مهندسی اجتماعی نوین
اغلب سازمان‌ها هنوز تمرکز خود را صرفا بر ایمیل و شیوه‌های کلاسیک حمله می‌گذارند، در حالی که مهاجمان با ترکیب تکنیک‌ها—از ایمیل تا صدا و پیام‌رسان‌ها—زنجیره حمله را چندلایه و گمراه‌کننده می‌سازند. آن‌ها گاهی پس از موفقیت در فیشینگ ایمیلی، از اطلاعات جمع‌شده برای تماس تلفنی مستند و قانع‌کننده استفاده می‌کنند و ضعف‌های انسانی (نظیر اضطراب یا اعتماد افراطی) را هدف می‌گیرند.
مهاجم پس از جمع‌آوری اطلاعات اولیه (اغلب از طریق حملات قبلی فیشینگ یا رخنه داده‌های سازمانی) به‌صورت هدفمند با کارمند یا مدیر سازمان تماس می‌گیرد. تماس‌ها با روش‌هایی نظیر spoofing شماره تماس انجام می‌شود تا اعتبار کافی نزد هدف ایجاد گردد. گاهی صدای مصنوعی (deepfake) یا اسکریپت‌های از پیش آماده برای شبیه‌سازی لحن مدیر سازمان هم استفاده می‌شود. هدف عمدتاً اخذ داده‌های حساس (مانند رمز عبور، کد MFA، اطلاعات ورود به سامانه مالی/اداری) یا ترغیب کاربر به انجام یک اقدام آسیب‌زا (مثل انتقال پول یا باز کردن فایل مخرب) است.
در بسیاری موارد جدید، پس از اینکه مهاجم دسترسی اولیه یا داده‌های حیاتی را بدست آورد، به جای فروش اطلاعات یا استفاده مستقیم، تهدید به افشای عمومی یا نابودی اطلاعات می‌کند و از سازمان درخواست پرداخت باج دارد. این رویکرد که با اصطلاح data extortion شناخته می‌شود، نه تنها مؤلفه فنی، بلکه فشار روانی، شهرتی و حقوقی را نیز بر قربانی وارد می‌کند.
#آکادمی_روزبه
مرکز تخصصی CISSP
https://cloud.google.com/blog/topics/threat-intelligence/voice-phishing-data-extortion
اغلب سازمان‌ها هنوز تمرکز خود را صرفا بر ایمیل و شیوه‌های کلاسیک حمله می‌گذارند، در حالی که مهاجمان با ترکیب تکنیک‌ها—از ایمیل تا صدا و پیام‌رسان‌ها—زنجیره حمله را چندلایه و گمراه‌کننده می‌سازند. آن‌ها گاهی پس از موفقیت در فیشینگ ایمیلی، از اطلاعات جمع‌شده برای تماس تلفنی مستند و قانع‌کننده استفاده می‌کنند و ضعف‌های انسانی (نظیر اضطراب یا اعتماد افراطی) را هدف می‌گیرند.
مهاجم پس از جمع‌آوری اطلاعات اولیه (اغلب از طریق حملات قبلی فیشینگ یا رخنه داده‌های سازمانی) به‌صورت هدفمند با کارمند یا مدیر سازمان تماس می‌گیرد. تماس‌ها با روش‌هایی نظیر spoofing شماره تماس انجام می‌شود تا اعتبار کافی نزد هدف ایجاد گردد. گاهی صدای مصنوعی (deepfake) یا اسکریپت‌های از پیش آماده برای شبیه‌سازی لحن مدیر سازمان هم استفاده می‌شود. هدف عمدتاً اخذ داده‌های حساس (مانند رمز عبور، کد MFA، اطلاعات ورود به سامانه مالی/اداری) یا ترغیب کاربر به انجام یک اقدام آسیب‌زا (مثل انتقال پول یا باز کردن فایل مخرب) است.
در بسیاری موارد جدید، پس از اینکه مهاجم دسترسی اولیه یا داده‌های حیاتی را بدست آورد، به جای فروش اطلاعات یا استفاده مستقیم، تهدید به افشای عمومی یا نابودی اطلاعات می‌کند و از سازمان درخواست پرداخت باج دارد. این رویکرد که با اصطلاح data extortion شناخته می‌شود، نه تنها مؤلفه فنی، بلکه فشار روانی، شهرتی و حقوقی را نیز بر قربانی وارد می‌کند.
#آکادمی_روزبه
مرکز تخصصی CISSP
https://cloud.google.com/blog/topics/threat-intelligence/voice-phishing-data-extortion
Comments
Be the first to add a comment
Log in to comment