Sosyal mühendislik, teknik bir açığı hedeflemek yerine insanın güvenme, yardımcı olma, hızlı hareket etme ve otoriteye uyma eğilimlerinden yararlanan manipülasyon yöntemidir. E-posta, telefon, mesajlaşma uygulaması, sosyal medya, fiziksel ziyaret veya sahte web sayfası üzerinden uygulanabilir.
Saldırganlar neden insan psikolojisine yönelir
Çalışanlar yoğun iş akışında çok sayıda mesaj ve talep değerlendirir. Saldırganlar bu ritmi kullanarak mesajı olağan bir görev gibi gösterebilir. Amaç, kişinin doğrulama adımlarını tamamlamadan bağlantı açması, bilgi paylaşması veya işlem yapmasıdır.
Yetki ve otorite etkisi
Yönetici, kamu kurumu, banka, teknik destek veya insan kaynakları kimliği kullanılarak talebin sorgulanmadan yerine getirilmesi hedeflenebilir. Unvan ve kurumsal logo tek başına güven kanıtı değildir; işlem mevcut yetki ve onay süreciyle karşılaştırılmalıdır.
Aciliyet ve zaman baskısı
Hesabın kapanacağı, ödemenin aynı gün yetişmesi gerektiği veya fırsatın kısa sürede biteceği söylenebilir. Güvenli kurum kültürü, çalışanlara şüpheli bir işlemi durdurma ve doğrulama hakkı verir.
Merak, korku ve yardım etme isteği
Maaş listesi, gizli belge, teslimat bildirimi veya ilgi çekici bir haber merak duygusunu kullanabilir. Teknik sorun yaşayan bir kişi gibi davranmak da yardım etme isteğini hedefleyebilir. İçeriğin duygusal etkisi fark edildiğinde karar süreci yavaşlatılmalıdır.
Başlıca sosyal mühendislik türleri
Phishing geniş kitlelere gönderilen sahte mesajları; hedefli phishing belirli kişi veya ekip için özelleştirilmiş içerikleri; pretexting kurgulanmış bir kimlik ve hikâyeyi; vishing telefon görüşmesini; smishing SMS mesajlarını ifade eder. Yönetici taklidi ve sahte ödeme talepleri de kurumsal hayatta sık karşılaşılan senaryolardır.
Çalışanların kullanabileceği doğrulama modeli
Kim talep ediyor? Benden hangi işlem isteniyor? Bu işlem normal sürece uyuyor mu? Mesaj hangi duyguyla hızlı hareket etmemi istiyor? Talebi bağımsız bir kanaldan doğruladım mı? Bu beş soru, farklı sosyal mühendislik türlerinde kullanılabilir.
Kurum kültürü ve düzenli pratik
Çalışanların şüpheli durumları rahatça bildirebildiği, prosedürlerin yöneticiler tarafından da uygulandığı ve güncel senaryolarla düzenli pratik yapılan bir kültür güçlü koruma sağlar. Pronex, kurumun departmanlarına ve iş akışlarına göre sosyal mühendislik workshop’ları tasarlar.