Sosyal Mühendislik | Nedir? Genel Bilgiler - Teknik Detaylar! ~ Rainshy - Turkhackteam.org/net - Ethical Hacking & Cyber Security Platform
Sosyal Mühendislik | Nedir? Genel Bilgiler - Teknik Detaylar! ~ Rainshy
Merhaba, ben "Rainshy" size bu konu da, sosyal mühendislik açısından tüm bilinen ince ayrıntıları ile dev bir konu ile karşınızdayım bazı noktalarda öğrendiğim teknikler ve bilgiler de kitap ve blogarşivleri'dir. Başlayalım öyleyse.
Sosyal Mühendislik Terimi (Nedir?)
Sosyal mühendislik yani ingilizce tanımı "Social Engineering" olarak isimlendirilen en temel hacking yöntemlerinden biridir.
Sosyal mühendislik temel olarak insan ilişkilerini veya insanların zaafiyetlerini kullanarak zaafiyetlerini kullanarak
hedef kişi yada kurum hakkında bilgi toplamak ve gereken yönergelerle kullanmak olarak tanımlanabilir.
Bu olayda amaç hedef kurum veya kişi yapısı, kurumsal ağın yapısı, çalışanların/yöneticilerin
kişisel bilgileri , şifreler ve saldırıda kullanılabilecek her türlü materyalin toplanmasıdır.
Kısaca, İnsanları, fark ettirmeden, açık açık, aldatma ve hacklemektir. İnsan hacklemek için belirli programlara veya çeşitli donanımlara ihtiyaç yoktur.
* Soğuk kanlılık
bir kaç temel etkenimizdir.
Beyin hacklemek bilgisayar hacklemekten kolaydır,
bilgisayar için belirli bir bilgi gereklidir değil mi kod bilmeniz gerekir mesela, ama beyin hackinde bilgi gerekmez, zeka seviyenizin üstün olması da gerekmez,kendinizi kurbanınıza ondan daha zekiymiş gibi göstermeniz yeterlidir.
3.Bilgilerinizi güncellemelisiniz : Bunu yapın diye yazmadım.Sahte epostaların ortak bir özelliği acil bir durum varmış gibi yazılması ve sizden bilgilerinizi güncellemenizi isteyerek sizi yönlendireceği adres ile bilgilerinizi çalmak istemeleridir.
4.Bağlantılar : Bağlantılara tıklamadan önce üzerine gelerek tarayıcınızın durum çubuğundan sizi orjinal url ye götürüp götürmeğini kontrol etmelisiniz.
Twitter,İnstagram Kimlik Avı! (Sosyal Medya)
Ülkemizde ve dünyada İnstagram dan sonra en çok kullanılan Twitter üzerinde de kimlik avı dolandırıcılığı ortaya çıktı. Twitter ın Direct Message (DM) özelliğini kullanarak kullanıcılara özel mesajlar gönderiliyor. Gelen özel mesaj içinde " Bu profil senin mi ?" şuradaki "Linke tıkla" giriş yap gibi bağlantılar bulunuyor. Bu bağlantılara tıkladığınızda arayüzü twitter.com ile aynı olan başka bir sayfaya yönlendiriliyorsunuz. Burada giriş yaptığınız anda kullanıcı bilgileriniz korsanın eline geçiyor ve kısa bir süre sonra hesabınıza erişemediğinizi farkediyorsunuz. Twitter kullanırken özel mesajlarda dikkatli olunuz.
"Sosyal medyada kişisel verileri çalmayı amaçlayan "kimlik avı" saldırılarının yaklaşık %60'ı sahte İnstagram sayfalarıyla düzenleniyor
Örnek 1: Alan adı www.instagram.xxx ile başlayıp başka birşey ile devam eden, tıpkı İnstagram gibi görünen sahte site. Eğer alan adını kontrol etmeden tıklayıp, girerseniz tüm İnstagram bilgileriniz ellerinde.
