sosyal mühendislik

sosyal mühendislik

sosyal mühendislik, teknik açıklar yerine insan zaaflarını hedef alan, ikna ve manipülasyon temelli bir bilgi edinme yöntemidir. amaç genellikle gizli bilgilere erişmek, yetkisiz işlem yaptırmak veya bir sisteme dolaylı yoldan sızmaktır. saldırganlar, güven duygusunu kullanarak kendilerini yetkili çalışan, banka görevlisi, teknik destek personeli veya tanıdık biri gibi gösterip karşı tarafın doğal reflekslerini ve dikkatsizliğini kullanır.

yöntemler arasında oltalama (phishing) e-postaları, telefonla arama (vishing), kısa mesajla kandırma (smishing), sahte giriş sayfaları, sahte ödül veya kampanyalar, fiziksel ortamda kartvizit, yaka kartı veya üniforma kullanarak güven sağlama gibi teknikler bulunur. sosyal mühendislik, bilgi güvenliği eğitimlerinde temel bir başlık olarak ele alınır; çalışan farkındalığı, kimlik doğrulama alışkanlıkları, gizlilik politikalarına uyum ve şüpheli taleplere karşı teyit mekanizmaları, bu tür saldırılara karşı en önemli savunma yöntemleri arasında yer alır.

insan psikolojisini kullanarak hedeflerden bilgi, erişim veya eylem elde etme yöntemi. teknik zafiyetlerden çok insan zaaflarına dayanır; güven, acelecilik, merhamet gibi duygular sömürülür.

farkındalık, kimlik doğrulama alışkanlığı, gereksiz bilgi paylaşmama ve kurum içi eğitim gibi önlemler etkili savunmalardır.

bankadan arayan birisi olduğunu söyleyip hesabımda şüpheli hareketler olduğunu anlattığında hemen ciddiye aldım. ses o kadar rahattı ve detaylıydı ki, gerçekten bankadan aradığını sandım. panikle söylediklerini yapıp bazı bilgileri doğruladım; aradan birkaç saat geçince kartımla iznim olmadan alışveriş yapıldığını ve hesabımın boşaldığını öğrendim. kendimi aptal gibi hissettim, her şeyi kaybetmiş gibi.

o günden sonra öğrendiğim en önemli şey ilk şüphede kendi iletişim kanallarımı kullanmak oldu. artık hiç kimseye telefonda detaylı finansal bilgi vermiyorum, şüpheli bir durumda doğrudan resmi kurumun çağrı merkezi numarasını arıyorum ve işlemlerimi anında takip ediyorum. çevreme de aynı hikayeyi anlattım, utanmaya değecek kadar yaygın bir tuzak olduğunu gördüm.

te herkes bilir ama pek söylemez: asıl zafiyet teknolojik açıklık değil, insanın rutini ve nezaketi. saldırganlar resmi bir yetki havası, aciliyet duygusu veya basit bir soru sorarak kapıyı aralar; insanlar yardım etme, itaat etme ya da utançtan soruyu sorgulamaktan kaçınır.

kurumsal yaklaşım genelde kurbanı eğitmek ve parola politikalarını sıkılaştırmak olurken, gerçek çözüm süreçleri, rollerin belirsizliklerini, erişim fazlalığını ve iletişim protokollerinin açıklarını kapatmaktır; çünkü büyük ölçüde organizasyonel tasarım hatasının su yüzüne çıkmasıdır. (bkz: ...)