مهندسی اجتماعی چیست؟#

مهندسی اجتماعی (Social Engineering) هنفزاری است که در آن به‌جای نفوذ فنی به سیستم، به انسان نفوذ می‌شود. مهاجم از روان‌شناسی، فوریت، اعتماد و کنجکاوی قربانی برای فریب او استفاده می‌کند تا اعتبارنامه، انتقال پول، اجرای فایل یا افشای اطلاعات محرمانه را به دست آورد.

طبق گزارش Verizon DBIR سال ۲۰۲۵، بیش از ۶۸ درصد نفوذهای تأییدشده شامل عنصر انسانی بوده‌اند؛ یعنی فیشینگ، خطای کاربر یا سوءاستفاده از اعتبار سرقت‌شده. در واقع، کاربر ضعیف‌ترین حلقهٔ زنجیرهٔ امنیت است؛ هیچ فایروالی در برابر کاربری که با میل خود رمزش را در سایت جعلی وارد می‌کند، کمکی نمی‌کند.

انواع حملات مهندسی اجتماعی#

فیشینگ و انواع آن#

فیشینگ سنتی ایمیل‌های انبوهی است که به میلیون‌ها نفر ارسال می‌شود با این امید که درصد کوچکی گول بخورند. این ایمیل‌ها معمولاً از دامنه‌های شبیه‌سازی‌شده (مثلاً paypa1.com به‌جای paypal.com با عدد ۱ به‌جای حرف l) استفاده می‌کنند.

Spear Phishing نسخهٔ هدفمند است؛ مهاجم ابتدا از LinkedIn و شبکه‌های اجتماعی اطلاعات دقیق دربارهٔ قربانی (سمت، همکاران، پروژه‌ها) جمع می‌کند و سپس ایمیل شخصی‌سازی‌شده‌ای می‌نویسد. در ۲۰۱۶، حمله به John Podesta (رئیس کمپین کلینتون) با یک ایمیل spear phishing با موضوع «تغییر رمز» آغاز شد.

Whaling نوعی spear phishing است که هدف آن مدیران ارشد است. در ۲۰۱۹، شرکت Niko Corporation ژاپن ۲۹ میلیون دلار از دست داد زیرا یک مدیر مالی به‌جای ایمیلی که ظاهراً از سوی رئیس شرکت بود، حوالهٔ بانکی صادر کرد.

Vishing و Smishing#

Vishing (Voice Phishing): مهاجم با تماس تلفنی خود را به‌عنوان پشتیبان بانک، IRS یا پلیس جا می‌زند. در سال ۲۰۲۴، دیپ‌فیک صوتی مدیرعامل Arup (شرکت مهندسی بریتانیایی) به یک مدیر مالی در هنگ‌کنگ منجر به انتقال ۲۵ میلیون دلار شد؛ او در یک تماس ویدیویی تقلبی با چندین «همکار» شرکت کرده بود.

Smishing (SMS Phishing): پیامک‌هایی با لینک کوتاه مانند «پکت شما در راه است، آدرس را تأیید کنید». در ایران، پیامک‌های جعلی «کد تأیید تغییر سیم‌کارت» از پرتکرارترین گزارش‌های فریب است.

Watering Hole#

در این حمله، مهاجم به‌جای هدف کردن مستقیم قربانی، سایتی را که قربانیان به‌طور مرتب مراجعه می‌کنند آلوده می‌کند. مثلاً اگر کارمندان یک سازمان از انجمن تخصصی صنعت خود استفاده می‌کنند، مهاجم آن انجمن را آلوده می‌کند تا با بازدید کارمندان، بدافزار روی سیستم آن‌ها اجرا شود. نمونهٔ معروف: آلوده‌شدن سایت رسمی دانشگاه RIT در ۲۰۱۷ برای هدف قرار دادن پیمانکاران دفاعی.

مطالعهٔ موردی: کلاهبرداری بیت‌کوین توییتر (۲۰۲۰)#

در ۱۵ ژوئیهٔ ۲۰۲۰، حساب‌های توییتر اوباما، بایدن، ترامپ، ایلان ماسک، اپل و بسیاری دیگر هک شدند و پیام مشابهی منتشر کردند: «هر بیت‌کوینی که بفرستید، دو برابرش را برمی‌گردانم.» این حمله با مهندسی اجتماعی به کارمندان توییتر آغاز شد؛ مهاجمان با تماس تلفنی و ابزار Vishing به چند کارمند دسترسی شبکهٔ داخلی به دست آوردند، سپس به ابزار مدیریت حساب رسیدند و در کمتر از دو ساعت، حدود ۱۱۸ بیت‌کوین (معادل ۱۲۰ هزار دلار) جمع‌آوری کردند.

درس کلیدی: حتی بزرگترین پلتفرم‌های فناوری در برابر مهندسی اجتماعی آسیب‌پذیرند و کنترل‌های مشخصی برای دسترسی به ابزارهای حساس لازم است.

