Sosyal Mühendislik Saldırı Stratejileri

İnsanlar yeteri kadar bilinçli olmadığı için bilgisayar korsanları türlü oyunlarla insanları kandırıp istedikleri bilgileri elde edebilmektedir. Farklı yöntemler olmasına rağmen temel yapı genelde aynıdır. İlk olarak kurban hakkında bilgi toplanır. Saldırgan, kurbanın sosyal medya hesapları, telefon defteri, kullandığı uygulamalar gibi internette bulabileceği veya farklı yollardan ulaşabileceği her türlü bilgiyi toplar. İkinci adımda saldırgan, topladığı bilgilerden de yararlanarak kurbanla bir ilişki kurar ve kurbanın kendine güvenmesini sağlar. Üçüncü adımda saldırgan, kredi kartı bilgileri, şifreler veya gizli bilgileri elde edebilmek için hedefini kullanır ve bilgi toplar. Son adımda da elde ettiği bilgilerle girmek istediği sisteme erişir ve amacına ulaşmış olur. Bu temel yapıya bağlı olarak farklı sosyal mühendislik teknikleri vardır. Bu teknikler: fiziksel mekanlara dayalı (bilgisayar temelli) saldırılar ve psikolojik yollara dayalı (insan temelli) saldırılar olarak iki başlık altında toplanabilir.

Fiziksel Mekanlara Dayalı Saldırılar

Bilgisayar temelli saldırılar, saldırganın az da olsa sisteme erişebildiğinde gerçekleştirdiği saldırılardır. Saldırgan, hedefi kandırmak için sisteme çeşitli uyarılar veya bildirimler gönderir. Örneğin, saldırgan, kurbanın bilgisayarına ağ bağlantısının kesildiğini ve yeniden bağlanmak için giriş yapması gerektiğini söyleyen bir pencere gönderebilir. Kullanıcı giriş bilgilerini girdiğinde saldırgan bu bilgilere erişebilir. Farklı tekniklerin mevcut olduğu bu saldırılar genel olarak iş yerindeki saldırılar, telefon yoluyla yapılan saldırılar ve internet yoluyla yapılan saldırılar olarak üçe ayrılır.

• İş Yeri: Bu tür saldırılarda saldırgan, güvenlik görevlisi, danışman veya temizlik görevlisi gibi giriş iznine sahip bir kişinin kılığına bürünerek içeri sızar. Bu sayede şirket içinde gezinerek gizli bilgileri veya şifreleri dinleyebilir. Gerekli bilgileri elde ettiğinde çıkıp sistemi uzaktan ele geçirebilir.

• Telefon: Bu tür saldırılar genellikle müşteri hizmetleri veya yardım masası aracılığıyla yapılır. Saldırgan gizli kimliğiyle bu hatları arayarak çeşitli bilgiler elde edip sisteme sızabilir.

• İnternet: Bu tür saldırılar genellikle mail, sosyal medya veya çevrimiçi mesajlaşma platformları aracılığıyla yapılır. Örneğin saldırgan, banka maili görünümüyle sahte bir mail gönderir ve kullanıcıdan çeşitli bilgiler ister. Kullanıcı bunun bir saldırı olduğunun  farkında olmadan bu bilgileri verdiğinde saldırgan istediği bilgilere ulaşmış olur. Bunun dışında, şirketler, web sitelerinde personel bilgileri, hizmetler vb. konularda ayrıntılı bilgi verdiklerinde saldırgan istediği bilgilere daha kolay ulaşabilir. Ayrıca sosyal medya paylaşımları da bu konuda oldukça önemli yer teşkil eder. Kişilerin farkında olmadan, saldırganların işine yarayabilecek bilgileri paylaşması sık rastlanan ve oldukça dikkat edilmesi gereken bir durumdur.

Psikolojik Yollara Dayalı Saldırılar

Saldırganın kurbanla arasında bir ilişki kurması ve bu ilişki üzerinden kurbandan istediği bilgileri çalmasına dayalı bir saldırı türüdür. Kandırma veya korkutma gibi türlü oyunlarla kurban kandırılır ve temel bilgiler alındıktan sonra hedefi manipüle ederek istenilen daha önemli veya gizli bilgilere ulaşılır. Bunun için birçok farklı yöntem vardır.

• Yetki: Bu tür saldırılar genellikle düşük düzeyli veya yeni işe alınmış çalışanlara yapılmaktadır. Genellikle yönetici, müdür veya üst düzey yetkili olduğunu söyleyerek kurbanı kandıran saldırgan tehdit veya yıldırma yoluyla şifre bilgilerini alabilmektedir.

• Yardım Etme Eğilimi: İnsanlar, genellikle ihtiyacı olanlara yardım etme eğiliminde olur ve bunu bilen sosyal mühendisler, bu yardım duygusunu kullanmakta tereddüt etmezler. Bu şekilde şirkete sızabilmekte veya daha farklı yollardan sisteme erişebilmektedirler.

• Beğenme ve Benzerlik: Saldırgan, kurbanının beğenilerini, hobilerini veya katıldığı etkinlikleri araştırıp öğrendikten sonra bunları kullanarak kurbanla yakınlaşmaya başlar. Benzer kişiliklere sahipmiş gibi göstererek kurbanla arkadaş olurlar ve onun hassas bilgilerine erişimlerini daha kolay hale getirirler.

• Bağlılık ve Tutarlılık: Hedef alınan çalışanın zaafları tespit edilir ve bu zaaflar kullanılarak hedefin şirket politikasına uygunsuz davranışlarda bulunması sağlanır. Şirkete olan bağlılığı zayıflatılmış hedef kullanılmaya açık hale gelmiş olur.

• Karşılıklılık: Ters sosyal mühendislik de denilen bu durumda, kurban, hedefe sabotajda bulunur ve bunu düzeltmek için bazı bilgiler ister. Hedef, mecbur kaldığı için bilgileri verir ve bu şekilde saldırgan amacına ulaşmış olur.

• Düşük Bağlantı: Bu yöntemde saldırganın hedefi, temizlik görevlisi, güvenlik görevlisi veya resepsiyonist gibi düşük yetkiye sahip olan insanlardır. Saldırgan, bu çalışanların bilgisizliğinden yararlanarak hayati önem taşıyan bilgilere ulaşabilmektedir.