Impersonation و Pretexting؛ آشنایی با جعل هویت و سناریوسازی

در بسیاری از حملات مهندسی اجتماعی، مهاجم ابتدا تلاش نمی‌کند سیستم را هک کند؛ بلکه سعی می‌کند اعتماد انسان را هک کند.

مهاجم ممکن است خودش را مدیر شرکت، همکار، کارشناس پشتیبانی، مأمور بانک، پلیس، دوست یا حتی یکی از اعضای خانواده معرفی کند و با ساختن یک داستان باورپذیر، قربانی را به انجام کاری وادار کند؛ از ارائه اطلاعات و ارسال کد گرفته تا باز کردن یک فایل یا انجام یک تراکنش.

این روش در مهندسی اجتماعی با مفاهیمی مانند Impersonation و Pretexting شناخته می‌شود.

جعل هویت در مهندسی اجتماعی چیست؟

جعل هویت (Impersonation) به روشی گفته می‌شود که مهاجم خود را به جای یک فرد، سازمان یا نقش قابل‌اعتماد معرفی می‌کند تا قربانی نسبت به درخواست او احساس امنیت کند.

نکته مهم این است که مهاجم الزاماً هویت یک شخص واقعی را به‌طور کامل کپی نمی‌کند. گاهی کافی است یک نقش آشنا را برای خود بسازد؛ مثلاً:

• کارشناس پشتیبانی یک سرویس
• مدیر یا مسئول واحد سازمان
• کارمند بانک
• مأمور یک نهاد رسمی
• همکار شرکت
• دوست یا آشنای قربانی
• فروشنده یا ارائه‌دهنده یک خدمت

هدف نهایی، ایجاد اعتماد و کاهش حساسیت قربانی است.

چرا اعتمادسازی برای مهاجم اهمیت دارد؟

انسان‌ها در شرایط عادی نیز هنگام تصمیم‌گیری به نشانه‌های اعتماد تکیه می‌کنند.

وقتی فردی با لحن رسمی تماس می‌گیرد، اطلاعاتی درباره سازمان می‌داند یا خودش را به‌عنوان فردی آشنا معرفی می‌کند، احتمال اینکه قربانی درخواست او را جدی بگیرد بیشتر می‌شود.

مهاجم از همین رفتار طبیعی سوءاستفاده می‌کند.

برای مثال، اگر فردی خودش را «واحد پشتیبانی» معرفی کند، ممکن است قربانی بدون بررسی بیشتر تصور کند درخواست او legitimate است.

در واقع، مهاجم تلاش می‌کند سؤال اصلی قربانی را از:

«آیا این درخواست واقعی است؟»

به:

«حالا باید چه کاری انجام بدهم؟»

تغییر دهد.

Pretexting چیست؟

Pretexting یکی از تکنیک‌های مهم مهندسی اجتماعی است که در آن مهاجم یک سناریو یا داستان ساختگی ایجاد می‌کند و با استفاده از آن، اطلاعات یا اقدام موردنظرش را از قربانی می‌گیرد.

برای مثال، مهاجم ممکن است بگوید:

«من از واحد فناوری اطلاعات تماس می‌گیرم. حساب شما به دلیل یک مشکل امنیتی نیاز به بررسی دارد.»

در اینجا صرفاً یک هویت جعلی مطرح نشده است؛ بلکه یک داستان قابل‌باور نیز برای توجیه تماس ساخته شده است.

این داستان همان چیزی است که می‌تواند قربانی را از حالت شک و بررسی خارج کند.

مهاجم چگونه اعتماد قربانی را می‌سازد؟

اعتمادسازی معمولاً با یک نشانه مشخص انجام نمی‌شود؛ مهاجم ممکن است چند عامل را هم‌زمان کنار یکدیگر قرار دهد.

استفاده از اطلاعات واقعی

مهاجم ممکن است قبل از تماس، اطلاعات عمومی فرد یا سازمان را از وب‌سایت، شبکه‌های اجتماعی یا سایر منابع جمع‌آوری کند.