Örnek 2: İnstagram'da takip ettiğiniz/edeceğiniz bir kişisel/kurumsal sayfadan "bir hediye kazandınız, tıklayın". En çok kullanılan yöntemlerden biri, uçak bileti kazandığımızı içeren paylaşımlar olmuş. Biletler görsellerinin üstüne inandırıcılığı olması için isimler, hatta koltuk numaraları bile yazılmış. Bitmedi, paylaşımın altında kullanıcı yorumları ("teşekkürler, kazandım" gibi.) eklenmiş. Tam bir sosyal mühendislik!
Örnek 3: Sevdiğiniz futbolcunun resmi İnstagram sayfasına üye olun, imzalı forma kazanın. Tıklamanız yeter.
Örnek 4: Sadece İnstagram değil örneğin Twitter'da kimlik avı için kullanılıyor. En kolay yöntem DM'den gelen mesajlar; "Linke tıkla, şifreni değiştir." veya "Üzgünüz, hesabınız kitlendi. Linke tıklayın" gibi. Bu mesajlardaki linklere tıkladığınızda hesabınız karşı tarafa geçmiş oluyor.
Sosyal ağlarda kimlik avı örnekleri çoğaltılabilir. Raporda geniş geniş yer vermiş.
~ Tıkladığınız siteye, alan adına, bağlantılara ve izin isteyen uygulamalara dikkat edin. Ama gerçek hayattaki gibi bir dikkat, pürdikkat!
~ Özellikle kişisel verileri isteyen her türlü sayfa ve uygulamayı silin.
~ Sosyal medya sayfalarınızda "mümkün oldukça" kişisel verilerinizi paylaşmayın. (Cinsiyetiniz bile kişisel veridir.)
~ Sosyal ağ taraması da yapabilen davranış temelli kimlik avı önleme yazılımları kullanın. (Norton, Kaspersky)
~ Sosyal mühendisliğin zirve yaptığı bu çağda en önemlisi okuyun, araştırın ve anlayın!
Telefon Aracılığı ile Kimlik Avı!
Telefon kullanılarak yapılan kimlik avı dolandırıcılığı genelde banka hesap bilgilerinizi veya kredi kartı bilgilerinizi el etmek amacıyla yapılmakta. Telefon ile dolandırıcılık yapmak isteyen kişi eğer kullandığınız banka ve kredi kartınızın ne olduğunu biliyorsa korsanlığa başlayabilir. Özel bir numara ile sizi cep telefonunuzdan arayarak " Kredi kartınızın korsanların eline geçmesinden şüphelenildiğinden sizinle bir mülakat yapmak isteyecektir." Bu mulakat bahanesi ile kredi kartınızı korumaya almanız ve asıl sahibi olduğunuzu kanıtlamanız gerekçesiyle size yavaş yavaş sorular yöneltecektir. İlk önce adınız, soyadınız, annenizin kızlık soyadının 1. ve 4. hanesi vs derken bu sorular kredi kartı güvenlik anahtarınıza kadar ilerleyebilir.
Telefon ile kimlik avı kurbanı olmak istemiyorsanız sizi arayıp "bilgilerinizi güncellemelisiniz" diyen banka görevlisinden isim soyisim, banka kartı personel numarasını isteyiniz. Eğer bir sosyal mühendislik olayından şüphe ettiyseniz o sırada yanınızda olan birine hemen ilgili banka veya kurumu arayarak personel kimlik numarasını sorgulatmasını sağlayınız. Bu sayede karşınızdaki kişinin gerçek bir görevli olup olmadığını anlayabilirsiniz.
Sosyal Mühendislik Güven Kazanma!
Sosyal Mühendislik yapan kişiler daha doğrusu bu işi bilinçli olarak yapanlar gayet iyi bilirki SM de en önemli şey kurbanın güvenini kazanmaktır.Kurban değilde " hedefin " desem daha iyi olacak.
