PGDCA, BCA, B-Tech, MCA, M-Tech, B.Sc computer science राजस्थान सूचना सहायक व कंप्यूटर शिक्षक विशेष नोट्स: इस अध्याय में हम Social Engineering: Phishing, Spear Phishing and Whaling (सोशल इंजीनियरिंग: फ़िशिंग, स्पीयर फ़िशिंग और व्हेल फ़िशिंग अटैक्स) की संपूर्ण थ्योरी, मुख्य तकनीकी बिंदु, तुलनात्मक तालिका और विगत परीक्षाओं के पैटर्न पर आधारित 20 अति-महत्वपूर्ण बहुविकल्पीय प्रश्न (MCQs) विस्तृत हिंदी व अंग्रेजी व्याख्या सहित पढ़ेंगे।
Overview: Social engineering exploits human cognitive biases—urgency, authority, fear, and trust—rather than software bugs through deceptive campaigns like Phishing, Spear Phishing, and executive Whaling. Modern defenses combine FIDO2 phishing-resistant MFA with strict SPF, DKIM, and DMARC email authentication plus continuous user awareness.
अध्याय सार: सोशल इंजीनियरिंग सॉफ्टवेयर बग के बजाय मानव मनोविज्ञान—तत्कालिकता, अधिकार, भय और विश्वास—का फायदा उठाती है, जिसके अंतर्गत फ़िशिंग, स्पीयर फ़िशिंग और उच्चाधिकारियों पर केंद्रित व्हेल फ़िशिंग (Whaling) हमले आते हैं। इनसे बचाव के लिए FIDO2 फ़िशिंग-रोधी MFA के साथ SPF, DKIM और DMARC ईमेल प्रमाणीकरण अनिवार्य है।
Social Engineering: Phishing, Spear Phishing and Whaling: Detailed Notes & Architecture (सोशल इंजीनियरिंग: फ़िशिंग, स्पीयर फ़िशिंग और व्हेल फ़िशिंग अटैक्स)
1. Psychological Triggers and Social Engineering Attack Vectors (मनोवैज्ञानिक कारक और सोशल इंजीनियरिंग के प्रमुख माध्यम)
[EN] Social engineering bypasses technical cryptography by persuading authorized humans to hand over credentials, bypass policies, or transfer funds willingly. Attackers build plausible Pretexts exploiting Robert Cialdini's persuasion triggers—manufactured Urgency ('Account suspended in 2 hours'), Authority ('Urgent CFO directive'), Fear, and Reciprocity. Beyond email, multi-channel campaigns span Vishing (voice/AI-deepfake phone scams posing as bank/IT helpdesks), Smishing (fraudulent SMS KYC/delivery links), Quishing (malicious QR codes inside PDFs that evade email URL inspection), and physical Tailgating/Baiting.
[HI] सोशल इंजीनियरिंग तकनीकी सुरक्षा को सीधे तोड़ने के बजाय अधिकृत व्यक्ति को मानसिक रूप से प्रेरित कर पासवर्ड, OTP या धन ट्रांसफर करवा लेती है। हमलावर विश्वसनीय कहानी (Pretexting) गढ़कर तत्कालिकता ('2 घंटे में खाता बंद होगा'), उच्च अधिकार (CFO का आदेश) और भय जैसी भावनाओं का दोहन करते हैं। ईमेल के अलावा इसमें Vishing (फर्जी फोन कॉल या AI वॉयस क्लोन), Smishing (नकली SMS KYC लिंक), Quishing (ईमेल स्कैनर से बचने के लिए QR कोड) और Tailgating जैसे तरीके भी शामिल हैं।
2. Phishing vs Spear Phishing vs Whaling & Business Email Compromise (BEC) (फ़िशिंग, स्पीयर फ़िशिंग, व्हेलिंग और BEC की तुलना)
[EN] Phishing campaigns differ sharply in targeting precision and reconnaissance investment. Mass/Bulk Phishing blasts generic lookalike login lures to millions of addresses hoping a tiny percentage click. Spear Phishing conducts OSINT research (LinkedIn profiles, vendor contracts, internal org charts) to craft highly believable messages addressed personally to specific employees or finance teams. Whaling targets high-profile 'big fish'—CEOs, CFOs, board members, and politicians—often executing Business Email Compromise (BEC) by hijacking or spoofing executive accounts to authorize fraudulent multimillion-dollar wire transfers without malware.
