Sosyal mühendislik, insanları bilgi vermeye veya erişim izni vermeye manipüle eder. Teknolojiyi değil, insan psikolojisini hedef alır. Saldırgan güven oluşturur, aciliyet yaratır ve yardımsever olma arzusunu istismar eder. BT uzmanı olduğunu iddia eden birinden gelen telefon görüşmesi. Sahte bir yöneticiden para transferi isteyen bir e-posta. Elinde bir not defteri olan ve resepsiyonu ikna ederek konuşan bir ziyaretçi. Teknikler çeşitlilik gösterir. Amaç aynıdır: Hedefi yapmaması gereken bir şeyi yapmaya ikna etmek.

Sosyal mühendislik, teknik kontrolleri atlattığı için etkilidir. Bir güvenlik duvarı, bir yardım masası çalışanının meşru gibi görünen birinin şifresini sıfırlamasını engelleyemez. 2020 Twitter saldırısı, çalışanları kimlik bilgilerini vermeye ikna etmek için telefon tabanlı sosyal mühendislik kullandı. Saldırganlar daha sonra yüksek profilli hesapları ele geçirdi ve Bitcoin dolandırıcılığı içeren bir gönderi yayınladı. FBI bunu koordineli bir sosyal mühendislik saldırısı olarak adlandırdı. Savunma farkındalıkla başlar, ancak yalnızca farkındalık yeterli değildir. Süreçler daha önemlidir. Kimliği ayrı bir kanal üzerinden doğrulayın. Hassas işlemler için onay isteyin. Herhangi bir kişinin yapabileceği şeyleri sınırlayın. Amaç, ikna edici bir yalanın başarılı olmasını zorlaştırmaktır. Eğitim yardımcı olur, ancak güçlü bir süreç, eğitimin kaçırdığı noktaları yakalar.

Yaygın sosyal mühendislik teknikleri

• Kimlik avı — e-posta tabanlı aldatma
• Vishing — sesli arama dolandırıcılığı
• Bahane uydurmak — kurgulanmış senaryo
• Yemleme — cazip bir teklif, örneğin ücretsiz bir USB bellek.
• Güvenli bir alana birinin arkasından girmek

Sosyal mühendislik güveni istismar eder. Savunma şüphe değil, doğrulamadır.