Social Engineering أو “الهندسة الاجتماعية” هي فن التلاعب بالأشخاص لدفعهم إلى كشف معلومات سرية أو منح وصول أو تنفيذ إجراء يخدم المهاجم. لماذا يتعب المهاجم في البحث عن ثغرة تقنية معقدة إذا كان بإمكانه ببساطة أن يطلب كلمة المرور من الشخص المناسب بالطريقة المناسبة؟
المحفزات النفسية المستغلة
- السلطة: انتحال صفة مدير أو جهة رسمية أو قسم الدعم الفني.
- الإلحاح: “يجب أن يتم هذا خلال ساعة وإلا سيتوقف النظام”.
- الخوف: “حسابك مخترق، أعطني الرمز لنؤمّنه”.
- الرغبة في المساعدة والمجاملة: فتح الباب لشخص يحمل صناديق.
- الفضول والطمع: جائزة، أو ملف بعنوان “رواتب الموظفين”.
الأساليب الشائعة
- Phishing: رسائل بريد مزيفة، وهو أشهرها.
- Vishing: مكالمات هاتفية، وقد تُستخدم أصوات مولدة بالذكاء الاصطناعي.
- Pretexting: بناء قصة مقنعة، كمراجع حسابات أو فني من شركة الصيانة.
- Baiting: ترك ذاكرة USB ملوثة في موقف السيارات.
- Tailgating: الدخول خلف موظف عبر باب يتطلب بطاقة.
- استهداف مكتب الدعم الفني (Help Desk): لإعادة تعيين كلمة مرور أو تسجيل جهاز MFA جديد باسم موظف.
أمثلة واقعية
في يوليو 2020 اختُرقت حسابات شهيرة على Twitter لنشر احتيال بالعملات الرقمية، بعد أن استهدف المهاجمون موظفين بمكالمات هاتفية مقنعة حصلوا عبرها على بيانات دخول للأدوات الداخلية. وفي سبتمبر 2023 تعطلت أنظمة MGM Resorts في الولايات المتحدة لأيام، وذكرت التقارير أن الاختراق بدأ بمكالمة لمكتب الدعم الفني انتحل فيها المهاجم صفة موظف حقيقي بعد جمع معلومات عنه من LinkedIn.
كيف تحمي مؤسستك؟
- تدريب دوري وعملي للموظفين، مع محاكاة حملات تصيد واتصالات هاتفية.
- إجراءات تحقق صارمة في الدعم الفني قبل إعادة تعيين كلمات المرور أو MFA، مثل معاودة الاتصال على رقم مسجل مسبقاً أو موافقة المدير المباشر.
- مبدأ “تحقق عبر قناة أخرى” لأي طلب مالي أو حساس، حتى لو بدا صادراً عن المدير العام.
- ثقافة تشجع الإبلاغ دون لوم، فالموظف الذي يبلّغ سريعاً عن خطئه يقلل الضرر.
- ضوابط مادية: بطاقات دخول، ومرافقة الزوار، وتعطيل التشغيل التلقائي لوسائط USB.
الفرق بين الهندسة الاجتماعية والتصيد
الهندسة الاجتماعية هي المفهوم الشامل لاستغلال العامل البشري بأي وسيلة، رقمية أو هاتفية أو حضورية، أما التصيد (Phishing) فهو أحد أساليبها الذي يعتمد على الرسائل الإلكترونية تحديداً.
