Sosyal mühendislik saldırıları birden fazla aşamadan oluşur. Bir fail, olası giriş yolları ve zayıf güvenlik mekanizmaları gibi saldırıyı gerçekleştirmek için gerekli arka plan bilgilerini elde etmek için başlangıçta hedef kurbanı analiz eder. Bu makale sosyal mühendislik, sosyal mühendislik saldırıları, kendinizi sosyal mühendislikten nasıl koruyacağınızı ve sosyal mühendislik örneklerini açıklayacaktır.
Bu, insanları çevrimiçi ortamda hesap numaraları, parolalar veya bankacılık bilgileri gibi hassas, kişisel bilgileri iyi niyetle vermeye ikna ederek manipüle etme uygulamasıdır.
Sosyal mühendislik, "mühendis" kurbandan, kurbanın iş yaptığı bir finans kurumu veya kişi olduğunu düşündüğü bir kişiye para göndermesini istediğinde, ancak para "mühendisin" hesabına geçtiğinde de gerçekleşebilir.
Siber ve gizlilik sigortası planları, bir garantileri varsa, sosyal mühendislikten kaynaklanan kayıpları karşılayabilir, ancak teminat miktarı genellikle maksimum 100,000 ABD dolarıdır. Ayrıca, "sahte talimat kapsamı" olarak da anılan sosyal mühendislik kapsamı, yalnızca geçerli herhangi bir ticari suç sigortası poliçesinin sınırlarının üzerinde ekstra kapsam olarak mevcuttur.
Sosyal Mühendislik Nedir?
Sosyal mühendislik, insanların hatalarından yararlanarak özel bilgileri, erişimi veya malları elde etmenin bir yoludur. Siber suçlarda, bu sözde "insan korsanlığı" dolandırıcılıkları genellikle, verileri ifşa etmek, kötü amaçlı yazılım saldırılarını yaymak veya gizli tutulması gereken sistemlere erişim sağlamak için neler olup bittiğini bilmeyen kullanıcıları kandırmak için kullanılır. Saldırılar şahsen, çevrimiçi olarak veya başka şekillerde olabilir.
Sosyal mühendislik, insanların nasıl düşündüğüne ve nasıl davrandığına dayanan bir dolandırıcılık türüdür. Bu nedenle, sosyal mühendislik saldırıları, bir kişinin davranış biçimini değiştirmenin harika bir yoludur. Saldırgan, bir kullanıcının yaptığı şeyi yapmasını sağlayan şeyin ne olduğunu öğrendiğinde, kullanıcıyı iyi bir şekilde kandırabilir ve kontrol edebilir.
Ayrıca, bilgisayar korsanları bir kullanıcının uzmanlık eksikliğinden yararlanmaya çalışır. Teknoloji çok hızlı hareket ettiğinden, birçok müşteri ve çalışan, rastgele yüklemeler gibi riskler hakkında bilgi sahibi değil. İnsanlar, telefon numaraları gibi kişisel bilgilerin ne kadar önemli olduğunun da farkında olmayabilir. Bu nedenle, birçok kullanıcı kendilerini ve bilgilerini nasıl güvende tutacağını bilmiyor.
Ayrıca Oku: ÇEVRİMİÇİ HACKERLAR: 10 Hacker Türü ve Tehlikeleri ve Size Nasıl Zarar Verecekleri
Sosyal Mühendislik Saldırısı
Sosyal mühendisliği içeren saldırılar birçok farklı şekil alabilir ve insanların birbirleriyle konuştuğu her yerde olabilir. İşte sosyal mühendislik saldırılarını deneyimlemenin en yaygın beş yolu.
1 numara. Canını sıkma
Yemleme saldırıları, adından da anlaşılacağı gibi, bir kişinin açgözlü veya meraklı olmasını sağlamak için yanlış bir teklif kullanır. İnsanlar, özel bilgilerini çalan veya bilgisayarlarına kötü amaçlı yazılım yerleştiren bir tuzağa düşmek için hilelere düşüyor.
Kötü amaçlı yazılım, en nefret edilen tuzak türü olan gerçek medya aracılığıyla yayılır. Örneğin, saldırganlar, genellikle üzerinde kötü amaçlı yazılım bulunan bir flash sürücü olan yemi, banyolar, asansörler ve hedeflenen bir şirketin otoparkı gibi potansiyel kurbanların göreceğinden emin olduğu yerlere bırakır. Yem, şirketin maaş listesi olduğunu söyleyen bir etiket gibi şeylerle gerçek görünüyor.
