الهندسة الاجتماعية (الأمن)

التظاهر، المعروف أيضاً في المملكة المتحدة باسم التضليل، ^{[ 14 ]} هو فعل خلق واستخدام سيناريو مُختلق ( الذريعة ) للتأثير على ضحية مُستهدفة بطريقة تزيد من احتمالية إفصاحها عن معلومات أو قيامها بأفعال من غير المرجح حدوثها في الظروف العادية. ^{[ 15 ]} وهي كذبة مُحكمة ، غالباً ما تتضمن بحثاً أو إعداداً مسبقاً، واستخدام هذه المعلومات لانتحال الشخصية ( مثل تاريخ الميلاد، رقم الضمان الاجتماعي ، قيمة آخر فاتورة) لإضفاء الشرعية على الشخص في ذهن الضحية. ^{[ 16 ]}

يُعدّ "التمركز في مواقع الويب" استراتيجية هندسة اجتماعية مُوجّهة تستغل ثقة المستخدمين في المواقع التي يزورونها بانتظام. يشعر الضحية بالأمان الكافي للقيام بأمورٍ ما كان ليُقدم عليها في ظروفٍ أخرى. على سبيل المثال، قد يتجنّب الشخص الحذر النقر على رابطٍ في بريدٍ إلكتروني غير مرغوب فيه، لكنه لن يتردد في النقر على رابطٍ في موقعٍ يزوره باستمرار. لذا، يُعدّ المهاجم فخًا للضحية غير الحذرة في موقعٍ مُفضّل. وقد استُخدمت هذه الاستراتيجية بنجاحٍ للوصول إلى بعض الأنظمة التي يُفترض أنها شديدة الأمان. ^{[ 17 ]}

يُعدّ الإغراء شكلاً من أشكال حصان طروادة الواقعي الذي يستخدم الوسائط المادية ويعتمد على فضول الضحية أو جشعها. ^{[ 18 ]} في هذا الهجوم ، يترك المهاجمون أقراصًا مرنة أو أقراص CD-ROM أو ذاكرات فلاش USB مصابة ببرامج ضارة في أماكن يسهل على الناس العثور عليها (الحمامات، المصاعد، الأرصفة، مواقف السيارات، إلخ)، ويضعون عليها ملصقات شرعية ومثيرة للفضول، ثم ينتظرون الضحايا.

ما لم تمنع برامج مكافحة الفيروسات في الحاسوب العدوى، فإن إدخال البرامج الضارة يُعرّض وسائط التخزين "التي تعمل تلقائيًا" في أجهزة الحاسوب للخطر. كما يمكن استخدام أجهزة معادية. ^{[ 19 ]} على سبيل المثال، يُرسل إلى "الفائز المحظوظ" مشغل صوت رقمي مجاني يُعرّض أي جهاز حاسوب يُوصل به للخطر. يُطلق مصطلح "السماد المنتشر" (وهو مصطلح عامي يُشير إلى طبيعة الجهاز غير المرغوب فيها) على أي وسائط تخزين قابلة للإزالة تحتوي على برامج ضارة تُترك في أماكن ظاهرة أو مُتاحة. قد تكون هذه الوسائط عبارة عن قرص مضغوط أو قرص DVD أو ذاكرة فلاش USB ، من بين وسائط أخرى. يأخذها الأشخاص الفضوليون ويوصلونها بجهاز حاسوب، مما يُؤدي إلى إصابة الجهاز المضيف وأي شبكات متصلة به. مرة أخرى، قد يُطلق المخترقون عليها تسميات جذابة، مثل "رواتب الموظفين" أو "سري". ^{[ 20 ]}

في دراسة نُشرت عام ٢٠١٦، قام باحثون بإسقاط ٢٩٧ قرص تخزين USB في أنحاء حرم جامعة إلينوي. احتوت الأقراص على ملفات مرتبطة بصفحات ويب يملكها الباحثون. تمكن الباحثون من معرفة عدد الأقراص التي تحتوي على ملفات مفتوحة، ولكن لم يتمكنوا من معرفة عدد الأقراص التي تم إدخالها في جهاز كمبيوتر دون فتح أي ملف. من بين الأقراص الـ ٢٩٧ التي تم إسقاطها، تم التقاط ٢٩٠ قرصًا (٩٨٪)، وتم توصيل ١٣٥ قرصًا (٤٥٪) منها بخوادمها. ^{[ ٢١ ]}