[HI] लक्ष्य की सटीकता के आधार पर फ़िशिंग के तीन मुख्य स्तर हैं। सामान्य (Bulk) फ़िशिंग लाखों लोगों को एक जैसा सामान्य फर्जी ईमेल भेजती है। स्पीयर फ़िशिंग (Spear Phishing) में हमलावर LinkedIn या कंपनी की वेबसाइट से जानकारी (OSINT) जुटाकर किसी विशेष कर्मचारी या विभाग के लिए उसके नाम व प्रोजेक्ट से जुड़ा बेहद सटीक ईमेल तैयार करता है। व्हेलिंग (Whaling) में कंपनी के सबसे बड़े अधिकारियों (CEO, CFO, डायरेक्टर) को निशाना बनाया जाता है, जहां अक्सर बिना मैलवेयर के ही Business Email Compromise (BEC) द्वारा करोड़ों का वायर ट्रांसफर करवा लिया जाता है।
3. Technical Spoofing: IDN Homographs, AitM Phishing Proxies and OAuth Consent (तकनीकी छलावा: IDN होमोग्राफ, AitM प्रॉक्सी और OAuth कंसेंट फ़िशिंग)
[EN] Modern phishing pairs human persuasion with clever technical obfuscation. Attackers register Internationalized Domain Name (IDN) Homograph domains swapping visually identical Unicode characters (e.g., Cyrillic `а` instead of ASCII `a`, encoded in DNS as Punycode `xn--...`) alongside typosquatting (`micros0ft.com`). To defeat legacy SMS/TOTP MFA, Adversary-in-the-Middle (AitM) reverse proxies (such as Evilginx2) sit inline between victim and genuine login portals, capturing passwords, OTPs, and post-login session cookies live. Meanwhile, OAuth Consent Phishing tricks victims into granting rogue cloud apps (`Mail.Read`) permanent API tokens.
[HI] आधुनिक फ़िशिंग तकनीकी चालों से असली जैसा भ्रम बनाती है। IDN होमोग्राफ हमलों में हमलावर एक जैसे दिखने वाले Unicode अक्षरों (जैसे लैटिन `a` की जगह सिरिलिक `а`) से नकली डोमेन बनाते हैं, जिन्हें DNS में Punycode (`xn--`) रूप में दर्ज किया जाता है। पुराने OTP-आधारित MFA को तोड़ने के लिए Evilginx2 जैसे Adversary-in-the-Middle (AitM) रिवर्स प्रॉक्सी रीयल-टाइम में पासवर्ड, OTP और सक्रिय सेशन कुकी तीनों चुरा लेते हैं। वहीं OAuth Consent फ़िशिंग में यूजर को धोखे से किसी फर्जी क्लाउड ऐप को ईमेल पढ़ने (`Mail.Read`) की अनुमति दिलाई जाती है।
4. Email Authentication Triad (SPF, DKIM, DMARC) and Phishing-Resistant MFA (ईमेल प्रमाणीकरण त्रयी (SPF, DKIM, DMARC) और फ़िशिंग-रोधी MFA)
[EN] Securing organizational email domains requires enforcing three complementary DNS-backed protocols. SPF (Sender Policy Framework, RFC 7208) publishes authorized sending IPv4/IPv6 ranges in DNS TXT records (`-all` hardfail) to verify the SMTP `MAIL FROM` envelope. DKIM (DomainKeys Identified Mail, RFC 6376) attaches an RSA/Ed25519 cryptographic signature in email headers validating sender domain ownership and message integrity across relays. DMARC (RFC 7489) enforces alignment between the visible `From:` header and SPF/DKIM while specifying `p=reject` policy. Paired with FIDO2/WebAuthn MFA—which cryptographically refuses signing challenges on fake domains—even convincing AitM proxies fail.
