در بخش‌های قبلی معماری امنیت، کیف پول‌های کریپتوکارنسی، چگونگی تامین امنیت ارزهای دیجیتال و روش‌های امن انتقال دیتا، بررسی شد. حال اگر در مورد انواع حملات مهندسی اجتماعی در به خطر انداختن امنیت سایبری، به‌ویژه امنیت ارزهای دیجیتال کنجکاو هستید، تا آخر این مطلب با ما همراه شوید.

به طور طبیعی، کاربران ارزهای دیجیتال در معرض خطر اسکمرها و به سرقت رفتن دارایی‌هایشان هستند. به طور کلی، تکنیک‌های مهندسی اجتماعی با دستکاری و تغییرات فریب‌کارانه همراه هستند. به هنگام رخ دادن حملات در سیستم‌های نرم افزاری و سخت افزاری، هدف مهندسی اجتماعی، به خطر انداختن و افشای اطلاعات شخصی افراد می‌باشد..

اسکمرهای معروف ارزهای دیجیتال

در سال 2022، کارشناسی به نام Hetler، 9 مورد از اسکمرهای معروف کریپتوکارنسی را مشخص کرد که عبارتند از: طرح سرمایه‌گذاری بیت کوین، طرح کلاهبرداری کارکنان، صرافی‌های جعلی کریپتوکارنسی، حمله man-in-the-middle، حملات فیشینگ، طرح‌های پانزی، اسکمرهای رمانتیک، راگ پول (یا فروش و تخلیه سرمایه)، طرح ارائه جایزه جعلی در رسانه‌های اجتماعی. این حملات اغلب اوقات باعث می‌شود تا دارایی افراد به سرقت برود، دیتابیس‌ها با اختلال شدید و نابودی رو به رو شوند یا تراکنشات جعلی با هدف سرقت کردن اطلاعات امنیتی انجام شوند.

با این حال، به دلیل ماهیت پیچیده این حملات و انکارناپذیر بودن آن‌ها، حملات مهندسی اجتماعی (SEAها) هنوز هم به شدت تحت بررسی هستند تا درک بهتری از مکانیزم رخداد آن‌ها و سناریوی عملکرد آن‌ها ایجاد شود.

حملات مهندسی اجتماعی چیست؟

طبق تعریف، مهندسی اجتماعی عبارت است از به‌کارگیری هرگونه فریب و حقه برای دستکاری حریم خصوصی افراد جهت افشای اطلاعات محرمانه یا اطلاعات فردی که ممکن است برای اهداف کلاهبردارانه استفاده شود. حمله مهندسی اجتماعی (SEA) به عنوان عملی تعریف می‌شود که فرد یا سازمان مهاجم طی این حمله، از تعاملات انسانی (مهارت‌های اجتماعی) برای دستیابی به اطلاعات یک سازمان یا سیستم‌های کامپیوتری آن، استفاده می‌کند. مهندسی اجتماعی به طور کلی، سیستم‌های مرتبط با اینترنت را هدف قرار داده و این دسته از حملات به طور گسترده‌ای، علیه امنیت ارزهای دیجیتال و کاربران آن در حال استفاده است.

از دیدگاه یک کاربر، نقض قوانین امنیتی شامل دزدیدن رمز عبور و کلیدهای خصوصی کیف پول‌های سرد، یا دسترسی به اطلاعات خصوصی کاربران آنلاین شامل اطلاعاتی از قبیل آدرس ایمیل با رمز عبورآن‌ها و یا شماره تلفن‌های متصل به حساب کاربری و نیز دستیابی به ایمیل‌های متصل به کیف پول های گرم می‌باشد.

