چگونه در تلگرام هک میشویم؟

بدیهی است که تلگرام مسنجری است با امنیت بسیار بالا که هک کردن آن غیر ممکن هست. ولی بر اساس مهندسی اجتماعی هر مسنجری یک راه نفوذی دارد…

تقریبا تنها راه نفوذ به تلگرام از راه مهندسی اجتماعی هست. اساساً هر باری که یک هکر باگی برای هک تلگرام پیدا میکنند مدیران تلگرام بسرعت این باگ را رفع کرده اند تا جایی که تلگرام غیرقابل نفوذ شده. بنابراین میتوان گفت بجز روش مهندسی اجتماعی روش دیگری باقی نمانده!

مهندسی اجتماعی هم روش آسانی نیست و اگر فرد تارگت فریب نخورده و با هکر راه نیاید یا خودش اینکاره باشد دیگر امکان ندارد ولی افراد کم سواد و ساده لوح براحتی هک میشوند.

مهندسی اجتماعی چیست؟

مهندسی اجتماعی یا Social Engineering یعنی: هنر دسترسی به سیستم ها یا داده ها با بهره برداری از روان شناسی بدون نفوذ یا استفاده از تکنیک های هک فنی. به عنوان مثال، یک مهندس اجتماعی بجای تلاش برای یافتن یک آسیب پذیری یا باگ نرم افزاری، با تظاهر به اینکه یک شخص پشتیبان IT است، تلاش میکند تا یک یا چند کارمند را بمنظور افشای رمز عبورشان فریب دهد.

حتی اگر در هوشیاری و آمادگی کامل باشید، زمانی که نوبت به امنیت داده هایتان میرسد، با وجود اینکه بر روی فناوری های دفاعی سرمایه گذاری کرده اید و سیاست های امنیتی و فرایند های مناسب را در اختیار گرفته و کارامدی آنها را سانیده و به طور مرتب ارتقایشان داده اید، باز هم یک مهندس اجتماعی میتواند راه خودش را باز کرده و به هدفش برسد.

آگاهی، اولین معیار دفاع است. کارکنان باید آگاه باشند که این روش وجود دارد و با رایجترین تکنیک های مورد استفاده آشنا شوند. ترفندهای مهندسی اجتماعی همیشه در حال تکامل هستند و آموزش ها باید تازه و بروز باشد. بعنوان مثال، همانطورکه سایت های شبکه های اجتماعی رشد و تکامل می یابند، مهندسان اجتماعی سعی در استفاده از آنان دارند.

عامل انسانی چیست؟

عامل انسانی مهمترین عامل برای هک کردن سوژه به روش مهندسی اجتماعی است. اما آیا میدانید عامل انسانی چیست؟ هکرهایی که از طریق مهندسی اجتماعی نفوذ میکنند براحتی میتوانند رمزهای عبور و سایر اطلاعات حساب را با وانمودکردن اینکه شخص دیگری هستند، از افراد یا شرکتها بگیرند.

این طبیعی است که مشتاق باشیم کاملاً احساس امنیت کنیم و باعث شویم افراد زیادی به سمت این احساس هدایت شوند که به غلط احساس امنیت داشته باشند. بعنوان مثال مالک خانه ای را درنظر بگیرید که فردی است عاشق و دوستدار خانواده و فرزندان و یک فارغ التحصیل پزشکی است و قفل ضد سرقتی دارد که بر روی درب ورودی خانه اش برای مراقبت از همسر و فرزندان و خانه اش نصب کرده. او اکنون خیالش راحت است که کاری کرده تا خانواده اش در مقابل تجاوز احتمالی به خانه اش، کاملاً در امان باشند.

اما درمورد سارقینی که پنجره را میشکنند یا کُد امنیتی درب ورودی پارکینگ را هک میکنند چه میتوان گفت؟ آیا بهتر نیست که این فرد سیستم امنیتی قویتری را نصب کند؟ اما باز هم هیچ تضمینی نخواهد بود. هرچه قفل های مورد استفاده گران باشند یا ارزان قیمت، این فرد همچنان در مقابل سارقین آسیب پذیر است.

می پرسید چرا؟ زیرا عامل انسانی در واقع ضعیف ترین پیوند امنیتی است.

امنیت در بیشتر مواقع صرفاً یک توهم است، توهمی که گاهی اوقات وقتی ساده لوحی، بی تجربگی یا غفلت به میان می آید بدتر هم میشود. آلبرت انیشتین، قابل احترام ترین دانشمند قرن بیستم، این جمله را گفته: “فقط دو چیز نامتناهی هستند، جهان و حماقت انسان و من نسبت به اولی چندان مطمئن نیستم”. حملات نفوذی مهندسی اجتماعی، زمانی که افراد غافل هستند یا صرفاً نسبت به اعمال امنیتی مناسب و خوب اطرافشان، کاستی بخرج میدهند، می تواند به موفقیت ختم شود.