[HI] ईमेल स्पूफिंग रोकने के लिए तीन DNS-आधारित मानक लागू किए जाते हैं: SPF (RFC 7208) बताता है कि डोमेन की ओर से कौन से मेल सर्वर IP ईमेल भेजने के लिए अधिकृत हैं; DKIM (RFC 6376) ईमेल हेडर और बॉडी पर क्रिप्टोग्राफिक डिजिटल हस्ताक्षर जोड़ता है ताकि मार्ग में बदलाव न हो सके; और DMARC (RFC 7489) सुनिश्चित करता है कि यूजर को दिखने वाला `From:` पता SPF/DKIM से मेल खाए तथा विफल ईमेल को `p=reject` नीति से खारिज करे। इसके साथ FIDO2/WebAuthn हार्डवेयर MFA लागू करने पर नकली डोमेन वाले AitM प्रॉक्सी भी विफल हो जाते हैं।
Syntax, Formula & Technical Example (Social Engineering: Phishing, Spear Phishing and Whaling)
# Email Anti-Spoofing DNS Records (SPF, DKIM, DMARC) & Punycode Check
# 1. SPF TXT Record (example.in): Only allow Google Workspace & strict fail (-all)
example.in. IN TXT "v=spf1 include:_spf.google.com -all"
# 2. DMARC TXT Record (_dmarc.example.in): Reject unaligned spoofed mail & report
_dmarc.example.in. IN TXT "v=DMARC1; p=reject; adkim=s; aspf=s; rua=mailto:sec@example.in"
# 3. Header & Homograph Inspection Warning Signs:
# Authentication-Results: spf=fail dkim=none dmarc=fail action=quarantine
# Suspicious IDN Homograph URL: https://xn--pypal-4ve.com (spoofs 'paypal.com')Social Engineering: Phishing, Spear Phishing and Whaling Quick Reference & Comparison Table
| Social Engineering Variant | Target Scope & Persuasion Method | Primary Technical / Policy Defense |
|---|---|---|
| Bulk Phishing | Mass untargeted credential-harvesting links/attachments | DMARC p=reject + Secure Email Gateway URL rewrite |
| Spear Phishing | OSINT-tailored lures targeting specific staff/departments | FIDO2/WebAuthn MFA + External-Sender warning tags |
| Whaling / BEC | Targets C-suite CEO/CFO for wire fraud or sensitive secrets | Out-of-band voice verification for bank changes |
| Vishing / Smishing / Quishing | Voice deepfake, SMS links, and QR codes bypassing email filters | Mobile anti-phishing + disable unknown QR/URL auto-open |
Social Engineering: Phishing, Spear Phishing and Whaling Top 20 Bilingual MCQs with Answers
Q1. How does 'Whaling' differ from general 'Spear Phishing'?
('व्हेलिंग' (Whaling) और सामान्य 'स्पीयर फ़िशिंग' (Spear Phishing) के बीच मुख्य अंतर क्या है?)
(A) Whaling sends generic mass spam to 10 million random addresses
(B) Whaling uses only physical postal letters instead of internet email
(C) Whaling specifically targets high-profile senior executives (CEO, CFO, Board Directors) rather than ordinary employees
(D) Whaling infects submarine sonar hardware exclusively
Correct Answer: (C)
[EN] While Spear Phishing targets any specific individual using tailored OSINT, Whaling narrows specifically onto 'big fish' executives holding wire-transfer or strategic authority.
[HI] स्पीयर फ़िशिंग किसी भी विशेष व्यक्ति या कर्मचारी को लक्षित कर सकती है, जबकि व्हेलिंग विशेष रूप से CEO, CFO जैसे उच्च पदस्थ अधिकारियों को निशाना बनाती है।
Q2. Which DNS-based email security protocol verifies that the visible `Header.From` domain aligns with SPF and/or DKIM and instructs receiving mail servers (`p=reject`) what action to take on spoofs?
(कौन सा DNS-आधारित ईमेल सुरक्षा प्रोटोकॉल यह जांचता है कि उपयोगकर्ता को दिखने वाला `From` डोमेन SPF/DKIM से मेल खाता है और फर्जी ईमेल के लिए `p=reject` नीति तय करता है?)
(A) POP3 APOP
(B) IMAP4rev1
(C) SMTP STARTTLS
(D) DMARC (Domain-based Message Authentication, Reporting, and Conformance)
Correct Answer: (D)
[EN] SPF checks only the hidden SMTP envelope (`MAIL FROM`) and DKIM signs arbitrary domains; DMARC (RFC 7489) enforces alignment with the user-visible `From:` header and sets `none`/`quarantine`/`reject`.
[HI] DMARC दिखने वाले `From:` पते का SPF व DKIM से संरेखण (Alignment) सुनिश्चित करता है और `p=reject` के जरिए स्पूफ किए गए ईमेल को अस्वीकार करवाता है।
Q3. Why does FIDO2/WebAuthn hardware authentication defeat Adversary-in-the-Middle (AitM) phishing proxies like Evilginx2 when TOTP 6-digit codes fail?
(जब 6-अंकीय TOTP कोड Evilginx2 जैसे AitM फ़िशिंग प्रॉक्सी के आगे विफल हो जाते हैं, तब FIDO2/WebAuthn हार्डवेयर प्रमाणीकरण उन पर विजय कैसे पाता है?)
