السلام عليكم...
اليوم لدي مقالة عن هندسة الاجتماعية(Social Engineering)تعتبر من أخطر مستوي تلعاب بي العقل الإنسان وهو فن الخداع، هادي الهندسة الاجتماعية راح تقدر تجلب جميع البيانات خاصة بيك بي طرق مختلفة بتكتيك محترف الغرض من هجمات الهندسة الاجتماعية هو ، في الأساس ، كسب ثقة
اليوم لدي مقالة عن هندسة الاجتماعية(Social Engineering)تعتبر من أخطر مستوي تلعاب بي العقل الإنسان وهو فن الخداع، هادي الهندسة الاجتماعية راح تقدر تجلب جميع البيانات خاصة بيك بي طرق مختلفة بتكتيك محترف الغرض من هجمات الهندسة الاجتماعية هو ، في الأساس ، كسب ثقة
الضحية لسرقة البيانات والمعلومات والأموال، صعب أن تلاحظ هدا الهجوم، هادي الهجمات تحتاج الي خبرة في الفن التفكير حتي تقدر تصطاد الضحية(Victim)بي طريقة فنية، هدا الهجوم(Attack)كثير من الناس تم اختراقهم بي هادي الهجمات، مهما تاخد احطياتك من هدا الهجوم راح يقدر يوصل لي الهدف المطلوب،
توا انت اتقول(لا والله صعب أن يخترقني او يأخد البياناتي الحساسة او تلاعب بي اجهزتي) فاجواب انت تفكيرك هكي راح يقدر يوصل لي كل شي، كيف؟ (لما شخص يريد أن يخترقك راح يأخد جميع. معلوماتك(The process of fetching information) مثل معرفة أشخاص تحدث لهم كثيرا
وايضا معرفة في مجالك ومعرفة ماهي الموضيع المهمة التي تنشر فيها عل مواقع تواصل الإجتماعي وكثير من أشياء..) توا انت اتقول شني فائدة من هادي معلومات عني، الفائدة كثيره؛ كيف؟. (راح يقدر تلاعب بيك عن معلوماتك راح يقدر يزور شخصيات من أصدقائك حتي يقدر يكمل الهدف المطلوب، انت تواصل معه
تحسابا صحبك لكن ليس صديقك هو فقط منتحل الشخصية صديقك حتى يمكن أن يخترقك بعدة العمليات اختراق، او معرفة قروبات(Groups) انت منظم فيهم مثل نوع قروب خاص بي التنزيل البرامج اي نوع من برامج النظام مثل قروب خاص بي البرامج المقرصنة او ما يقال بي Crack او اي من قروبات مشابه،
في هادي لحظة يقدر يخترق جهاز خاص بيك، كيف؟ (يعني مثل لما انت تنزل منشور طالب برنامج اي برنامج عل سبيل مثال كراك IDM خاص بي تحميلات او كراك خاص بي تفعيل برامج Office، راح يستغل الموقف راح يصنع برنامج علي هيئة CRACK IDM أو Active office
أو اي نوع من البرامج مهمة هدا البرنامج تم صنعه هدف هو تخريب النظام الخاص بيك مثل فيروسات فدية Ransomware راح تقدر اتشفر جميع ملفاتك وطلب المال حتي يتم فك التشفير أو فيروسات Trojan من هيئة RAT تحكم في جهازك بي الكامل، راح يتواصل معاك بي صفحة شبيهة بي صفحت
صحابك لكن صفحة غير أصلية، انت راح تفرح تأخد برنامج وتنصبه انت مستحيل تقدر تفحص CRACK لأنك عارف راح يطلع لك فيروس انت بتفوت الموضوع الفحص او عاطي ثقة لي صحبك الذي تم تصنيعه المهاجم، و في هادي لحظة راح يخترق جهازك ويتمتسريب البيانات شخصية وبعد يتم راح يتم تهديدك بي مبالغ عالية وإذا
وإذا لم تدفع له سوف يتم تدمير مستقبلك بي البيانات التي تم ألتقاطها المهاجم)
اكثر طرق تنفيد الهجمة هندسة الاجتماعية (Social Engineering Attack
1) هي استغلال ضعفك في أمن المعلومات و تكنولوجيا: راح يقدر يخترفك عبر روابط تسجيل عل صفحات تواصل الاجتماعي او اي صفحات لها تسجيل (Phishing Attack) او برمجيات خبيثة(Malware) أو يستغلك بي المنشورات البرامج الملغمة
2) انتحال الشخصية: هدا الهجوم يعتمد على انتحال شخصيات اصدقائك وافراد العائلة، راح يتم تزوير صفحة من أصدقاء وثم يتم اصطيادك في صفحات تواصل الاجتماعي أو عن طريق ارسال الفيروسات يتم اختراق جهازك بي شخصيات معروفة لديك وهي مزيفة التي تم صنعه المهاجم.
