مهندسی اجتماعی چیه

یه تماس از «بانک»

مثلا فرض کنید گوشیتون زنگ می‌خوره. یه آقای خیلی مودب می‌گه: «سلام، از واحد امنیت بانک تماس می‌گیرم. همین الان از کارت شما یه برداشت مشکوک هفت میلیون تومنی ثبت شده. برای اینکه جلوش رو بگیرم، یه کد براتون پیامک می‌شه، لطفا برام بخونید تا تراکنش رو لغو کنم.»

صداش آرومه، اسم کوچیکتون رو می‌دونه، چهار رقم آخر کارتتون رو هم می‌گه. ترسیدید، چون هفت میلیون پوله. عجله دارید، چون «همین الان» داره برداشت می‌شه. و اعتماد دارید، چون «بانک» زنگ زده. پیامک میاد، کد رو می‌خونید. چند ثانیه بعد، همون کد برای یه خرید واقعی از کارت شما استفاده می‌شه.

هیچ‌کس اینجا کامپیوتر بانک رو هک نکرد. هیچ ویروسی هم روی گوشی شما نبود. یکی با یه تماس، کلید رو از خود شما گرفت. به این کار می‌گن مهندسی اجتماعی، و این درس می‌گه چطور کار می‌کنه، چه شکل‌هایی داره، و چطور هر بار بشناسیدش.

یعنی چی

مهندسی اجتماعی، که به انگلیسی بهش می‌گن Social Engineering، یعنی گول زدن آدم‌ها تا کاری بکنن که نباید: یه رمز رو بگن، یه کد رو بدن، روی یه لینک بزنن، یه برنامه نصب کنن، پول بفرستن، یا یه در رو باز کنن. اسمش «مهندسی» هست چون کلاهبردار مثل یه مهندس، قدم به قدم، یه موقعیت رو می‌سازه که شما توش همون کاری رو بکنید که اون می‌خواد.

توی امنیت سایبری بهش می‌گن «حمله به آدم، به جای حمله به ماشین». چون شکستن یه سیستم امن سخت و گرونه، ولی آدم‌ها خسته می‌شن، عجله دارن، دلشون می‌خواد کمک کنن، و به اسم‌های آشنا اعتماد می‌کنن. هدف اصلی همه‌ی این حمله‌ها هم یکیه: یه چیزی که مال شماست و فقط خودتون باید داشته باشید.

یه نکته‌ی کوچیک: اگه جایی «مهندسی اجتماعی» رو توی کتاب‌های علوم سیاسی یا جامعه‌شناسی دیدید، اون یه معنی دیگه داره، درباره‌ی اینکه جامعه‌ها چطور برنامه‌ریزی می‌شن. این درس فقط درباره‌ی معنی امنیتیشه.

انواعش

مهندسی اجتماعی خیلی شکل داره. رایج‌ترین‌هاش این‌ها هستن، که هر کدوم یه اسم انگلیسی دارن که اگه خواستید بیشتر بخونید، به کارتون میاد:

فیشینگ (Phishing). پیام، ایمیل یا صفحه‌ای که خودش رو جای یه جای معتبر جا می‌زنه. اگه با پیامک باشه بهش می‌گن Smishing، اگه با تماس تلفنی Vishing، و اگه برای یه نفر خاص ساخته شده باشه Spear phishing. این‌ها اون‌قدر رایجن که هر کدوم توی این مسیر درس خودشون رو دارن، از فیشینگ چیست شروع کنید.

نقش‌آفرینی (Pretexting). همون بازیگر و لباس‌ها: یه داستان کامل و باورپذیر، معمولا با تماس یا پیام‌های پشت سر هم، که آخرش یه درخواست داره.

طعمه (Baiting). یه چیز وسوسه‌انگیز که خودتون برش دارید: یه فلش‌مموری که «اتفاقی» جا مونده، یا یه فیلم و بازی و برنامه‌ی پولی که «رایگان» دانلود می‌شه. توی بخش بعد کامل‌تر می‌گیم.

معامله (Quid pro quo). یه چیز در برابر یه چیز: «از پشتیبانی تماس می‌گیرم، اینترنتتون رو سریع‌تر می‌کنم، فقط این برنامه رو نصب کنید». شما فکر می‌کنید کمک گرفتید، ولی دسترسی دادید.

پشتیبانی فنی جعلی (Tech support scam). یه صفحه یهو قرمز می‌شه، بوق می‌زنه و می‌نویسه «کامپیوتر شما ویروسی شده، به این شماره زنگ بزنید». به این ترسوندن با هشدار جعلی Scareware هم می‌گن. پشت اون شماره کسی هست که می‌خواد از راه دور وارد کامپیوترتون بشه یا پول بگیره.

