An Analysis of the Impact of Psychological Factors and Techniques Across Different Types of Social Engineering
12 प्रतिभागियों वाले इस अन्वेषणात्मक प्रयोगशाला अध्ययन में विभिन्न सामाजिक इंजीनियरिंग हमले के प्रकारों (जैसे कि फिशिंग, विशिंग और स्मिशिंग) को विभिन्न मनोवैज्ञानिक कारकों के साथ मिलाकर उनकी प्रभावशीलता का विश्लेषण किया गया है, जिससे यह पता चलता है कि लालच का लाभ उठाने वाली स्पियर-फिशिंग सबसे सफल संयोजन है, जबकि पॉप-अप या अधिकार के साथ स्मिशिंग और जिज्ञासा के साथ विशिंग जैसे कुछ संयोजन पूरी तरह से अप्रभावी सिद्ध हुए।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
हर दिन, लोग इस बारे में चुनाव करते हैं कि उन्हें क्या क्लिक करना है, क्या खोलना है और किस पर भरोसा करना है। साइबर सुरक्षा की दुनिया में, ये चुनाव रक्षा की पहली पंक्ति हैं। हमलावरों को हमेशा जटिल कंप्यूटर कोड को तोड़ने की आवश्यकता नहीं होती; अक्सर, उन्हें बस किसी व्यक्ति को पासवर्ड देने या वायरस डाउनलोड करने के लिए बहलाने की आवश्यकता होती है। हेरफेर की इस विधि को 'सोशल इंजीनियरिंग' कहा जाता है। यह इस बात पर निर्भर करता है कि मानव मस्तिष्क कैसे काम करता है, जिसमें सावधानी को दरकिनार करने के लिए विशिष्ट मनोवैज्ञानिक ट्रिगर्स (psychological triggers) का उपयोग किया जाता है। इनमें से कुछ ट्रिगर्स परिचित भावनाएं जैसे डर या इनाम का वादा हैं, जबकि अन्य सामाजिक आदतें जैसे किसी बॉस की आज्ञा मानना या किसी प्रसिद्ध ब्रांड पर भरोसा करना हैं। यह समझना कि कौन सा भावनात्मक ट्रिगर किस प्रकार के संदेश पर सबसे अच्छा काम करता है, महत्वपूर्ण है, क्योंकि यह संगठनों को अपने कर्मचारियों को जाल बिछाने से पहले उसे पहचानने के लिए प्रशिक्षित करने में मदद करता है।
जर्मनी में शोधकर्ताओं की एक टीम ने इन जालों का मानचित्र बनाने का प्रयास किया। वे जानना चाहते थे कि क्या कुछ विशिष्ट मनोवैज्ञानिक ट्रिगर्स संदेशों के कुछ विशेष प्रकारों के साथ बेहतर काम करते हैं। उदाहरण के लिए, क्या मुफ्त पैसे का वादा टेक्स्ट मैसेज में बेहतर काम करता है या ईमेल में? क्या बैंक खाता फ्रीज होने का डर फोन कॉल या पॉप-अप विंडो में बेहतर काम करता है? उत्तर खोजने के लिए, शोधकर्ताओं ने एक प्रयोगशाला में एक नियंत्रित प्रयोग किया। उन्होंने बारह स्वयंसेवकों को इकट्ठा किया और उन्हें नकली हमलों की एक श्रृंखला दिखाई। प्रत्येक प्रतिभागी ने पच्चीस अलग-अलग परिदृश्य देखे। ये परि场景 पांच अलग-अलग प्रकार के संदेशों को पांच अलग-अलग मनोवैज्ञानिक ट्रिगर्स के साथ मिलाकर बनाए गए थे। संदेशों के प्रकारों में मानक ईमेल, लक्षित ईमेल जो किसी विशिष्ट व्यक्ति से आए प्रतीत होते थे, टेक्स्ट मैसेज, वॉयस कॉल और स्क्रीन पर दिखने वाली पॉप-अप विंडो शामिल थे। मनोवैज्ञानिक ट्रिगर्स थे: जिज्ञासा, लालच, विश्वास, भय, और एक अधिकार रखने वाले व्यक्ति (authority figure) की आज्ञा मानने की भावना।
शोधकर्ताओं ने स्वयंसेवकों से वास्तव में लिंक पर क्लिक करने या वास्तविक जानकारी देने के लिए नहीं कहा। इसके बजाय, उन्होंने उन्हें संदेशों की तस्वीरें दिखाईं या कॉल्स की रिकॉर्डिंग सुनाई और एक सरल प्रश्न पूछा: क्या आप इस पर प्रतिक्रिया देंगे? स्वयंसेवकों ने परिदृश्यों को देखते समय अपने विचारों को बोलकर भी समझाया। इससे शोधकर्ताओं को न केवल यह देखने में मदद मिली कि लोगों ने क्या किया, बल्कि यह भी कि उन्होंने वे निर्णय क्यों लिए। अध्ययन छोटा था और एक शांत कमरे में आयोजित किया गया था, इसलिए परिणाम पूरी दुनिया के लिए एक अंतिम नियम के बजाय इस बात की एक पहली झलक है कि ये कारक कैसे परस्पर क्रिया करते हैं।
