सोशल इंजीनियरिंग एक तरह का घोटाला है, जो डिजिटल नहीं, बल्कि सोशल संकेतों पे निर्भर करता है। स्कैमर आपके बिज़नेस, आपके कर्मचारियों, आपके प्रोजेक्ट्स और बहुत कुछ की गहरी जानकारी का इस्तेमाल करके आपको मना लेते हैं कि आप उन्हें पासवर्ड रीसेट करने दें या किसी पेमेंट को मंज़ूरी दें। अक्सर वो इस जानकारी को जल्दबाज़ी के साथ जोड़ते हैं और आपको फौरन फ़ैसला लेने के लिए उकसाते हैं।

चेतावनी संकेतों की कोई भी सूची किसी को इसके लिए तैयार नहीं कर पाती, क्योंकि ये हेरफेर तकनीक के ज़रिए नहीं होता। ये किसी के दिमाग में तब होता है जब फ़ैसला लिया जा रहा होता है।

हमने पहले ही बुनियादी स्तर पे सोशल इंजीनियरिंग क्या है को कवर किया है: परिभाषाएं, आम हमलों की कैटेगरी, और हेरफेर पे आधारित हमलों बनाम पूरी तरह तकनीकी हमलों की बड़ी कार्यप्रणाली। एक असरदार सुरक्षा जागरूकता प्रोग्राम बनाना, ट्रेनिंग को कैसे ढालना, उसकी फ़्रीक्वेंसी तय करना, और ये मापना कि उसमें से कुछ भी असर कर रहा है या नहीं, अलग विषय है जिस पे हम लिख चुके हैं।

ये लेख दोनों के बीच में है। परिभाषाओं या प्रोग्राम डिज़ाइन की बजाय, इसमें बताया गया है कि आपकी कर्मचारी ट्रेनिंग में असल में क्या शामिल होना चाहिए: वो साइकोलॉजिकल तंत्र जिन पे हमलावर निर्भर करते हैं, और असली प्रतिरोध कैसा दिखता है जब कोई स्लाइड में पढ़ने की बजाय उस पल में खड़ा होता है।

सोशल इंजीनियरिंग क्यों काम करती है: छह लीवर, एक अंधा बिंदु

सोशल इंजीनियरिंग इसलिए सफल नहीं होती कि कर्मचारी लापरवाह हों। वो इसलिए सफल होती है क्योंकि वो इंसानी दिमाग के उन शॉर्टकट का इस्तेमाल करती है जिनका इस्तेमाल दिमाग हर रोज़ आम फ़ैसले जल्दी से लेने के लिए करता है, और फिर उन्हें ग़लत निशाने पे लगाती है। रॉबर्ट सियाल्दिनी की प्रेरणा पर की गई रिसर्च ने दशकों पहले इनमें से सात शॉर्टकट पहचाने थे, और उनमें से छह लगभग हर उस सोशल इंजीनियरिंग की कोशिश को दर्शाते हैं जिसका किसी बिज़नेस को सामना होगा:

  • पारस्परिकता
  • दुर्लभता
  • अधिकार
  • संगति
  • सोशल प्रूफ
  • एकता

अधिकार

स्कैमर सबसे ज़्यादा अधिकार पे भरोसा करते हैं। लोग किसी बड़े अधिकारी, आईटी एडमिनिस्ट्रेटर, या रेगुलेटर या सप्लायर जैसे किसी बाहरी निकाय की तरफ़ से आता दिखने वाला अनुरोध ज़्यादा जल्दी मान लेते हैं, अक्सर ये जांचे बिना कि वो अधिकार असली है या नहीं।

जल्दबाज़ी

जल्दबाज़ी इसे और बढ़ा देती है: डेडलाइन, लॉक खाता, या बैंक के बंद होने से पहले भेजना ज़रूरी पेमेंट लोगों को कार्रवाई की तरफ़ धकेलता है और सत्यापन से दूर ले जाता है, क्योंकि जांच के लिए ठहरना ऐसा लगता है जैसे उसी से वही समस्या पैदा हो सकती है जिसकी धमकी हमलावर दे रहा है।

