تُمارس الهندسة الاجتماعية التلاعب بالأفراد لحملهم على كشف معلومات أو منح صلاحيات وصول. وهي تستهدف الجانب النفسي، لا التكنولوجيا. يبني المهاجم الثقة، ويخلق شعورًا بالإلحاح، ويستغل رغبة الفرد في المساعدة. مثال على ذلك: مكالمة هاتفية من شخص يدّعي أنه متخصص في تكنولوجيا المعلومات، أو بريد إلكتروني من مسؤول تنفيذي مزيف يطلب تحويلًا بنكيًا، أو زائر يحمل لوحة كتابة ويتحدث مع موظف الاستقبال ليتمكن من تجاوزه. تختلف الأساليب، لكن الهدف واحد: دفع الضحية إلى فعل ما لا ينبغي لها فعله.

تُعدّ الهندسة الاجتماعية فعّالة لأنها تتجاوز الضوابط التقنية. فجدار الحماية لا يمنع موظف الدعم الفني من إعادة تعيين كلمة مرور لشخص يبدو موثوقًا. استخدم اختراق تويتر عام 2020 الهندسة الاجتماعية عبر الهاتف لإقناع الموظفين بتسليم بيانات اعتمادهم. ثم استولى المهاجمون على حسابات بارزة ونشروا عملية احتيال بالبيتكوين. وصف مكتب التحقيقات الفيدرالي ذلك بأنه هجوم هندسة اجتماعية منسق. يبدأ الدفاع بالتوعية، لكن التوعية وحدها لا تكفي. فالعمليات أكثر أهمية. تحقق من الهوية عبر قناة منفصلة. اطلب الموافقة على الإجراءات الحساسة. حدّد صلاحيات أي فرد. الهدف هو جعل نجاح الكذبة المقنعة أكثر صعوبة. التدريب مفيد، لكن وجود عملية قوية يكشف ما يغفله التدريب.

أساليب الهندسة الاجتماعية الشائعة

• التصيد الاحتيالي - الخداع عبر البريد الإلكتروني
• التصيد الصوتي - الخداع عبر المكالمات الصوتية
• التظاهر – سيناريو مختلق
• الإغراء - عرض مغرٍ، مثل محرك أقراص USB مجاني
• التتبع المباشر - ملاحقة شخص ما إلى منطقة آمنة

الهندسة الاجتماعية تستغل الثقة. والدفاع يكمن في التحقق، لا الشك.