Social Engineering and Phishingئەندازیاریی کۆمەڵایەتی و فیشینگ

Most attacks you have met so far go through a technical weakness: an unpatched server, a badly written web form. Social engineering goes through a person instead. The attacker manipulates someone into revealing confidential information — a password, a one-time code, a bank detail — or into doing something that harms security, such as opening a file, approving a login or holding a door open. It uses human psychology, not a technical vulnerability.

زۆربەی ئەو هێرشانەی (Attack) تا ئێستا ناسیوتن لە ڕێگەی لاوازییەکی تەکنیکییەوە دەڕۆن: ڕاژەکارێکی (Server) پینەنەکراو (Patch)، فۆرمێکی (Form) وێبی خراپ نووسراو. ئەندازیاریی کۆمەڵایەتی لە جیاتی ئەوە بە ناو مرۆڤێکدا دەڕوات. هێرشبەرەکە کاریگەری لەسەر کەسێک دادەنێت بۆ ئەوەی زانیارییەکی (Information) نهێنی ئاشکرا بکات — تێپەڕەوشەیەک (Password)، تێپەڕەوشەیەکی یەکجاری (One-time password)، زانیارییەکی بانکی — یان کارێک بکات کە زیان بە ئاسایش (Security) دەگەیەنێت، وەک کردنەوەی فایلێک، ڕەزامەندیدان بە چوونەژوورەوەیەک (Log in) یان کراوە هێشتنەوەی دەرگایەک. دەروونناسیی مرۆڤ بەکار دەهێنێت، نەک خاڵێکی لاوازی (Vulnerability) تەکنیکی.

So even a well-protected organisation can be broken by one convincing message — which is why every student, not only IT staff, needs to know the tricks.

بۆیە تەنانەت ڕێکخراوێکی باش پارێزراویش دەکرێت بە یەک نامەی قایلکەر بشکێت — لەبەر ئەمەیە هەموو خوێندکارێک، نەک تەنها کارمەندانی IT، پێویستە فێڵەکان بناسێت.

Many tricks in this lesson aim at one prize: your personal data — your name, ID number, address, card details and passwords. With enough of it, a criminal can commit identity theft: pretending to be you. There are three common kinds:

زۆرێک لە فێڵەکانی ئەم وانەیە یەک ئامانجیان هەیە: دراوەی کەسیی (Personal data) تۆ — ناو، ژمارەی ناسنامە، ناونیشان، زانیاریی کارت و تێپەڕەوشەکان. بە بڕێکی بەس لەم زانیارییانە تاوانبارێک دەتوانێت دزینی ناسنامە (Identity theft) ئەنجام بدات: خۆی دەکات بە تۆ. سێ جۆری باوی هەیە:

It is common: in 2025 the FBI's complaint centre (IC3) received 31,675 identity-theft complaints. Share as little personal data as possible, use MFA, check bank statements and messages for things you did not do, and report at once to your bank and the police.

ئەمە باوە: لە ساڵی ⁦2025⁩دا ناوەندی سکاڵاکانی ⁦FBI (IC3) 31,675⁩ سکاڵای دزینی ناسنامە وەرگرت. کەمترین دراوەی کەسی هاوبەش بکە، MFA بەکار بهێنە، کەشفی حیسابی بانک و نامەکانت بپشکنە بۆ ئەو شتانەی خۆت نەتکردوون و یەکسەر ڕاپۆرت بدە بە بانکەکەت و پۆلیس.

The notes name the feelings that social engineers pull on. Almost every trick in this lesson uses one or more of them, often together:

تێبینییەکان ناوی ئەو هەستانە دەهێنن کە ئەندازیارانی کۆمەڵایەتی دەیانجووڵێنن. نزیکەی هەموو فێڵێکی ئەم وانەیە یەکێک یان زیاتر لەمانە بەکار دەهێنێت، زۆرجار پێکەوە:

Two more levers appear in the cases below: authority (the message seems to come from a manager or the police) and helpfulness (the victim wants to help a "colleague" in trouble). To reach their goal — unauthorised access to systems or data — attackers mix these feelings with phishing or impersonation: pretending to be another person, for fun or, here, for fraud.

