فیشینگ چیست؟ روش‌های تشخیص و جلوگیری از کلاهبرداری اینترنتی
فیشینگ (Phishing) نوعی کلاهبرداری اینترنتی و مهندسی اجتماعی است که در آن فرد مهاجم خود را به‌جای یک شخص، بانک، شرکت یا سازمان معتبر معرفی می‌کند تا اعتماد شما را جلب کرده و به اطلاعات محرمانه‌تان دسترسی پیدا کند.
هدف حملات فیشینگ معمولاً سرقت اطلاعاتی مانند موارد زیر است:
- شماره کارت بانکی
- رمز بانکی
- رمز پویا
- نام کاربری و گذرواژه
- کدهای تأیید پیامکی
- اطلاعات شخصی
- اطلاعات و دسترسی‌های سازمانی
به همین دلیل، آشنایی با روش‌های تشخیص فیشینگ یکی از مهم‌ترین اصول امنیت اطلاعات برای افراد و کسب‌وکارهاست.
یک مثال ساده از حمله فیشینگ
ممکن است پیامکی با این مضمون دریافت کنید:
«حساب شما مسدود شده است؛ برای فعال‌سازی فوراً وارد لینک زیر شوید.»
با باز کردن لینک، ممکن است صفحه‌ای بسیار شبیه به درگاه بانکی یا سایت اصلی یک سازمان نمایش داده شود.
اما در حقیقت، این صفحه متعلق به کلاهبردار است.
اگر اطلاعاتی مانند شماره کارت، رمز، نام کاربری یا کد تأیید خود را در این صفحه وارد کنید، اطلاعات مستقیماً در اختیار مهاجم قرار می‌گیرد.
یکی از دلایل موفقیت حملات فیشینگ همین شباهت زیاد صفحات جعلی به صفحات واقعی است.
فیشینگ فقط سرقت اطلاعات بانکی نیست
⚠️ یکی از نکات مهم این است که فیشینگ فقط به سرقت اطلاعات بانکی محدود نمی‌شود.
گاهی مهاجم تلاش می‌کند شما را به نصب یک برنامه یا فایل آلوده هدایت کند.
پس از نصب، بدافزار ممکن است بدون اطلاع شما به بخش‌هایی از تلفن همراه، مخاطبان، پیامک‌ها یا سایر اطلاعات دستگاه دسترسی پیدا کند.
در ادامه، ممکن است از طرف شما برای دوستان، همکاران یا اعضای خانواده پیام ارسال شود.
این پیام می‌تواند شامل مواردی مانند:
- درخواست واریز پول
- لینک جعلی
- درخواست نصب برنامه
- فایل آلوده
- یا همان لینک فیشینگ
باشد.
چرا پیام ارسال‌شده از شماره آشنا هم می‌تواند خطرناک باشد؟
یکی از روش‌های مؤثر مهاجمان استفاده از اعتماد میان افراد است.
فرض کنید تلفن همراه یکی از دوستان شما آلوده شده باشد.
بدافزار ممکن است از شماره همان شخص برای شما پیامی ارسال کند. چون شماره فرستنده را می‌شناسید، احتمال دارد بدون بررسی بیشتر به پیام اعتماد کنید.
اگر شما نیز روی لینک کلیک کرده یا برنامه آلوده را نصب کنید، تلفن همراه شما نیز ممکن است آلوده شود و این زنجیره ادامه پیدا کند.
بنابراین:
آشنا بودن شماره فرستنده، به‌تنهایی دلیل معتبر بودن پیام نیست.
اگر حتی از طرف دوست، همکار یا یکی از اعضای خانواده پیام غیرعادی حاوی درخواست پول، نصب برنامه یا باز کردن یک لینک دریافت کردید، پیش از هر اقدامی از یک مسیر مستقل با خود فرد تماس بگیرید و صحت پیام را بررسی کنید.
چگونه از فیشینگ در امان بمانیم؟
برای کاهش احتمال گرفتار شدن در حملات فیشینگ، رعایت چند اصل ساده اما مهم ضروری است:
- روی لینک‌های ناشناس یا مشکوک در پیامک، ایمیل و شبکه‌های اجتماعی کلیک نکنید.
- برای ورود به بانک‌ها و سامانه‌های حساس، ترجیحاً آدرس سایت را خودتان وارد کنید یا از برنامه رسمی استفاده کنید.
- قبل از وارد کردن اطلاعات، آدرس و نام دامنه سایت را با دقت بررسی کنید.
- ظاهر حرفه‌ای یک سایت به معنای معتبر بودن آن نیست.
- وجود علامت قفل در مرورگر نیز به‌تنهایی معتبر بودن یک سایت را تضمین نمی‌کند.
- رمز پویا، کد تأیید، رمز عبور و اطلاعات محرمانه خود را در اختیار دیگران قرار ندهید.
- برنامه‌ها را فقط از منابع معتبر دریافت کنید.