(A) FIDO2 transmits passwords over physical Bluetooth headphones
(B) FIDO2 blocks all HTTP GET requests on port 80
(C) FIDO2 changes the user's password to 500 emojis every millisecond
(D) The browser cryptographically binds the WebAuthn challenge to the exact authentic origin domain (`example.com`), so the key refuses to sign for a fake proxy domain (`examp1e.com`)
Correct Answer: (D)
[EN] With TOTP, a tricked user types the valid 6-digit code into the AitM proxy which relays it instantly; WebAuthn verifies the TLS origin domain cryptographically inside the client.
[HI] TOTP में यूजर फर्जी पेज पर भी कोड टाइप कर देता है जिसे प्रॉक्सी तुरंत असली साइट पर भेज देता है, जबकि FIDO2/WebAuthn ब्राउज़र में डोमेन नाम की क्रिप्टोग्राफिक जांच करके फर्जी डोमेन पर हस्ताक्षर करने से मना कर देता है।
Q4. Why do attackers embed QR codes inside PDF attachments ('Quishing') instead of placing clickable `https://` phishing links directly in the email body?
(हमलावर ईमेल बॉडी में सीधे क्लिक करने योग्य `https://` लिंक देने के बजाय PDF के अंदर QR कोड ('Quishing') क्यों डालते हैं?)
(A) Email security gateways cannot easily parse QR code images to inspect URL reputation, and scanning pushes the victim onto an unmanaged personal smartphone
(B) QR codes encrypt all incoming emails with AES-256
(C) QR codes automatically install Linux kernel rootkits inside printers
(D) QR codes bypass DNS name resolution entirely
Correct Answer: (A)
[EN] Secure Email Gateways rewrite and inspect text URLs, whereas QR images hide the malicious destination and move the click off the corporate EDR-protected PC onto mobile data.
[HI] ईमेल सुरक्षा फिल्टर टेक्स्ट लिंक को आसानी से स्कैन कर लेते हैं, पर QR कोड इमेज को पढ़ना कठिन होता है और इसे स्कैन करने पर यूजर कॉर्पोरेट लैपटॉप से हटकर कम सुरक्षित मोबाइल फोन पर चला जाता है।
Q5. When inspecting an email's URL, what does the prefix `xn--` (Punycode) indicate in a suspected phishing link such as `https://xn--pypal-4ve.com`?
(किसी संदिग्ध फ़िशिंग लिंक जैसे `https://xn--pypal-4ve.com` में `xn--` (Punycode) उपसर्ग क्या दर्शाता है?)
(A) An internal intranet server reachable only via IPv6
(B) An Internationalized Domain Name (IDN) Homograph attack substituting visually similar non-ASCII Unicode characters to impersonate a trusted brand
(C) An official extended validation certificate issued by ICANN
(D) A hardware firewall VPN tunnel endpoint
Correct Answer: (B)
[EN] Punycode encodes non-ASCII Unicode (like Cyrillic `а`) into ASCII-compatible DNS labels starting with `xn--`; browsers reveal `xn--` when mixed-script spoofing is suspected.
[HI] `xn--` Punycode का संकेत है, जिसका उपयोग IDN होमोग्राफ हमले में वैध ब्रांड जैसा दिखने वाला नकली Unicode डोमेन बनाने के लिए किया जाता है।
Q6. Which SPF qualifier at the end of `v=spf1 include:_spf.google.com -all` instructs receiving mail servers to treat any unlisted sending IP as an explicit authorization failure (HardFail)?
(`v=spf1 include:_spf.google.com -all` में अंत में लगा कौन सा SPF क्वालिफायर प्राप्तकर्ता सर्वर को किसी अन्य अनधिकृत IP से आए ईमेल को स्पष्ट रूप से विफल (HardFail) मानने का निर्देश देता है?)
(A) `-all` (Minus / HardFail)
(B) `~all` (SoftFail)
(C) `?all` (Neutral)
(D) `+all` (Pass Everyone)
Correct Answer: (A)
[EN] `-all` signals HardFail (unauthorized), `~all` indicates SoftFail (accept but mark/score), `?all` is Neutral, and `+all` dangerously authorizes the entire internet.
[HI] `-all` HardFail को दर्शाता है कि सूची के बाहर का कोई भी IP अनधिकृत है, जबकि `~all` SoftFail और `+all` सभी को अनुमति देने की खतरनाक सेटिंग है।
Q7. How does 'OAuth Consent Phishing' compromise a corporate Microsoft 365 or Google Workspace mailbox without stealing the victim's password or bypassing MFA?
('OAuth Consent फ़िशिंग' पीड़ित का पासवर्ड चुराए बिना या MFA तोड़े बिना कॉर्पोरेट Microsoft 365 या Google Workspace मेलबॉक्स में प्रवेश कैसे पा लेती है?)