İnsanlar merak ettikleri için yemi yutarlar ve sonra işteki veya evdeki bir bilgisayara koyarlar, bu da sisteme otomatik olarak kötü amaçlı yazılım yükler.
Yem kullanan dolandırıcılıkların gerçek dünyada gerçekleşmesi gerekmez. Çevrimiçi kandırma, iyi görünen ancak zararlı sitelere yönlendiren veya insanları kötü amaçlı yazılım bulaşmış yazılımları indirmeye ikna etmeye çalışan reklamlar biçimini alır.
2 numara. korkuluk
Scareware, bir tür sosyal mühendislik saldırısıdır. İnsanlara birçok yanlış uyarı ve sahte tehdit göndermeyi içerir. Kullanıcılar, bilgisayarlarına kötü amaçlı yazılım bulaştığını düşünmeleri için kandırılırlar, bu da onların yararlı hiçbir şey yapmayan (bunu yapan kişi dışında) veya kötü amaçlı yazılımın kendisi olan yazılımları çalıştırmalarına neden olur. Scareware ayrıca dolandırıcılık yazılımı, yasa dışı tarayıcı yazılımı ve aldatma yazılımı olarak da adlandırılır.
Scareware genellikle gerçek gibi görünen ve "Bilgisayarınıza zararlı casus yazılım programları bulaşmış olabilir" gibi şeyler söyleyen açılır pankartlar şeklinde gelir. Aracı sizin için yüklemeyi teklif edecek (ki bu genellikle kötü amaçlı yazılımlarla doludur) veya sizi bilgisayarınıza bulaşacak kötü amaçlı bir siteye gönderecektir.
Scareware ayrıca yanlış uyarılar veren veya insanları işe yaramaz veya zarar verici hizmetler satın almaya ikna etmeye çalışan spam e-postalar yoluyla da yayılır.
#3. bahane
Pretexting, bir saldırganın dikkatlice tasarlanmış bir dizi yalan aracılığıyla bilgi elde etmesiyle ortaya çıkan başka bir sosyal mühendislik saldırısı biçimidir. Dolandırıcılığı, genellikle önemli bir görevi tamamlamak için kurbanın hassas bilgilerine ihtiyacı olduğunu iddia eden biri başlatır.
Saldırgan genellikle bir iş arkadaşı, bir kolluk görevlisi, bir bankacı veya vergi memuru veya bilmeye hakkı olan herhangi bir kişi gibi davranarak işe başlar. Sahtekar, kurbanın kimliğini doğrulamak için gerekli gibi görünen sorular sorar, ancak bunlar gerçekten önemli kişisel bilgileri almak için kullanılır.
Bu dolandırıcılık, sosyal güvenlik numaraları, kişisel adresler ve telefon numaraları, telefon kayıtları, personel tatil tarihleri, banka kayıtları ve hatta gerçek bir fabrikanın güvenliğiyle ilgili bilgiler gibi her türlü önemli bilgi ve kaydı toplar.
#4. E-dolandırıcılık
Kimlik avı dolandırıcılıkları, insanlara hızlı hareket etmeleri gerektiğini, merak ettiklerini veya korktuklarını hissettirmeye çalışan e-posta ve kısa mesaj kampanyalarıdır. Bu çok yaygın bir sosyal mühendislik saldırısı türüdür. Daha sonra onları özel bilgileri vermeleri, kötü amaçlı web sitelerine giden bağlantıları tıklamaları veya kötü amaçlı yazılım içeren ekleri açmaları için kandırır.
Bir örnek, çevrimiçi bir hizmetin kullanıcılarının, şifrelerini değiştirmek gibi hemen bir şey yapmalarını gerektiren bir kuralı çiğnediklerinde aldıkları bir e-postadır. Gerçeğine neredeyse tıpatıp benzeyen sahte bir web sitesine giden bir bağlantıya sahiptir. Bu sahte web sitesi, kullanıcıdan mevcut giriş bilgilerini ve yeni bir şifre girmesini ister. Bilgi, form gönderildiğinde saldırgana gönderilir.
Kimlik avı düzenleri tüm kullanıcılara aynı veya hemen hemen aynı mesajı gönderdiğinden, tehdit paylaşım platformlarına erişimi olan posta sunucularının bunları bulup durdurması çok daha kolaydır.