3) استغلال السمعة الجيدة: هدا الهجوم يتم تلاعب بك بي ثقة أشخاص مثال بسيط (مثل لما شخص غريب يرسل لك إضافة وثم انت اول شي راح تذهب لي Accountخاص بي يعني صفحة خاصة بي، راح تلاحظ Account المرسل صفحة دينية أو صفحة عادية لا يوجد فيها شبه، اكيد انت راح تقبل إضافة وثم المرسل بعد قبول
قبول صداقة راح يحول أن يجمع معلوماتك عن طريق محادثة ياخد معلومات المهمة و يحاول جميع طرق أن يرسل لك روابط ضارة أو يتلاعب بك عن طريق Social engineering، حتي يمكن أن يوصل لي الهدف الصحيح.
4)ارسال رسائل علي بريد الكتروني وهي Spam: وهي أكثر اشياء التي يتم وقوع فيها الضحية أو المستهدف، في هدا الهجوم يتم سرقة كثير من الناس من جميع الوظائف أو جهات حكومية مثال بسيط راح المهاجم يرسل رسالة لك عن طريق البريد الالكتروني نوع رسالة شبيهة لي مواقع معروفة التي ترسل لك رسائل
تأكيد لي بريد الكتروني توضيح مثل لما انت تدخل لي موقع PayPal اتسجل في موقع بعد تسجيل في موقع راح يطلب منك تأكيد عل حسابك، الهجمة راح اتكون نفس العملية لكن راح اتكون مزيفة مش اصلية.كيف؟ راح يرسلك رسالة شبيهة بي فيسبوك نفس النص إلي مكتوب في رسالة الاصليه رسالة راح اتكون من رسائل
موقع فيسبوك بس حتي مواقع اخري واكثر مواقع يتم فيه السبام Spam هو مواقع المشتريات Shopping و مواقع المصارف Bank's، أو مرات اتكون هجمات Spoofing Email عن طريق تزوير بريد الكتروني خاص بي مديرك في العمل يرسل لك ملف مزروع فيه برمجيات خبيثة او رابط مكون من تطبيقات من برمجيات خبيثة
لي سرقة cookies كلمات المرور أو ربط من مواقع تواصل الاجتماعي أو روابط أخري لديها أهمية حتي يتم اخترقك فيها.
5)استغلال الطمع Exploitation of the gloss: هدا الهجوم يعتبر من فئة خطيرة، في هلبا ناس يدخلون الي قروبات مثل قروب اختبار اختراق هدف من دخوله هو يريد اختراق صفحة عل فيسبوك بعد يتم قبول طلب إضافة راح يتجول لي قروب راح ينظر إلي منشور مغري الذي تم كتابته المهاجم حتي يتم اخترق الضحايا،
حول اختراق حسابات فيسبوك أو حسابات أخري، اكيد انت تفرح اتقول اكيد هدا راح يساعدني في اختراق حساب صديقي أو صديقتي غرض من اختراق هو معرفة الرسائل المستهدف يريد اختراقه الشخص، بعد من قراءة المنشور يذهب الشخص الي صفحة المهاجم راح يطلب منا أن يخترق Account شخص ما،
راح يوافق المهاجم راح تبدأ عملية هندسة الاجتماعية يبدأ المهاجم يأخد من الضحية بعض المعلومات مثل ما اسمك وراح يبدأ يختبرك هل تعرف روابط او لا حتي يعرف كيف يخترقك وأيضاً وما نوع نظامك علي حاسوبك واهم شي عند المهاجم نوع Anti-virus ما هو برنامج خاص بيك، بعد أن يعرف
المهاجم نوع Anti-virus خاص بيك راح يشوف لديه ماهو الفيروس الذي لا يعرض عند Anti-virus خاص بيك يعني راح يتم تشفير فيروس، وبعدين يرسل لك برنامج فيروس علي هيئة أنه يخترق ايميلات فيسبوك، وانت تفرح تنزل برنامج من مواقع upload مثل mega أو أخري...
