Ijtimoiy muhandislik nima: pretexting, vishing va qopqonlar
Asoslar3 daqInnovialabs tahririyati
Qisqacha
Ijtimoiy muhandislik tizimlarni emas, odamlarni aldaydi: hujumchi shoshilinchlik yaratadi yoki o‘zini rahbar qilib ko‘rsatadi, shunda siz kodni, kirish huquqini o‘zingiz berasiz. Himoya — to‘xtab, o‘z kanalingiz orqali qayta tekshirish odati.
Qisqa javob
Ijtimoiy muhandislik — dasturga emas, odamga qaratilgan hujum. Agar xodim SMS-kodni o‘zi aytib bersa, eshikni ochib qo‘ysa yoki topib olgan fleshkani ish kompyuteriga ulasa, shifrlashni buzishning hojati yo‘q.
Fishing xatlari eng mashhur turi, lekin yagona emas. Quyida pochtadagi havolasiz ishlaydigan usullar: telefon orqali, yuzma-yuz va jismoniy narsalar yordamida.
Asosiy usullar
- Pretexting — oldindan o‘ylab qo‘yilgan afsona. «Men IT bo‘limining yangi xodimiman, kirish huquqlarini tekshiryapman», «Soliq idorasidanman, rekvizitlarni aniqlashtirish kerak». Afsona ochiq manbalardan topilgan tafsilotlar bilan mustahkamlanadi: rahbarlar ismi, loyiha nomlari, ichki atamalar.
- Vishing (voice phishing) — bank, xavfsizlik xizmati, aloqa operatori yoki texnik yordam nomidan qo‘ng‘iroq. Klassik misol: «Kartangizdan pul yechmoqchi bo‘lishyapti, bekor qilish uchun kodni ayting». Ekrandagi raqam soxtalashtirilgan va rasmiy ko‘rinishi mumkin.
- Soxta kuryer yoki usta — qutili yoki «ta’mirlash arizasi» bilan kelgan forma kiygan odam: ofisga kirishi, tarmoqqa ulanishi yoki «planshetga imzo qo‘yishingiz» kerak.
- Qopqon (baiting) — avtoturargohda «Maoshlar 2026» yozuvli fleshka, bepul zaryad kabeli, varaqadagi QR-kod. Qiziquvchanlik qolgan ishni bajaradi.
- Tailgating — orqadan kirib olish: qo‘li band odam ruxsatnomali hududga eshikni ushlab turishni so‘raydi.
- Quid pro quo — «xizmat evaziga xizmat»: «Yordam xizmatidanman, pochtangizdagi muammoni tuzataman, faqat mana bu masofaviy kirish dasturini o‘rnating».
Qaysi psixologik tetiklarga bosim o‘tkaziladi
| Tetik | Qanday eshitiladi | Natijasi |
|---|---|---|
| Shoshilinchlik | «10 daqiqadan keyin hisob bloklanadi» | O‘ylash va tekshirishga vaqt qolmaydi |
| Obro‘ | «Bu direktor, o‘tkazmani hozir qiling» | Rahbarga savol berish qo‘rqinchli |
| Qo‘rquv | «Sizga nisbatan ish ochilgan» | Vahima tanqidiy fikrni o‘chiradi |
| Yordam berish | «Eshikni ushlab turing, iltimos» | Rad etish qo‘pollikdek tuyuladi |
| Qiziqish va foyda | «Siz yutdingiz», «Maxfiy fayl» | Bilish istagi ehtiyotkorlikdan ustun keladi |
| Tanish tafsilotlar | Ismingiz va karta raqamining bir qismini biladi | «O‘zimiznikidek» tuyuladi |
Umumiy tamoyil: hujumchi sizni sekin va tartib bo‘yicha emas, tez va hissiyotga berilib harakat qilishga majburlaydi.
Hujumni to‘xtatadigan tekshiruv odatlari
- To‘xtang. Har qanday shoshilinchlik — to‘xtash uchun signal. Haqiqiy bank yoki rahbar besh daqiqa kuta oladi.
- O‘z kanalingiz orqali qayta qo‘ng‘iroq qiling. Go‘shakni qo‘ying va karta orqasidagi yoki rasmiy ilovadagi raqamni tering. Sizga aytilgan raqamga qo‘ng‘iroq qilmang.
- Kodlar hech kimga aytilmaydi. Na bank, na operator, na «xavfsizlik xizmati» SMS yoki push-koddan so‘ramaydi. So‘rashsa — bu firibgarlar.
- Pul va huquqlar uchun ikkinchi kanal. O‘tkazma yoki huquq berish so‘rovini alohida tasdiqlang: korporativ messenjerda shaxsiy xabar yoki ma’lum raqamga qo‘ng‘iroq.
- Mehmonlar faqat kuzatuv bilan. Kuryer posilkani resepshnda qoldiradi, usta administrator biladigan ariza bo‘yicha keladi.
- Begona qurilmalarni ulamang. Topilgan fleshka IT bo‘limiga topshiriladi, «kimniki ekan» deb kompyuterga ulanmaydi.
- Rad etishdan uyalmang. Ruxsatnomasiz odamga eshikni ushlab turish — xushmuomalalik emas, qoidabuzarlik. Muloyim variant: «Keling, administratorni chaqiraman».
Kompaniya nima qilishi kerak
- Oddiy tartiblar yozing: to‘lovlar qanday tasdiqlanadi, parolni kim tiklay oladi, mehmonlar qanday kiradi.
- Yiliga bitta ma’ruza o‘rniga real qo‘ng‘iroq va vaziyat misollari bilan qisqa va muntazam mashg‘ulotlar o‘tkazing.
- Shubhali qo‘ng‘iroq haqida xabar berish oson va uyatsiz bo‘lsin — bitta kanal, yolg‘on signal uchun jazo yo‘q.
- Xodimlar ichki jarayonlar haqida ochiq joylarda nima e’lon qilishini cheklang.
- Ikki bosqichli autentifikatsiya va minimal huquqlarni yoqing: bitta odam aldansa ham zarar kichik bo‘ladi.
Ko‘p uchraydigan xatolar
- «Bunga faqat e’tiborsizlar aldanadi» deb o‘ylash. Hujumlar charchagan va band odamlarga mo‘ljallangan, ya’ni hammaga.
- Ekrandagi raqamga ishonish. Raqamni soxtalashtirish texnik jihatdan mumkin.
- Qo‘ng‘iroq qiluvchini javobi ijtimoiy tarmoqlarda bor savollar bilan tekshirish.
- Xatosini tan olgan xodimni jazolash. Keyingi safar u indamay qoladi.
Ko‘p beriladigan savollar
Fishing uning turlaridan biri, odatda xatlar va soxta saytlar orqali. Ijtimoiy muhandislik kengroq: qo‘ng‘iroqlar, shaxsiy tashriflar, jismoniy qopqonlar va odamni qoidani o‘zi buzishga ko‘ndiradigan har qanday ssenariy.