دوو ئامرازی تر لە ڕووداوەکانی خوارەوەدا دەردەکەون: دەسەڵات (نامەکە وا دیارە لە بەڕێوەبەرێک یان پۆلیسەوە هاتووە) و یارمەتیدان (قوربانی دەیەوێت یارمەتیی «هاوکارێک» بدات کە لە تەنگانەدایە). هێرشبەرەکان بۆ گەیشتن بە ئامانجەکەیان — دەستڕاگەیشتنی بێ‌مۆڵەت (Unauthorized access) بۆ سیستەم یان دراوە (Data) — ئەم هەستانە تێکەڵ بە فیشینگ یان خۆ بە کەسی تر ناساندن (Impersonation) دەکەن: خۆ وەک کەسێکی تر نیشاندان، بۆ گاڵتە یان لێرەدا بۆ فێڵ.

The notes list eight classic types of social engineering. They differ in the channel (e-mail, phone, paper, a door, a USB stick) and in how targeted they are, but all of them pull the same levers. The next three screens explain them in groups; the table at the end puts them side by side.

تێبینییەکان هەشت جۆری کلاسیکیی ئەندازیاریی کۆمەڵایەتی ڕیز دەکەن. جیاوازن لە کەناڵدا (ئیمەیڵ (Email)، تەلەفۆن، کاغەز، دەرگایەک، بیرگەیەکی فلاش (USB flash drive)) و لەوەی چەند ئامانجدارن، بەڵام هەموویان هەمان ئامرازەکان دەجووڵێنن. سێ پەڕەی داهاتوو بە کۆمەڵ ڕوونیان دەکەنەوە؛ خشتەکەی کۆتایی لە تەنیشت یەکتری دایان دەنێت.

Phishing casts a wide net: the same message goes to thousands of people, hoping a few will bite. A typical example is an e-mail to bank customers claiming that their account needs "urgent verification", with a link to a copy of the bank's login page. Attackers also buy search-engine adverts that imitate a well-known brand, so that a search for "Microsoft Office login" leads to a fake page — malicious advertising of this kind is explained in Malvertising: malware in the adverts.

فیشینگ تۆڕێکی فراوان هەڵدەدات: هەمان نامە بۆ هەزاران کەس دەچێت، بە هیوای ئەوەی چەند کەسێک بکەونە داوەکەوە. نموونەیەکی ئاسایی ئیمەیڵێکە بۆ کڕیارانی بانک کە دەڵێت هەژمارەکەیان پێویستی بە «پشتڕاستکردنەوەی بەپەلە» هەیە، لەگەڵ بەستەرێک بۆ کۆپییەکی لاپەڕەی چوونەژوورەوەی بانکەکە. هێرشبەرەکان هەروەها ڕیکلام لە بزوێنەرەکانی گەڕاندا (Search engine) دەکڕن کە لاسایی ناوێکی ناسراو دەکەنەوە، بۆ ئەوەی گەڕان بۆ «⁦Microsoft Office login⁩» بگات بە لاپەڕەیەکی ساختە — ئەم جۆرە ڕیکلامە زیانبەخشە لە ڕیکلامی زیانبەخش: نەرمەواڵەی زیانبەخش لەناو ڕیکلامەکاندا ڕوون کراوەتەوە.

Spear phishing aims at one person or one team. The attacker first studies the target — job title, colleagues, current projects, often from social networks — and writes a message that only makes sense to that person. When the target is a senior manager, it is sometimes called whaling. Because the message is personal, it is far more convincing than mass phishing.

فیشینگی ئامانجدار (Spear phishing) یەک کەس یان یەک تیم دەکاتە ئامانج. هێرشبەرەکە سەرەتا ئامانجەکە دەناسێت — ناونیشانی کار، هاوکاران، پڕۆژەکانی ئێستا، زۆرجار لە تۆڕە کۆمەڵایەتییەکانەوە (Social network) — و نامەیەک دەنووسێت کە تەنها بۆ ئەو کەسە واتای هەیە. کاتێک ئامانجەکە بەڕێوەبەرێکی باڵا بێت، هەندێک جار پێی دەوترێت whaling (ڕاوی نەهەنگ). چونکە نامەکە کەسییە، زۆر قایلکەرترە لە فیشینگی بە کۆمەڵ.

These three types work by talking: on the phone, in a chat or face to face.

ئەم سێ جۆرە بە قسەکردن کار دەکەن: لە تەلەفۆن، لە چاتێکدا یان ڕووبەڕوو.

The defence is the same for all three: verify the person through a channel you choose — hang up and call the official number, walk to the office, check with your manager. Real banks and IT departments never ask for your password.