التصيد الإعلاني هو أسلوب هندسة اجتماعية يستخدم فيه المحتالون الإعلانات الإلكترونية لخداع المستخدمين وإيهامهم بأنهم يتعاملون مع علامات تجارية أو خدمات شرعية. ووفقًا لجوجل، غالبًا ما تُقلّد هذه الإعلانات الخادعة جهات موثوقة مثل البنوك أو مزودي البرامج أو صفحات دعم العملاء، مما يقود المستخدمين إلى مواقع احتيالية تحاول سرقة كلمات المرور أو معلومات بطاقات الائتمان أو غيرها من البيانات الحساسة. ^{[ 22 ]}

يعرض المهاجم تقديم معلومات حساسة (مثل بيانات تسجيل الدخول) أو دفع مبلغ من المال مقابل خدمة معينة. وقد ينتحل المهاجم صفة خبير يقدم مساعدة تقنية مجانية، حيث يحتاج إلى بيانات تسجيل الدخول من المستخدم. ^{[ 23 ]}

يتعرض الضحية لوابل من الرسائل الإلكترونية التي تتضمن تهديدات وتنبيهات زائفة، مما يجعله يعتقد أن نظامه مصاب ببرامج ضارة. ولذلك، يجبره المهاجمون على تثبيت برامج تسجيل دخول عن بُعد أو برامج خبيثة أخرى، أو يبتزونه مباشرةً للحصول على فدية، كأن يعرضوا عليه إرسال مبلغ معين من المال بعملة مشفرة مقابل ضمان سلامة مقاطع الفيديو السرية التي يدعي المجرم امتلاكها. ^{[ 23 ]}

يتظاهر المهاجم بأنه موظف في الشركة أو شخص آخر لديه صلاحيات دخول، وذلك للدخول إلى مكتب أو منطقة محظورة. وتُستخدم أدوات الخداع والهندسة الاجتماعية بشكل مكثف. على سبيل المثال، يتظاهر المتسلل بأنه ساعي بريد أو عامل تحميل يحمل شيئًا ما، ويطلب من موظف يسير في الخارج أن يفتح الباب، فيتمكن من الدخول إلى المبنى. ^{[ 23 ]}

شارك كل من كيفن ميتنيك وسوزان هيدلي ولويس دي باين في عمليات القرصنة الإلكترونية واختراق أجهزة الكمبيوتر التي تتضمن الهندسة الاجتماعية في لوس أنجلوس في أواخر السبعينيات وأوائل الثمانينيات. ^{[ 28 ] [ 29 ]}

قام الأخوة بادير ، رامي ومزهر وشادي بادير - وجميعهم كانوا مكفوفين منذ الولادة - بإنشاء مخطط احتيال واسع النطاق عبر الهاتف والكمبيوتر في إسرائيل في التسعينيات باستخدام الهندسة الاجتماعية وانتحال الصوت وأجهزة الكمبيوتر المزودة بشاشات برايل . ^{[ 30 ] [ 31 ]}

في عام 2011، اخترق قراصنة شركة RSA المتخصصة في التشفير  وحصلوا على معلومات حول مفاتيح المصادقة الثنائية SecurID . وباستخدام هذه البيانات، حاول القراصنة لاحقًا التسلل إلى شبكة شركة لوكهيد مارتن، وهي شركة مقاولات دفاعية . تمكن القراصنة من الوصول إلى بيانات المفاتيح عن طريق إرسال رسائل بريد إلكتروني إلى أربعة موظفين في الشركة الأم من موقع توظيف مزعوم. احتوت الرسائل على ملف إكسل مرفق بعنوان "خطة التوظيف لعام 2011". احتوى الملف على ثغرة أمنية في برنامج فلاش ( ثغرة غير معروفة) وفرت وصولًا خلفيًا إلى أجهزة الكمبيوتر الخاصة بالعمل. ^{[ 32 ] [ 33 ]}

في عام 2013، تعرض خادم تابع لوزارة العمل الأمريكية للاختراق، واستُخدم لاستضافة برمجيات خبيثة وإعادة توجيه بعض الزوار إلى موقع إلكتروني باستخدام ثغرة أمنية غير معروفة في متصفح إنترنت إكسبلورر لتثبيت حصان طروادة للتحكم عن بُعد يُدعى " بويزن آيفي" . واستُخدمت هجمات "المواقع المُستهدفة"، حيث أنشأ المهاجمون صفحات متعلقة بالمواد النووية السامة التي تشرف عليها وزارة الطاقة . ويُرجح أن يكون المستهدفون موظفين في وزارتي العمل والطاقة ممن لديهم صلاحية الوصول إلى بيانات نووية حساسة. ^{[ 32 ] [ 34 ]}