برای مثال، دانستن نام مدیر، واحد سازمانی، عنوان شغلی یا نام یک پروژه می‌تواند باعث شود سناریوی جعلی واقعی‌تر به نظر برسد.

استفاده از لحن و ادبیات مناسب

فردی که خودش را کارمند بانک معرفی می‌کند، احتمالاً از ادبیاتی متفاوت با فردی استفاده می‌کند که خودش را دوست یا همکار قربانی معرفی کرده است.

انتخاب لحن مناسب می‌تواند به افزایش اعتبار سناریوی جعلی کمک کند.

ایجاد فوریت

مهاجم ممکن است بگوید:

«اگر الان اقدام نکنید، حساب شما مسدود می‌شود.»

هدف از ایجاد فوریت این است که قربانی فرصت کمتری برای بررسی درخواست داشته باشد.

استفاده از مقام و قدرت

گاهی مهاجم خودش را مدیر، مسئول، پلیس یا نماینده یک سازمان معرفی می‌کند.

در چنین شرایطی، قربانی ممکن است به دلیل تصور وجود یک مقام رسمی، کمتر درباره درخواست سؤال کند.

ایجاد حس آشنایی

مهاجم ممکن است اطلاعاتی را مطرح کند که باعث شود قربانی احساس کند او را می‌شناسد.

همین احساس آشنایی می‌تواند سطح احتیاط را کاهش دهد.

مهاجمان خودشان را چه کسانی جا می‌زنند؟

یکی از ویژگی‌های مهم جعل هویت این است که مهاجم معمولاً شخصیتی را انتخاب می‌کند که دسترسی یا اعتبار کافی برای متقاعد کردن قربانی داشته باشد.

مدیر یا مسئول سازمان

در محیط کاری، مهاجم ممکن است خود را مدیر یا یکی از مسئولان شرکت معرفی کند و درخواست انجام یک کار فوری داشته باشد.

برای مثال:

«یک پرداخت فوری باید انجام شود؛ اطلاعات حساب را برایم ارسال کن.»

مشکل اصلی در چنین سناریویی، استفاده از اعتماد سازمانی است.

همکار

مهاجم ممکن است خودش را یکی از همکاران معرفی کند و درخواست فایل، اطلاعات یا دسترسی خاصی داشته باشد.

حتی دانستن نام واقعی یک همکار نیز به‌تنهایی ثابت نمی‌کند فرد مقابل همان شخص است.

بانک یا مؤسسه مالی

در سناریوهای دیگر، مهاجم خودش را کارمند بانک معرفی می‌کند و با ادعای وجود مشکل در حساب، اطلاعاتی را از قربانی درخواست می‌کند.

در این شرایط، نام بانک یا استفاده از ادبیات رسمی می‌تواند برای ایجاد اعتماد کافی باشد.

پشتیبانی فنی

یکی دیگر از سناریوهای رایج، جعل هویت تیم پشتیبانی است.

مهاجم ممکن است ادعا کند دستگاه، حساب یا سرویس قربانی با یک مشکل امنیتی مواجه شده و برای «رفع مشکل» به اطلاعات یا اقدام خاصی نیاز دارد.

پلیس یا نهادهای رسمی

استفاده از نام نهادهای رسمی می‌تواند فشار روانی زیادی ایجاد کند.

مهاجم ممکن است با مطرح کردن موضوعاتی مانند پرونده، جریمه، شکایت یا تخلف، قربانی را از نظر روانی تحت فشار قرار دهد.

دوست یا آشنا

در حملات دیگر، مهاجم تلاش می‌کند خودش را یک فرد آشنا نشان دهد.

برای مثال ممکن است حساب کاربری یک فرد در شبکه اجتماعی یا پیام‌رسان مورد سوءاستفاده قرار گرفته باشد و مهاجم از همان هویت برای برقراری ارتباط با دوستان و آشنایان استفاده کند.