بەرگری بۆ هەر سێکیان یەکە: کەسەکە لە ڕێگەی کەناڵێکەوە پشتڕاست بکەرەوە کە خۆت هەڵیدەبژێریت — تەلەفۆنەکە دابخە و پەیوەندی بە ژمارە فەرمییەکەوە بکە، بڕۆ بۆ نووسینگەکە، لەگەڵ بەڕێوەبەرەکەت پشتڕاستی بکەرەوە. بانک و بەشی ITـی ڕاستەقینە هەرگیز داوای تێپەڕەوشەکەت ناکەن.

The last three types reach into the physical world. Physical security is part of cybersecurity: a locked server room protects data as much as a firewall does.

سێ جۆرەکەی کۆتایی دەگەنە جیهانی فیزیکی. ئاسایشی فیزیکی (Physical security) بەشێکە لە ئاسایشی سایبەر (Cybersecurity): ژووری قفڵکراوی ڕاژەکارەکان هێندەی ئاگرەدیوارێک (Firewall) دراوە دەپارێزێت.

The eight classic types are old ideas. Attackers keep putting them into new channels: text messages, QR codes, push notifications, and voices and faces made by artificial intelligence. The notes' real cases (next screens) used several of these, so they need names.

هەشت جۆرە کلاسیکییەکە بیرۆکەی کۆنن. هێرشبەرەکان بەردەوام دەیانخەنە ناو کەناڵی نوێوە: نامە کورتەکان، کۆدەکانی QR (QR code)، ئاگادارکردنەوەکان (Push notification)، هەروەها دەنگ و ڕووخسارێک کە بە ژیریی دەستکرد (Artificial intelligence) دروست کراون. ڕووداوە ڕاستەقینەکانی تێبینییەکان (پەڕەکانی داهاتوو) چەندانێکیان لەمانە بەکار هێناوە، بۆیە پێویستە ناویان بزانین.

One more old trick in a new window is scareware. A web page or advert suddenly shows a frightening alert — "Your computer is infected! Install this cleaner now" — often with a siren and a countdown. The "cleaner" is the malware. Never install software offered in a pop-up, and never call a number shown in one: real security warnings do neither. Close the whole browser, not just the alert, and if you are worried, run the antivirus you already have.

فێڵێکی کۆنی تر لە پەنجەرەیەکی نوێدا scarewareـە (دژەڤایرۆسی ساختە). لاپەڕەیەک یان ڕیکلامێک لەپڕ ئاگادارییەکی ترسێنەر پیشان دەدات — «کۆمپیوتەرەکەت تووش بووە! ئێستا ئەم پاککەرەوەیە دابمەزرێنە» — زۆرجار لەگەڵ دەنگی ئاژیر و کاتژمێرێکی پێچەوانە. «پاککەرەوە»کە خۆی نەرمەواڵەی زیانبەخشە (Malware). هەرگیز ئەو نەرمەواڵەیەی لە پەنجەرەیەکی لەپڕدا پێشکەش دەکرێت دامەمەزرێنە و پەیوەندی بە هیچ ژمارەیەکی ناو ئاگادارییەکەوە مەکە. خودی تۆڕگەڕەکە (Web browser) دابخە، نەک تەنها ئاگادارییەکە. ئەگەر نیگەرانیت، ئەو بەرنامەی دژەڤایرۆسەی (Antivirus software) پێشتر هەتە بەکار بهێنە.

Smishing is phishing by SMS or chat message. Texts feel personal and urgent, phones hide the full link address, and people read them on the move. A typical text says a parcel is waiting, a SIM card will be blocked or a password has expired — with a short link.

Smishing فیشینگە لە ڕێگەی نامەی کورت یان نامەی چاتەوە. نامەی کورت کەسی و بەپەلە هەست دەکرێت، مۆبایل ناونیشانی تەواوی بەستەر دەشارێتەوە و خەڵک لە کاتی ڕۆیشتندا دەیانخوێننەوە. نامەیەکی ئاسایی دەڵێت پاکەتێک چاوەڕێتە، سیمکارتێک دادەخرێت یان تێپەڕەوشەیەک بەسەرچووە — لەگەڵ بەستەرێکی کورت.

QR-code phishing hides the link inside a QR code, so you cannot read it before you scan. The US Federal Trade Commission warned in 2023 about fake QR stickers placed over the real ones on parking meters, and about QR codes in e-mails and texts that invent a delivery problem or an account problem. The code may open a fake login page or install malware.