दुर्लभता

दुर्लभता उसी तरह काम करती है, बस अलग रूप में: सीमित समय की ऑफ़र, एक बार की एक्सेस विंडो, या ऐसा संदेश जो ये संकेत देता है कि झिझकने का मतलब है छूट जाना।

सोशल प्रूफ

सोशल प्रूफ लोगों को यक़ीन दिलाता है कि कोई अनुरोध जायज़ है, क्योंकि दूसरे लोग ज़ाहिर तौर पे पहले ही उसे मान चुके हैं, जैसे “फ़ाइनेंस के बाकी लोगों ने पहले ही इसे मंज़ूर कर लिया है”, या ऐसा थ्रेड जो असली अंदरूनी बातचीत जैसा दिखता है। पसंद हेरफेर का फ़ायदा रिश्तेदारी से उठाता है: दोस्ताना, तारीफ़ करने वाला, या ऑफ़िस कल्चर से परिचित लगने वाला हमलावर सिर्फ़ अच्छे व्यवहार से निशाने का होशियार उतार देता है।

पारस्परिकता

पारस्परिकता छह में से सबसे शांत तरीके से काम करती है: पहले दिया गया छोटा एहसान, जानकारी का कोई टुकड़ा जो काम की लगती है, या पहले की गई कोई तारीफ़, जो जवाब में उस जतूने की एक हल्की, अक्सर अनजाने में होने वाली ज़िम्मेदारी पैदा कर देती है।

इनमें से कोई लीवर पेचीदा नहीं है। वो वही सहज गतियां हैं जिनसे ऑफ़िस में आम सहयोग मुमकिन हो पाता है। इनमें से किसी एक या ज़्यादा सिद्धांतों को लागू करने वाला कोई भी अनुरोध एक आम, हल्की जल्दबाज़ी वाला अनुरोध लगता है; वो किस्म जिसे जल्दी और मददगार तरीके से जवाब देने के लिए लोगों को उनके पूरे करियर में ट्रेन किया जाता है।

वो हमले जिनका कर्मचारियों को बिज़नेस संदर्भ में असल में सामना होता है

ज़्यादातर संगठन एंटी-फ़िशिंग उपायों पे ध्यान देते हैं और हमने फ़िशिंग हमलों से बचाव के बारे में लिखा है। लेकिन ईमेल पे रुक जाने वाली सोशल इंजीनियरिंग ट्रेनिंग उस ज़्यादातर हिस्से को छूटने देती है जिसका कर्मचारियों को असल में सामना होता है, खासकर ऐसे ऑफ़िस या हाइब्रिड कार्यस्थल में जहां फ़ोन कॉल, मेहमान, और फ़िज़िकल एक्सेस अब भी रोज़मर्रा का हिस्सा हैं।

विशिंग

वॉयस फ़िशिंग, यानी विशिंग, नक़ली फ़ोन कॉल या वॉयस नोट्स पे निर्भर करती है। कोई कॉलर आईटी सहायता बनकर सिस्टम अपडेट से पहले पासवर्ड की पुष्टि करवा सकता है, या बैंक बनकर कोई लेन-देन सत्यापित कर सकता है, या कूरियर बनकर डिलीवरी पूरी करने के लिए वन-टाइम कोड मांग सकता है।

किसी की आवाज़ में वो जल्दबाज़ी और अधिकार होता है जिसे टेक्स्ट भरोसेमंद तरीके से नक़ली नहीं बना सकता, और यही वजह है कि वो उन लोगों पे भी असर करती रहती है जो ख़ुद को फ़िशिंग ईमेल से सतर्क समझते हैं। इन दिनों हमलावर वॉयस-क्लोनिंग टूल्स का इस्तेमाल करके किसी असली सहकर्मी या एग्ज़ीक्यूटिव की आवाज़ की नक़ल भी करते हैं, जिसे NCSC ने व्यक्तियों और संगठनों दोनों के लिए बढ़ता जोखिम(नई विंडो) बताया है। हमने डीपफ़ेक से बचाव के बारे में भी लिखा है।