نمونه‌ای از حملات مهندسی اجتماعی

انواع حملات مهندسی اجتماعی

حملات مهندسی اجتماعی در سه دسته قرار می‌گیرند:

1- حملات مبتنی بر فناوری و تکنولوژی

2- حملات انسانی (رویکرد اجتماعی)

3- حملات ترکیبی (رویکرد اجتماعی – تکنیکال)

دسته اول: حملات مبتنی بر فناوری و تکنولوژی

با استفاده از تاکتیک‌های تکنیکال، مهندس اجتماعی از اپلیکیشن‌های کامپیوتری برای فریب دادن کاربران در یک عمل خاص، بهره می‌گیرند. از سوی دیگر، تاکتیک‌های فردی توسط مهاجمانی اجرا می‌شوند که نقاط ضعف روحی و روانی افراد را به خوبی شناسایی و درک کرده‌اند.

هکرها از تکنیک‌های مختلفی برای سرقت کردن اطلاعات حساس کاربر و به خطر انداختن امنیت ارزهای دیجیتال استفاده می‌کنند و به عنوان مثال، دسترسی نامحدود به بانک اطلاعاتی کاربران ایجاد می‌کنند.

جاسوس افزارها:

شناسایی جاسوس افزارها بسیار مشکل است. کار جاسوس افزارها، جمع‌آوری بسیار محتاطانه و دستیابی به اطلاعات کاربران، مانند دیتای فردی، شماره کارت اعتباری و دسترسی به رمزهای عبور آدرس وب سایت‌های رویت شده، علاقه‌مندی ها و آدرس ایمیل‌هاست. یک برنامه این چنینی، معمولاً با برنامه دیگر یا یک فایل دانلود شده از یک وب سایت خاص در ارتباط است. برخی اوقات، جاسوس افزارها، به فایل‌های پیوست شده در ایمیل ها نیز می‌چسبند و از این طریق، یک سیستم را آلوده می‌کنند.

آگهی افزار:

این نوع از برنامه ها بسیار آزار دهنده می‌باشند اما در عین حال اثرات تخریبی چندانی ندارند. این برنامه‌ها معمولا با نشان دادن مکرر تبلیغات پاپ آپ در حین اجرای یک برنامه دیگر و یا در زمان بیکاری یک سیستم کامپیوتری، کار خود را انجام می‌دهند. مشابه با جاسوس افزارها، آگهی افزارها هم در اغلب اوقات با اپلیکیشن‌های رایگان دانلود شده از وب همراه هستند.

کیلاگر (Keylogger):

این نوع برنامه، دنباله کلیدهای فشرده شده توسط کاربر را ثبت کرده و از این طریق، دیتایی مانند شماره کارت اعتباری و رمز عبور آن را سرقت می‌کند.

باج افزارها:

باج افزارها یک نوع بسیار پیشرفته‌تر از تکنیک‌ها برای حملات مهندسی اجتماعی سایبری هستند که شامل مسدود کردن دسترسی به فایل‌های مشخص شده و درخواست وجه نقد برای باز کردن مجدد دسترسی‌ها می‌باشد. البته، هکرها به ندرت به قول خود عمل می‌کنند، حتی اگر باج و پولی که می‌خواهند را دریافت کنند، اما باز هم به ندرت پیش می‌آیند که به عهد خود پای بند باشند. این قبیل برنامه‌ها معمولاً بدون اطلاع کاربر، همراه با دیگر برنامه‌ها و در حین استفاده از شبکه‌های نا‌امن، روی سیست مورد نظر نصب شده و آن را آلوده می‌کند.

تروجان:

یک تروجان، برنامه‌ای است که عملکرد یک برنامه کاربردی و مفید که کاربر روی سیستم خود نصب می‌کند را تقلید و شبیه‌سازی می‌کند. این نرم افزار، به افراد غیر مجاز، اجازه دسترسی به کامپیوتر یا تلفن همراه را می‌دهد. مشابه با دیگر ویروس‌ها، یک تروجان می‌تواند در فایل‌های پیوستی ایمیل‌ها، در ویدیوها و محتوای غیراخلاقی دانلود شده و غیره، مخفی شود.