परिणामों ने इस बात का खुलासा किया कि लोग कैसे प्रतिक्रिया देते हैं, इसमें एक स्पष्ट पैटर्न था। स्वयंसेवकों को ठगने के लिए सबसे सफल संयोजन एक लक्षित ईमेल था जिसने वित्तीय पुरस्कार का वादा किया था। जब एक ईमेल ऐसा दिखता था जैसे वह किसी विशिष्ट व्यक्ति से आया हो और कोई डील पेश करता हो, तो चार में से तीन प्रतिभागियों ने कहा कि वे प्रतिक्रिया देंगे। यह सुझाव देता है कि व्यक्तिगत ध्यान और पैसे का वादा एक शक्तिशाली आकर्षण है। दूसरा सबसे प्रभावी तरीका एक मानक ईमेल था जो या तो इनाम का वादा करता था या प्राप्तकर्ता से विश्वास करने के लिए कहता था, जैसे कि एक संदेश जो किसी स्ट्रीमिंग सेवा की ओर से होने का दावा करता हो। इन मामलों में, आधे से अधिक स्वयंसेवकों ने कहा कि वे संदेश के साथ जुड़ेंगे।
हालाँकि, सभी संयोजन काम नहीं आए। शोधकर्ताओं ने पाया कि कुछ तरीके लगभग पूरी तरह से विफल रहे। जब हमलावरों ने तत्काल कार्रवाई के लिए बॉस के अधिकार का उपयोग करने की कोशिश की, तो यह शायद ही कभी काम आया, विशेष रूप से यदि संदेश फोन कॉल, टेक्स्ट मैसेज या पॉप-अप विंडो के माध्यम से आया हो। वास्तव में, जब एक वॉयस कॉल ने जिज्ञासा का उपयोग करके किसी को सुनने के लिए प्रेरित करने की कोशिश की, तो वह पूरी तरह से विफल रहा; किसी भी स्वयंसेवक ने उस विशिष्ट परिदृश्य पर प्रतिक्रिया देने के लिए नहीं कहा। स्वयंसेवकों ने समझाया कि वे इन माध्यमों को उस प्रकार के अनुरोध के लिए अनुपयुक्त पाते थे। उदाहरण के लिए, उन्हें लगा कि एक बॉस फ़ाइल डाउनलोड करने के लिए कॉल नहीं करेगा, या कोई कंपनी साझा फोल्डर के बारे में टेक्स्ट मैसेज नहीं भेजेगी।
अध्ययन ने यह भी दिखाया कि प्रकार का महत्व था। डर एक मजबूत प्रेरक था, लेकिन इसके दो पहलू थे। जब एक संदेश में दावा किया गया कि बैंक खाता फ्रीज हो गया है, तो कई लोगों ने इसे ठीक करने की इच्छा महसूस की, लेकिन एक बड़े समूह ने सुरक्षा को लेकर चिंतित होने के कारण संदेह जताया और क्लिक करने से इनकार कर दिया। दूसरी ओर, लालच एक अधिक सीधा चालक था। जब किसी संदेश ने छूट या डील की पेशकश की, तो लोग उस पर कार्रवाई करने के लिए अधिक इच्छुक थे, बशर्ते कि संदेश वैध लगे। विश्वास ने भी एक बड़ी भूमिका निभाई; जब कोई संदेश किसी परिचित कंपनी जैसे कि स्ट्रीमिंग सेवा से आता हुआ प्रतीत हुआ, तो लोग क्लिक करने के लिए तैयार थे, लेकिन केवल तभी जब संदेश उस प्रारूप में आया जिसकी वे अपेक्षा करते थे, जैसे कि ईमेल।
दिलचस्प रूप से, शोधकर्ताओं ने पाया कि अपनी डिजिटल सुरक्षा में एक व्यक्ति का आत्मविश्वास हमेशा उसके व्यवहार से मेल नहीं खाता था। कुछ स्वयंसेवक जिन्होंने कहा था कि वे डिजिटल जोखिमों को संभालने में बहुत सुरक्षित हैं, फिर भी वे जाल में फंस गए, जबकि अन्य जो असुरक्षित महसूस करते थे, वास्तव में अधिक सतर्क थे। यह सुझाव देता है कि सुरक्षित महसूस करने का मतलब हमेशा सुरक्षित होना नहीं होता है। अध्ययन ने यह भी रेखांकित किया कि वॉयस कॉल और टेक्स्ट मैसेज ईमेल की तुलना में आम तौर पर कम प्रभावी थे। स्वयंसेवक फोन कॉल और टेक्स्ट मैसेज के प्रति स्वाभाविक रूप से अधिक संदिग्ध थे, अक्सर यह तर्क देते हुए कि ये माध्यम अनुरोध के प्रकार के लिए सही नहीं थे।
अंत में, यह शोध मानवीय भेद्यता (vulnerability) की एक ऐसी तस्वीर पेश करता है जो विशिष्ट और स्थितिजन्य है। यह केवल भोलापन नहीं है; यह संदर्भ के बारे में है। एक संदेश जो एक प्रारूप में काम करता है वह दूसरे में विफल हो सकता है, और पैसे का वादा बॉस के आदेश से बेहतर काम करता है। सबसे प्रभावी हमले वे थे जिन्होंने एक परिचित, विश्वसनीय प्रारूप को एक मजबूत भावनात्मक हुक के साथ जोड़ा। हालांकि अध्ययन छोटा था, यह एक स्पष्ट मानचित्र प्रदान करता है कि कौन से मनोवैज्ञानिक ट्रिगर्स किन डिजिटल वातावरणों में सबसे खतरनाक हैं, जो भविष्य के लिए बेहतर बचाव और जागरूकता प्रशिक्षण बनाने के लिए एक मार्गदर्शिका प्रदान करता है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।