في 24 نوفمبر/تشرين الثاني 2014 ، سربت مجموعة القرصنة " حراس السلام " ^{[ 35 ]} (التي يُحتمل ارتباطها بكوريا الشمالية ) ^{[ 36 ]} بيانات سرية من استوديوهات سوني بيكتشرز إنترتينمنت . شملت البيانات رسائل بريد إلكتروني، ورواتب المديرين التنفيذيين، ومعلومات شخصية وعائلية للموظفين. انتحل المحتالون صفة موظفين رفيعي المستوى لتثبيت برامج ضارة على أجهزة الكمبيوتر الخاصة بالموظفين. ^{[ 37 ]}

في عام 2015، تكبّدت شركة Ubiquiti، المتخصصة في تصنيع أجهزة وبرامج Wi-Fi، خسائر بلغت نحو 47 مليون دولار أمريكي نتيجة عمليات اختراق إلكتروني. أرسل المهاجمون رسالة بريد إلكتروني تصيدية إلى قسم المحاسبة في الشركة من فرعها في هونغ كونغ، تتضمن تعليمات بتغيير بيانات حساب الدفع. فور اكتشاف السرقة، بدأت الشركة بالتعاون مع جهات إنفاذ القانون، لكنها لم تتمكن من استرداد سوى 8 ملايين دولار من الأموال المسروقة، رغم أنها كانت تأمل في استرداد 15 مليون دولار. ^{[ 32 ] [ 38 ]}

خلال انتخابات الولايات المتحدة عام 2016 ، أرسل قراصنة مرتبطون بالمخابرات العسكرية الروسية (GRU) رسائل بريد إلكتروني تصيدية إلى أعضاء حملة هيلاري كلينتون ، مُتنكرة في هيئة تنبيهات جوجل. ^{[ 39 ]} أدخل العديد من الأعضاء، بمن فيهم رئيس الحملة، جون بوديستا ، كلمات مرورهم ظنًا منهم أنها ستُعاد تعيينها، مما أدى إلى تسريب معلوماتهم الشخصية وآلاف الرسائل الإلكترونية والوثائق الخاصة. ^{[ 40 ]} باستخدام هذه المعلومات، اخترقوا أجهزة كمبيوتر أخرى تابعة للجنة الحملة الانتخابية الديمقراطية للكونغرس ، وزرعوا برامج خبيثة فيها، مما أدى إلى مراقبة أنشطتهم الحاسوبية وتسريبها. ^{[ 40 ]}

في أعقاب اختراق بيانات شركة Equifax عام 2017، والذي نُسب إلى جيش التحرير الشعبي الصيني [ ^{41 ] ،} والذي سُرّب فيه أكثر من 150 مليون سجل خاص (بما في ذلك أرقام الضمان الاجتماعي ، وأرقام رخص القيادة ، وتواريخ الميلاد، وغيرها)، صدرت تحذيرات بشأن مخاطر أمنية وشيكة. ^{[ 42 ]} وفي اليوم التالي لإنشاء موقع إلكتروني شرعي للمساعدة (equifaxsecurity2017.com) مخصص للأشخاص الذين يُحتمل أن يكونوا ضحايا للاختراق، تم حجز 194 نطاقًا خبيثًا من خلال تغييرات طفيفة في عنوان URL، مستغلين احتمالية الخطأ في كتابة العنوان. ^{[ 43 ] [ 44 ]}

تعرضت شركتا التكنولوجيا العملاقتان ، جوجل وفيسبوك ، لعملية احتيال إلكتروني من قبل محتال ليتواني عام 2017، حيث خسرتا 100 مليون دولار .^{[ 45 ]} انتحل المحتال صفة مورد أجهزة ليصدر فواتير مزورة للشركتين على مدى عامين. ^{[ 46 ]} ورغم تطورهما التقني، خسرت الشركتان الأموال، إلا أنهما تمكنتا لاحقًا من استرداد معظم الأموال المسروقة. ^{[ 47 ]}