یک سناریوی ساده از Pretexting

فرض کنید فردی با شما تماس می‌گیرد و می‌گوید:

«سلام، از واحد امنیت شرکت تماس می‌گیرم. یک ورود مشکوک به حساب شما ثبت شده. برای بررسی، کدی که الان برایتان ارسال می‌شود را اعلام کنید.»

در این سناریو چند تکنیک کنار هم قرار گرفته‌اند:

• هویت جعلی
• استفاده از عنوان معتبر
• ایجاد نگرانی امنیتی
• ایجاد فوریت
• درخواست اقدام فوری

ممکن است قربانی تصور کند هدف تماس، محافظت از حساب اوست؛ در حالی که خود تماس بخشی از سناریوی فریب است.

چرا افراد آگاه هم ممکن است فریب بخورند؟

مهندسی اجتماعی صرفاً متکی به ناآگاهی قربانی نیست.

مهاجم می‌تواند شرایطی ایجاد کند که حتی یک فرد آگاه نیز تصمیم عجولانه بگیرد.

برای مثال، فرد ممکن است:

• در محل کار تحت فشار زمانی باشد.
• انتظار تماس از یک سازمان را داشته باشد.
• قبلاً با یک مشکل واقعی مشابه مواجه شده باشد.
• فرد مقابل را از طریق اطلاعاتی که درباره او می‌داند، قابل‌اعتماد تصور کند.
• به دلیل استفاده از نام، لوگو یا ادبیات رسمی احساس امنیت کند.

به همین دلیل، آگاهی امنیتی فقط به شناخت «ترفندهای هکری» محدود نمی‌شود؛ بلکه باید شامل روش راستی‌آزمایی هویت طرف مقابل نیز باشد.

از کجا بفهمیم طرف مقابل واقعاً همان کسی است که ادعا می‌کند؟

یکی از مهم‌ترین اصول مقابله با جعل هویت این است:

هویت را از همان کانالی که فرد در آن با شما تماس گرفته، تأیید نکنید.

اگر فردی از طریق پیام‌رسان با شما تماس گرفت و خودش را کارمند یک سازمان معرفی کرد، صرفاً به اطلاعات همان حساب اعتماد نکنید.

راه مطمئن‌تر این است که از یک مسیر مستقل، هویت او را بررسی کنید.

برای مثال:

• شماره رسمی سازمان را خودتان پیدا کنید.
• با فرد موردنظر از طریق شماره‌ای که قبلاً در اختیار داشته‌اید تماس بگیرید.
• درخواست مشکوک را از یک کانال رسمی دیگر بررسی کنید.
• اطلاعات تماس را از پیام یا فرد تماس‌گیرنده دریافت نکنید.
• در صورت امکان، درخواست را با فرد یا واحد دیگری در سازمان تطبیق دهید.

چند علامت هشداردهنده

هیچ‌کدام از این موارد به‌تنهایی اثبات نمی‌کنند که فرد مقابل مهاجم است، اما ترکیب چند مورد باید زنگ خطر را به صدا درآورد:

• درخواست غیرمنتظره برای اطلاعات حساس
• تأکید غیرعادی بر فوریت
• تهدید به مسدودی یا مجازات
• درخواست رمز عبور یا کد احراز هویت
• درخواست انتقال وجه
• اصرار برای حفظ موضوع به‌صورت محرمانه
• جلوگیری از تماس با مدیر یا واحد مربوطه
• ارائه اطلاعات ناقص یا متناقض
• اصرار بر استفاده از یک کانال ارتباطی خاص
• درخواست نصب نرم‌افزار یا انجام اقدامی که قبلاً درباره آن هماهنگ نشده است

جعل هویت چه ارتباطی با فیشینگ دارد؟

جعل هویت و فیشینگ یکی نیستند، اما می‌توانند در یک حمله کنار هم استفاده شوند.

در جعل هویت، مهاجم تلاش می‌کند خودش را به جای یک فرد یا سازمان قابل‌اعتماد معرفی کند؛ مثلاً مدیر، بانک، پشتیبانی یا یک دوست. هدف این است که قربانی به هویت جعلی اعتماد کند.

