مهندسی اجتماعی و تجربه یک قدم تا هک شدن

امروز تا یک قدمی هک شدن رفتم و برگشتم. تجربه‌ای ارشمند که با شما در میان می‌گذارم.

روشی که هکر یا هکرها به کار بردند، یک روش قدیمی بود. مهندسی اجتماعی یا Social Engineering طبق تعریف ویکی‌پدیا، سوءاستفاده زیرکانه از تمایل طبیعی انسان به اعتماد کردن است، که به کمک مجموعه‌ای از تکنیک‌ها، فرد را به فاش کردن اطلاعات یا انجام کارهایی خاص متقاعد می‌کند.

اگر بخواهم ساده‌تر توضیح دهم، باید گفت که هکرها درباره شما مفصلا تحقیق می‌کنند تا علاقمندی‌های شما را بشناسند. این که دیشب غذا چه خوردید، از چه فیلمی خوشتان می‌آید، با چه کسی ملاقات کرده‌اید و… اغلب این اطلاعات را خودتان در اختیار همگان قرار می‌دهید. باید بگویم در قدم اول موفق شدند من را هم فریب بدند.

من هفته گذشته با خانم رکسانا ورزا در پاریس دیداری داشتم تا گزارشی برای برنامه کلیک بسازم که درباره استارتاپ‌ها بود. همان روز عکسی را در اینستاگرامم از این ملاقات منتشر کردم. هکر اینجا متوجه شد که من با ایشان ملاقات داشتم. نکته جالب اینه که چند پیام خصوصی در اینستاگرام هم دریافت کردم که سوالاتی در این زمینه از من داشتند.

هکر با استفاده از همین اطلاعات یک ایمیل جعلی فرستاد با عنوان این که خانم ورزا با من کتابی را روی گوگل هم‌رسانی کرده‌اند. موضوع کتاب درباره استارتاپ‌های ایرانی بود. یعنی با توجه به علاقمندی‌های من موضوع کتابی رو انتخاب کرد و با تظاهر به این که یکی از کسانی است که من در همون حوزه اخیرا باهاش ملاقات داشتم، ایمیل را فرستاد. واکنش من؟ فریب خوردم. به نشانی نویسنده مطلقا نگاه نکردم و… روی دکمه Open کلیک کردم. (ماحیگیری یا Phishing چیست؟)

به صفحه‌ای هدایت شدم که از من گذرواژه یا پسورد ایمیلم را می‌خواست تا کتاب را با من به اشتراک بگذارد. من گذرواژه را وارد کردم و رمز برای هکر فرستاده شد!

چند دقیقه بعد، چند ایمیل از نشانی customer.noreplyservice @ gmail.com برایم فرستاده شد که ظاهرا از طرف گوگل بود و هشدار می‌داد که باید سریعا رمز دوم را برای امنیت بیشتر وارد کنم. اینجا بود که شک کردم. ایمیل را بررسی کردم.

فرستنده این بار از نشانی recovery.noreplyservice @ gmail.com استفاده کرده بود و این بار نامش به جای Books Online نام Service Mail بود. هم‌زمان به شماره تلفن من از طرف خود گوگل رمز دوم پیامک می‌شد. شماره من در متن ایمیل ذکر شده بود (دو عدد آخر) در واقع هکر شماره تلفن من را هم از جایی به دست آورده بود. اگر مانند مرحله قبل فریب می‌خوردم، رمز دوم را هم وارد می‌کردم و تمام! هکر وارد ایمیلم می‌شد.

من در میل‌باکسم چیزی ندارم. در واقع عادت کرده‌ام که همه چیز را مرتبا پاک کنم. اما اینجا بود که خطر متوجه همکاران و آشنایانم می‌شد. هکر می‌توانست از طرف من به آنها پیام دهد، از اعتمادشان به من سوءاستفاده و آنها را هم احتمالا قربانی کند.

هدف از نوشتن این مطلب هم‌رسانی این تجربه با شما بود. بدانید که اگر نفوذ به حریم خصوصی شما برای یک هکر مهم باشد، زندگی شما را به دقت بررسی می‌کند و از کوچک‌ترین اطلاعات سوءاستفاده خواهد کرد.

چه کار باید کرد؟

• همیشه دقت کنید. از خود بپرسید آیا دلیل موجهی برای این وجود دارد که فلان دوست یا آشنا برایم این ایمیل یا لینک را بفرستند؟
• دقت کنید فرستند از چه نشانی ایمیلی استفاده کرده است. در این مورد گوگل هرگز از ایمیل gmail برایتان چیزی نخواهد فرستاد. گوگل از این نشانی استفاده می‌کند: noreply @ google.com
• اطلاعات حداقلی از خود هم‌رسانی کنید.
• ایمیل‌های خود را هر چند وقت یک بار از میل‌باکس پاک کنید.
• من مدت‌هاست که هر چند ماه یک بار یک سیم‌کارت اعتباری می‌خرم و حساب‌ها را به آن منتقل می‌کنم. شماره‌ای که کسی جز من ندارد و استفاده برای مکالمه از آن نمی‌کنم. شاید شما هم بخواهید که چنین کاری کنید.