İlk olarak her zaman bir SM in yapacağı işi yapacağız.Bilgi toplamak.Hedefimizle tanışmadan ve ona yaklaşmadan önce onunla ilgi edinebileceğimiz maksimum bilgiyi edinmeliyiz.Bunu yaparsak eğer tanıştığımızda sözleri karşısında daha temkinli olabilir daha çabuk yakınlık kurabiliriz.
Hedefinizin çalıştığı iş yeri hakkında bilgi toplamak istiyor olabilirsiniz.Bu yüzden bu şirkey ve iş dalı hakkında bazı teknik terimleri bilmeli ve hedefinizle iletişimizde bunları kullanmalısınız.Bu şekilde şüphe çekmemiş ve muhabbeti arttırmış olursunuz. "Sonra akşam içirip sarhoş edip konuşturabilirsiniz, dediysem yapmayın tabi.
Sosyal Mühendislik Saldırıları ve Korunma Yolları!
Günümüzde siber güvenlik/saldırı kavramları sıkça duyduğumuz kavramlar olma yolunda ilerlemektedir. Siber saldırı denildiği zaman genellike bilgisayar kaynaklı saldırı türleri düşünülür, lakin siber saldırıların içinde doğrudan insana karşı yapılan saldrılar da mevcuttur ve bu tip saldrılara sosyal mühendislik saldırıları denilmektedir. Sosyal mühendislik, bir diğer adıyla toplum mühendisliği olan bu kavramı özetle "insan hacklemek" olarak tanımlayan kaynaklar mevcut. Ortak bir tanım çerçevesinde açıklayacak olursak; herhangi bir durum üzerinde manipülasyon yaparak insanların psikoloji, duygu, düşünce ve zaafiyetlerinden faydalanmaya, bu kavramları kullanarak insanları herhangi bir şey için ikna etmeye sosyal mühendislik diyebiiriz. Sosyal mühendislik, siber güvenlik alanında basitmiş gibi görünen ama bir okadar da tehikeli olan saldırı türlerinden biridir. Bunun sebebi; insanoğlunun güvenlik zincirinin en zayıf hakası olmasıdır. Bu zayıflığın temeli; insanoğlunun davranışlarını her koşul altında kontrol altında tutmasının ve sürekli olarak bütün prosedürleri eksiksiz olarak tamalamlasının güçlüğüne dayanmaktadır. Bu zayıflığı herhangi bir dijital veya mekanik sistem ile tamamiyle tolere etmek imkansıza yakındır, buna dayanarak her insanın eşsiz bir yapıya sahip olduğunu düşünürsek insanoğlunun sosuz bir zafiyet kaynağı olduğu ortaya çıkacaktır. Sosyal mühendislik günlk hayatımızda farkında olmadan kullandığımız veyahut karşılaştığımız bir olgudur, örnek verecek olursak; küçüğünden büyüğüne hergün karşılaştığımız hemen tüm işyerindeki personeller farkında olmadan müşterlerine sosyal mühendislik saldırsı uygulamaktadır.
1. Genel Hedef Kitle Belirlenmesi
- Ulaşılması Kolay Personel
- Yönetici ve Önemli Personel
- Zaafiyeti olan ve Sadakat Seviyesi Ortalama Olmayan Personel
3. Algı Zaafiyeti Oluşturma
- İstek Arttırma ve Azaltma
- Seçim Yapmaya Zorlama
Saldırgan hedef ile temasa geçtikten sonra oluşturduğu güvene bağlı olarak hedefe soru ile birlikte iki cevap seçeneği söyleyerek hedefi birini seçmek mecburiyetinde bırakır. Örneğin hedefteki kişiye "Kahve içer misin?" demek yerine "Kahveniz şekerli mi olsun yoksa şekersiz mi?" demek karşımızdaki kişiyi kahve içmeye zorlayacaktır.