فیشینگی کۆدی QR بەستەرەکە لە ناو کۆدێکی QRـدا دەشارێتەوە، بۆیە پێش سکانکردن ناتوانیت بیخوێنیتەوە. کۆمیسیۆنی بازرگانیی فیدراڵیی ئەمریکا ⁦(FTC)⁩ لە ساڵی ⁦2023⁩دا ئاگاداریی دا لە لکاندنی کۆدی QRـی ساختە بەسەر کۆدە ڕاستەقینەکاندا لەسەر ئامێرەکانی پارەدانی پارکینگ؛ هەروەها لە کۆدەکانی QR لە ناو ئیمەیڵ و نامەدا کە کێشەیەکی گەیاندن یان هەژمار دادەهێنن. لەوانەیە کۆدەکە لاپەڕەیەکی ساختەی چوونەژوورەوە بکاتەوە یان نەرمەواڵەی زیانبەخش دابمەزرێنێت.

Defences: do not follow links in unexpected texts — open the official app or type the address yourself; before opening a scanned code, read the address your phone previews; and be suspicious of a QR sticker stuck on top of another.

بەرگرییەکان: بەدوای بەستەرەکانی ناو نامە چاوەڕواننەکراوەکاندا مەڕۆ — ئەپی فەرمی بکەرەوە یان خۆت ناونیشانەکە بنووسە؛ پێش کردنەوەی کۆدێکی سکانکراو ئەو ناونیشانە بخوێنەوە کە مۆبایلەکەت پیشانی دەدات؛ و گومان لەو کۆدی QRـە بکە کە بەسەر کۆدێکی تردا لکێنراوە.

Business e-mail compromise (BEC) targets money, not passwords. The criminal writes as a boss or a supplier — from a hacked mailbox or a look-alike address — and asks for an urgent payment or for "new bank details" for the next invoice. It needs no malware at all. In the FBI's report for 2025, BEC caused about $3.05 billion of reported losses from 24,768 complaints — the second-largest loss of any crime type, after investment fraud.

فێڵی ئیمەیڵی بازرگانی ⁦(BEC)⁩ ئامانجی پارەیە، نەک تێپەڕەوشە. تاوانبارەکە وەک بەڕێوەبەرێک یان دابینکەرێک دەنووسێت — لە سندوقێکی ئیمەیڵی هاککراو یان ناونیشانێکی هاوشێوە — و داوای پارەدانێکی بەپەلە یان «زانیاریی بانکیی نوێ» بۆ پسوولەی داهاتوو دەکات. هیچ پێویستی بە نەرمەواڵەی زیانبەخش نییە. لە ڕاپۆرتی FBI بۆ ساڵی ⁦2025⁩دا، BEC نزیکەی ⁦3.05⁩ ملیار دۆلار زیانی ڕاپۆرتکراوی لە ⁦24,768⁩ سکاڵادا دروست کرد، کە دوای فێڵی وەبەرهێنان دووەم گەورەترین زیان بوو لە هەموو جۆرەکانی تاوان.

A deepfake is fake audio or video made with AI that copies a real person's face or voice. In early 2024 a finance employee of the engineering company Arup in Hong Kong joined a video call with what looked like the company's finance director and other colleagues. All of them were deepfakes. He made 15 transfers worth HK$200 million (about US$25 million). He had first suspected the invitation e-mail was phishing — the video call convinced him.

دیپفەیک دەنگ یان ڤیدیۆیەکی ساختەیە کە بە ژیریی دەستکرد دروست کراوە و لاسایی ڕووخسار یان دەنگی کەسێکی ڕاستەقینە دەکاتەوە. لە سەرەتای ⁦2024⁩دا کارمەندێکی دارایی کۆمپانیای ئەندازیاریی Arup لە هۆنگ کۆنگ بەشداریی پەیوەندییەکی ڤیدیۆیی کرد لەگەڵ کەسانێک کە لە بەڕێوەبەری دارایی و هاوکارانی تری کۆمپانیاکە دەچوون. هەموویان دیپفەیک بوون. ⁦15⁩ گواستنەوەی پارەی کرد بە بڕی ⁦200⁩ ملیۆن دۆلاری هۆنگ کۆنگ (نزیکەی ⁦25⁩ ملیۆن دۆلاری ئەمریکی). سەرەتا گومانی کردبوو کە ئیمەیڵی بانگهێشتکردنەکە فیشینگە — پەیوەندییە ڤیدیۆییەکە قایلی کرد.

Multi-factor authentication (MFA) stops most attacks with stolen passwords. So attackers attack the second factor too. With MFA fatigue (also called push bombing) the attacker, who already has the password, logs in again and again. The victim's phone fills with "Approve sign-in?" notifications until, tired or confused, the victim taps Approve. CISA describes exactly this.