پشت سر کسی رد شدن (Tailgating). این یکی توی دنیای واقعیه: یکی پشت سر یه کارمند از در امنیتی یه ساختمون رد می‌شه، مثلا با دست پر یا با لباس پیک، و کارمند از روی ادب در رو براش نگه می‌داره.

جعل آشنا. پیام یا تماس از طرف یه دوست یا فامیل، معمولا با شماره یا حساب تازه، یا با حسابی که واقعا دزدیده شده: «گوشیم خراب شده، این شماره‌ی جدیدمه، یه پول فوری لازم دارم.»

فریب عاطفی (Romance scam). یه آشنایی اینترنتی که هفته‌ها یا ماه‌ها طول می‌کشه، اعتماد عمیق می‌سازه، و بعد یه مشکل پیش میاد که پول لازم داره: بلیت، بیمارستان، گمرک.

فریب سرمایه‌گذاری (Investment scam). سود خیلی بالا و «تضمینی»، معمولا با رمزارز یا یه «سیگنال» خرید و فروش، با گروه‌هایی پر از آدم‌هایی که می‌گن سود کردن. اول یه سود کوچیک هم واقعا پرداخت می‌شه تا اعتماد ساخته بشه. طبق گزارش FBI، این نوع فریب توی سال ۲۰۲۵ بیشترین زیان رو بین همه‌ی جرم‌های اینترنتی داشته.

نمونه‌های واقعی

مهندسی اجتماعی فقط آدم‌های معمولی رو گول نمی‌زنه. بزرگ‌ترین شرکت‌های دنیا، با بهترین تیم‌های امنیتی، از همین راه آسیب دیدن، چون قوی‌ترین قفل هم وقتی کلیدش رو خود آدم بده، کاری نمی‌کنه.

۱۵ ژوئیه‌ی ۲۰۲۰، حساب‌های توییتر چند تا از معروف‌ترین آدم‌ها و شرکت‌های دنیا یهو یه پیام یکسان گذاشتن: «بیت‌کوین بفرستید، دو برابرش رو پس می‌دیم.» توییتر بعدا گفت مهاجم‌ها به چند تا از کارمندهاش زنگ زده بودن، خودشون رو پشتیبانی فنی خود شرکت معرفی کرده بودن، و اون‌ها رو به یه صفحه‌ی ورود جعلی برده بودن. با همین، به ابزارهای داخلی توییتر رسیدن. ۱۳۰ حساب هدف گرفته شد، از ۴۵ تاش توییت رفت، و آدم‌ها بیش از ۱۰۰ هزار دلار بیت‌کوین فرستادن. هیچ نقص فنی‌ای وسط نبود؛ فقط چند تا تماس تلفنی.

و همون ماجرای هنگ‌کنگ که بالاتر گفتیم: یه تماس تصویری ساختگی، ۲۵ و نیم میلیون دلار. شرکت بعدا گفت هیچ‌کدوم از سیستم‌هاش هک نشده بود.

نمونه‌های دور و بر ما

این‌ها شکل‌هایی هستن که خیلی‌هامون یه بار دیدیم یا شنیدیم. داستانشون عوض می‌شه، ولی شکلشون همونه:

• پیامک «ابلاغیه» یا «پرونده». می‌گه یه ابلاغیه یا شکایت دارید و برای دیدنش باید از این لینک وارد بشید و یه مبلغ کوچیک بپردازید. لینک یه صفحه‌ی پرداخت جعلیه.
• «اشتباهی کارت به کارت کردم». یه نفر زنگ می‌زنه که اشتباهی برای شما پول فرستاده و خواهش می‌کنه پس بدید. گاهی واقعا پولی نیومده و فقط یه پیامک جعلی شبیه پیامک بانک فرستاده. اول خود حسابتون رو توی برنامه‌ی بانک ببینید.
• «برنده‌ی مسابقه شدید». از طرف یه برنامه‌ی تلویزیونی یا یه فروشگاه معروف. برای گرفتن جایزه، باید اول «هزینه‌ی مالیات» یا «ارسال» بدید، یا اطلاعات کارت رو بزنید.
• پیشنهاد کار از خونه. کار ساده، درآمد بالا. اول باید یه «ودیعه» بدید، یا شغل اینه که پول بقیه رو از حسابتون رد کنید.
• پیام از طرف یه آشنا با حساب دزدیده‌شده. همون داستان اول درس امنیت و حریم خصوصی یعنی چی: «یه پول فوری لازمم، فردا پس می‌دم.»
• «پشتیبانی پیام‌رسان». پیامی که می‌گه حسابتون داره بسته می‌شه، برای «تایید» کدی که براتون میاد رو بفرستید. هیچ پیام‌رسانی کد ورود شما رو ازتون نمی‌خواد.