بعد تحميل وفتحه عندك يتم تشفير كل شي لديك أو نوع فيروس من برمجيات RAT أو إرسال لك روابط علي هيئة تسجيل أو مرات يضحك عليك بعد الوهم حتي يتم ارسال له المال حتي يخترق لك حساب المستهدف هلبا ناس تم نصب عليهم بي هادي طريقة.
ملاحظة المقالة ليست كاملة إذا كنت مهتم أنظر الي تعليقات
@Rattibha رتب #أمن_المعلومات #هندسة_الاجتماعية #اختراق #جرائم_الالكترونيه #CyberSecurity #LySlayer
@Rattibha رتب #أمن_المعلومات #هندسة_الاجتماعية #اختراق #جرائم_الالكترونيه #CyberSecurity #LySlayer
6)جمع معلومات عنك عملية OSINT: راح يبدأ المهاجم في جمع معلوماتك الهدف من جمع هو صنع list من أرقام سرية مبنية علي معلوماتك راح يبدأ يركز اكثر كلمات التي تكتب فيها و يبدأ يجمع تاريخ الميلاد ومكان الذي أنشأت فيه راح يبدأ يبحث علي ايميلات التي تم تسجيل فيها علي مواقع تواصل الاجتماعي
مثل موقع Instagram راح يأخد اسم المستخدم في بعض من الناس كلمة المرور مبنية على اسم المستخدم في Instagram عل حسب تجربتي، وبعد أن يتم جمع كل معلومات عن ضحية تبدأ عمليه تركيب كلمات المرور متناسبة مثل ياخد شهر ميلاد ورقم الهاتف جنب بعض مرات يطلع كلمة المرور صحيحة، وبعد أن يتم انشاء
List password تبدأ عملية تخمين Brute Force Attack
7) طريقة استغلال التواجد: في بعض احيان تم عملية Social engineering عن طريق محادثة وجه الي وجه يعني جلسة مجتمعة راح اعطيك مثال عن تجربتي حتي يتم توضيح هدا فصل، (في يوم من ايام تحدث مع بعض أصدقاء حاولت أن نلاحظ نسبة قوة أمن المعلومات لديهم، المهم أخبرت بعض أصدقاء أن يكتبون إلي أصعب
أصعب كلمات المرور لديهم هم كانوا أربعة أصدقاء في مدرسة، الحق هم ما قصروا اعطوني ورقة كل واحد اسمه تحت اسم كلمات المرور اخديت هادي ورقة روحت لي البيت اخديت هادي ورقة حاولت اندير تخمين عل كلمات المرور في حساباتهم عل فيسبوك الكلمات المرور طلع منهم واحد صح والثاني كلمة
المرور خاطئة حاولت أن نكتب جنب كلمة المرور تاريخ الميلاد خاص بي طلعت صح والباقي خطأ كلمات المرور طلعت غير صحيحة، يعني الهندسه الاجتماعيه أخطر شي يعني اني توا اخترقت إثنان من حسابات عن طريق محادثة فقط.
8)اكثر استخدام social engineering: تعتبر هندسة الاجتماعية اكثر شي الان علي خاطر صعب ان تلقا bug's في أنظمة التشغيل ومواقع في الأيام هادي كل يوم يصعب اختراق، الان هندسة الاجتماعية أصبحت أكثر استخدام وايضا هندسة الاجتماعية لا تتطلب مهارات عالية فقط تريد تفكير وتنسيق رسالة حتي لا
يتم كشف العملية يجعل الهندسة الاجتماعية خطرة بشكل خاص هو أنها تعتمد على الخطأ البشري ، بدلاً من نقاط الضعف في البرامج وأنظمة التشغيل. الأخطاء التي يرتكبها المستخدمون الشرعيون أقل قابلية للتنبؤ بها.