با همان نگرشی که آن مالک نسبت به امنیت خانه و خانواده اش داشت، بسیاری از افراد حرفه ای شاغل در بخش تکنولوژی و اطلاعات، این سوء برداشت را دارند که سازمانشان را در مقابل تهاجم و نفوذ کاملاً ایمن سازی کرده اند، چون فکر میکنند که محصولات امنیتی استاندارد از جمله فایروالها، سیستمهای کشف و نفوذ و تهاجم، یا ابزارهای تأیید اعتبار یا احراز هویت از جمله رمزهای مبتنی بر زمان یا کارتهای هوشمند بیومتریک را بکار گرفته اند. هرکسی که فکر میکند محصولات امنیتی به تنهایی امنیت مناسبی را فراهم میکند در واقع خود را برای توهم امنیتی آماده کرده است. این زندگی در دنیای متوهم و فانتزی و خیالی است: این افراد اگر نگوییم خیلی زود، بالاخره دچار یک حادثۀ امنیتی میشوند.

باید گفت امنیت یک محصول نیست، یک فرآیند است. افزون بر آن، امنیت یک مسئلۀ تکنولوژیکی نیست بلکه یک مسئلۀ مدیریتی و فردی است. همچنانکه تولیدکنندگان بطور مستمر تکنولوژیهای امنیتی بهتر را ابداع میکنند، باعث میشوند که بیشتر و بیشتر بهره برداری از آسیب پذیری های فنی دشوارتر باشد و نفوذگران، بیشتر و بیشتر به بهره برداری از عامل انسانی روی بیاورند. شکستن فایروال انسانی معمولاً بسیار آسان و ساده است و صرفاً هزینۀ آن یک تلفن است و شامل کمترین میزان ریسک نیز خواهد بود! علیرغم هوش و عقلانیتی که ما انسانها از آن بهره مند هستیم، اما همچنان برای امنیت یکدیگر یک تهدید جدی و قوی محسوب میشویم.

اکثر افراد این فرضیه را در ذهن دارند که به هیچوجه فریب دیگران را نخواهند خورد. آنهم براساس این اعتباد پوچ که احتمال فریب خوردن خیلی پایین است؛ اما فرد سارق و نفوذگر، با درک چنین اعتماد مرسوم و رایجی، کاری میکند که درخواستش آنقدر منطقی بنظر برسد که هیچگونه شک و تردیدی را برانگیخته نسازد. درحالیکه تمام تلاش خودرا همزمان انجام می دهد که از اعتماد قربانی سوء استفاده کند.

یک سناریو برای هک تلگرام به روش مهندسی اجتماعی…

مواد لازم برای پیاده سازی ساده ترین روش هک تلگرام به روش مهندسی اجتماعی:

۱. شماره مجازی

۲. اکانت تلگرام خالی (۲ عدد!)

۳. داشتن شماره ی سوژه یا تارگت

غالباً هک کردن به روش مهندسی اجتماعی بر اساس یک سناریو یا فیلمنامه صورت میگیرد. فیلمنامه ای که شاید روزها برروی جزئیات آن تفکر شده. خب سریع و بدون مقدمه میریم سراغ آموزش سناریوی هک:

گام اول – ساخت اکانت جعلی: اول داخل یک تلگرام خالی شمارۀ مجازی را بزنید و وارد شوید. تا اینجا شما اکانت خود را ساخته اید. حالا باید آنرا آرایش کرده تا جایی که بتوانید یک پیرزن جادوگر را بجای دختری تازه عروس قالب کنید!

گام دوم – آرایش کردن و ساختن ظاهری قابل اعتماد: این مهمترین گام در هک بروش مهندسی اجتماعی است. بعداز اینکه وارد اکانت تلگرام شماره مجازیتان شدید اسم اکانت تلگرام را Telegram و پروفایل را هم Telegram بگذارید. سپس برای کسب اعتماد بیشتر داخل بیوگرافی تان شماره ی Telegram را بنویسید یعنی داخل بیو بنویسید +۴۲۷۷۷

خب حالا با این شماره داخلِ PV طرف بروید و همزمان داخل تلگرام خالی دیگرتان شمارۀ طرف را بزنید

بعد داخل PV طرف و پیامی شبیه به این را بنویسید:

با سلام

طبق بررسی های تیم تلگرام اکانت شما تا ساعاتی دیگر مسدود میگردد

برای جلوگیری از مسدود شدن اکانت شما کد ۵ رقمی ای که به شما ارسال کردیم را برای ما بفرستید و منتظر پاسخ های ما باشید.