(A) It guesses the user's 128-bit BitLocker recovery key
(B) It exploits an unpatched Telnet port 23 daemon on the user's smartphone
(C) It converts DOCX attachments into BIOS interrupt handlers
(D) The attacker tricks an authenticated user into approving a malicious third-party OAuth app permission grant (`Mail.Read`, `Files.Read.All`), issuing persistent API refresh tokens
Correct Answer: (D)
[EN] Because the user logs into the genuine IdP and explicitly clicks 'Accept Permissions' for a rogue app, OAuth issues legitimate bearer/refresh tokens bypassing password/MFA changes.
[HI] इसमें यूजर असली लॉगिन पोर्टल पर ही धोखे से एक फर्जी थर्ड-पार्टी ऐप को `Mail.Read` जैसी अनुमति दे देता है, जिससे हमलावर को बिना पासवर्ड के स्थायी API टोकन मिल जाता है।
Q8. What does DKIM (DomainKeys Identified Mail, RFC 6376) verify that SPF alone cannot guarantee?
(DKIM (DomainKeys Identified Mail) क्या सत्यापित करता है जिसे अकेला SPF सुनिश्चित नहीं कर सकता?)
(A) Cryptographic message integrity and domain-level signing across mail forwarding/relays using an asymmetric private key matching a DNS `._domainkey` public key
(B) Whether the email contains zero JPEG images
(C) The sender's home street address and government Aadhaar number
(D) Whether the recipient's monitor has high-contrast dark mode enabled
Correct Answer: (A)
[EN] SPF breaks when emails are forwarded through third-party relays (changing the sending IP), whereas DKIM signs headers/body cryptographically so integrity persists through forwarders.
[HI] ईमेल फॉरवर्ड होने पर भेजने वाले सर्वर का IP बदलने से SPF टूट सकता है, लेकिन DKIM संदेश के हेडर व बॉडी पर क्रिप्टोग्राफिक हस्ताक्षर करता है जो फॉरवर्डिंग के बाद भी अखंडता सिद्ध करता है।
Q9. In Cialdini's social engineering psychology framework, a caller claiming to be from the 'RBI Fraud Desk' demanding an immediate OTP within 60 seconds before a bank freeze exploits which two triggers?
(एक कॉलर खुद को 'RBI फ्रॉड डेस्क' का अधिकारी बताकर 60 सेकंड में OTP मांगता है वरना खाता फ्रीज होने की धमकी देता है। यह किन दो मनोवैज्ञानिक कारकों का शोषण है?)
(A) Authority and Urgency (combined with Fear)
(B) Confidentiality and Redundancy
(C) Encryption and Compression
(D) Nostalgia and Boredom
Correct Answer: (A)
[EN] Impersonating a high-authority regulator ('Authority') paired with an artificial ticking clock ('Urgency') shuts down analytical verification by triggering panic.
[HI] उच्च संस्थान (RBI) का नाम लेकर 'Authority' और मात्र 60 सेकंड का दबाव डालकर 'Urgency' व भय का उपयोग किया गया है ताकि पीड़ित सोच-विचार न कर सके।
Q10. Which statement is NOT true regarding Phishing, Spear Phishing, Whaling, and Email Security?
(फ़िशिंग, स्पीयर फ़िशिंग, व्हेलिंग और ईमेल सुरक्षा के संबंध में निम्नलिखित में से कौन सा कथन सत्य नहीं है?)
(A) Business Email Compromise (BEC) attacks often omit malware attachments entirely to evade antivirus scanning
(B) Deploying SSL/TLS (`https://` padlock) on a phishing domain proves that the website belongs to the genuine brand and cannot steal credentials
(C) Vishing leverages voice calls—increasingly enhanced by AI voice cloning—to impersonate executives or tech support
(D) External-sender warning banners help employees spot lookalike display-name spoofing inside corporate mail clients
Correct Answer: (B)
[EN] Free automated CAs (like Let's Encrypt) issue valid `https://` certificates for lookalike domains such as `paypa1-support.com`; the padlock only means encrypted transport, NOT site trustworthiness.
[HI] वेबसाइट पर `https://` (ताले का निशान) होने का अर्थ केवल डेटा एन्क्रिप्शन है, यह वेबसाइट के असली या विश्वसनीय होने की गारंटी नहीं देता; फर्जी फ़िशिंग साइटें भी मुफ्त SSL लगाती हैं।
Q11. What distinguishes a 'Business Email Compromise (BEC)' wire fraud attack from a typical Ransomware phishing campaign?