9)صعوبة كشف عن المهاجم: تعتبر هندسة الاجتماعية من أكثر طرق إخفاء الهوية حتي لا يتم كشفها، كيف؟ راح يتم تزوير عديد من شخصيات حتي يتم تنفيذ عملية مطلوبة بنجاح.
اكثر عمليات تم اختراق عن طريق هندسة الاجتماعية 10 حوادث:
1. Shark Tank, 2020
تم خداع قاضية التلفزيون في Shark Tank Barbara Corcoran في عملية تصيد احتيالي وهندسة اجتماعية بقيمة 400000 دولار أمريكي تقريبًا في عام 2020. وانتحل مجرم إلكتروني انتحال مساعدها وأرسل بريدًا إلكترونيًا إلى كاتب الحسابات
تم خداع قاضية التلفزيون في Shark Tank Barbara Corcoran في عملية تصيد احتيالي وهندسة اجتماعية بقيمة 400000 دولار أمريكي تقريبًا في عام 2020. وانتحل مجرم إلكتروني انتحال مساعدها وأرسل بريدًا إلكترونيًا إلى كاتب الحسابات
يطلب فيه دفعة تجديد تتعلق بالاستثمارات العقارية. استخدم عنوان بريد إلكتروني مشابه لعنوان الأصلي. تم اكتشاف الاحتيال فقط بعد أن قام كاتب الحسابات بإرسال بريد إلكتروني إلى عنوان المساعد الصحيح يسأل عن المعاملة.
2. Toyota, 2019
كانت شركة تويوتا Boshoku ، وهي مورد لقطع غيار السيارات ، ضحية لهجوم الهندسة الاجتماعية و BEC (تسوية البريد الإلكتروني للأعمال التجارية) في عام 2019. وتبلغ الأموال المفقودة 37 مليون دولار أمريكي. باستخدام الإقناع ، أقنع المهاجمون مسؤولًا تنفيذيًا ماليًا بتغيير
كانت شركة تويوتا Boshoku ، وهي مورد لقطع غيار السيارات ، ضحية لهجوم الهندسة الاجتماعية و BEC (تسوية البريد الإلكتروني للأعمال التجارية) في عام 2019. وتبلغ الأموال المفقودة 37 مليون دولار أمريكي. باستخدام الإقناع ، أقنع المهاجمون مسؤولًا تنفيذيًا ماليًا بتغيير
بتغيير معلومات الحساب المصرفي للمستلم في تحويل إلكتروني.
3. Cabarrus County, 2018
بسبب الهندسة الاجتماعية والاحتيال BEC ، عانت مقاطعة كاباروس ، في الولايات المتحدة ، من خسارة قدرها 1.7 مليون دولار أمريكي في عام 2018. باستخدام رسائل البريد الإلكتروني الخبيثة ، ينتحل المتسللون هوية موردي المقاطعات ويطلبون
بسبب الهندسة الاجتماعية والاحتيال BEC ، عانت مقاطعة كاباروس ، في الولايات المتحدة ، من خسارة قدرها 1.7 مليون دولار أمريكي في عام 2018. باستخدام رسائل البريد الإلكتروني الخبيثة ، ينتحل المتسللون هوية موردي المقاطعات ويطلبون
المدفوعات إلى حساب مصرفي جديد. وبحسب التحقيق ، بعد تحويل الأموال ، تم تحويلها إلى عدة حسابات. في رسائل البريد الإلكتروني ، قدم المحتالون وثائق مشروعة على ما يبدو.