Ayrıca Oku: Siber Güvenlik Danışmanları: Genel Bakış ve 2023'teki En İyi Sağlayıcılar
Kendinizi Sosyal Mühendislikten Koruyun
Sosyal mühendislik saldırılarında saldırgan, güvenini kullanabileceği kişilerle ilişkiler kurarak veri veya hizmetlere erişmeye çalışır. Farkında olmak ilk savunma hattıdır. Saldırgan sizinle sorgulamaya dönüşecek şekilde konuşmaya çalışabilir. Ancak kendinizi toplum mühendisliğinden korumanın en iyi yolu kime güvenebileceğinizi bilmek ve kendinize güvenilir olmaktır. Hesabınıza kimlerin erişebileceğini veya hesabınızı değiştirebileceğini öğrenmeniz ve bunu yapmak için iyi bir nedenleri olduğundan emin olmanız gerekir. İşte kendinizi sosyal mühendislikten korumanın yolları.
1 numara. Bilinmeyen Gönderenler (E-postalar ve Metin Mesajları)
Gönderenin e-posta adresine ve mesajın kendisine yakından bakın. Gölgeli belgelere giden herhangi bir bağlantıya tıklamanız gerekmediğini bilmek önemlidir.
2 numara. Kişisel Bilgileri Paylaşmayı Durdurun
Parolalar ve kredi kartı numaraları gibi kişisel bilgileri vermeden önce bunu düşünmelisiniz. Hiçbir gerçek işletme veya kişi bu tür özel bilgileri asla istememelidir. Tahmin edilmesi zor parolalar kullanın ve bunları sık sık değiştirin. Birden fazla hesap için aynı şifreyi kullanırsanız, bir sosyal mühendislik saldırısının hedefi olabilirsiniz.
#3. Güvenlik Katmanları
Mümkün olduğunda, doğrulamayı iki faktörle kullanın. Kullanıcılardan kullanıcı adlarını, şifrelerini ve cep telefonlarına gönderilen bir kodu girmelerini isteyerek ekstra bir güvenlik katmanı ekleyebilir. E-postanız ve telefon numaranız için güvenlik kodları ayarlayın, böylece birisi herhangi bir sisteme girerse hesabınızı doğrudan kullanamaz.
#4. Antivirüs yazılımı
Sahip olduğunuz her gadget'a virüsten koruma ve kötü amaçlı yazılımdan koruma yazılımı koyun. Sizi en yeni tehditlerden koruyabilmeleri için bu programları güncel tutun. Ancak cihazlarınızda virüsten koruma yazılımı yüklüyse, sosyal mühendisliğe karşı harika bir savunma olabilir.
# 5. Her Zaman Risklere Dikkat Edin
Her zaman riskleri düşünmelisiniz. Herhangi bir bilgi aramasının doğru olduğundan emin olmak için iki hatta üç kez kontrol edin. Son zamanlarda meydana gelen bir ihlal size zarar verdiyse, siber güvenlik haberlerini takip edin.
Sosyal Mühendislik Örneği
Haberlerde birçok sosyal mühendislik örneği var, ancak nasıl çalıştığına dair bir fikir vermesi için işte beş tanesi:
1 numara. Marriott Otel
Bir bilgisayar korsanlığı grubu, sosyal mühendislik yöntemlerini kullanarak bir Marriott otelinden 20 GB kişisel ve finansal veri çaldı. Bilgisayar korsanları, Marriott Oteli'nde çalışan bir çalışana, çalışanın bilgisayarına erişim izni verdi.
2 numara. ABD Çalışma Bakanlığı (DoL)
Bu, Office 365 için oturum açma bilgilerini çalan bir sosyal mühendislik saldırısı örneğiydi. Saldırı, tam olarak gerçek DoL etki alanına benzeyen sahte etki alanları kullanılarak akıllı kimlik avı ile gerçekleştirildi. E-postalar, bir devlet işi için teklif vermelerini isteyen kıdemli bir DoL çalışanından gelmiş gibi görünüyordu. Çalışan "Teklif Ver" düğmesine tıkladığında, şifreleri çalmak için kullanılan bir "e-dolandırıcılık" sitesine yönlendirildi.
