An Analysis of the Impact of Psychological Factors and Techniques Across Different Types of Social Engineering
تحلل هذه الدراسة المختبرية الاستكشافية التي شملت ١٢ مشاركاً فعالية أنواع مختلفة من هجمات الهندسة الاجتماعية (مثل التصيد الاحتيالي، والتصيد الصوتي، والتصيد عبر الرسائل النصية) مقترنة بعوامل نفسية مختلفة، كاشفةً أن التصيد المستهدف الذي يستغل الطمع هو التركيبة الأكثر نجاحاً، بينما ثبت عدم فعالية بعض الاقترانات مثل النوافذ المنبثقة أو التصيد عبر الرسائل النصية مع سلطة، والتصيد الصوتي مع الفضول بشكل تام.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في كل يوم، يتخذ الناس خيارات بشأن ما ينقرون عليه، وما يفتحونه، وما يثقون به. وفي عالم الأمن السيبراني، تُعد هذه الخيارات هي خط الدفاع الأول. لا يحتاج المهاجمون دائمًا إلى اختراق رموز برمجية معقدة؛ فغالبًا ما يكفي أن يخدعوا شخصًا ما ليدلي بكلمة مرور أو يحمل فيروسًا. تُسمى طريقة التلاعب هذه بالهندسة الاجتماعية. وهي تعتمد على استغلال كيفية عمل العقل البشري، باستخدام محفزات نفسية محددة لتجاوز الحذر. وبعض هذه المحفزات هي مشاعر مألوفة مثل الخوف أو الوعد بمكافأة، بينما البعض الآخر هو عادات اجتماعية مثل طاعة المدير أو الثقة بعلامة تجارية معروفة. إن فهم أي محفز عاطفي يعمل بشكل أفضل مع أي نوع من الرسائل أمر بالغ الأهمية، لأنه يساعد المؤسسات على تعليم موظفيها كيفية رصد الفخ قبل أن ينصب لهم.
قام فريق من الباحثين في ألمانيا بوضع خريطة لهذه الفخاخ. أرادوا معرفة ما إذا كانت محفزات عاطفية معينة تعمل بشكل أفضل مع أنواع محددة من الرسائل. على سبيل المثال، هل يعمل الوعد بالحصول على أموال مجانية بشكل أفضل في رسالة نصية أم في بريد إلكتروني؟ هل يعمل الخوف من تجميد حساب بنكي بشكل أفضل عبر الهاتف أم في نافذة منبثقة؟ ولإيجاد الإجابات، أجرى الباحثون تجربة مضبوطة في مختبر. فقد جمعوا اثني عشر متطوعًا وعرضوا عليهم سلسلة من الهجمات المحاكية. شاهد كل مشارك خمسة وعشرين سيناريو مختلفًا. تم إنشاء هذه السيناريوهات عن طريق خلط خمسة أنواع مختلفة من الرسائل مع خمسة محفزات نفسية مختلفة. شملت أنواع الرسائل رسائل البريد الإلكتروني القياسية، ورسائل البريد الإلكتروني المستهدفة التي تبدو وكأنها من شخص معين، والرسائل النصية، والمكالمات الصوتية، والنوافذ المنبثقة التي تظهر على الشاشة. وكانت المحفزات النفسية هي الفضول، والجشع، والثقة، والخوف، والشعور بطاعة سلطة عليا.
لم يطلب الباحثون من المتطوعين النقر فعليًا على الروابط أو تقديم معلومات حقيقية. بدلاً من ذلك، عرضوا عليهم صورًا للرسائل أو شغّلوا تسجيلات للمكالمات وسألوهم سؤالًا بسيطًا: هل ستستجيب لهذا؟ كما شرح المتطوعون تفكيرهم بصوت عالٍ أثناء النظر إلى السيناريوهات. سمح هذا للباحثين ليس فقط بمعرفة ما فعله الناس، ولكن لماذا اتخذوا تلك القرارات. كانت الدراسة صغيرة وأجريت في غرفة هادئة، لذا فإن النتائج هي نظرة أولية على كيفية تفاعل هذه العوامل بدلاً من كونها قاعدة نهائية للعالم أجمع.