- از نصب فایل‌ها یا برنامه‌هایی که از طریق لینک‌های ناشناس برای شما ارسال می‌شوند، خودداری کنید.
- نسبت به پیام‌هایی که با ایجاد ترس، عجله، وعده جایزه یا پیشنهادهای غیرعادی شما را به اقدام فوری وادار می‌کنند، حساس باشید.
- برای حساب‌های مهم، در صورت امکان احراز هویت دومرحله‌ای را فعال کنید.
نشانه‌های رایج پیام‌های فیشینگ
یکی از روش‌های ساده برای تشخیص فیشینگ، توجه به نحوه نگارش و هدف پیام است.
بسیاری از پیام‌های مشکوک تلاش می‌کنند شما را وادار کنند بدون فکر کردن، سریع اقدام کنید.
برای مثال:
«فوراً کلیک کنید.»
«حساب شما مسدود می‌شود.»
«برای دریافت جایزه اطلاعات خود را وارد کنید.»
«همین حالا این برنامه را نصب کنید.»
«کد تأییدی که برایتان ارسال شده را برای ما بفرستید.»
هدف مهاجم این است که فرصت بررسی و فکر کردن را از شما بگیرد.
به همین دلیل، ایجاد ترس و فوریت یکی از نشانه‌های مهم حملات مهندسی اجتماعی و فیشینگ است.
قانون طلایی مقابله با فیشینگ
یک قانون ساده اما بسیار مهم را همیشه به خاطر داشته باشید:
هر پیامی که شما را وادار می‌کند «فوراً کلیک کن، پول واریز کن، برنامه نصب کن، اطلاعاتت را وارد کن یا کد تأیید را بفرست»، قبل از انجام هر کاری از یک مسیر مستقل بررسی و تأیید کنید.
برای مثال، اگر پیام از طرف بانک ارسال شده است، به‌جای کلیک روی لینک داخل پیام، مستقیماً وارد برنامه یا سایت رسمی بانک شوید.
اگر پیام از طرف دوست یا همکار شماست، با خود او تماس بگیرید.
اگر پیام مربوط به یک سازمان است، از طریق شماره تلفن یا وب‌سایت رسمی آن سازمان موضوع را بررسی کنید.
فیشینگ در کسب‌وکارها چه خطری دارد؟
فیشینگ فقط کاربران شخصی را تهدید نمی‌کند.
در یک مجموعه یا سازمان، سرقت اطلاعات یک کاربر می‌تواند راهی برای دسترسی به بخش‌های دیگر سیستم باشد.
اطلاعاتی مانند:
- نام کاربری و رمز عبور
- ایمیل سازمانی
- دسترسی به نرم‌افزارها
- اطلاعات مالی
- اطلاعات مشتریان
- فایل‌های داخلی
- و دسترسی‌های مدیریتی
ممکن است هدف حمله قرار بگیرند.
به همین دلیل، آموزش کارکنان درباره فیشینگ و امنیت اطلاعات در کنار استفاده از آنتی‌ویروس، فایروال و سایر ابزارهای امنیتی اهمیت زیادی دارد.
حتی قوی‌ترین سیستم‌های امنیتی نیز زمانی که کاربر اطلاعات خود را شخصاً در اختیار مهاجم قرار دهد، ممکن است نتوانند از وقوع حمله جلوگیری کنند.
داستان یک حمله واقعی
برای آشنایی بیشتر با نمونه‌ای از این نوع حملات، می‌توانید گزارش مرتبط منتشرشده در سایت طلا را مطالعه کنید:
عنوان پیشنهادی لینک:مطالعه گزارش یک حمله واقعی در سایت طلا
همچنین به فیلم ضمیمه این مطلب توجه کنید تا نحوه شکل‌گیری چنین حملاتی ملموس‌تر شود.
جمع‌بندی
فیشینگ یکی از رایج‌ترین روش‌های کلاهبرداری اینترنتی و مهندسی اجتماعی است.
در این حملات، مهاجم به‌جای شکستن مستقیم سیستم‌های امنیتی، تلاش می‌کند اعتماد انسان را هدف قرار دهد.
بنابراین مهم‌ترین ابزار دفاعی در برابر فیشینگ، علاوه بر فناوری‌های امنیتی، آگاهی و دقت کاربران است.
به یاد داشته باشید:
- به ظاهر یک سایت اعتماد نکنید.
- صرفاً به دلیل آشنا بودن شماره فرستنده، پیام را معتبر ندانید.
- روی لینک‌های مشکوک کلیک نکنید.
- برنامه ناشناس نصب نکنید.
- رمز و کد تأیید خود را در اختیار دیگران قرار ندهید.
- و در برابر درخواست‌های فوری و غیرعادی، ابتدا صحت موضوع را بررسی کنید.
چند ثانیه بررسی می‌تواند از خسارت‌های مالی و اطلاعاتی بسیار بزرگ جلوگیری کند.