प्रीटेक्स्टिंग

प्रीटेक्स्टिंग में एक कहानी गढ़ना शामिल है, जिसे हमलावर फिर किसी असामान्य अनुरोध को जायज़ ठहराने के लिए इस्तेमाल करता है। वो नया सप्लायर बन सकता है जिसे पेमेंट सेटअप करने के लिए खाते की जानकारी चाहिए, या ऑडिटर जो एक्सेस लॉग मांगता है, या नौकरी का उम्मीदवार जो HR संपर्क से बैकग्राउंड चेक के लिए निजी जानकारी की पुष्टि करवाता है।

ये सिनारियो अक्सर सार्वजनिक जानकारी के छोटे-छोटे टुकड़ों से गढ़ा जाता है, जैसे जॉब टाइटल और सप्लायर के नाम को आपस में जोड़कर भरोसेमंद सुनाया जाता है।

बेटिंग

बेटिंग में कर्मचारी को कोई चीज़ पेश की जाती है जो वो चाहता है: कोई फ़्री रिसोर्स, ब्रांडेड USB ड्राइव या हार्ड ड्राइव, Q3 सैलरी रिव्यू नाम का दस्तावेज़, बदले में कोई ऐसी कार्रवाई जो डिवाइस या खाते में छेड़छाड़ करवाती है। ये इसलिए काम करती है क्योंकि ये फ़िशिंग ईमेल की तरह भरोसा नहीं मांगती; इसकी जगह जिज्ञासा ही राज़ी करवाती है।

टेलगेटिंग

टेलगेटिंग, यानी पिगीबैकिंग, इस सूची का इकलौता हमला है जिसका स्क्रीन से कोई लेना-देना नहीं। हमलावर किसी कर्मचारी के पीछे-पीछे बैज-नियंत्रित दरवाज़े से अंदर घुस जाता है, अक्सर डिब्बे लिए हुए, यूनिफ़ॉर्म जैसा कुछ पहने हुए, या बस उस पल का इंतज़ार करके जब दरवाज़ा खोलके रखना शिष्टता की बात हो। ये सीधे काम की शिष्टता का फ़ायदा उठाता है, इसीलिए फ़िज़िकल सुरक्षा की ट्रेनिंग अक्सर उन प्रोग्रामों में नज़रअंदाज़ हो जाती है जो पूरी तरह इनबॉक्स के इर्द-गिर्द बने होते हैं।

सोशल इंजीनियरिंग के हमलों का प्रतिरोध असल में कैसा दिखता है

कर्मचारियों को सिर्फ़ ये कहना कि “ज़्यादा शक करें” असली दबाव में टिकता नहीं। शक एक एहसास है, और हमलावर ख़ास तौर पे उसे दरकिनार करने की कोशिश करते हैं। ट्रेनिंग को उस अस्पष्ट निर्देश की जगह ऐसे ठोस, दोहराए जा सकने वाले व्यवहार लाने चाहिए जो किसी के उस पल ये ग़ौर करने पे निर्भर न करें कि उसके साथ हेरफेर हो रहा है।

हमेशा सत्यापित करें

अलग चैनल के ज़रिए सत्यापन वो एक सबसे काम की आदत है जिसे कोई बिज़नेस अपना सकता है। अगर कोई अनुरोध ईमेल से आए, तो उसकी फ़ोन या मुलाक़ात से पुष्टि करें, और इसके लिए वो नंबर या संपर्क इस्तेमाल करें जो पहले से रिकॉर्ड में मौजूद हो, न कि वो जो संदेश में दिया गया हो। ये एक व्यवहार इम्पर्सनेशन की बड़ी हिस्सेदारी कोशिशों को नाकाम कर देता है, चाहे पहला संपर्क कितना भी भरोसेमंद लगे, क्योंकि ये सत्यापन के कदम पे हमलावर का कंट्रोल हटा देता है।