('बिजनेस ईमेल कॉम्प्रोमाइज' (BEC) वायर-फ्रॉड हमला एक सामान्य रैनसमवेयर फ़िशिंग अभियान से किस प्रकार भिन्न होता है?)
(A) BEC distributes physical USB sticks in cafeteria vending machines
(B) BEC always encrypts the CFO's hard drive before asking for money
(C) BEC exclusively targets Linux print spoolers over UDP
(D) BEC relies on pure social engineering, account takeover, or executive/vendor impersonation with zero malicious payloads, making signature AV blind to the text-only fraud
Correct Answer: (D)
[EN] Because a BEC email contains plain conversational business language ('Please process the revised vendor invoice IBAN today') with no attachments or exploit links, traditional malware scanners pass it cleanly.
[HI] BEC ईमेल में अक्सर कोई मैलवेयर अटैचमेंट या संदिग्ध लिंक नहीं होता; यह शुद्ध टेक्स्ट के जरिए अधिकारी या विक्रेता बनकर खाते में पैसे मंगवाने का प्रयास होता है, जिससे एंटीवायरस इसे नहीं पकड़ पाता।
Q12. What is a 'Watering-Hole Attack' in advanced targeted social engineering campaigns?
(उन्नत लक्षित हमलों में 'वाटरिंग-होल अटैक' (Watering-Hole Attack) क्या होता है?)
(A) Sending SMS links offering free bottled water coupons
(B) Compromising a legitimate niche website frequently visited by a specific target group (e.g., an industry forum or vendor portal) to serve exploits or credential lures
(C) Flooding a firewall with ICMP echo replies
(D) Pouring water onto a data center server rack to trigger fire alarms
Correct Answer: (B)
[EN] Just as predators wait beside a savanna water hole, APT actors infect a trusted portal frequented by engineers or defense contractors rather than emailing them directly.
[HI] जिस प्रकार शिकारी पानी के स्रोत पर इंतजार करते हैं, उसी तरह हमलावर किसी विशेष वर्ग द्वारा नियमित देखी जाने वाली वैध वेबसाइट को ही संक्रमित कर देते हैं ताकि आगंतुक शिकार बनें।
Q13. What does 'Pretexting' mean in a social engineering penetration test or fraud call?
(सोशल इंजीनियरिंग पेनिट्रेशन टेस्ट या धोखाधड़ी कॉल में 'प्रीटेक्स्टिंग' (Pretexting) का क्या अर्थ है?)
(A) Fabricating a believable, researched backstory or false identity (e.g., new IT auditor or courier) to establish trust and extract sensitive information
(B) Writing plain ASCII text inside HTML `<pre>` tags
(C) Testing Ethernet cable continuity before patching switches
(D) Sending an SMS message before sending an email
Correct Answer: (A)
[EN] Pretexting is the scripted scenario or persona created ahead of contact—gathering public details like coworker names or software vendors to sound completely legitimate.
[HI] प्रीटेक्स्टिंग से आशय जानकारी निकलवाने के लिए पहले से एक विश्वसनीय झूठी भूमिका, कहानी या पहचान (जैसे नया IT ऑडिटर या कूरियर कर्मी) गढ़ने से है।
Q14. Why do corporate security policies require 'Out-of-Band Verification' whenever a vendor emails a sudden request to change bank payout account numbers?
(जब कोई विक्रेता ईमेल से अचानक बैंक खाता नंबर बदलने का अनुरोध करे, तो कॉर्पोरेट नीतियां 'आउट-ऑफ-बैंड सत्यापन' (Out-of-Band Verification) क्यों अनिवार्य करती हैं?)
(A) Email encryption algorithms cannot transmit bank IFSC codes accurately
(B) Calling a known pre-registered phone number (separate from numbers listed inside the suspect email) confirms authenticity even if the vendor's email account was hijacked
(C) Calling via phone disables DMARC checks permanently
(D) Out-of-band verification automatically converts INR payments into cryptocurrency
Correct Answer: (B)
[EN] If a vendor's mailbox was truly compromised by BEC attackers, replying to the email thread reaches the attacker; verifying over an independently stored phone number breaks the attack.
[HI] यदि विक्रेता का ईमेल हैक हो चुका हो, तो ईमेल पर रिप्लाई करने से हमलावर ही जवाब देगा; इसलिए पहले से दर्ज अलग फोन नंबर पर कॉल करके पुष्टि करना (Out-of-Band) आवश्यक है।
Q15. Which physical social engineering tactic involves an unauthorized person walking closely behind an employee through a badge-controlled secure door while carrying heavy boxes?