Hedef kişiyi sahte senaryolar ile ikna etmek kolay bir yetenek değildir, farkındalık seviyesi yüksek bir hedef ile karşı karşıya kalındığı zaman hedef, sosyal mühendise bazı sorular yönelterek onu zorda bırakabilir, bu durumda sosyal mühendisler çoğu zaman çıkış yolu bulmak için soruya soru ile cevap verme tekniğini kullanırlar örneğin "Kim olduğumu hatırlatmama gerek var mı?", "Bu konuyu çözmek için bir yönetici ile görüşmek zorunda mı kalacağım?" gibi sorular sosyal mühendislerin sıklıkla kullandıkları sorulara örnektir.
- Borçlu Bırakma
Ödüllendirme ve Korkutma
Sosyal Mühendislik Saldırılarına Karşı Alınması Gereken Önlemler
Sosyal mühendislik saldırılarının temeli insan psikolojisini alt etmektir. Buna bağlı olarak eğitim ve belli periyotlarda düzenlenecek tatbikatlar siber bilincin ve farkındalığın artmasını sağlayacaktır. Kullanıcıların gelen e-mail'in yada linkin nereden gelip neredye gideceğine dair bir fikir sahibi olması gereklidir, bu farkındalığın oluşturulabilinmesi güvenliği bir üst seviyeye taşıayacaktır. Bunun yanında kullanıcıların şifre belirleme politikalarını yenilemesi ve güçlü şifreler oluşturarak belli periyotlarda yenilemesi gerekmektedir, şifrelerin herhangi bir yere not edilmesinin önüne geçilmeli ve eski kullanılan şifrelerin tekrar kulanılmaması gerekmektedir. Bilgi erişim hiyerarşisi oluşturulmalı ve hassas bilgilere erişecek kullancılar özenle beilrlenmelidir. Dijital ve bireysel önlemlerin yanısıra fiziksel önlemlere de önem gösterilmeli, güvenlik kamaeraları sürekli takip edilmeli ve bilgisayarlar dışardan gözlenemeyecek bir konumda olmalıdır. Bahsedilen önlemler hem bireysel hem de kurumsal kullanıclar için uyarlanabilir niteliktedir ve sosyal mühendislik saldırıları karşısında daha güçlü durabilmeyi sağlayacaktır.
RAT & Keylogger Server Yayma Yolları (Sosyal Mühendislik)
Bireysel yayma ;
Site içi yayma ;
Bir başka örnek ise bir program forumu , yeni çıkmış bir programın tam sürüm crack'i gerçekten çok aranır değilmi ? google v.b. platformlarda. Program forumunda "Örnek program 10.0 yeni sürüm crack !" başlığıyla serveri paylaşırsanız akın edeceklerdir ve o program gerçekten yeni ise mutlaka google'de konunuz yerini alacaktır ama server olduğunu kimse anlamayacaktır.
Aslına bakarsanız çok fazla sayıda Sosyal Mühendislik saldırı türü bulunmaktadır. Bu kadar fazla olmasının nedeni ise Sosyal Mühendislik sadece sizin hayal gücünüze bağlı olmasıdır. Hayal edebildiğiniz, senaryo sayısı kadar Sosyal Mühendislik saldırı türü vardır.
Anahtar olarak kullanılacak kişinin bağlantılarını, ilgi alanlarını ve zaaflarını araştırarak senaryo hazırlanır. Sosyal mühendislikte tıpkı bir senarist gibi çalışırlar anahtar kişiye özgü senaryo üretirler. Üretilecek bu senaryonun tek bir amacı vardır; o da sisteme giriş yapabilmek için gerekli bilgileri ele geçirebilmektir. Sosyal mühendislik saldırılarında genellikle insanların zaafları, korkuları ve dikkatsizlikleri en büyük silah olarak kullanılır. İstenen bilgiye ulaşabilmek için size ulaşır, güveninizi kazanmaya çalışır hatta arkadaş bile olabilir.