धीमे हो जाएं

जल्दबाज़ी को धीमे होने का संकेत समझना चाहिए, किसी कदम को छोड़ने का बहाना नहीं। कर्मचारियों को ट्रेन किया जाना चाहिए कि वो ग़ौर करें कब कोई अनुरोध उन्हें प्रक्रिया की बजाय रफ़्तार की तरफ़ धकेलता है, क्योंकि वो दबाव शायद ही कभी संयोग से होता है। कोई सचमुच ज़रूरी और जायज़ अनुरोध दो-मिनट की सत्यापन कॉल से टिक सकता है; और जो उस देरी से टिक न सके, उसे चाहे जिसकी तरफ़ से आता दिखे, शक की नज़र से देखा जाना चाहिए।

पुष्टि लें

फ़ाइनेंशियल और क्रेडेंशियल अनुरोधों के लिए किसी दूसरे व्यक्ति की पुष्टि ज़रूरी होनी चाहिए, स्टैंडर्ड प्रैक्टिस के तौर पे, बड़े लेन-देन के लिए रखे गए अपवाद के तौर पे नहीं। इससे वो सोशल दबाव हट जाता है जिस पे हमलावर भरोसा करता है जब वो किसी अकेले कर्मचारी को अलग करके उससे अकेले काम करवाता है, और उस कर्मचारी को “किसी से जांच करके आता हूं” कहने का सीधा, दोषरहित तरीका मिल जाता है, बिना बेमदद या बेभरोसा दिखे।

मुश्किल से बचे प्रयासों की रिपोर्ट करें

मुश्किल से बचे प्रयासों की रिपोर्ट करना पूरा घेरा बंद करता है। कोई कर्मचारी जिसने अनुरोध के किसी हिस्से को मान लिया, झिझकने के बाद भी आख़िरकार हार मान ली, या बाद में महसूस हुआ कि कुछ ग़लत था, उसे बाद में ही सही रिपोर्ट करने के लिए प्रोत्साहित किया जाना चाहिए, चाहे कुछ ग़लत हुआ दिखे नहीं। ये रिपोर्टें अक्सर पहली चेतावनी होती हैं जो किसी बिज़नेस को मिलती है कि वो निशाना बन रहा है, और वो सिर्फ़ ऐसे कल्चर में सामने आती हैं जहां रिपोर्ट करने पे शर्मिंदगी या दोष नहीं आता।

जब पैसा या डाटा वाक़ई निकल चुका हो, तब भी वही उसूल लागू होता है: Action Fraud(नई विंडो), जो UK का फ़्रॉड और साइबर क्राइम के लिए नैशनल रिपोर्टिंग सेंटर है, इसीलिए मौजूद है, क्योंकि कोई घटना जितनी जल्दी रिपोर्ट हो, उसी तरीके से निशाना बन रहे बाक़ी सबके लिए उतनी ही उपयोगी होती है।

स्लाइड प्रतिरोध क्यों नहीं बनातीं, और सिमुलेशन क्यों बनाता है

छह प्रेरणा लीवरों के बारे में पढ़ना संदर्भ के लिए काम का है, लेकिन इससे किसी का असली दबाव में व्यवहार नहीं बदलता, जैसे फ़ायर ड्रिल के बारे में पढ़ना किसी को नज़दीकी एग्ज़िट ढूंढने के लिए तैयार नहीं करता। हेरफेर का प्रतिरोध एक अभ्यास वाला हुनर है, स्लाइड डेक से याद रह गया कोई तथ्य नहीं, इसीलिए सबसे मज़बूत सोशल इंजीनियरिंग ट्रेनिंग सिर्फ़ निर्देश की बजाय सिमुलेशन पे निर्भर करती है।