(वह कौन सी भौतिक सोशल इंजीनियरिंग तकनीक है जिसमें एक अनधिकृत व्यक्ति भारी डिब्बे उठाने का नाटक करके कार्ड-एक्सेस वाले दरवाजे से किसी कर्मचारी के ठीक पीछे अंदर घुस जाता है?)
(A) ARP Cache Poisoning
(B) Dumpster Diving
(C) SQL Injection
(D) Tailgating (or Piggybacking if the employee knowingly holds the door out of politeness)
Correct Answer: (D)
[EN] Tailgating bypasses electronic badge access controls by exploiting social politeness; security training teaches employees to challenge unbadged visitors and prevent door holding.
[HI] टेलगेटिंग (Tailgating) में हमलावर सामाजिक शिष्टाचार का फायदा उठाकर बिना एक्सेस कार्ड दिखाए वैध कर्मचारी के पीछे सुरक्षित क्षेत्र में प्रवेश कर जाता है।
Q16. Which email header field is spoofed trivially by simple phishing scripts (`Display Name` / `Header From`) and must be verified against `SPF` and `DKIM` via `DMARC`?
(साधारण फ़िशिंग स्क्रिप्ट द्वारा किस ईमेल हेडर फील्ड की नकल करना बेहद आसान होता है, जिसे `DMARC` के माध्यम से `SPF` और `DKIM` से सत्यापित करना जरूरी है?)
(A) The local workstation MAC address
(B) The visible `From:` header (RFC 5322 Header From)
(C) The NTFS File Creation Timestamp
(D) The internal TCP Sequence Number
Correct Answer: (B)
[EN] SMTP allows anyone to set arbitrary `From: CEO <ceo@company.com>` text in the RFC 5322 message body unless receiving servers enforce strict DMARC alignment against SPF/DKIM.
[HI] SMTP में कोई भी व्यक्ति संदेश के अंदर दिखने वाले `From:` हेडर में मनचाहा नाम व पता लिख सकता है; इसे रोकने के लिए प्राप्तकर्ता सर्वर द्वारा DMARC एलाइनमेंट जांच आवश्यक है।
Q17. Within Social Engineering: Phishing, Spear Phishing and Whaling, which social engineering variant directly maps to: "Mass untargeted credential-harvesting links/attachments"?
(Social Engineering: Phishing, Spear Phishing and Whaling में कौन सा Social Engineering Variant सीधे "Mass untargeted credential-harvesting links/attachments" से संबंधित है?)
(A) Vishing / Smishing / Quishing
(B) Spear Phishing
(C) Whaling / BEC
(D) Bulk Phishing
Correct Answer: (D)
[EN] In Social Engineering: Phishing, Spear Phishing and Whaling, 'Bulk Phishing' handles 'Mass untargeted credential-harvesting links/attachments' (DMARC p=reject + Secure Email Gateway URL rewrite).
[HI] Social Engineering: Phishing, Spear Phishing and Whaling में 'Bulk Phishing' का कार्य/विवरण 'Mass untargeted credential-harvesting links/attachments' (DMARC p=reject + Secure Email Gateway URL rewrite) है।
Q18. Which option accurately describes 'Spear Phishing' in Social Engineering: Phishing, Spear Phishing and Whaling?
(Social Engineering: Phishing, Spear Phishing and Whaling के संदर्भ में 'Spear Phishing' की सही विशेषता कौन सी है?)
(A) Mass untargeted credential-harvesting links/attachments
(B) Voice deepfake, SMS links, and QR codes bypassing email filters
(C) Targets C-suite CEO/CFO for wire fraud or sensitive secrets
(D) OSINT-tailored lures targeting specific staff/departments
Correct Answer: (D)
[EN] 'Spear Phishing' provides 'OSINT-tailored lures targeting specific staff/departments' — key point: FIDO2/WebAuthn MFA + External-Sender warning tags.
[HI] 'Spear Phishing' का मुख्य विवरण 'OSINT-tailored lures targeting specific staff/departments' है (FIDO2/WebAuthn MFA + External-Sender warning tags)।
Q19. In Social Engineering: Phishing, Spear Phishing and Whaling, identify the correct parameter for the specification: "Targets C-suite CEO/CFO for wire fraud or sensitive secrets".
(Social Engineering: Phishing, Spear Phishing and Whaling में "Targets C-suite CEO/CFO for wire fraud or sensitive secrets" विवरण किस विकल्प के लिए सही है?)