1. Güven Uyandırırlar
Sosyal mühendislerin başarılarının sırrı insanların aldatılmaya fazlasıyla açık olmasıdır. Çünkü insanlar belli şekillerde yönlendirildiklerinde yanlış şeylere güven duyabilirler. Sizlerin hemen "Ben günlük hayatta bile kimseye güvenmem sanal ortamda mı güveneceğim." dediğinizi duyar gibiyim. Sizi yardıma muhtaç bir hale getirir getirme size yardım etmek isteyen iyi gönüllü birisi olarak karşınıza çıkabilir. Sizden yardım isteyen çaresiz birisi olarak da karşınıza çıkabilir. Ya da bunu sizin karşınıza sanki sürekli mail aldığınız bir siteymiş gibi gösterip sizin güveninizi sağlayıp maile girmenizi sağlayarak sosyal mühendisin mailin açıldığında yönlendirmiş olduğu siteye, zararlı yazılıma ya da sisteminize sızma girişiminde bulunabilir.
2. Sizi Telefon ile Ararlar
En etkili sosyal mühendislik ataklarından birdir. Siber suçlular sizi arayabilir ve yetkili biri gibi davranabilir. Bu sırada yavaş yavaş kullanıcı bilgilerinizi öğrenebilir. Özellikle yardım masaları bu tarz ataklara yatkındırlar. Çünkü yardım masaları yardım için ordalar, gerçekte yasal olmayan bilgileri öğrenmeye çalışan kişiler tarafından istismara açıktırlar.
3. Çöplerinizi Karıştırabilirler!
Çöpleri kurcalamak, her çöpü temizlemek olarak da bilinen başka bir sosyal mühendislik metodudur. İstihbarat toplarken bilgilerin büyük bir çoğunluğu çöplerden bulabilirler. Şirketin çöplerinde; şirket telefon rehberi, kısa notlar, şirketin idari politika bilgileri, olaylar ve tatil izinleri, sistem işleyiş şekilleri, hassas veriler ya da giriş isim ve şifreleri çıktıları, kaynak kod çıktıları, diskler ve bantlar, şirket mektupları ve kısa formlar ve eskimiş donanımlar bulunabilmektedir. Telefon rehberlerinizle senaryoda canlandırılacak kişi bilgisini ya da hedef kişi adı ve telefon numarasını vermiş olursunuz. Organizasyon grafikleri kurumdaki yetkili kişiler hakkında bilgiler içerir. Küçük notlarınız parola algoritmanız gibi ilginç ufak bilgiler içerir. Takvimlerden hangi görevlinin ne zaman işyeri dışında olacağını ve saldırı için doğru zamanı planlama konusunda fikir verebilir.
Paylaşımları ile İlginizi Çekerler
Daha önce de dediğim gibi onlar insanları iyi analiz ederler. Bu sayede zaaflarını ilgili alanlarını tek tek belirlerler. Kimi zaman yalnızca bir kişi ya da geniş bir grup için çalışmalar yaparlar. İşte tam bu noktada en iyi silahlardan birisi de Sosyal Medya ve yaptıkları paylaşımlar oluyor. Uzun süredir beklediğiniz bir ürünün fotoğrafıyla "İlk görüntüler basına sızdı" şeklindeki bir paylaşıma tıklamamanız çok zor. Hayranı olduğunuz sanatçının sansasyonel bir haberi yada en kolayı ölüm haberi sizi o linke tıklamaya itecektir. Sevdiklerinizin ve ailenizin yaşadığı şehirle ilgili büyük bir doğal afet haberi görebilirsiniz. Merak insanın en büyük zaaflarından birisi olduğu unutulmamalı ve bu tür kaynağından emin olmadığınız paylaşımlara tıklarken dikkatli olmalısınız. Genellikle kötü amaçlı yazılımlarla dolu bu sitelere, reklam sitelerine ve anket sitelerine yönlendirilebilirsiniz. Bunlardan bazıları sisteminize otomatik olarak büyük zararlar verebilir.
Sosyal Mühendisliğin Detayları!
Sosyal Mühendislik Saldırı Aşamaları
Hedef Şirket Araştırması;
Seçilen çalışanlarla ilişkiler geliştirilir. Sosyal mühendislikte en gelişmiş silah olan "güven" tesis etmesi sağlanır.