با تشکر، تیم تلگرام

البته میتوانید متن های دیگر ای هم بزنید. اما دقت کنید که باید بتواند سوژه را فریب بدهد. وگرنه کار عقیم می ماند. بعداز اینکه کُد را فرستاد (هک شد بدست خودش!) میتوانید بهِ اکانتش وارد شوید و هر کاری که دوست داشتید با او بکنید! به اینکار هک از نوعِ مهندسی اجتماعی گفته میشود.

مثالی کلاسیک از فریبکاری بروش مهندسی اجتماعی

آنچه در بالا بیان شد تنها نمونه ای بود از هزاران هزار سناریوی هک که در این سالها به روش مهندسی اجتماعی انجام شده. لازم به ذکر است که هر روز این سناریوها پیچیده تر و پیشرفته تر میشوند. هک به روش مهندسی اجتماعی را میتوان به یک نوع سرقت بدون خونریزی و سلاح تشبیه کرد. این تهدیدی است که امنیت دارایی ها و تجاری شما را تهدید میکند.

از طرفی هک به روش مهندسی اجتماعی را میتوان به یک نوع تردستی و شعبده بازی تشبیه کرد. یک هکر مهندس اجتماعی، شعبده بازی است که کاری می کنید تا شما به دست چپ او نگاه کنید، در حالی که در همان لحظه راز پنهان شده در دست راست اوست و با سوء استفاده از غفلت شما درحال اجرای بدون نقص شعبدۀ خود هست. به همین دلیل شخصیت این نوع هکرها معمولاً آنقدر دوستانه، مهربان و چرب زبان است که از اینکه با او مواجه شده اید در آن لحظه بسیار راضی و خشنود هستید.

بیایید نگاهی به یک مثال از مهندسی اجتماعی بیندازیم. از شنیدن این داستان واقعی تنها نتیجه ای که میتوان گرفت این هست که آموزش و آگاهی، تنها راه جلوگیری هک به روش مهندسی اجتماعی است. سرقتی که به بزرگترین دزدیِ قرن مشهور شد و چند سال بعد هم فیلمی از روی آن ساخته شد درواقع یک هک بروش مهندسی اجتماعی بود. شاید هنوز هم افراد باشند که داستان آن مرد جوان به نام استنلی و ماجرای مختصری که با سکیوریتی نشنال بانک در لوس آنجلس داشت را به یاد بیاورند. حساب های مخفی او متنوع و مختلف بود و استنلی هیچگاه داستان شخصی خود را تعریف نکرده است و آنچه که در ادامه می آید، برگرفت از گزارش های منتشر شده است.

گام اول: رمزگشایی و شناخت حفرۀ امنیتی

در حال قد زدن بود که بصورت تصادفی به اتاق کنترل و انتقال وجوه شرکت سکیوریتی نشنال بانک که ورود افراد متفرق به داخل آن ممنوع بود، رسید. جایی که کارکنان در آن، نقل و انتقالات پولی به مبلغ چندین میلیارد دلار را روزانه انجام میدادند. او برای یک شرکت تحت قرارداد کار میکرد تا سیستمهای بازیابی را برای داده های اتاق کنترل و انتقال درصورت از کار افتادن کامپیوتر اصلی، توسعه دهد. این پست به او امکان دسترسی به فرآیندهای نقل وانتقال وجه، از جمله اینکه کارمندان شرکت چطور برای ارسال وجوه سازماندهی می شدند را فراهم کرده بود. او دریافته بود که کارمندان بانکی که مجاز هستند نقل و انتقالات وجه نقد را از طریق سیستم انجام دهند، بصورت روزانه یک کُد شدیداً محافظت شده و محرمانه را هر روز صبح دریافت میکنند تا در تماس با اتاق کنترل از آن استفاده کنند. مشکل اینجا بود که کارمندانی که در اتاق کنترل بودند خودشان را از دشواری تلاش برای بخاطرسپاری هرکُد روزانه خلاص کرده بودند. بطوریکه آنها آن کد را روی یک تکه کاغذ می نوشتند و آن کاغذ را جایی میچسباندند که بتوانند براحتی آنرا ببینند! در آن روز خاص از ماه نوامبر، استنلی دلیل خاصی برای بازدید خود داشت. او قصد داشت تا به آن کاغذ نگاهی بیندازد و این تازه شروع ماجرا بود.

وقتی او به داخل اتاق کنترل رسید، چند یادداشت را درمورد فرآیندهای عملیاتی برداشت، چون قراربود که از این مسئله اطمینان حاصل کند که سیستم بازیابی بخوبی با سیستمهای معمولی و روزمره انطباق دارد. در همین حال، بسرعت آن کُد امنیتی را از آن تکه کاغذ چسبانده شده خواند و آنرا به حافظۀ خود سپرد و چند دقیقه بعد از اتاق خارج شد. همانطورکه خود او بعداً گفت، احساس میکرد که انگار برندۀ بلیط لاتاری شده است. چون بقیۀ ماجرا فقط تلفن کردن بود.

