Sosyal Mühendislik

Sosyal mühendislik, saldırganların teknoloji yerine insan psikolojisini kullanarak hedeften hassas bilgi, parola veya fiziksel erişim elde etmesidir. Bu yöntem, güven (pretexting), korku, aciliyet hissi veya merak yaratarak kurbanları hatalı karar almaya iter. Pretexting, saldırganın yalan bir kimlik veya senaryo varsayarak kurbanı kandırması; baiting, çekici bir dosya veya cihaz bırakarak merak uyandırması; quid pro quo, hizmet karşılığında erişim vaat etmesidir.

Güvenlik endüstrisinde sosyal mühendislik özellikle etkilidir çünkü güvenlik personeli genellikle meşru teknisyenleri şüpheyle karşılamazlar. Saldırgan, sahte teknikyen kimliği taşıyarak "kamera bakımı yapacağım" veya "sistemin yazılımını güncelliyorum" diyerek hizli giriş elde edebilir ve NVR sunucularına doğrudan fiziksel erişim sağlayabilir. Aynı şekilde, güvenlik personelini arayan saldırgan, "merkezden sistem bakımı için parolanı verebilir misiniz?" sorusuyla parolalarını elde edebilir.

Sosyal mühendislik saldırılarından korunmak için kapsamlı farkındalık eğitimi şarttır. Çalışanlar, kimlik doğrulama protokollerini (ziyaretçi kayıt, geçit kartı kontrolü), telefon güvenliğini (arayana doğrudan başkalarına parola vermeme), fiziksel güvenlik uygulamalarını (kapıları kilitleme, bilinmeyen kişileri gözlemleme) ve olay bildirim proseslerini bilmelidir. Kurumlar, rutin simülasyon ve test saldırıları yapmalı, şüpheli durumları raporlama kültürü oluşturmalıdır.