#3. kullanıcıları yakınlaştır
Çalışanları hedef alan bir kimlik avı operasyonu en az 50,000 kişiyi etkiledi. Sosyal mühendisler işten çıkarılma korkusunu, çalışanların bir bağlantıya tıklayarak İK ile bir Zoom toplantısı ayarlamalarını sağlamak için kullandılar. Çalışan bağlantıya tıkladığında, şifreleri çalmak için ayarlanmış sahte bir Zoom giriş sayfasına yönlendirildi.
#4. FACC (Avusturyalı uçak üreticisi)
FACC, karmaşık bir ticari e-posta uzlaşması (BEC) dolandırıcılığının sonucu olarak yaklaşık 42 milyon avroluk bir zarara uğradı. Şirketin CEO'sunun e-posta hesabı hacklendi ve "acil" bir para transferi talebi göndermek için kullanıldı. Bu e-posta, borç hesaplarında çalışan, talebi kabul eden ve parayı hırsıza gönderen bir kişiyi kandırdı.
# 5. Crowdstrike geri araması
Sosyal mühendislik o kadar güçlü ki güvenlik şirketleri bile bunu hissediyor. Crowdstrike artık toplum mühendisliği oyununun bir parçası ve örneği olarak kullanılıyor. Dolandırıcılar, Crowdstrike ve diğer güvenlik şirketlerinin güvenilir adını kullanarak çalışanlara kimlik avı e-postaları gönderiyor. E-posta, olası bir kötü amaçlı yazılım saldırısı hakkında bilgi ve yüklenmiş olan herhangi bir kötü amaçlı yazılımdan kurtulmak için aranacak bir telefon numarası içerir. Çalışan, numaraya ulaşırsa saldırgana bilgisayarlarına erişim vermesi için kandırılır.
Ayrıca Oku: SİBER GÜVENLİK NEDİR? Örnekler, Tehdit ve Önem
Sonuç
Kendinizi sosyal mühendislik tehditlerinden korumak için kendinizi nasıl koruyacağınızı öğrenmeniz gerekir. Size dünya çapında uzun süredir kullanılan bazı denenmiş ve doğrulanmış yöntemlerden ve sosyal mühendislik saldırı örneklerinden bahsettiğimize göre, hemen adım atmaya başladığınızdan emin olun. Sosyal mühendislik saldırıları, bir kişinin kariyerine saniyeler içinde zarar verebilir. Cihazlarınızı, parolalarınızı ve diğer oturum açma bilgilerinizi korumak için her zaman iki kurulum oturum açma doğrulama kodu kullanın. Bu başka bir güvenlik önlemidir.
Siber Sosyal Mühendislik Nedir?
Bu, birini bilgi vermesi veya yapmaması gereken bir şeyi yapması için kandırmak için kullanılan tüm yöntemler için kullanılan bir terimdir.
En Yaygın Sosyal Mühendislik Nedir?
En yaygın saldırılar şunlardır:
- Kimlik Avı Saldırıları.
- Odaklanmış bilgisayar korsanlığı.
- balina avcılığı
- Hem smishing hem de vishing.
- Canını sıkma.
- Bindirme/Kuyruklama.
- bahane
- (BEC) İş E-postası Uzlaşması
Sosyal Mühendislik En Büyük Tehdit mi?
Sosyal mühendislik, büyük ölçüde insan temasına dayanan bir saldırı türüdür ve genellikle insanları sistemlere, ağlara, fiziksel yerlere yasa dışı erişim elde etmek veya para kazanmak için normal güvenlik prosedürlerini ve en iyi uygulamaları çiğnemeleri için kandırmayı içerir.
Sosyal Mühendisliğin En Muhtemel Hedefi Kim?
Zengin, tanınmış veya üst düzey pozisyonlarda bulunan kişiler genellikle sosyal mühendislik saldırılarının hedefi olur. Suçlular, çok fazla güce ve erişime sahip kişilerin peşine düşer.
Toplum Mühendisliğine Karşı En İyi Savunma Nedir?
İnsanlar, sosyal mühendislik saldırılarını durdurmanın en iyi yolunun bir şirket için çalışan insanları eğitmek ve eğitmek olduğunu düşünüyor.
Sosyal Mühendislik Ne Olarak Bilinir?
Teknolojik veya dijital sistemlerin zayıflıklarını değil, insan zayıflıklarını hedef aldığı için, toplum mühendisliğine "insan korsanlığı" da denir. Bunun nedeni, birincil hedefinin savunmasız bireyler olmasıdır.
Referanslar
İlgili Makaleler
