सोशल इंजीनियरिंग लोगों को जानकारी प्रकट करने या पहुँच प्रदान करने के लिए बरगलाने का एक तरीका है। यह तकनीक को नहीं, बल्कि मानव मनोविज्ञान को लक्षित करता है। हमलावर विश्वास कायम करता है, जल्दबाजी का माहौल बनाता है और मदद करने की इच्छा का फायदा उठाता है। किसी आईटी अधिकारी का फोन कॉल, किसी फर्जी अधिकारी का ईमेल जिसमें वायर ट्रांसफर का अनुरोध किया गया हो, या क्लिपबोर्ड लिए हुए कोई आगंतुक जो रिसेप्शन को पार करते हुए अपनी बात मनवा लेता है। तकनीकें अलग-अलग हो सकती हैं। लक्ष्य एक ही है: पीड़ित से कुछ ऐसा करवाना जो उसे नहीं करना चाहिए।

सोशल इंजीनियरिंग इसलिए कारगर है क्योंकि यह तकनीकी नियंत्रणों को दरकिनार कर देती है। फ़ायरवॉल किसी हेल्प डेस्क कर्मचारी को किसी ऐसे व्यक्ति का पासवर्ड रीसेट करने से नहीं रोक सकता जो विश्वसनीय प्रतीत होता है। 2020 के ट्विटर हैक में फ़ोन आधारित सोशल इंजीनियरिंग का इस्तेमाल करके कर्मचारियों को अपने क्रेडेंशियल सौंपने के लिए राजी किया गया था। हमलावरों ने फिर हाई-प्रोफ़ाइल खातों पर कब्ज़ा कर लिया और बिटकॉइन घोटाला पोस्ट किया। FBI ने इसे समन्वित सोशल इंजीनियरिंग हमला बताया। बचाव जागरूकता से शुरू होता है, लेकिन केवल जागरूकता ही पर्याप्त नहीं है। प्रक्रियाएँ अधिक महत्वपूर्ण हैं। पहचान को एक अलग चैनल के माध्यम से सत्यापित करें। संवेदनशील कार्यों के लिए अनुमोदन अनिवार्य करें। किसी एक व्यक्ति की क्षमताओं को सीमित करें। लक्ष्य यह है कि किसी विश्वसनीय झूठ को सफल होने से रोका जाए। प्रशिक्षण सहायक होता है, लेकिन एक सुदृढ़ प्रक्रिया उन कमियों को दूर करती है जो प्रशिक्षण में छूट जाती हैं।

सामान्य सामाजिक इंजीनियरिंग तकनीकें

• फ़िशिंग — ईमेल आधारित धोखाधड़ी
• विशिंग — वॉइस कॉल धोखाधड़ी
• बहाना बनाना — मनगढ़ंत परिदृश्य
• लुभाना — मुफ्त यूएसबी ड्राइव जैसा आकर्षक प्रस्ताव
• किसी सुरक्षित क्षेत्र में किसी का पीछा करना — उसके पीछे-पीछे चलना

सोशल इंजीनियरिंग भरोसे का फायदा उठाती है। इससे बचाव का तरीका संदेह नहीं, बल्कि सत्यापन है।