عددها

دفتر شکایت‌های جرم‌های اینترنتی FBI، یعنی پلیس فدرال آمریکا، هر سال گزارش می‌ده آمریکایی‌ها چقدر از جرم‌های اینترنتی ضرر کردن. توی گزارش سال ۲۰۲۵، کل زیان گزارش‌شده حدود ۲۰ میلیارد و ۹۰۰ میلیون دلار بوده، ۲۶ درصد بیشتر از سال قبلش. بیشترین سهم با فریب سرمایه‌گذاری بوده، بعد ایمیل‌های جعلی کاری که خودشون رو جای مدیر یا فروشنده جا می‌زنن تا یه پول بزرگ جابه‌جا بشه، با حدود ۳ میلیارد دلار، و بعد پشتیبانی فنی جعلی، با بیش از ۲ میلیارد.

جالب اینکه زیان باج‌افزار، یعنی برنامه‌ای که فایل‌ها رو قفل می‌کنه و پول می‌خواد، و همه فکر می‌کنن بزرگ‌ترین خطره، توی همین گزارش فقط حدود ۳۲ میلیون دلار بوده. یعنی بیشتر پول، با گول زدن آدم‌ها جابه‌جا شده، نه با برنامه‌های پیچیده.

و گزارش سالانه‌ی ورایزن هم، که درس اول این مسیر گفتیم، هر سال پای یه آدم رو توی بیشتر از نصف رخنه‌های امنیتی پیدا می‌کنه. عدد دقیق هر سال یه کم فرق می‌کنه، ولی حرفش همیشه همونه.

نشونه‌ها

هر وقت یکی از این‌ها رو دیدید، مخصوصا اگه دو سه تاش با هم بود، دست نگه دارید:

• یه نفر که منتظرش نبودید، با شما تماس گرفته یا پیام داده.
• عجله داره، یا یه مهلت کوتاه می‌ده.
• ترسونده، یا یه چیز خیلی خوب وعده داده.
• کد، رمز، اطلاعات کارت، پول، یا نصب یه برنامه رو می‌خواد.
• می‌گه «به کسی نگید» یا «این محرمانه‌ست».
• نمی‌خواد شما قطع کنید و دوباره زنگ بزنید، یا از راه دیگه بررسی کنید.
• پول رو از راه عجیبی می‌خواد: کارت هدیه، رمزارز، یا حساب یه آدم دیگه.
• اطلاعات درستی از شما داره، و با همین می‌خواد اعتماد بسازه.

نشونه‌ی آخر مهمه: اینکه اسمتون، شماره‌ی کارتتون یا اسم مدیرتون رو می‌دونه، یعنی تحقیق کرده، نه اینکه واقعیه. این اطلاعات خیلی وقت‌ها از جایی لو رفته و خرید و فروش می‌شه.

رمز خانوادگی

با اومدن صدای ساختگی، یه کار ساده خیلی کمک می‌کنه: یه کلمه یا جمله‌ی رمز با خانواده بذارید. یه چیزی که فقط خودتون می‌دونید و هیچ‌جا ننوشتید، نه توی پیام‌رسان، نه توی صفحه‌ی اجتماعی. مثلا اسم یه غذا یا یه خاطره.

قانونش اینه: اگه یکی با صدای پدر، مادر، بچه یا همسرتون زنگ زد و پول یا کمک فوری خواست، بپرسید «رمزمون چی بود؟». کسی که واقعیه، می‌دونه. کسی که فقط صداش رو ساخته، نه. این کار مخصوصا برای پدربزرگ و مادربزرگ‌ها خیلی مهمه، چون بیشتر هدف تماس‌های «نوه‌تون تصادف کرده» قرار می‌گیرن.

توی محل کار

اگه توی یه شرکت کار می‌کنید، مخصوصا توی بخش مالی، منابع انسانی یا پشتیبانی، شما هدف خیلی جذابی هستید، چون دستتون به پول یا دسترسی می‌رسه. چند تا قانون ساده جلوی بیشتر حمله‌ها رو می‌گیره:

• هر درخواست پرداخت یا عوض کردن شماره حساب یه فروشنده، از یه راه دوم تایید بشه؛ مثلا تماس با شماره‌ای که از قبل توی پرونده‌ی همون فروشنده هست.
• هیچ پرداخت بزرگی فقط با یه ایمیل یا پیام انجام نشه، حتی اگه از طرف مدیر باشه؛ دو نفر تاییدش کنن.
• پشتیبانی فنی، پیش از عوض کردن رمز یا ورود دومرحله‌ای کسی، هویتش رو از راهی بسنجه که جعلش سخت باشه.
• هیچ‌کس، حتی پشتیبانی خود شرکت، رمز شما رو لازم نداره؛ اگه کسی پرسید، گزارشش کنید.
• اگه مشکوک شدید، گزارش بدید، حتی اگه مطمئن نیستید. گزارش اشتباه هیچ ضرری نداره؛ گزارش ندادن ممکنه خیلی داشته باشه.

