رفتن به نوشته‌ها

برچسب: مهندسی اجتماعی

مهندسی اجتماعی و تجربه یک قدم تا هک شدن

امروز تا یک قدمی هک شدن رفتم و برگشتم. تجربه‌ای ارشمند که با شما در میان می‌گذارم.

روشی که هکر یا هکرها به کار بردند، یک روش قدیمی بود. مهندسی اجتماعی یا Social Engineering طبق تعریف ویکی‌پدیا، سوءاستفاده زیرکانه از تمایل طبیعی انسان به اعتماد کردن است، که به کمک مجموعه‌ای از تکنیک‌ها، فرد را به فاش کردن اطلاعات یا انجام کارهایی خاص متقاعد می‌کند.

اگر بخواهم ساده‌تر توضیح دهم، باید گفت که هکرها درباره شما مفصلا تحقیق می‌کنند تا علاقمندی‌های شما را بشناسند. این که دیشب غذا چه خوردید، از چه فیلمی خوشتان می‌آید، با چه کسی ملاقات کرده‌اید و… اغلب این اطلاعات را خودتان در اختیار همگان قرار می‌دهید. باید بگویم در قدم اول موفق شدند من را هم فریب بدند.

من هفته گذشته با خانم رکسانا ورزا در پاریس دیداری داشتم تا گزارشی برای برنامه کلیک بسازم که درباره استارتاپ‌ها بود. همان روز عکسی را در اینستاگرامم از این ملاقات منتشر کردم. هکر اینجا متوجه شد که من با ایشان ملاقات داشتم. نکته جالب اینه که چند پیام خصوصی در اینستاگرام هم دریافت کردم که سوالاتی در این زمینه از من داشتند.

ضدویروس‌های کلاهبردار

کلاهبرداری‌های اینترنتی شیوه‌های متعددی داره. هکرها هم تمام سعی خودشون رو می‌کنن تا کاربران رو فریب بدن و سرکیسه‌شون کنن. شاید اسم اسکم Scam به گوشتون خورده باشه. ایمیل‌ها یا برنامه‌هایی که کامپیوترتون رو به روش‌های مختلف آلوده می‌کنن و در نهایت پسوردهاتون رو می‌دزدن و ازشون سوءاستفاده می‌کنن.

یکی از روش‌هایی که چند ساله باب شده اینه که شما دارید با اینترنت کار می‌کنید و وارد یک وب‌سایت می‌شید. یهو می‌بینید که یک صفحه ویندوز روی نمایشگرتون باز شده و در حال پاک کردن کامپیوترتون از ویروس‌ها و فایل‌های دیگه هست. بهتون هشدار داده می‌شه که کامپیوترتون آلوده هست و بهتره که اجازه بدید این برنامه به طور رایگان کامپیوترتون رو پاکسازی کنه. یا این که نسخه کاملش رو بخرید.

تمام این صفحه یک نمایش خطرناکه. در واقع یک صفحه فلاش هست که شبیه صفحات ویندوز طراحی شده. همه این پاک‌کردن‌ها هم یک نمایش بیخوده. اگه مشخصات کارت بانکیتون رو بدید مطمئن باشید که حسابتون خالی خواهد شد. اگه خیلی زرنگ باشید و نخواهید استفاده کنید و دکمه لغو رو بزنید باز هم کامپیوترتون آلوده‌تر خواهد شد. خلاصه چه کلیک کنید چه نکنید، باید فاتحه کامپیوترتون رو بخونید.

 

یک تجربه: با این که ممکنه شما همه این چیزها رو بدونید و باز هم کامپیوترتون آلوده بشه.

چند روز پیش داشتم در بخش جست‌وجوی تصویر گوگل دنبال چیزی می‌گشتم. به تصویری رسیدم که کلیک روی اون همانا و رفتن با سایت آلوده همانا. بلافاصله صفحه فلاش مربوطه نشون داده شد. سعی کردم با Alt+F4 صفحه رو ببندم اما فایده نداشت. آنتی‌ویروس هم چیزی پیدا نکرد.

نتیجه این شد که چند ساعت پیش شناسه فیس‌بوکم از جایی در برزیل هک شد و گذرواژه‌م رو عوض کردن. البته چون تلفنم در فیس‌بوک ثبت شده بود، تقاضای بازیابی کردم و فیس‌بوک هم با ارسال یک پیامک به من رمزی رو داد که با اون فیس‌بوکم رو پس گرفتم.

کلاهبرداری تازه: کی به پروفایل فیس‌بوکم سر زده؟

این روزها در فیس‌بوک احتمالا شما به طور مرتب به لینکی دعوت می‌شوید با عنوان How to see who has viewed your profile که شما را تشویق می‌کند به این که رویش کلیک کنید تا بفهمید چه کسی پروفایل فیس‌بوکتان را می‌بیند:

See who viewed your profilee original version 2.0:
now you can see who viewed your facebook profile <LINK>

 

با کلیک روی این لینک، وارد صفحه‌ای می‌شید و در ادامه اجازه دسترسی بیشتری به پروفایلتون رو بهش می‌دید.

فقط در ساعات اولیه چیزی بیش از ۶۰ هزار نفر روی این لینک کلیک کردند و آلوده شدند. این یه پیام وسوسه‌برانگیز برای کسایی هست که دوست دارن بدونن چه کسانی بهشون توجه کردند. در حالی که در ماه جولای فیس‌بوک رسماً اعلام کرده بود که هیچ راهی نیست که کس دیگه ای بتونه بفهمه کی اومده سراغ پروفایلش. ضمن این که هر گونه دسترسی به این اطلاعات رو ممنوع کرده و کسی هم نمی‌تونه اپلیکیشنی بسازه که این کار رو انجام بده. پس فریب این طور اپلیکیشن‌های کلاهبردار یا اسکمر رو نخورید.

بیشتر نفوذهای امنیتی از راه مهندسی اجتماعی یا Social engineering رخ می‌دن. نفوذگرها دنبال چیزهایی می‌گردن که ممکنه براتون جذاب باشه. این که مثلاً بهتون می‌گن با کلیک روی این لینک می‌تونین یه عکس خصوصی جالب ببینید یا به پسورد دوست دختر یا دوست پسرتون دسترسی پیدا کنید. روی لینک کلیک کنید. تبریک می‌گم: شما یک قربانی هستید!

این طور اسکم‌ها معمولاً قربانیان رو تشویق به لایک یا همخوان کردن می‌کنند و به این طریق در سطح شبکه پخش می‌شن. بنابراین نیازی به این ندارند که از اشکالات امنیتی کدهای فیس‌بوک استفاده کنند. گول همچین وعده وعیدهایی رو نخورید و البته با تکثیرش به رفقاتون توصیه نکنید که گول بخورند.