असरदार सिमुलेशन कर्मचारियों को उस दबाव के यथार्थवादी रूप से गुज़ारता है जिसका उन्हें वाक़ई सामना होगा: खाते में बदलाव मांगता सिम्युलेटेड वेंडर कॉल, मैनेजर बनने का दावा करने वाले की गढ़ी हुई ज़रूरी अनुरोध, या सुरक्षित दरवाज़े से अंदर जाने की इजाज़त मांगता स्टेज किया गया विज़िटर, और फिर पास/फेल स्कोर की बजाय फ़ौरन, ठोस सुझाव देता है।

मक़सद ये है कि कर्मचारी दबाव के उस पल को किसी सुरक्षित जगह महसूस करें, ग़ौर करें कि कौन सा लीवर खींचा जा रहा था, और ठहरने और सत्यापित करने की सूझ तब बना लें जब वो असर डालने से पहले हो।

मुश्किल धीरे-धीरे बढ़नी चाहिए और सिनारियो असली भूमिकाओं को दर्शाने चाहिए। फ़ाइनेंस में किसी के सामने अलग बहाने आते हैं और फ्रंट डेस्क पे किसी के सामने अलग, और ये अभ्यास ऐसी डीब्रीफ़ के साथ ख़त्म होना चाहिए जो इस्तेमाल हुआ तंत्र समझाए, सिर्फ़ ये नहीं कि व्यक्ति पास हुआ या नहीं।

अच्छे से किया गया सिमुलेशन उन छह साइकोलॉजिकल लीवरों को समझ में आने वाले और पहचाने जा सकने वाले ख़यालात में बदल देता है जिन्हें कर्मचारी पहचान सकें, और यही उस ट्रेनिंग का पूरा मक़सद है जो क्लासरूम से बाहर टिकने के लिए बनाई गई है।

लोगों को ट्रेन करें, सिर्फ़ नीतियों को नहीं

सोशल इंजीनियरिंग उन सहज गतियों को निशाना बनाकर सफल होती है जिनसे आम टीमवर्क मुमकिन होता है: अधिकार पे भरोसा, जल्दबाज़ी के प्रति तेज़ प्रतिक्रिया, किसी बड़ा या दोस्ताना लगने वाले व्यक्ति से सवाल करने की बेचैनी। ट्रेनिंग जो सिर्फ़ इन हमलों की परिभाषा दे या उनकी कैटेगरी गिनाए, कर्मचारियों को पहले जितने ही खुले छोड़ देती है, क्योंकि परिभाषा पहचानना और ज़िंदा हेरफेर की कोशिश पहचानना दो पूरी तरह अलग हुनर हैं।

ऐसा करीकुलम जो छह साइकोलॉजिकल लीवरों को नाम से बताए, ये दिखाए कि विशिंग, प्रीटेक्स्टिंग, बेटिंग, और टेलगेटिंग वर्कप्लेस में असल में कैसे दिखते हैं, और कर्मचारियों को ठोस, रिहर्स किए गए व्यवहार दे (अलग चैनल से सत्यापित करें, जल्दबाज़ी को डेडलाइन की बजाय लाल झंडा समझें, दूसरा व्यक्ति शामिल करें, मुश्किल से बचे प्रयासों की भी रिपोर्ट करें), लोगों को कुछ ऐसा देता है जिसे वो दबाव में वाक़ई इस्तेमाल कर सकें।

स्लाइड की बजाय सिमुलेशन से मज़बूत की गई, और यूनीक पासवर्ड और MFA से संरक्षित, जो एक सफल कोशिश की पहुंच सीमित करते हैं, यही संयोजन जागरूकता को प्रतिरोध में बदलता है।

इनमें से कुछ भी ट्रेनिंग प्रोग्राम बनाने के काम की जगह नहीं लेता: फ़्रीक्वेंसी, ढांचा, कितनी बार दोहराया जाए, और ये कैसे मापें कि वो असर कर रही है या नहीं। वो ज़मीन हमारी सुरक्षा जागरूकता प्रोग्राम बनाने की गाइड कवर करती है। यहां जो चीज़ जगह पाती है, वो प्रोग्राम के नीचे की परत है: वो साइकोलॉजी जिसका कर्मचारियों को वाक़ई सामना होता है, और वो ठोस, रिहर्स की गई आदतें जो तब टिकती हैं जब दबाव काल्पनिक नहीं, असली हो।