پشتڕاستکردنەوەی فرەهۆکاری (Multi-factor authentication) ⁦(MFA)⁩ ڕێگە لە زۆربەی ئەو هێرشانە دەگرێت کە بە تێپەڕەوشەی دزراو دەکرێن. بۆیە هێرشبەرەکان هێرش دەکەنە سەر هۆکاری دووەمیش. لە ماندووکردنی MFAـدا هێرشبەرەکە کە پێشتر تێپەڕەوشەکەی هەیە، جار لە دوای جار هەوڵی چوونە ژوورەوە دەدات. مۆبایلی قوربانی پڕ دەبێت لە ئاگادارکردنەوەی «ڕەزامەندی بە چوونە ژوورەوە دەدەیت؟» تا ئەو کاتەی قوربانی لە ماندوویەتی یان سەرلێشێواوییەوە Approve دادەگرێت. CISA ڕێک ئەمە وەسف دەکات.

The fixes, from CISA: number matching (the login screen shows a number that you must type into the app, so random prompts cannot be approved) and, better, phishing-resistant MFA such as passkeys or security keys, where there is nothing to approve by mistake. And a rule for everyone: if you did not just try to log in, never approve — report it, because the prompt means someone has your password.

چارەسەرەکان، لە CISAـوە: هاوتاکردنی ژمارە (شاشەی چوونە ژوورەوە ژمارەیەک پیشان دەدات کە دەبێت لە ئەپەکەدا بینووسیت، بۆیە ناکرێت ڕەزامەندی بە داواکارییە هەڕەمەکییەکان بدرێت) و باشتر لەوە، MFAـی بەرگەگر لە بەرامبەر فیشینگ وەک پاسکییەکان (Passkey) یان کلیلەکانی ئاسایش (Security key)، کە هیچ شتێکی تێدا نییە بە هەڵە ڕەزامەندیی پێ بدەیت. هەروەها ڕێسایەک بۆ هەمووان: ئەگەر تۆ تازە هەوڵی چوونە ژوورەوەت نەدابێت، هەرگیز ڕەزامەندی مەدە — ڕاپۆرتی بکە، چونکە ئەو داواکارییە واتای ئەوەیە کەسێک تێپەڕەوشەکەت هەیە.

The notes give four "recent high-profile examples". Two are real, famous cases with wrong dates; two are common tactics without a single dated incident behind them.

تێبینییەکان چوار «نموونەی ناسراوی نوێ» دەهێنن. دووانیان ڕووداوی ڕاستەقینە و ناودارن بەڵام ڕێکەوتەکانیان هەڵەیە؛ دووانەکەی تر فێڵی باون بەبێ ئەوەی یەک ڕووداوی بەرواردار لە پشتیانەوە بێت.

Here is a fake e-mail from a made-up payment app, Shilan Pay. Watch the warning signs light up one by one. Each sign alone may be innocent; two or three together are a strong alarm.

ئەمە ئیمەیڵێکی ساختەیە لە ئەپێکی پارەدانی خەیاڵی بە ناوی ⁦Shilan Pay⁩. سەیری نیشانەکانی ئاگادارکردنەوە بکە کە یەک لە دوای یەک ڕووناک دەبنەوە. هەر نیشانەیەک بە تەنها لەوانەیە بێتاوان بێت؛ دوو یان سێیان پێکەوە ئاگادارییەکی بەهێزن.

The notes give four mitigation strategies. Together they cover people, processes and technology:

تێبینییەکان چوار ستراتیژی بۆ کەمکردنەوەی مەترسی (Risk) دەهێنن. پێکەوە خەڵک، ڕێکار و تەکنەلۆجیا دەگرنەوە:

For your own accounts, CISA's advice fits in three steps: don't click unexpected links or attachments, report the message with the report button, and delete it — without replying or using its "unsubscribe" link. Physical habits matter too: shred paper, never plug in found USB sticks, one badge per person.

بۆ هەژمارەکانی خۆت، ئامۆژگارییەکەی CISA لە سێ هەنگاودا کورت دەبێتەوە: کرتە مەکە لەسەر بەستەر یان هاوپێچی چاوەڕواننەکراو، ڕاپۆرتی بکە بە دوگمەی ڕاپۆرت و بیسڕەوە — بەبێ وەڵامدانەوە یان بەکارهێنانی بەستەری «unsubscribe»ـەکەی. خووە فیزیکییەکانیش گرنگن: کاغەز ورد بکە، هەرگیز بیرگەی فلاشی دۆزراوە مەبەستە، یەک کارت بۆ هەر کەسێک.