کرم:

این نوع برنامه ها قابلیت تقلید از دیگر برنامه‌های کاربردی و همچنین منتشر کردن خود با استفاده از شبکه کامپیوتری را دارند. آن‌ها معمولاً برای فعالیت‌هایی از قبیل ارسال مجدد ایمیل‌ها یا از بین بردن فایل‌های موجود در دیسک استفاده می‌شوند. این قبیل فعالیت‌ها، پهنای باند شبکه‌ها و دستگاه‌ها را اشغال کرده و آن‌ها را بسیار کند کرده و در برخی اوقات، کاهش سرعت توسط آن‌ها به حدی است که باعث توقف عملکرد شبکه مورد نظر می‌شود.

دسته دوم: حملات انسانی

حملات مهندسی اجتماعی برای اختلال در امنیت ارزهای دیجیتال از عوامل و فاکتورهای انسانی استفاده می‌کنند. حملات سایبری اجتماعی می‌توانند با به‌کارگیری روش‌های مختلف مانند دنباله‌روی از افراد و الگوهای غیرمجاز، جعل هویت، استراق سمع، استراق کلمه عبور با استفاده از خواندن دست کاربر به هنگام تایپ رمز عبور، مهندسی اجتماعی معکوس و غیره، انجام شوند. مهاجمان اغلب از 5 اصل برای تحریک کاربر استفاده می‌کنند: 1-نفوذ و قدرت، 2-تأیید اجتماعی و علاقه‌مندی‌ها، 3-فریبکاری، 4-تعهد، عمل متقابل و سازگاری، 5-حواس پرتی

دسته سوم: حملات ترکیبی

حملات ترکیبی که از تکنیک‌های اجتماعی استفاده می‌کنند، در قابل دسته‌هایی گنجانده می‌شوند که برخی از آن‌ها به شرح زیر هستند:

تطمیع

تطمیع نمونه‌ای از حملات مهندسی اجتماعی است که مبتنی بر فضای ذخیره‌سازی آلوده به بدافزار بوده تا فضای ذخیره‌سازی مورد نظر در چشم کاربر، یک فضای آزاد و رها، جلوه داده شود و کاربر جهت استفاده از آن تطمیع گردد و در دام حملات بعدی گنجانده شده در آن فضا گرفتار شود. برای مثال، یک فلش USB با یک برچسب جذاب و خوشایند که آلوده به یک تروجان می‌باشد، می‌تواند در یک بانک یا یک مکان مشابه دیگر رها شود تا احتمال پیدا کردن آن توسط افراد دیگر بالا باشد.

هرکرها از قبل، بدافزار مورد نظر خود را در آن فلش بارگذاری کرده و آن فلش را در محیط مورد نظر خود، رها می‌کنند. زمانی که قربانی، فلش مورد نظر را پیدا کرده، آن را برمی‌دارد و به دستگاه خود وصل می‌کند و فرآیند حمله از این طریق انجام می‌شود.

ترولینگ

ترولینگ، نوعی از اذیت و آزار در افشای سایبری و تعرض به حریم خصوصی از طریق اینترنت می‌باشد. این نوع حمله می‌تواند شامل انتشار و ارسال اطالاعات یا ویدیوهای جذب کننده مخاطب مانند ویدیویی از صحنه خودکشی یک فرد باشد. طی این فرآیند، کاربر از نظر ذهنی دچار انحراف شده و مانند لحظه خواندن یک لالایی برای یک کودک خردسال، کاربر مورد نظر به خواب رفته و از احتمال آلوده بودن ویدیوی مورد نظر به بدافزار، غفلت می‌کند. ترول‌ها، اذهان عمومی را برای ایجاد بحث بین افراد و سو استفاده از تمایلات انسانی، منحرف می‌کنند.

فیشینگ

فیشینگ نیز نوعی از حملات مهندسی اجتماعی است که در آن، ایمیل‌های جعلی ارسال می‌کند، به طوریکه کاربر دریافت کننده ایمیل، مشکلی درخصوص آن ایمیل جعلی رویت نکرده و آن را یک ایمیل استاندارد و بدون مشکل تلقی می کند.طی این ایمیل، از کاربر خواسته می‌شود تا روی لینک‌های مشکوک کلیک کرده و یا کارهایی انجام دهند در که در آن‌ها، دیتای حساس مانند رمز عبور، رد و بدل شود.