वो टीम जो प्रेरणा तरीके को उसके इस्तेमाल के वक़्त पहचान सके, और काम करने से पहले ठीक-ठीक जानती हो कि किस दूसरे व्यक्ति को कॉल करना है, वो उस टीम से बुनियादी तौर पे मुश्किल निशाना है जिसे बस सतर्क रहने को कहा गया है। यही वो अंतर है जिसे आप इस तरह की ट्रेनिंग से बंद कर सकते हैं।

क्रेडेंशियल कनेक्शन: ग़लती के बाद भी रोकथाम क्यों मायने रखती है

ट्रेनिंग सोशल इंजीनियरिंग के सफल होने की दर कम करती है, लेकिन वो उस आंकड़े को शून्य तक नहीं ले जा सकती। ऐसे मक़सद से बना प्रोग्राम नाकाम ही होगा। कोई न कोई, किसी वक़्त, फ़ोन पे पासवर्ड दे देगा, गढ़े हुए लॉगइन पेज पे क्लिक कर देगा, या ऐसी जानकारी की पुष्टि कर देगा जिसे नहीं करनी चाहिए थी। उस वक़्त नुक़सान सीमित जागरूकता नहीं करती — वो एक्सेस कंट्रोल करते हैं जो कॉल शुरू होने से पहले ही जगह पे मौजूद थे।

सोशल इंजीनियरिंग से हासिल किया गया प्रमाण हमलावर के लिए बहुत कम काम का होता है अगर वो किसी एक सर्विस के लिए यूनीक हो और मल्टी-फ़ैक्टर सत्यापन (MFA) से सुरक्षित हो। यूनीक पासवर्ड रोकते हैं कि कोई छेड़छाड़ किया गया प्रमाण दूसरी सर्विसेज़ का एक्सेस लेने के लिए दोबारा इस्तेमाल हो, जबकि MFA चोरी हुए पासवर्ड को अकेले उसी खाते का भी एक्सेस देने से रोक सकता है जिससे वो ताल्लुक रखता है।

यही रोकथाम का तर्क हमारी मज़बूत वर्कप्लेस सुरक्षा कल्चर बनाने और मज़बूत पासवर्ड नीतियां बनाने की गाइडों में कवर किया गया है, और यहां इसे दोहराना ज़रूरी है क्योंकि सोशल इंजीनियरिंग और पासवर्ड हाइजीन अक्सर अलग समस्याएं समझी जाती हैं, जबकि वो दरअसल एक ही हमले के दो चरण हैं।

बिज़नेस पासवर्ड मैनेजर जैसे Proton Pass for Business से ये रोकथाम बड़े पैमाने पे बनाए रखने लायक़ बन जाती है, न कि कोई ऐसी चीज़ जो कर्मचारियों को याद रखने पे निर्भर हो कि नीति का पालन करना है।

जब प्रमाण मेमोरी, ब्राउज़र, या स्प्रेडशीट की बजाय मैनेज की गई पासवर्ड तिजोरी के ज़रिए स्टोर, जेनरेट, और सुरक्षित शेयर किए जाते हैं, तो सोशल इंजीनियरिंग की एक सफल कोशिश किसी कर्मचारी के छुए हर सिस्टम में घुसने का रास्ता बनना बंद कर देती है।

Proton Pass for Business क्रेडेंशियल मैनेजमेंट को आसान बनाता है, सिर्फ़ आपकी आईटी टीम के लिए नहीं, हर टीम मेंबर के लिए:

सुरक्षित बिज़नेस पासवर्ड मैनेजर के साथ अपनी टीम का सोशल इंजीनियरिंग से जोखिम घटाएं।