Impersonation (Taklit Etme):Saldırgan yasal veya yetkili biri gibi davranır. En sık karşılaşılan insan tabanlı sosyal mühendisliktir. Saldırganlar telefon, e-posta vb. iletişim ortamını kullanarak ya da kendileri bunu yapabilirler. Kritik bilgiyi ortaya çıkarması için hedefi tetikler. Bir uç kullanıcı gibi davranıp kimliğini verip kritik bilgi isteyebilirler. Önemli bir kullanıcı gibi davranabilirler. Teknik destek yetkilisi gibi davranıp veri almak için parolaları ve IDleri talep edebilirler.
Yardım Masasının (Help Desk) Aşırı Yardımseverliği: Yardım masaları bariz şekilde yardım etme yerleriyken çoğunlukla sosyal mühendislik zafiyetidirler. Saldırgan bir şirketin yardım masasını arayıp yetkili pozisyondaki veya ilgili biri gibi davranıp kritik bilgiyi almaya çalışır.
Üçüncü Parti Yetkisi;Saldırgan istenen bilgiye erişimi olan hedef organizasyondaki yetkili çalışanının ismini öğrenir. Sonra da saklı bilginin olduğu hedef organizasyonu arar ve belirli çalışanın bilgi sağlanılmasını talep ettiğini iddia eder.
İç Çalışan/Müşteri/Tedarikçi (Vendor):Şirket kıyafeti veya uygun bir üniforma giyen saldırgan, tedarikçi, müşteri veya teknik servis elemanı olduğunu iddia ederek hedef binaya girer. Sonra da terminallere bağlı parolaları arar, gizli sohbetleri dinler vea masadaki dokümanları ve bilgiyi araştırır.
Tamirci;Saldırgan telefon tamircisi veya bilgisayar teknisyeni gibi davranarak hedef organizasyona girebilir. Sonra da izleme cihazı (snooping) yerleştirebilir veya göreviyle ilişkili eylemler sırasında gizli parolaları elde edebilir. Güvenilir Yetkili Kişi.
Gizlice Dinleme (Eavesdropping):Mesajlar okunur, sohbetler yetkisizce dinlenir, gizlice dinleme yapılır. Ses, video, yazılı iletişim ele geçirilir. Telefon hatları, e-posta, anlık mesajlaşma vb. gibi iletişim kanalları kullanılarak yapılabilir.
Çöp Karıştırma (Dumpster Diving):Başkasının çöpünde değerli bir şeyi aramaktır.
Ters (Reverse) Sosyal Mühendislik:Saldırganın kendini yetkili olarak tanıtır ve hedef saldırganın ihtiyaç duyduğu bilgiyi sunduğu tavsiyesine başvurur. Sabotaj, pazarlama ve teknik destek içerir.
Kaçak Girme (Piggybacking):Yetkili birinin kasıtlı olarak/bilmeden yetkisiz birinin güvenlik kapısından geçmesine izin vermesidir.
Yakından Takip Etme (Tailgating):Sahte kimlik kartı takan yetkisiz birinin erişim anahtarı (key access) gerektiren bir kapıdan geçen yetkili birini yakından takip ederek güvenli bölgeye girmesidir.
İçeriden Tehditleri Önleme:Görev rotasyonları ve ayrımları, Loglama ve denetim, Mümkün olduğunca az hak verme, Resmi politikalar, Denetimli erişim, Kritik veri arşivi.
Phishing saldırılarına bu ismin verilme sebebi, aslında balıkçının balık tutmasından bir farkının olmamasından kaynaklanmaktadır. Nasıl ki bir balıkçı oltanın ucuna yem koyup, binlerce balığın olduğu denize atıp, birisinin gelmesini bekliyorsa, hacker'lar da binlerce e-posta gönderip, sonucunda birilerinin o linklere tıklamasını beklerler.