گام دوم: حساب بانکی در سوییس

وقتی او ساعت ۳ بعدازظهر اتاق را ترک کرد مستقیماً بسمت تلفن همگانی که در لابی آن ساختمان تروتمیز و براق بود رفت و با انداختن یک سکه به داخل آن، با اتاق کنترل تماس گرفت. او سپس با تغییر هویت خود، از استنلی (مشاور بانکی) به مایک هنسن (عضو سازمان بین المللی آن بانک)، با اتاق کنترل تماس گرفت.

طبق گزارش یک منبع موثق، این مکالمه به این ترتیب پیش رفت:

– سلام، من مایک هنسن از بخش بین الملل هستم؛

کارمند بانک از او شماره دفتر او را خواست. این یک فرآینهد استاندارد بود و او از قبل آماده بود که شماره ۲۸۶ را به او بگوید.

– سپس آن دختر پرسید: خب، شماره کُد لطفاً؟

استنلی بعدها گفت بود که ضربان قلبش با توجه به افزایش آدرنالین خونش در این لحظه شدیداً افزایش یافت بود و به آرامی جواب داد: ۴۷۸۹

سپس دستوراتی را در مورد انتقال ده میلیون و دویست هزار دلار به حساب شرکت ایروینگ تراست در نیویورک و به اعتبار بانک ووزچود هندلز زوریخ، در سوییس ارسال کند. که او پیش از این در آن بانک حساب باز کرده بود.

– آن دختر گفت: باشه ، انجام میشد! اما حالا باید شماره حساب بین بانکی را هم به من بدهید.

استنلی در این لحظه عرق میکند و غرق در اضطراب میشود. چراکه این سوال را پیش بینی نکرده بود. چیزی که در تحقیقاتی که انجام داده بود، به هیچ وجه آنرا درنظر نگرفته بود. اما او توانست همچنان اعتماد بنفس خودرا حفظ کند و طوری رفتار کرد که انگار همه چیز خوب است و فوراً بدون اینک مکث کند گفت: اجازه بدهید بررسی کنم؛ مجدداً با شما تماس خواهم گرفت. او یکبار دیگر با تغییر هویت خود تصمیم گرفت با بخش دیگری در آن بانک تماس بگیرد و اینبار ادعا کرد که یکی از کارمندان اتاق کنترل و انتقال است. او شماره تسویه را اخذ کرد و مجدداً با آن دختر تماس گرفت.

آن دختر هم آن شماره را گرفت و گفت: متشکرم 🙂 در این شرایط، تشکر کردن آن دختر بنظر بسیار مضحک و طعن آمیز میرسید!

گام سوم: دستیابی به بسته

چند روز بعد استنلی به سوییس پرواز کرد، پول نقدی که به حسابش ریخته شده بود را برداشت کرد و معادل با هشت میلیون دلار آنرا از یک کارگزاران روسی الماس تهیه کرد. او مجدداً به ایالات متحده بازگشت و الماس هایی که در باند رول پولها پنهان کرده بود را از گمرکات این کشور رد کرد. او بزرگترین کلاهبرداری بانکی تاریخ را انجا داده بود و این کار را بدون استفاده از اسلحه و حتی بدون استفاده از کامپیوتر انجام داده بود. و سرانجام درنهایت تعجب، این اقدام و جهش او در کتاب رکوردهای جهانی گینس و در دستۀ بزرگترین کلاه برداریهای کامپیوتری دنیا ثبت شد!

استنلی از هنر فریب دادن یا همان مهارت و تکنیکی که امروزه به آن مهندسی اجتماعی گفته میشود استفاده کرد. برنامه ریزی کامل و داشتن فن بیان تمام آن چیزی است که در اینکار به آن نیاز هست. و اینکه چطور بتوانید به موقع از آنها در داخل سازمانتان از آن استفاده کنید.

ماهیت تهدید

داستان استنلی بطورکامل در مورد اینکه درک و برداشت ما از امنیت چقدر میتواند گمراه کننده باشد، شفاف و روشن است. اتفاقاتی نظیر این در زندگی روزمره مردم زیاد اتفاق می افتند (البته نه به این بزرگی). شاید شما همین الان که این متن را می خوانید، در گذشته یکی از قربانیان هکرهای اجتماعی شده باشید یا پولی را به این طریق از دست داده باشید یا اینکه کسی احتمالاً طرح تازه و نبوغ آمیزتان درمورد محصول یا سرویسی جدید را از شما ربوده باشد و شما حتی تا مدتها از آن بی اطلاع مانده باشید. اگر هنوز چنین چیزی برای شما یا در شرکت شما اتفاق نیفتاده است مطمئن باشید که اگر شگردهای هکرهای اجتماعی را نشناسید در آینده اتفاق خواهد افتاد اما زمان آن مشخص نیست.