التظاهر

الهندسة الاجتماعية هي أسلوب تلاعب نفسي يؤدي إلى استجابة غير طوعية أو غير واعية من الضحية. ^{[ 8 ]} وهي من أبرز تهديدات أمن المعلومات في العالم المعاصر، إذ تؤثر على المؤسسات وإدارة الأعمال والصناعات. ^{[ 8 ]} وتُعتبر هجمات الهندسة الاجتماعية صعبة المنع نظرًا لجذورها في التلاعب النفسي. ^{[ 9 ]} كما يمكن أن تصل هذه الهجمات إلى نطاق أوسع. ففي هجمات أمنية أخرى، قد تتعرض شركة تحتفظ ببيانات العملاء للاختراق. أما في هجمات الهندسة الاجتماعية، فإن كلاً من الشركة (وخاصة العاملين فيها) والعميل معرضان للاستهداف بشكل مباشر. ^{[ 9 ]}

ومن الأمثلة على ذلك القطاع المصرفي، حيث لا يقتصر الهجوم على موظفي البنوك فحسب، بل يشمل العملاء أيضاً. إذ يستهدف مرتكبو الهندسة الاجتماعية العملاء أو الموظفين بشكل مباشر للالتفاف على محاولة اختراق نظام تقني بحت واستغلال نقاط الضعف البشرية. ^{[ 9 ]}

على الرغم من اختلاف تعريفها في سياق الأمن السيبراني بين مختلف الأدبيات، إلا أن هناك موضوعًا مشتركًا يتمثل في أن الهندسة الاجتماعية (في مجال الأمن السيبراني) تستغل نقاط الضعف البشرية من أجل اختراق كيانات مثل أجهزة الكمبيوتر وتكنولوجيا المعلومات. ^{[ 3 ]}

لا يزال مجال الهندسة الاجتماعية يفتقر إلى الدراسات والأبحاث الكافية. ومع ذلك، يُعدّ ابتكار ذريعة وهمية جزءًا أساسيًا من منهجية البحث في هذا المجال. عند تقييم أخطر هجمات الهندسة الاجتماعية وأكثرها ضررًا (مثل التصيّد الاحتيالي ، والتصيّد الصوتي ، واختراق شبكات الإنترنت )، يصبح نوع الذريعة عاملًا ثانويًا، إذ قد تتخذ بعض الهجمات أكثر من ذريعة. لذا، يُستخدم التظاهر على نطاق واسع، ليس فقط كهجوم مستقل، بل كجزء من هجمات أخرى. ^{[ 10 ]}

في مجال الأمن السيبراني، يُمكن اعتبار التظاهر أحد المراحل الأولى لتطور الهندسة الاجتماعية. فعلى سبيل المثال، بينما يعتمد هجوم الهندسة الاجتماعية المعروف بالتصيد الاحتيالي على أدوات حديثة كبطاقات الائتمان ويحدث بشكل رئيسي في الفضاء الإلكتروني، كان التظاهر ولا يزال بالإمكان تنفيذه دون استخدام التكنولوجيا. ^{[ 11 ]}

كان التظاهر بالهوية أحد الأمثلة الأولى للهندسة الاجتماعية. وقد صاغ مكتب التحقيقات الفيدرالي هذا المصطلح عام 1974، وكان يُستخدم غالبًا للمساعدة في تحقيقاته. في تلك المرحلة، كان التظاهر بالهوية يتمثل في اتصال المهاجم بالضحية لمجرد طلب معلومات. ^{[ 3 ]} عادةً ما تتضمن هجمات التظاهر بالهوية أساليب إقناع. بعد هذه المرحلة الأولى من تطور الهندسة الاجتماعية (1974-1983)، لم يعد التظاهر بالهوية مجرد أساليب إقناع، بل أصبح أساليب خداع أيضًا. ومع تطور التكنولوجيا، تطورت أساليب التظاهر بالهوية بالتوازي معها. وسرعان ما أصبح بإمكان المخترقين الوصول إلى جمهور أوسع من الضحايا بفضل ظهور وسائل التواصل الاجتماعي. ^{[ 3 ]}

الهندسة الاجتماعية العكسية مثال أكثر تحديدًا على التظاهر. ^{[ 12 ]} وهي شكل غير إلكتروني من أشكال الهندسة الاجتماعية حيث يقوم المهاجم بإنشاء ذريعة يتم من خلالها التلاعب بالمستخدم لحمله على الاتصال بالمهاجم أولاً، بدلاً من العكس.