فیشینگ یکی از روش‌هایی است که مهاجم می‌تواند برای فریب قربانی از آن استفاده کند؛ برای مثال با ارسال یک پیام یا ایمیل جعلی، قربانی را به باز کردن یک لینک، وارد کردن اطلاعات یا انجام یک اقدام خاص ترغیب کند.

به زبان ساده:

مهندسی اجتماعی = فریب انسان

جعل هویت = خود را جای فرد یا سازمان معتبر جا زدن

فیشینگ = فریب قربانی با ابزارهایی مثل پیام، ایمیل یا صفحه جعلی

بنابراین ممکن است یک حمله فیشینگ با جعل هویت همراه باشد، اما هر جعل هویتی فیشینگ نیست؛ مثلاً اگر فردی تلفنی خودش را کارمند بانک معرفی کند و بدون ارسال لینک، اطلاعاتی از قربانی بخواهد، با جعل هویت و مهندسی اجتماعی مواجه هستیم، نه لزوماً فیشینگ.

اتاق تحلیل ۲۴ نیوز | دیدگاه تحلیلی بهراد یوسفی

نقطه ضعف اصلی در بسیاری از سناریوهای مهندسی اجتماعی، فناوری نیست؛ اعتماد بیش از حد به نشانه‌های ظاهری اعتبار است.

یک شماره تلفن، نام کاربری، لوگو، لحن رسمی یا حتی اطلاعاتی که فرد مقابل درباره ما می‌داند، هیچ‌کدام به‌تنهایی اثبات نمی‌کنند که با فرد واقعی طرف هستیم.

در فضای دیجیتال، «شناختن اطلاعات یک فرد» با «شناختن خود آن فرد» تفاوت دارد.

به همین دلیل، یک عادت ساده می‌تواند بخش قابل‌توجهی از این حملات را خنثی کند:

قبل از انجام درخواست، هویت و اصل درخواست را از یک مسیر مستقل بررسی کنیم.

اگر کسی درخواست حساسی مطرح می‌کند، حتی اگر خودش را مدیر، بانک، پلیس، پشتیبانی یا دوست معرفی کند، چند ثانیه مکث و راستی‌آزمایی می‌تواند از یک اشتباه پرهزینه جلوگیری کند.

جمع‌بندی

مهاجمان سایبری همیشه برای رسیدن به هدف خود به آسیب‌پذیری فنی نیاز ندارند. گاهی کافی است اعتماد قربانی را به دست آورند.

جعل هویت (Impersonation) و Pretexting دو تکنیک مهم در این زمینه هستند که با استفاده از هویت جعلی، سناریوی ساختگی و نشانه‌های ظاهری اعتبار، قربانی را به تصمیمی هدایت می‌کنند که در شرایط عادی شاید آن را انجام نمی‌داد.

بنابراین هنگام دریافت یک درخواست غیرمنتظره، به‌خصوص درخواست مربوط به اطلاعات حساس، پول، حساب کاربری یا کدهای امنیتی، نباید صرفاً به هویت اعلام‌شده اعتماد کرد.

مکث، بررسی و راستی‌آزمایی از یک مسیر مستقل، سه گام ساده برای کاهش ریسک فریب هستند.

منابع مستقیم

• NIST – Special Publication 800-63B: Social Engineering
  منبع تخصصی برای توضیح مهندسی اجتماعی و نمونه‌هایی مثل جعل هویت مدیر سیستم.
• FTC – Impersonator Scams
  برای توضیح جعل هویت و اینکه مهاجم چگونه خود را جای فرد یا سازمان دیگری معرفی می‌کند.
• FTC – How To Avoid an Imposter Scam
  نمونه‌های جعل هویت کسب‌وکارها، نهادهای دولتی، پشتیبانی فنی و افراد آشنا و روش راستی‌آزمایی.
• FTC – Government Impersonation Scams
  برای مثال‌های جعل هویت نهادهای رسمی و ایجاد فشار و فوریت برای فریب قربانی.