Örneğin, hacker sizin a bankası kullandığınızı biliyor. Ve size "A Bankası" olarak bir e-posta gönderiyor. İçeriğinde ise, bankada 1 saatlik bi kampanya olduğunu ve girdiğinizde bir şeyler kazanacağınızı söylüyor. Siz de hemen tıklayarak bankaya giriş yapmak istiyorsunuz. abankasi.com.tr olarak açılması gereken web adresi, abankasi.org olarak açılıyor ve web sitesi sizin bankanızın değil tamamiyle hacker tarafından yönetilen bir arayüz olarak görüyorsunuz. Siz bankanıza girer gibi müşteri numaranızı ve şifrenizi giriyorsunuz, giriş yapmaya çalışıyorsunuz. Siz giriş yap dediğinizde girmiş olduğunuz kullanıcı adı ve şifre çoktan hackerların eline geçmiş oluyor ve onlar sizin asıl hesabınıza girip paralarınızı aktarmakla meşgul oluyor.
Watering hole (sulama deliği):
Saldırganların hedefinde bulunan kişi veya kurumun sık sık ziyaret ettiği web sayfalarına zararlı kod yerleştirilmesi ve hedef kişi sayfayı ziyaret ettiğinde zararlı kodun bulaştırılmasıdır.
Bu yöntem phishing'e benzer, ancak merak uyandıran bilgiler içerdiği veya ücretsiz müzik, program indirme gibi menfaat sağlanacağı belirtilerek, zararlı yazılım içeren dosyaları bilgisayara indirdiğimizde gizli bilgilerimiz elde edilir. Bazen de mobil bellekler (USB), üzerinde; ücret, performans bilgisi gibi notlarla etrafımızda göreceğimiz yerlere bırakılır ve merak vb duygularla bu bellekleri alarak kullandığımızda, şifre kırıcı programlar çalıştırılarak, gizli bilgilerimize ulaşılmaya çalışılır.
Pretexting (sahte senorya):
IT personeli, polis, üst yönetici, bankacı, denetçi, araştırmacı gibi kişileri taklit ederek, sahte senaryolarla, genellikle telefonla arayarak, gizli bilgilerimizin öğrenilmeye çalışılmasıdır. Daha inandırıcı olabilmek ve güven duymamızı sağlayabilmek için, sosyal medya kanalları, internet vb kanallardan bizimle ilgili topladıkları bilgileri görüşme sırasında kullanmaktadırlar. Ayrıca telefon ettikleri numarayı, kullanılan bazı tekniklerle, olduğundan farklı göstererek bizleri yanıltmaya çalışabilmektedirler.
Tailgating, Piggybacking (yanına takılma):
Kötü niyetli kişilerin, kimliğini unuttuğu, yardım isteme vb gerekçelerle; bizimle birlikte veya bizim yardımımızla, kapı veya bariyerleri aşarak yetkisiz olarak kurumlarımıza girmesidir.
Quid Pro Quo (bir şey için bir şey) :
Bu yöntem karşılıklı faydaya dayanır. Örneğin teknik destek vermeye çalışan kişi veya bir araştırmacı gibi bize yaklaşarak yardım etme, para, çikolata, kalem vb menfaatler karşılığında hassas bilgilerimiz elde edilmeye çalışılır. Bating'de karşımızda bir insan bulunmazken, bu yöntemde karşımızda bir insan vardır.
Bu kanallar üzerinde, insan kaynakları yetkilisi, IT güvenlik firması personeli gibi sahte profiller oluşturulup, bizlerle iletişim kurularak, hassas bilgilerimizin ele geçirilmeye çalışılmasıdır. Sosyal medya kanallarında paylaştığımız kişisel bilgiler (nerede, ne yapıyor, doğum tarihi, sevdiği hayvan ismi, doğum yeri, hobileri ve mezuniyet tarihi gibi) toplanarak ataklar tasarlanabilmektedir.
The CrueL, WhiteRed, Kill4Dead, yusasatr, Kiril Teşekkür etti.