4. Ethereum Classic, 2017
خسر العديد من الأشخاص آلاف الدولارات في العملة المشفرة بعد اختراق موقع Ethereum Classic في عام 2017. وباستخدام الهندسة الاجتماعية ، قام المتسللون بانتحال صفة مالك Classic Ether Wallet ، وتمكنوا من الوصول إلى تسجيل النطاق
خسر العديد من الأشخاص آلاف الدولارات في العملة المشفرة بعد اختراق موقع Ethereum Classic في عام 2017. وباستخدام الهندسة الاجتماعية ، قام المتسللون بانتحال صفة مالك Classic Ether Wallet ، وتمكنوا من الوصول إلى تسجيل النطاق
م أعادوا توجيه المجال إلى خادمهم الخاص. استخرج المجرمون عملة Ethereum cryptocurrency من الضحايا بعد إدخال رمز على الموقع الإلكتروني سمح لهم بعرض المفاتيح الخاصة المستخدمة في المعاملات.
5. Democratic Party, 2016
إحدى أكثر حالات الهندسة الاجتماعية شهرة هي الانتخابات الرئاسية الأمريكية في عام 2016. أدت هجمات التصيد الاحتيالي إلى تسريب رسائل البريد الإلكتروني والمعلومات من الحزب الديمقراطي التي ربما أثرت على نتيجة الانتخابات ، مع فوز دونالد ترامب على هيلاري
إحدى أكثر حالات الهندسة الاجتماعية شهرة هي الانتخابات الرئاسية الأمريكية في عام 2016. أدت هجمات التصيد الاحتيالي إلى تسريب رسائل البريد الإلكتروني والمعلومات من الحزب الديمقراطي التي ربما أثرت على نتيجة الانتخابات ، مع فوز دونالد ترامب على هيلاري
كلينتون . أنشأ الهاكرز بريدًا إلكترونيًا مزيفًا من Gmail ، يدعو المستخدمين ، من خلال رابط ، لتغيير كلمات المرور الخاصة بهم بسبب نشاط غير عادي. بعد ذلك ، تمكن المحتالون من الوصول إلى مئات الرسائل الإلكترونية التي تحتوي على معلومات حساسة حول حملة كلينتون.
6. Ubiquiti Networks, 2015
خسرت Ubiquiti Networks ، الشركة المصنعة لتكنولوجيا الشبكات ، ما يقرب من 40 مليون دولار ، في عام 2015 ، بعد هجوم تصيد. من المعتقد أن حساب البريد الإلكتروني للموظف تم اختراقه في هونغ كونغ. ثم استخدم المخترقون تقنية انتحال هوية الموظف لطلب مدفوعات
خسرت Ubiquiti Networks ، الشركة المصنعة لتكنولوجيا الشبكات ، ما يقرب من 40 مليون دولار ، في عام 2015 ، بعد هجوم تصيد. من المعتقد أن حساب البريد الإلكتروني للموظف تم اختراقه في هونغ كونغ. ثم استخدم المخترقون تقنية انتحال هوية الموظف لطلب مدفوعات
مدفوعات احتيالية ، والتي تم إجراؤها بواسطة قسم المحاسبة.
7. Sony Pictures, 2014
بعد تحقيق ، أشار مكتب التحقيقات الفدرالي إلى أن الهجوم الإلكتروني على Sony Pictures ، في عام 2014 ، كان من مسؤولية حكومة كوريا الشمالية. تمت سرقة الآلاف من الملفات ، بما في ذلك اتفاقيات الأعمال
بعد تحقيق ، أشار مكتب التحقيقات الفدرالي إلى أن الهجوم الإلكتروني على Sony Pictures ، في عام 2014 ، كان من مسؤولية حكومة كوريا الشمالية. تمت سرقة الآلاف من الملفات ، بما في ذلك اتفاقيات الأعمال
والمستندات المالية ومعلومات الموظفين. تم استهداف شركة Sony Pictures بهجمات تصيد الاحتيالي يبدو أن الموظفين استدرجتهم رسائل البريد الإلكتروني المزيفة من Apple.