یک حمله فیشینگ درواقع یک عملیات کلاهبردارانه است که هدف مجرم از این عمل، دستیابی به اطلاعات فردی مانند جزئیات اطلاعات فردی، کارت اعتباری، اطلاعات حساب بانکی مانند رمز عبور و شماره تلفن همراه می‌باشد. مجرم تمام این اعمال را با مشروع جلوه دادن خود انجام می‌دهد.

فارمینگ

حمله فارمینگ یک حمله مبتنی بر سیستم نام دامنه (DNS) است فایل‌های میزبان بانک یا DNS را سرقت می‌کند. در یک حمله فیشینگ مبتنی بر DNS، یک هکر، کاربر را در زمانی که سعی دارد وارد وب سایت بانکی و حساب کاربری خود شود، به یک وب سایت کلاهبرداری یا دستگاه یک هکر، هدایت می‌کند تا از این طریق، به یک کپی از اطلاعات حساس حساب کاربری دسترسی پیدا کند. این نوع حمله می‌تواند توسط بدافزارها یا استفاده از URL های ناامن و مشکوک در وب، انجام شود.

چاله آب

چاله آب (Watering Hole) نیز نوعی حمله است که مستلزم دانش فنی بالا و پیشرفته می‌باشد. طی این حمله، هکر، وب سایت‌هایی که مکرراً توسط کاربر هدف بازدید می‌شود را شناسایی کرده و روی پیدا کردن حفره‌های امنیتی آن وب سایت، مدت زیادی وقت می‌گذارند تا بتوانند اهداف آلوده کردن کاربران را محقق کنند.

Smishing

Smishing ترکیبی از SMS و فیشینگ است که مهاجم طی این حمله، یک SMS حاوی محتوای آلوده برای قربانی ارسال کرده و کاربر قربانی، با کلیک بر روی لینک‌های آلوده و اغوا کننده، در دام گرفتار خواهد شد.

اقدامات متقابل علیه حملات مهندسی اجتماعی سایبری

صرف نظر از روش مهندسی اجتماعی، به منظور مقابله با حملات، کاربران بانک و کارکنان بانک باید به طور مدون و مستمر، دوره آموزش‌های امنیتی را گذرانده باشند و از تهدیدات بالقوه و تکنیک‌های حملات آگاهی کامل داشته باشند، از احراز هویت دو مرحله‌ای استفاده کنند، نرم افزارهای آنتی ویروس را نصب و به‌روزرسانی کنند و نقاط ضعف خود را شناسایی کرده و درصدد رفع آن‌ها برآیند.

جدول 1. اشکال متداول حملات مهندسی اجتماعی و روش های مقابله با آن‌ها

سخن پایانی

کسانی که دارایی‌های دیجیتال و کریپتوکارنسی دارند، باید همواره انواع مختلف حملات سایبری را مد نظر بگیرند؛ صرف نظر از نوع حمله، سطح اعتماد کاربر قربانی، ساده لوح بودن و نداشتن دانش کافی، همواره به عنوان یک عامل ثابت برای ایجاد خسارت محسوب می‌شود.پس آگاهی و آمادگی لازم جهت حفظ امنیت ارزهای دیجیتال از جمله مواردی‌ است که می‌تواند مانع از قربانی بودن شما توسط حملات مهندسی اجتماعی شود.

دوری از سایت‌ها و اپلیکیشن‌های جعلی، ایجاد آدرس ایمیل اختصاصی برای ارزهای دیجیتال و جداسازی آن از سایر ایمیل‌ها، فعال‌سازی احراز هویت دو عاملی،استفاده از وایت لیست صرافی‌ها و غیره از جمله اقداماتی هستند که شما را در حفظ حریم سایبری‌تا یاری می‌کنند.