عادةً، تتضمن هجمات الهندسة العكسية قيام المهاجم بالإعلان عن خدماته كنوع من المساعدة التقنية، مما يُضفي عليه مصداقية. بعد ذلك، يتم خداع الضحية للتواصل مع المهاجم بعد مشاهدة الإعلانات، دون أن يتواصل المهاجم معها مباشرةً في المقام الأول. بمجرد نجاح المهاجم في تنفيذ هجوم الهندسة الاجتماعية العكسية، يُمكنه شنّ مجموعة واسعة من هجمات الهندسة الاجتماعية الأخرى، وذلك بفضل الثقة الزائفة بين المهاجم والضحية (على سبيل المثال، يُمكن للمهاجم تزويد الضحية برابط ضارّ ويدّعي أنه حلّ لمشكلتها. وبسبب هذه الصلة الوهمية، ستميل الضحية إلى تصديق المهاجم والنقر على الرابط الضارّ). ^{[ 13 ]}

إذا كان الضحية "مُستهدفاً"، فهذا يعني أن لديه نوعاً من المعلومات التي يرغب بها مهندس الاحتيال الاجتماعي. ^{[ 4 ]}

تترافق الجدارة بالثقة مع الجاذبية، فكلما زادت جاذبية الشخص، زادت ثقته به. ^{[ 15 ]} وبالمثل، عندما تنشأ الثقة بين مهندس الاختراق الاجتماعي (المهاجم) والضحية، تنشأ المصداقية أيضًا. وبالتالي، يسهل على الضحية الإفصاح عن معلوماتها الشخصية للمهاجم إذا كانت قادرة على الوثوق به بسهولة أكبر. ^{[ 5 ]}

يمكن استغلال مدى سرعة استجابة الشخص للأحداث، ودرجة هذه الاستجابة، لصالح مهندس الاحتيال الاجتماعي. فعلى وجه الخصوص، تُستخدم مشاعر مثل الحماس والخوف غالبًا لإقناع الناس بالكشف عن معلومات. على سبيل المثال، يمكن اختلاق ذريعة يُغري فيها مهندس الاحتيال الاجتماعي الضحية بجائزة قيّمة مقابل إعطائه معلوماتها المصرفية. ويمكن استغلال شعور الحماس لجذب الضحية إلى هذه الذريعة وإقناعها بمنح المهاجم المعلومات المطلوبة. ^{[ 15 ]}

على الرغم من إدراك معظم الناس لوجود مخاطر عند القيام بأي نشاط عبر الإنترنت، إلا أنهم يُقدمون على أفعال تُخالف ذلك، مثل النقر على روابط عشوائية أو قبول طلبات صداقة من أشخاص مجهولين. ^{[ 15 ]} ويعود ذلك إلى اعتقادهم بأن هذا الفعل ينطوي على مخاطر قليلة أو عواقب سلبية ضئيلة. ويُعدّ هذا التجاهل للمخاطر، رغم الوعي بوجودها، سببًا آخر لانتشار هجمات الهندسة الاجتماعية، وخاصةً انتحال الشخصية. ^{[ 16 ]}

إذا كانت الضحية خاضعة وممتثلة، فمن المرجح أن ينجح المهاجم في هجومه إذا تم تهيئة ذريعة تجعل الضحية تعتقد أن المهاجم يتظاهر بأنه شخصية ذات سلطة. ^{[ 15 ]}

تناولت مقالة نُشرت في أكتوبر 1984 بعنوان " مراكز التحويل والمشغلون" بالتفصيل هجومًا شائعًا بالتظاهر بالقدرة على فعل شيء ما في ذلك الوقت. كان المهاجمون يتصلون غالبًا بمشغلين متخصصين في خدمة الصم باستخدام أجهزة التلكس. وكان منطقهم أن هؤلاء المشغلين غالبًا ما يكونون أكثر صبرًا من المشغلين العاديين، مما يسهل التلاعب بهم وإقناعهم بالحصول على المعلومات التي يرغب بها المهاجم. ^{[ 3 ]}

ومن الأمثلة البارزة على ذلك فضيحة شركة هيوليت باكارد . أرادت الشركة معرفة هوية من يُسرّب المعلومات إلى الصحفيين. ولتحقيق ذلك، زوّدت محققين خاصين بمعلومات شخصية عن موظفيها (مثل أرقام الضمان الاجتماعي)، فقام هؤلاء المحققون بدورهم بالاتصال بشركات الاتصالات منتحلين شخصيات هؤلاء الموظفين على أمل الحصول على سجلات المكالمات. وعندما انكشفت الفضيحة، استقال الرئيس التنفيذي. ^{[ 17 ]}

بشكل عام، تُعدّ الروبوتات الاجتماعية حسابات وهمية على مواقع التواصل الاجتماعي، تُدار آليًا، ويستخدمها مهاجمو الهندسة الاجتماعية. على مواقع التواصل الاجتماعي مثل فيسبوك ، يمكن استخدام هذه الروبوتات لإرسال طلبات صداقة جماعية بهدف الوصول إلى أكبر عدد ممكن من الضحايا المحتملين. ^{[ 6 ]} وباستخدام تقنيات الهندسة الاجتماعية العكسية، يستطيع المهاجمون استخدام هذه الروبوتات للحصول على كميات هائلة من المعلومات الشخصية عن العديد من مستخدمي مواقع التواصل الاجتماعي. ^{[ 18 ]} في عام 2018، انتحل محتال شخصية رجل الأعمال إيلون ماسك على تويتر ، مُغيّرًا اسمه وصورة ملفه الشخصي. ثمّ بدأ عملية احتيال مُضللة، واعدًا بمضاعفة العملات الرقمية التي يرسلها المستخدمون. بعد ذلك، احتفظ المحتال بالأموال المُرسلة. تُعدّ هذه الحادثة مثالًا على كيفية استخدام التظاهر كتكتيك في هجوم الهندسة الاجتماعية. ^{[ 19 ]}