فیشینگ یکی از قدیمی ترین و رایج ترین انواع کلاهبرداری سایبری است. در این مقاله نحوه جلوگیری از این حمله را یاد می گیرید.
احتمال دارد از سرویسی که استفاده می کنید یک پست الکترونیکی تحت این عنوان دریافت کنید. « حساب شما در حال بسته شدن است، بهتر است قبل بسته شدن روی پیوند زیر کلیک کنید». در نگاه اول همه چیز درست به نظر می رسد، اما اگر روی پیوند کلیک کنید، ممکن است قربانی یکی از قدیمی ترین و رایج ترین کلاهبرداری های سایبری یعنی فیشینگ شوید.
این نوع کلاهبرداری سایبری اطلاعات شما را می‌دزد یا نرم‌افزارهای مخرب (مانند نرم‌افزارهای جاسوسی یا باج‌افزار) را با استفاده از پست الکترونیکی به عنوان اسب تروجان به رایانه شما می‌برد تا امنیت آنلاین شما را نقض کند. هدف از حمله فیشینگ این است که شما را فریب دهد تا فکر کنید پست الکترونیکی از طرف شخصی یا دستگاهی آشنا، مانند بانک یا محل کار، به شما ارسال شده، تا روی پیوند مورد نظر کلیک، یا پیوست را دانلود کنید.
اگرچه فیشینگ یکی از قدیمی‌ترین ترفندهای کلاهبرداری سایبری است اما تکنیک‌های مورد استفاده در چنین پیام‌هایی روز به روز پیچیده‌تر می‌شوند. بنظر ترسناک می رسد به همین دلیل باید دانش مقابله با آن را داشته باشیم. ما از کارشناسان امنیت سایبری درخواست کردیم که نه تنها به ما بگویند “فیشینگ چیست؟” بلکه توضیح دهند که چگونه می توانیم طعمه کلاهبرداری نشویم. چندین راهکار وجود دارد که بسیاری از آنها مشابه مراحلی هستند که در صورت هک شدن رایانه شما یا مبارزه با Doxxing (دستیابی به اطلاعات یک شخص بدون اینکه شخص بداند شما درمورد او اطلاعاتی را جمع آوری می کنید) و حملات در لیست رمزهای عبور خود انجام می دهید.
فیشینگ چیست؟
طبق گفته ی اریک گلدشتاین، دستیار اجرایی مدیر امنیت سایبری در آژانس امنیت سایبری و زیرساخت، «فیشینگ نوعی مهندسی اجتماعی است که از پست الکترونیکی یا وب سایت های مخرب برای درخواست اطلاعات شخصی یا فریب شما برای دانلود نرم افزارهای مخرب استفاده می کند.»
این اصطلاح “Phishing” که به صورت “Fishing” یعنی “ماهیگیری” تلفظ می شود، تصویر ماهیگیری را تداعی می کند که یک قلاب دارای طعمه را به آب می اندازد. در این مورد، پست الکترونیکی فیشینگ قلاب طعمه شده است و کلاهبردار پشت آن فقط امیدوار است که هدف قلاب را بگیرد.
این نوع کلاهبرداری سایبری احتمالا اولین بار در شرکت (American Online) که یک شرکت آمریکایی سرویس‌دهندهٔ اینترنتی و رسانه‌ای است، در دهه ۱۹۹۰ آغاز شده است، زمانی که هکرها سعی داشتند کاربران این شرکت را برای ارائه اطلاعات ورود به سیستم فریب دهند. در ابتدا، این یک تکنیک برای به دست آوردن شماره کارت اعتباری بود، اما امروزه گسترش بیشتری یافته است.
این روزها، وقتی روی پست الکترونیکی فیشینگ کلیک می کنید، معمولاً یک ویروس یا نرم افزار مخرب را روی رایانه یا دستگاه شما نصب می کند. وقتی در رایانه یا دستگاه محل کار خود روی آن پیوند کلیک کنید، ویروس یا نرم افزار مخرب می تواند به مهاجم اجازه دسترسی به کل شبکه محل کار شما را بدهد.
