Bilgi toplama, dolandırıcılık veya sistem erişimi amaçlı bir tür güven hilesi, genellikle daha karmaşık bir dolandırıcılık planındaki birçok adımdan biri olması nedeniyle geleneksel bir hileden farklıdır.
Sosyal mühendislik, hırsızlık veya dolandırıcılığın güncel bir versiyonundan başka bir şey değildir. Sosyal mühendisler, şüphe duymayan kullanıcıları güvenliklerini tehlikeye atmaları, para transferleri veya hassas bilgileri vermeleri yönünde düşünmek için hem çevrimiçi hem de çevrimdışı olmak üzere çeşitli yöntemler kullanırlar.
Sosyal mühendislikte kullanılan altı temel ilke;
- Yetki / Güven
- Gözdağı
- Konsensüs / Sosyal kanıt
- Kıtlık
- Aciliyet
- Aşinalık / Sevme
Phishing
Sosyal mühendislik saldırısının en yaygın biçimi kimlik avıdır.
Kimlik avı saldırıları, genellikle virüslü e-posta ekleri veya kötü amaçlı web sitelerine bağlantılar yoluyla kimlik bilgilerini toplamak veya kötü amaçlı yazılımları yaymak için insan hatalarından yararlanır.
Kimlik avı saldırısı türleri şunları içerir:
- Fener kimlik avı (angler phishing)
- BEC (iş e-postası uzlaşması)
- Pharming
- Yemleme (spear phishing)
- Sekme / ters sekme (tabnabbing/reverse tabnabbing)
- Balina avı / CEO dolandırıcılığı
Diğer sosyal mühendislik türleri
Bununla birlikte, dikkat edilmesi gereken phishing saldırılarından daha fazlası var. Diğer sosyal mühendislik taktikleri şunları içerir:
- Canını sıkma (Baiting)
- Saptırma hırsızlığı
- Bal kapanı (honey trap)
- Smishing / SMS kimlik avı
- Pretexting
- Karşılıklı fiyat (Quid pro quo)
- Scareware
- Tailgating
- Vishing / sesli kimlik avı
- Water-holing/watering hole
- 419 / Nijeryalı prens / avans ücreti dolandırıcılığı
Sosyal mühendisliğin yaşam döngüsü
- Bilgi toplama, mağdurun alışkanlıklarını çok sabır ve dikkatle izlemeyi gerektiren ilk ve en önemli adımdır.
- Mağdurla ilişki kurma – Gerekli miktarda bilgiyi topladıktan sonra, saldırgan, mağdurla uygun bir şekilde konuşma açar.
- Saldırı –Bu adım genellikle hedefle uzun bir etkileşim süresinden sonra ortaya çıkar ve bu sırada hedeften sosyal mühendislik kullanılarak, aşamalı olarak bilgi alınır.
- Kapanış etkileşimi – Bu, mağdurda herhangi bir şüphe uyandırmadan saldırgan tarafından iletişimin yavaşça kapatılmasını içeren son adımdır. Mağdur saldırı gerçekleştiğini bile nadiren anlar.
Kendinizi Korumanın Yolları
- Herhangi bir kişisel bilgi veya şifre talebini silin.
- E-posta, telefon veya kısa mesaj yoluyla kimseye kişisel bilgi vermemek.
- Yardım taleplerini veya yardım tekliflerini reddedin.
- Bilinmeyen kaynaklardan gelen eklere tıklamaktan kaçınmak.
- İstenmeyen posta filtrelerinizi yüksek olarak ayarlayın.
- Cihazlarınızı emniyete alın. Anti-virüs yazılımınızı, güvenlik duvarlarınızı ve e-posta filtrelerinizi düzenli olarak kurun, bakımını yapın ve güncelleyin.
- Her zaman risklere dikkat edin. Doğru bilgi için aldığınız herhangi bir talebi iki kez kontrol edin, üç kez kontrol edin.
- Atıklarınıza dikkat edin. İçlerinde kimlik bilgileriniz, banka hesap dökümünüz, iletişim bilgileriniz olabilir.
