Siber saldırıların gerçekleştirilmesi için insan psikolojisi üzerine yöntemler denemek de önemli bir yoldur. Zaten günümüzde birçok sektöre baktığımızda insanların karar verme, satın alma gibi kararları manipülasyon teknikleri ile yönlendirilebiliyor. Siber saldırılarda da bunu sosyal mühendislik saldırısı olarak biliyoruz. Sosyal mühendislik saldırısı nedir, bunu daha da açacak olursak, yukarıda belirttiğimiz durumlarla birebir bir özellik gösterir. Ancak burada tüm aksiyonlar dijital ortamda yapılmış olur. İnsanlarda ilgi, korku ve endişe yaratarak onların bilgilerini ele geçirmek için oluşturulan sistem ve link bağlantılarına yönlendirmeden söz edilir.
Sosyal Mühendislik Saldırıları Çeşitleri Nelerdir?
Sosyal mühendislik saldırılarında birbirinden farklı yöntemler vardır. İnternet yoluyla olduğu gibi telefon uygulamalarıyla da bu saldırı gerçekleştirilebilir.
- Smishing yönteminde SMS ile kişilere ulaşılır. Metinde linke tıklanıldığında bir siteye yönlendirme olur ve kötü amaçlı yazılımlar sisteminize bulaşabilir.
- E-dolandırıcılık için ise daha çok e-posta tercih edilir. Metinde sanki gerçek bir firma veya kişi varmışçasına kampanya, bedava hizmet, bedava ürün vb. açıklamalar olur. Bu şekilde linke tıklayan kişilerin hassas bilgileri, belgeleri ele geçirilir.
- Whaling ise bu yöntemler arasında hedefi daha çok üst düzey kişiler olan yöntemdir. Haklarında bilgi toplayıp siber saldırıyı daha rahat gerçekleştirebilir ve böylelikle istenilen belge ve bilgilere de ulaşabilirler.
- Vishing yöntemi ise aslında çok iyi bildiğimiz bir yöntem. Sese dayalıdır. Yani burada saldırıyı gerçekleştirenler kişileri arayarak, sanki bir kuruluştan arıyormuş gibi davranır. Borcu veya hakkında bir dava varmış gibi örnek sorunları ileterek haklarında hassas bilgileri almaya çalışırlar.
- Pharming yönteminde de siteler üzerinden kötü amaçlı sitelere yönlendirmeden bahsedilir. Kötü amaçlı siteler sanki resmi siteymiş gibi bir görünümde olur. Kullanıcılar bunları ayırt edememişse bilgilerini burada paylaşabilir.
- Scareware yönteminde de kişilere sanki cihazları tehlike altındaymış gibi bir uyarı verilir. Bu şekilde bir güncelleme veya bir siteye yönlendirme istenebilir. Kişiler bunları gerçekleştirdiğinde ise bilgileri ele geçirilmiş olacaktır.
- Deepfake ise son zamanlarda yapay zeka ile birlikte ortaya çıkan bir yöntemdir. Ünlü kişilerin yer aldığı sahte fotoğraf ve videolar ile kurbanlarını kandırmaya çalışırlar.
Sosyal Mühendislik Neden Yapılır?
Genel olarak siber saldırıların neden gerçekleştirildiği noktasında farklı amaçlardan bahsedilebilir. Kazanç elde etme veya önemli bilgileri kullanarak gündeme gelmek gibi başlıca nedenler sayılabilir.
Sosyal mühendislikte de amaçlar şöyledir;
- Hazır ve kolay kazanç elde etmek
- Önemli bilgileri öğrenmek
- Bir kurum veya kişiden intikam almak (Kişiler daha çok zarar gördükleri tarafa bu saldırı türü ile zarar vermek isteyebiliyor.)
- Tamamen eğlence amaçlı da saldırı gerçekleştirilebilir.
Sosyal Mühendislik Saldırıları Nasıl Önlenir?
Bu tarz bir saldırı daha çok duygularınızı kullanır. Bu anlamda da olası bir saldırı durumunda öncelikle sakin kalmanız çok önemlidir. Sizden bir bilgi istendiğinde hemen inanıp bilgilerinizi paylaşmamalısınız.
- Sosyal medyada mutlaka çok faktörlü kimlik doğrulama seçeneklerini kullanın. Hesaplara erişme durumunda sadece size özel olan parmak izi, telefon numarasın gelen kod, PİN veya şekil gibi yöntemler bunu engelleyebilir.
- Aciliyet hissi yaratan içeriklerde öncelikle karşı tarafın kimliğine bakın. Gerçek görünümlü bir kötü yazılım olabilir.
- Devlet, resmi kurumlar veya tercih ettiğiniz alışveriş siteleri vb. yerler sizden hiçbir zaman önemli bilgilerinizi ve para talep etmez.
- Sistemlerin korunması için virüs koruma yazılımları, güvenlik duvarı tercih edilebilir. Özel dosyalar şifrelenebilir ve güvenlik duvarı herhangi bir giriş talebinde müdahale edebilir.
- Ancak en önemli yöntem hem kişisel olarak hem de şirket olarak sosyal mühendislik saldırılarında bilgi almak olacaktır. Özellikle şirketler bunun için çalışanlarına özel eğitimler verebilir.