(A) Vishing / Smishing / Quishing
(B) Bulk Phishing
(C) Whaling / BEC
(D) Spear Phishing
Correct Answer: (C)
[EN] 'Whaling / BEC' corresponds to 'Targets C-suite CEO/CFO for wire fraud or sensitive secrets' (Out-of-band voice verification for bank changes).
[HI] 'Whaling / BEC' का संबंध 'Targets C-suite CEO/CFO for wire fraud or sensitive secrets' (Out-of-band voice verification for bank changes) से है।
Q20. Considering Social Engineering: Phishing, Spear Phishing and Whaling, what key behavior defines 'Vishing / Smishing / Quishing'?
(Social Engineering: Phishing, Spear Phishing and Whaling में 'Vishing / Smishing / Quishing' की मुख्य भूमिका या मान क्या है?)
(A) Voice deepfake, SMS links, and QR codes bypassing email filters
(B) Targets C-suite CEO/CFO for wire fraud or sensitive secrets
(C) OSINT-tailored lures targeting specific staff/departments
(D) Mass untargeted credential-harvesting links/attachments
Correct Answer: (A)
[EN] 'Vishing / Smishing / Quishing' represents 'Voice deepfake, SMS links, and QR codes bypassing email filters' (Mobile anti-phishing + disable unknown QR/URL auto-open).
[HI] 'Vishing / Smishing / Quishing' का अर्थ/मान 'Voice deepfake, SMS links, and QR codes bypassing email filters' है (Mobile anti-phishing + disable unknown QR/URL auto-open)।
Social Engineering: Phishing, Spear Phishing and Whaling — Exam FAQs
Q1: What is the exact difference between Phishing, Spear Phishing, and Whaling?
फ़िशिंग (Phishing), स्पीयर फ़िशिंग (Spear Phishing) और व्हेलिंग (Whaling) में सटीक अंतर क्या है?
[EN] Phishing sends generic deceptive messages broadly to large crowds; Spear Phishing uses targeted reconnaissance (name, job role, vendor info) to fool a specific person or department; and Whaling is an elite form of Spear Phishing aimed directly at high-value executives such as CEOs, CFOs, or politicians.
[HI] फ़िशिंग में बड़े पैमाने पर सामान्य भ्रामक संदेश भेजे जाते हैं; स्पीयर फ़िशिंग में किसी खास कर्मचारी या विभाग की जानकारी जुटाकर व्यक्तिगत जाल बिछाया जाता है; और व्हेलिंग में सीधे CEO, CFO जैसे उच्च पदस्थ अधिकारियों को निशाना बनाया जाता है।
Q2: If a website URL shows HTTPS with a green/valid padlock icon, does that prove it is NOT a Phishing site?
यदि किसी वेबसाइट के URL में HTTPS और वैध ताले (Padlock) का आइकन दिख रहा है, तो क्या यह प्रमाणित करता है कि वह फ़िशिंग साइट नहीं है?
[EN] No! HTTPS only confirms that traffic between your browser and that server is encrypted in transit—attackers routinely obtain free valid TLS certificates (e.g., via Let's Encrypt) for lookalike domains like `sbi-kyc-update.com`. Always inspect the exact registered domain name carefully.
[HI] बिल्कुल नहीं! HTTPS और ताले का चिह्न केवल यह बताता है कि आपके ब्राउज़र और उस सर्वर के बीच का ट्रैफिक एन्क्रिप्टेड है। आजकल हमलावर भी नकली डोमेन पर मुफ्त वैध SSL प्रमाणपत्र लगा लेते हैं, इसलिए हमेशा असली डोमेन नाम ध्यान से जांचना चाहिए।
Q3: How do SPF, DKIM, and DMARC work together to stop email spoofing?
ईमेल स्पूफिंग को रोकने के लिए SPF, DKIM और DMARC एक साथ मिलकर कैसे काम करते हैं?
[EN] SPF lists authorized sending server IPs for a domain in DNS; DKIM attaches a cryptographic digital signature proving the message wasn't altered and originated from that domain; and DMARC ties both to the visible `From:` address, enforcing policies like `p=reject` so forged emails never reach the inbox.
[HI] SPF बताता है कि डोमेन के कौन से सर्वर IP ईमेल भेजने के लिए अधिकृत हैं; DKIM ईमेल पर डिजिटल हस्ताक्षर लगाकर उसकी प्रामाणिकता और अखंडता सिद्ध करता है; और DMARC इन दोनों की तुलना दिखने वाले `From:` पते से करके फर्जी ईमेल को `p=reject` द्वारा रोक देता है।
Post a Comment
Post a Comment