الهندسة الاجتماعية: اختراق الإنسان لا النظام

كيف يبنى الهجوم

1. الاستطلاع — أسماء ومناصب وهياكل من مصادر علنية ومنصات مهنية.
2. بناء الذريعة — قصة معقولة: مدقق خارجي، أو دعم فني، أو مورد.
3. خلق الضغط — موعد نهائي، أو مدير غاضب، أو عطل يوشك أن يظهر للعملاء.
4. الطلب الصغير — معلومة تبدو غير مهمة تفتح الطلب التالي.
5. التصعيد — استعمال ما جمع في مكالمة أقوى مع شخص آخر.

الأهداف المفضلة

• الدعم الفني — يعيد كلمات المرور ومهمته أن يساعد، فيستغل ذلك.
• الاستقبال — يعرف الجميع ويسهل استدراجه لتأكيد معلومات.
• المحاسبة — هدف تحويل الأموال وتغيير بيانات الموردين.
• الموظفون الجدد — لا يعرفون الإجراءات ولا الوجوه ويخشون الرفض.

الدفاع بالإجراء لا باليقظة

الاعتماد على انتباه الموظف يفشل لأنه بشر يتعب وينشغل. والدفاع الفعال إجرائي: إعادة تعيين كلمة المرور تتم بتحقق محدد لا بالتعرف على الصوت، وتغيير بيانات المورد البنكية يتحقق منه باتصال على رقم مسجل مسبقا، والتحويلات فوق حد معين تحتاج موافقة ثانية مستقلة.

وهذه الإجراءات تحمي حتى لو خدع الموظف تماما، لأنها لا تعتمد على حكمه في اللحظة.

الأمن المادي

الهندسة الاجتماعية ليست عن بعد فقط: شخص بسترة عامل يحمل صندوقا يدخل غالبا بلا سؤال. وضبط الدخول، وشارات مرئية، ومرافقة الزوار، وثقافة تسمح بسؤال الغريب بلا حرج — هذه ضوابط بسيطة تغلق مسارا كاملا.

اجعل السؤال مقبولا

أكبر عائق أمام التحقق هو الإحراج: الموظف لا يريد أن يبدو معطلا أمام من يقول إنه مدير. وأعلن صراحة أن التحقق مطلوب دائما ولا يعاقب عليه أحد، وأن أي مسؤول حقيقي سيتفهمه. فالثقافة هنا أهم من التدريب التقني.

أسئلة شائعة

كيف نتحقق من هوية المتصل؟

باستعمال قناة معروفة مسبقا: أنه المكالمة واتصل على الرقم المسجل في نظامك، أو تحقق عبر قناة داخلية. ولا تعتمد على معلومات يقدمها المتصل نفسه فهي غالبا متاحة له.

هل نختبر موظفينا بمحاولات حقيقية؟

ممكن ومفيد بتفويض واضح من الإدارة وضوابط أخلاقية صارمة، ونتائج تعرض مجمعة للتعلم لا للإحراج. والاختبار الذي يوقع بالموظفين وينشر أسماءهم يدمر الثقة ويؤذي أكثر مما ينفع.

ما أهم إجراء منفرد؟

قاعدة التحقق خارج القناة لكل طلب مالي أو تغيير بيانات بنكية أو إعادة تعيين وصول. فهذه الفئات الثلاث تغطي أغلب الخسائر الفعلية من الهندسة الاجتماعية.