، مما يقلل بشكل كبير من قابلية التعرض للتصيد الاحتيالي والهجمات الإلكترونية الأخرى. من الضروري أن تضع المؤسسات إرشادات واضحة يتم تحديثها بانتظام لتعكس تهديدات الأمن السيبراني الجديدة.
• حماية الخصوصية الشخصية: يعد تثقيف الموظفين والمستخدمين حول أهمية حماية المعلومات الشخصية أمرًا بالغ الأهمية. يمكن أن يمنع هذا التعليم المهاجمين من جمع البيانات الهامة من خلال التفاعلات التي تبدو غير ضارة أو الطلبات الخادعة.
• حلول قانونية: يمكن أن يؤدي تنفيذ الإجراءات القانونية إلى تعزيز الإطار الأمني العام للمنصة، وردع مجرمي الإنترنت من خلال زيادة العواقب المحتملة لأفعالهم.

التدخلات على مستوى الجهاز

• القائمة السوداء للنطاقات: يعد استخدام القوائم السوداء لحظر المجالات الضارة المعروفة طريقة مباشرة وفعالة لمنع الوصول إلى مواقع الويب الضارة. تقلل هذه الإستراتيجية من مخاطر هجمات التصيد الاحتيالي من خلال منع المستخدمين من الوصول عن غير قصد إلى المواقع الخطرة.
• التعلم الآلي: يمكن أن تلعب خوارزميات التعلم الآلي دورًا محوريًا في تعزيز الإجراءات الأمنية. تكتشف هذه التقنيات سلوك الموقع غير المعتاد أو أنماط البيانات الشاذة، والتي تشير إلى محاولات التصيد المعقدة وغير المعروفة سابقًا.
• تشابه عنوان URL: يمكن للأدوات التي تقارن عناوين URL التي زارها المستخدمون بقائمة مواقع التصيد المعروفة حظر المحاولات الخادعة التي تحاكي مواقع الويب الشرعية. يعد هذا أمرًا بالغ الأهمية في منع المستخدمين من الوقوع ضحية للمواقع التي تبدو مشابهة لتلك التي يثقون بها.
• بنية الويب/تشابه المحتوى: يعد تحليل بنية ومحتوى مواقع الويب لتحديد النسخ أو شبه المكررة من المواقع الشرعية طريقة فعالة لاكتشاف محاولات التصيد ومنعها. يساعد هذا التحليل في تحديد المواقع المصممة لخداع المستخدمين من خلال محاكاة مظهر المواقع الموثوقة.
• سجلات الوصول إلى الويب: توفر مراقبة سجلات الوصول إلى الويب رؤى حول الأنماط غير العادية التي قد تشير إلى أنشطة التصيد الاحتيالي. يمكن للاستجابات السريعة لهذه المؤشرات أن تخفف من التهديدات المحتملة قبل أن تسبب الضرر.
• تكامل فيشتانك: يضمن دمج البيانات من مصادر مثل PhishTank في بروتوكولات الأمان تحديث المؤسسات باستمرار حول تهديدات التصيد الاحتيالي الجديدة والناشئة. يعزز هذا التكامل الدفاعات الاستباقية، مما يجعل التدابير الأمنية متقدمة بخطوة على مجرمي الإنترنت.

باختصار

يتطلب التطور المستمر للهندسة الاجتماعية والتصيد الاحتيالي نهجًا يقظًا ومتعدد الطبقات للأمن السيبراني عبر جميع المنصات الرقمية. ومع تطور هذه التهديدات لتصبح أكثر تعقيدًا، لا يمكن المبالغة في أهمية تنفيذ تدخل قوي على مستوى المستخدم والجهاز. من خلال تثقيف المستخدمين، وفرض سياسات الأمن السيبراني القوية، واستخدام التدابير التكنولوجية المتقدمة، يمكن للمؤسسات تعزيز دفاعاتها بشكل كبير ضد هذه التكتيكات الخادعة. في نهاية المطاف، لا يقتصر الحفاظ على بيئة رقمية آمنة على حماية البيانات فحسب، بل يتعلق أيضًا بحماية ثقة ورفاهية كل مستخدم في النظام البيئي الرقمي.

مرجع

ساربونغ أبو مانو، ك.، كواسي أهيبل، ر.، كوامي أباتي، جيه، وإيسيل مينساه، إي (2022). هجمات التصيد الاحتيالي في الهندسة الاجتماعية: مراجعة. مجلة الأمن السيبراني، 4(4)، 239—267. https://doi.org/10.32604/jcs.2023.041095

‍