8. Target, 2013
نتيجة لاختراق البيانات المستهدفة ، في عام 2013 ، تمكن المخترقون من الوصول إلى 40 مليون معلومات دفع للعملاء. من خلال بريد إلكتروني للتصيد الاحتيالي ، قام المخترقون بتثبيت برنامج ضار على
نتيجة لاختراق البيانات المستهدفة ، في عام 2013 ، تمكن المخترقون من الوصول إلى 40 مليون معلومات دفع للعملاء. من خلال بريد إلكتروني للتصيد الاحتيالي ، قام المخترقون بتثبيت برنامج ضار على
شركة مستهدفة ، والتي سمحت لهم ، في لحظة ثانية ، بالوصول إلى شبكة ثاني أكبر متاجر التجزئة في الولايات المتحدة. ثم قام الهاكرز بتثبيت برنامج ضار آخر على نظام Target لنسخ معلومات بطاقة الائتمان والخصم الخاصة بالعملاء. ماذا نتعلم من هذا الهجوم؟ كن حذرًا للغاية
مع الشركات والشركاء الذين يمكنهم الوصول إلى شبكتك.
9. South Carolina Department of Revenue, 2012
سرق المخترقون الملايين من أرقام الضمان الاجتماعي والآلاف من معلومات بطاقات الائتمان والخصم من إيرادات إدارة ولاية كارولينا الجنوبية ، في عام 2012. وقع الموظفون في حيل الخداع ، وشاركوا أسماء المستخدمين وكلمات المرور الخاصة بهم مع
سرق المخترقون الملايين من أرقام الضمان الاجتماعي والآلاف من معلومات بطاقات الائتمان والخصم من إيرادات إدارة ولاية كارولينا الجنوبية ، في عام 2012. وقع الموظفون في حيل الخداع ، وشاركوا أسماء المستخدمين وكلمات المرور الخاصة بهم مع
المخترقون. بعد ذلك ، مع وجود أوراق الاعتماد في متناول اليد ، تمكن المخترقون من الوصول إلى شبكة وكالة الدولة.
10. RSA, 2011
تشير التقديرات إلى أن شركة RSA ، وهي شركة أمنية ، أنفقت حوالي 66 مليون دولار بسبب اختراق بياناتها ، في عام 2011. بدأ الهجوم بمستند Excel ، تم إرساله إلى مجموعة صغيرة من الموظفين عبر البريد الإلكتروني. قال موضوع البريد الإلكتروني شيئًا مثل "خطة التوظيف" ، وقد تضمن
تشير التقديرات إلى أن شركة RSA ، وهي شركة أمنية ، أنفقت حوالي 66 مليون دولار بسبب اختراق بياناتها ، في عام 2011. بدأ الهجوم بمستند Excel ، تم إرساله إلى مجموعة صغيرة من الموظفين عبر البريد الإلكتروني. قال موضوع البريد الإلكتروني شيئًا مثل "خطة التوظيف" ، وقد تضمن
تضمن المرفق ملفًا ضارًا فتح الباب الخلفي Backdoor المخترقون.
الوقاية من هجمات social engineering:
1)لا تنزل اي شي من إنترنت من مواقع غير معروفة مثل برامج مقرصنة crack
2) لا تفتح اي من بريد الكتروني لا تعرفه وايضا روابط التي موجودة داخل البريد إلا مواقع الأصلية مثل Amazon and PayPal and other... انتبه من اسم Domain هو اسم موقع.
3)حاول لا تكتب البيانات الحساسة مثل تاريخ الميلاد ورقم الهاتف وايضا لا تتدخل كلمات المرور خاصة بيك في مواقع تواصل الاجتماعي،
4) فعل خاصية مصادقة ثنائية Two Factor Authentication في مواقع تواصل الاجتماعي مثل فيسبوك وانستغرام و آخري.
5) التحقق دائماً من الأشخاص الذين تتحدث إليهم، سواءً عبر الهاتف أو عبر البريد الإلكتروني أو خدمات التواصل الاجتماعي وايضا لا تفتح اي رسالة مكونة من رابط او تحميل.
6) حاول أن تضع كلمة مرور لكل جهاز لديك واشتري برامج Anti-virus واعمل update كل يوم لي برامج مطلوبة لي تحديث.
7) لا يوجد حاجة اسمها اختراق فيسبوك إلاّ إذا فتحت عل روابط او نزلت برامج مشبوهة مثل keylogger او جعل كلمة السر ساهلة التخمين عليها
@Rattibha رتب
@Rattibha رتب
جاري تحميل الاقتراحات...