مهندسی اجتماعی معکوس

توی شکل معمولی، کلاهبردار سراغ شما میاد. توی مهندسی اجتماعی معکوس (Reverse Social Engineering)، کاری می‌کنه که شما سراغش برید. سه قدم داره: اول یه مشکل درست می‌کنه، مثلا یه پیام خطای ترسناک یا یه خرابی کوچیک. بعد خودش رو کسی معرفی می‌کنه که می‌تونه کمک کنه، مثلا با یه آگهی «پشتیبانی فوری» یا یه شماره که روی همون پیام خطا نوشته. و آخر، وقتی شما خودتون زنگ زدید و کمک خواستید، با خیال راحت ازتون دسترسی یا پول می‌گیره.

این شکل خطرناک‌تره، چون حس نمی‌کنید یکی سراغتون اومده؛ فکر می‌کنید خودتون کمک پیدا کردید. برای همین قانونش اینه: برای پشتیبانی هر برنامه یا شرکتی، فقط از راه‌هایی برید که خودتون از سایت یا برنامه‌ی رسمیش پیدا کردید، نه از شماره‌ای که روی یه پیام خطا یا یه آگهی دیدید.

کمی تاریخ

فریب دادن آدم‌ها با نقش بازی کردن، هزاران سال قدمت داره. ولی اسم «مهندسی اجتماعی» به معنی امنیتیش، از دهه‌ی ۱۹۷۰ و ۸۰ میلادی رایج شد، وقتی کسایی که سیستم‌های تلفن رو دستکاری می‌کردن، فهمیدن زنگ زدن به کارمند شرکت تلفن و گرفتن یه رمز ازش، خیلی راحت‌تر از شکستن خود سیستمه.

معروف‌ترینشون کوین میتنیک بود، یه هکر آمریکایی که دهه‌ی ۹۰ بیشتر کارهاش رو با تلفن و نقش بازی کردن انجام داد، نه با کد. بعد از زندان، مشاور امنیت شد و سال ۲۰۰۲ کتابی نوشت به اسم «The Art of Deception»، یعنی «هنر فریب»، که هنوز یکی از معروف‌ترین کتاب‌های این موضوعه. حرف اصلیش این بود که آدم، ضعیف‌ترین حلقه‌ی امنیته.

با ایمیل، فیشینگ اومد؛ با گوشی هوشمند، پیامک و پیام‌رسان؛ و حالا با هوش مصنوعی، صدا و تصویر ساختگی. ابزار عوض شده، ولی بازی همون بازیه.

تمرین

1. آخرین پیامک یا تماس مشکوکی که داشتید رو یادتون بیارید و پیدا کنید از کدوم اهرم‌ها استفاده کرده بود.
2. همین امروز با خانواده یه رمز خانوادگی بذارید، و به پدربزرگ و مادربزرگ‌ها هم بگید.
3. شماره‌ی تماس رسمی بانکتون رو از پشت کارت یا برنامه‌ی رسمی پیدا کنید و توی مخاطب‌ها ذخیره کنید، تا روز لازم دنبالش نگردید.
4. صفحه‌های عمومی خودتون رو یه نگاه بندازید: چه چیزهایی ازتون پیداست که یه کلاهبردار می‌تونه توی «مرحله‌ی تحقیق» استفاده کنه؟

اشتباه‌های رایج

• «من باهوشم، گول نمی‌خورم.» کارمندهای توییتر و یه کارمند مالی باتجربه هم گول خوردن؛ این حمله‌ها برای آدم‌های دقیق ساخته شدن.
• «شماره‌ی بانک روی گوشیم افتاده بود.» شماره‌ی تماس‌گیرنده قابل جعله؛ خودتون زنگ بزنید.
• «اسم و شماره کارتم رو می‌دونست، پس واقعی بود.» یعنی تحقیق کرده، نه اینکه واقعیه.
• «صداش عین صدای خودش بود.» صدا رو با هوش مصنوعی می‌شه ساخت؛ رمز خانوادگی بپرسید.
• «گفت به کسی نگم، پس نگفتم.» درخواست پنهان کردن، خودش یکی از قوی‌ترین نشونه‌های فریبه.
• «زشته وسط حرفش قطع کنم.» قطع کردن و تماس دوباره از راه خودتون، بی‌ادبی نیست؛ کسی که واقعیه، درکش می‌کنه.