چگونه یک ایمیل فیشینگ را تشخیص دهیم؟#

این چک‌لیست را برای هر ایمیل مشکوک اجرا کنید:

• دامنهٔ فرستنده: support@apple.com درست است اما support@apple-secure.net فیشینگ است. روی نام فرستنده کلیک کنید تا آدرس واقعی را ببینید.
• سلام عمومی: «مشتری گرامی» به‌جای نام شما، نشانهٔ ایمیل انبوه است.
• فوریت و ترس: «حساب شما تا ۲۴ ساعت دیگر مسدود می‌شود» کلاسیک فیشینگ است.
• لینک‌ها: نشان‌گر را روی لینک ببرید تا آدرس واقعی را ببینید؛ https://google.com به‌عنوان متن، اما https://g00gle-login.xyz/verify به‌عنوان مقصد، فریب است.
• پیوست‌های غیرعادی: فایل‌های .exe، .scr، .iso، یا آرشیوهای ZIP با رمز «بدین‌وسیله کلمه عبور: ۱۲۳۴» قرمزرنگ هستند.
• زرشک‌های گرامری: غلط‌های املایی، ترجمهٔ ماشینی یا ساختار جملهٔ غیررسمی در ایمیل رسمی، هشدار است.
• درخواست اعتبارنامه: هیچ سازمان واقعی از شما رمز یا کد 2FA نمی‌خواهد.

تمرین عملی: تحلیل ایمیل فیشینگ#

ایمیل مشکوک را در حالت «نمایش سورس» یا «Show Original» باز کنید:

1. بخش Received-SPF و DKIM-Signature را بررسی کنید.
   - SPF: Pass یعنی ارسال‌کننده واقعاً از دامنهٔ ادعایی است.
   - DKIM: Pass یعنی ایمیل در مسیر دستکاری نشده.
 
2. هدر Received را بخوانید تا مسیر ارسال مشخص شود.
   - آیا از IP سازمان ادعایی است یا از VPS ناشناس؟
 
3. لینک‌ها را بدون کلیک، با ابزارهایی چون urlscan.io بررسی کنید.
 
4. پیوست را در سایت virustotal.com آپلود کنید (مراقب فایل‌های حساس باشید).

نمونهٔ هدر یک ایمیل جعلی:

Received: from mx-suspicious.xyz (unknown [185.220.101.45])
  by mx1.realbank.com with SMTP id abc123
Received-SPF: fail (realbank.com: domain of sender
  does not designate 185.220.101.45 as permitted sender)
Authentication-Results: dkim=fail header.d=realbank.com
From: "Bank Support" <support@reabank.com>   ← دامنهٔ مشابه اما غلط
Reply-To: attacker@protonmail.com             ← آدرس پاسخ ناهماهنگ

در مثال بالا چهار نشانهٔ فیشینگ وجود دارد: SPF fail، DKIM fail، دامنهٔ اشتباه reabank.com (نه realbank.com) و آدرس Reply-To ناهماهنگ.

استراتژی‌های دفاع#

۱. آموزش آگاهی امنیتی (Security Awareness): دوره‌های منظم با شبیه‌سازی فیشینگ (Phishing Simulation) مانند KnowBe4 و GoPhish. کاربری که هر ماه یک تست فیشینگ دریافت کند، ظرف شش ماه نرخ کلیک را تا ۶۰ درصد کاهش می‌دهد.

۲. تأیید چندمرحله‌ای: حتی اگر رمز سرقت شود، MFA/TOTP از دسترسی مهاجم جلوگیری می‌کند. MFA کلیدی‌ترین کنترل علیه فیشینگ است.

۳. پروتکل‌های تأیید: هر درخواست مالی غیرعادی باید با کانال ثانویه (تماس تلفنی با شمارهٔ ذخیره‌شده، نه شماره داخل ایمیل) تأیید شود. قانون «Stop. Think. Connect.»

۴. فیلتر ایمیل: DMARC با سیاست p=reject، SPF و DKIM ایمیل‌های جعلی را پیش از رسیدن به صندوق کاربر مسدود می‌کند.

۵. گزارش‌دهی ساده: دکمهٔ «گزارش فیشینگ» در کلاینت ایمیل، فرهنگ گزارش‌دهی را ترویج می‌کند.

خلاصه و گام بعدی#

در این فصل آموختید که مهندسی اجتماعی بزرگ‌ترین عامل نفوذ است و انسان ضعیف‌ترین حلقهٔ امنیت است. با انواع حملات از فیشینگ سنتی تا Whaling، Vishing، Smishing و Watering Hole آشنا شدید، کلاهبرداری توییتر ۲۰۲۰ را بررسی کردید و یک چک‌لیست عملی برای تشخیص ایمیل‌های فیشینگ به دست آوردید.

وقتی حادثه رخ داد (و می‌رود)، باید بدانیم چگونه واکنش نشان دهیم. در فصل بعد، پاسخ به حادثه (Incident Response) را با چرخهٔ NIST و SANS بررسی می‌کنیم.