Bu yazımda sizlere sosyal mühendislik (Psikolojik Manipülasyon) hakkında bilgi vereceğim.
Sosyal mühendislik (psikolojik manipülasyon) nedir?
Diğer ismiyle “Psikolojik Manipülasyon” olarak bilinmektedir. Hayatın her alanında rastladığımız bu taktikleri hiç bilmeyen birisinin bile yapması mümkündür. Çünkü bu insanlığın doğasında vardır. İsteklerimizi kabul ettirmek veya bir işe girmek için karşımızdaki kişiyi kimi taktiklerle etkilemeye çalışıyoruz. İşte bu taktiklerin hepsi sosyal mühendisliğe giriyor. Günümüz dünyasında sistemler oldukça güvenli olduğu için saldırganlar artık sistemler yerine insanları hedef alıyor.
Neden kullanılıyor?
Yukarıda da bahsettiğim gibi sistemlerin üst derece güvenli olması ve insanın isteklerini yaptırma arzusu bu yöntemleri kullanmayı tetikliyor. Hem bu yöntemlerle ulaşılması zor hedeflere ve akla hayale gelmeyecek şeylere yol açar. En basitinden örnek vermek gerekirse şeker isteyen bir çocuk ebeveyninin kabul etmemesi üzerine ağlamaya başlar. Bu da ebeveynini psikolojik olarak etkiler ve çocuğun istediğini alma eğilimi göstertir. En karmaşığı olarakta ünlü ve güvenli bir şirkete sızmak isteyen bir kişinin bilgi bulma ümidiyle çöpleri bile karıştırmasıdır.
Saldırı çeşitleri
- Oltalama (Phishing): Genellikle kitlelere uygulanan bu saldırıda kurbanın ilgisini çekmek önemlidir. Kurbanın ilgisini çekmek için de e-posta, sahte sosyal medya paylaşımları, aldatıcı reklamlar ve sahte aramalarla kurbandan bir yere tıklaması veya bir şey yapması istenir. Kurbanımız saldırgana inanıp onun istediklerini yapar ise kendini maddi ve manevi yönden zarara uğratır. Örneğin e-postanıza gelen bir linke tıklamanızla birlikte saldırgan sizin bilgisayarınıza erişir. Bilgisayarınıza erişmesi, tüm sanal hayatınızı eline aldığının bir göstergesidir.
- Rol yapma: Saldırgan sizle sahte bir kişilik veya olay üzerinden iletişime geçer. Sahte senaryo üzerinde size ait olan hassas bir şey mutlaka vardır. Siz senaryonun gidişine aldanıp bu hassas bilgiyi saldırgana verirsiniz.
- Truva saldırısı: Oltalama saldırısıyla ilişkili olarak saldırgan cihazınıza bir dosya indirmenizi söyler. İndirilen bu dosya kişisel dosya, hassas bilgiler ve klavye takibi yapar. Veya sizi direkt olarak zombi bilgisayar konumuna düşürüp görüntülenme botu, kripto para madencilik cihazı ve benzeri şekillerde kendi yararına kullanabilir.
- Tersine sosyal mühendislik: Rol yapma tekniğine benzerdir. Ama bu teknikte saldırgan, kurbana değil kurban saldırgana gider. Kurban yardım istemek veya bir iş yaptırmak amacıyla saldırgana başvurur. Saldırgan burada kendini bu işi sadece kendisinin yapabileceği olgusunu kurbana aşılar. Kurban sorununun giderilmesi veya işinin tamamlanabilmesi için saldırgana o konudaki hassas bilgilerini verir.
- Çöp karıştırma: Çoğu insan bir belgeyi veya bilgi içeren herhangi bir nesneyi çöpe atarken neredeyse hiç dikkat etmiyor. Ama saldırganlar için bu bir nimet. Çünkü genellikle kimlik bilgilerini içeren evraklar, özel içerikli cd-dvd, telefon rehberleri ve küçük kağıtlara not alınan önemli bilgiler dikkatsizlik veya saldırı tekniklerini bilmemek sebebiyle çöpe atılıyor.
- Omuz sörfü: En basit saldırı tekniklerinden birisidir. Genellikle halka açık yerlerde bilgisayar, telefon ve ATM benzeri cihazlara girdiğiniz kişisel bilgiler arkanızdaki kişi tarafından gözetlenerek ele geçirilir.
En büyük sosyal mühendislik olayları
- Çiftlik Bank: Sisteme para yatırarak ürünleri satın alıp o ürünlerden size kazanç elde edebileceğini söyleyen ve bu kazanç oranlarının normalden çok yüksek olması sisteme kurbanları çekmek içindir. İstediği miktarı toplayan Mehmet Aydın bu paralarla birlikte kaçmıştır.
- Bernard Madoff: Kurbanlarını genellikle fazla takip edilmeyen yardım kuruluşları ve derneklerden seçmiştir. Çiftlik Bank’ın aksine kazanç oranlarını normal tutan Madoff 50 yıl boyunca tamı tamına 65 milyar dolar değerinde bir haksız kazanç elde etmiştir.
Nasıl korunabiliriz?
Bu taktiklerden korunmak için sosyal mühendislik üzerine araştırmalar yapıp zayıf noktalarımızı ve bu noktalardan ne tür saldırılara maruz kalacağınızı bilmelisiniz. Birisi size karşılıksız büyük bir iyilik yapıyorsa bunu düşünmelisiniz. Yüksek kar oranı vadeden oluşumlardan uzak durmalısınız. Kişisel bilgilerinizi özenle saklamalısınız.
Bu yazımda sizlere basit şekilde sosyal mühendisliğin tanımını yapmaya çalıştım. Eksik veya hatalı bulduğunuz bir kısım varsa yorumlarda belirtmeyi unutmayın.