كشفت النتائج عن نمط واضح في كيفية رد فعل الناس. كان المزيج الأكثر نجاحًا لخداع المتطوعين هو البريد الإلكتروني المستهدف الذي يعد بمكافأة مالية. فعندما بدا البريد الإلكتروني وكأنه من شخص معين وقدم عرضًا، قال ثلاثة من كل أربعة مشاركين إنهم سيستجيبون. يشير هذا إلى أن الجمع بين الاهتمام الشخصي والوعد بالمال هو إغراء قوي. الطريقة الثانية الأكثر فعالية كانت البريد الإلكتروني القياسي الذي إما يعد بمكافأة أو يطلب من المستلم الثقة بالمرسل، مثل رسالة تدعي أنها من خدمة بث (streaming service). في هذه الحالات، قال أكثر من نصف المتطوعين إنهم سيتفاعلون مع الرسالة.
ومع ذلك، لم تنجح جميع التركيبات. وجد الباحثون أن بعض الأساليب فشلت تمامًا تقريبًا. فعندما حاول المهاجمون استخدام سلطة المدير لطلب إجراء عاجل، ندر أن نجح ذلك، خاصة إذا جاءت الرسالة عبر مكالمة هاتفية أو رسالة نصية أو نافذة منبثقة. في الواقع، عندما حاولت مكالمة صوتية استخدام الفضول لجعل الشخص يستمع، فشلت تمامًا؛ فلم يقل أي من المتطوعين إنهم سيستجيبون لذلك السيناريو المحدد. أوضح المتطوعون أنهم وجدوا هذه القنوات غير مناسبة لهذا النوع من الطلبات. على سبيل المثال، شعروا أن المدير لن يتصل لطلب تحميل ملف، أو أن شركة لن ترسل رسالة نصية حول مجلد مشترك.
كما أظهرت الدراسة أن نوع العاطفة كان مهمًا. كان الخوف محركًا قويًا، لكنه ذو حدين. فعندما ادعت رسالة أن حسابًا بنكيًا قد تم تجميده، شعر الكثير من الناس بالرغبة في إصلاح الأمر، لكن مجموعة أكبر شعرت بالريبة ورفضت النقر لأنهم كانوا قلقين بشأن الأمن. أما الجشع، فقد كان محركًا أكثر وضوحًا. فعندما عرضت رسالة خصمًا أو صفقة، كان الناس أكثر عرضة للتصرف بناءً عليها، بشرط أن تبدو الرسالة شرعية. كما لعبت الثقة دورًا كبيرًا أيضًا؛ فعندما بدت رسالة وكأنها من شركة مألوفة مثل خدمة بث، كان الناس مستعدين للنقر، ولكن فقط إذا وصلت الرسالة بالتنسيق الذي يتوقعونه، مثل البريد الإلكتروني.
ومن المثير للاهتمام، وجد الباحثون أن ثقة الشخص في سلامته الرقمية لا تتوافق دائمًا مع سلوكه. فبعض المتطوعين الذين قالوا إنهم آمنون جدًا في التعامل مع المخاطر الرقمية وقعوا في الفخاخ، بينما كان آخرون قالوا إنهم غير آمنين وكانوا في الواقع أكثر حذرًا. يشير هذا إلى أن الشعور بالأمان لا يعني دائمًا أن تكون آمنًا. كما سلطت الدراسة الضوء على أن المكالمات الصوتية والرسائل النصية كانت أقل فعالية بشكل عام من رسائل البريد الإلكتروني. كان المتطوعون يشعرون بالريبة تجاه المكالمات والرسائل النصية بشكل طبيعي، وغالبًا ما أشاروا إلى أن هذه القنوات تبدو غير ملائمة لنوع الطلب المقدم.
في النهاية، ترسم الأبحاث صورة للضعف البشري المرتبط بالسياق والموقف. الأمر لا يتعلق فقط بكون الشخص ساذجًا، بل يتعلق بالسياق. فالرسالة التي تنجح في تنسيق معين قد تفشل في تنسيق آخر، والوعد بالمال يعمل بشكل أفضل من أمر من مدير. كانت الهجمات الأكثر فعالية هي تلك التي جمعت بين تنسيق مألوف وموثوق وبين حافز عاطفي قوي. ورغم صغر حجم الدراسة، إلا أنها توفر خريطة واضحة حول أي المحفزات النفسية هي الأكثر خطورة في البيئات الرقمية المختلفة، مما يقدم دليلًا لكيفية بناء دفاعات وتدريبات توعية أفضل في المستقبل.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.