کوئنتین هاجسون، محقق ارشد شرکت رند که بر امنیت سایبری تمرکز می‌کند، می‌گوید: «یک پست الکترونیکی حاوی فیشینگ معمولا سعی می‌کند احساس نیاز و ترس از جا ماندن را ایجاد کند و اغلب پیشنهادی ارائه می‌دهد که بنظر خیلی واقعی هستند… و باید هم اینطور باشند. واقعاً چند شرکت می توانند مبلغی در ازای یک نظر سنجی ساده به شما بدهند یا یک تبلت رایگان برای شما بفرستند؟
بیشتر نشت های بزرگ اطلاعات از پست های الکترونیکی حاوی فیشینگ صورت می گیرد. به عنوان مثال، حمله معروف Colonial Pipeline در سال ۲۰۲۱، یک حمله باج افزار بود که در آن مجرمان بوسیله پست های الکترونیکی حاوی فیشینگ از طریق یک کارمند شرکت دسترسی خود را پیدا کردند. و حمله سال ۲۰۱۴ به سونی پیکچرز توسط چندین پست الکترونیکی که به نظر می رسید از طرف اپل باشد، برای مدیران این شرکت ارسال شد.
انواع فیشینگ
در حال حاضر، شما به خوبی می دانید که فیشینگ چیست. سوال مهم بعدی این است: “فیشینگ به چه شکل های ظاهر می شود؟” هکرها می توانند کارهای زیادی را فقط با پست الکترونیکی شما انجام دهند، به همین دلیل است که فیشینگ پست الکترونیکی از همه مهمتر است. اما راه های دیگری نیز وجود دارد که مجرمان از فیشینگ برای هدف قرار دادن ما استفاده می کنند. هنگامی که از تاکتیک های مختلف آگاه شدید، بهتر می توانید از آنها جلوگیری کنید.
- فیشینگ از طریق پست الکترونیکی:
(Email phishing)
گلدشتاین می گوید بیش از ۹۰ درصد از حملات سایبری از این طریق شروع می شود. سه جزء کلیدی در این روش وجود دارد که قربانیان ناآگاه را فریب می دهد:
- فرستنده جعلی: به عنوان بخشی از نقشه که شما را فریب دهند تا باور کنید پست الکترونیکی ارسال شده هیچ ایرادی ندارد و کلاهبرداری نیست، آنها را از طرف شخص یا موسسه ای ارسال می کنند که به آن اعتماد کامل دارید، مانند موسسه کارت اعتباری شما، یک موسسه دولتی یا خرده فروشی مانند آمازون. به این عمل مشکوک جعل می گویند.
- موضوع جذاب: کلاهبرداران موضوع پست الکترونیکی را می نویسند تا شما را وادار کنند که پیام را باز کنید.
- پیام قانع کننده: محتوای یک پست الکترونیکی حاوی فیشینگ قصد دارد شما را وادار کند یک پیوست را دانلود کنید (مانند یک فایل Microsoft Word با کد مخرب) یا روی پیوندی کلیک کنید که شما را به یک سایت مخرب می برد. در آنجا، ممکن است ناخواسته نرم افزارهای مخرب مانند ابزارهای تبلیغاتی مزاحم، جاسوس افزارها، باج افزارها یا ویروس ها را دانلود کنید.
- فیشینگ نیزه ای (Spear phishing):
این نوع حمله، شخص یا شغل خاصی را در یک شرکت یا سازمان هدف قرار می دهد. هاجسون خاطرنشان می‌کند که فیشینگ نیزه‌ای برابر با «انفجار دسته‌جمعی» از همان نوع پست الکترونیکی است که برای دسته‌ای از گیرندگان در شبکه شرکت به امید به تله انداختن تعداد کمی ارسال می شود. اغلب، یک پست الکترونیکی حاوی فیشینگ، بخش مالی یک شرکت را هدف قرار می دهد و وانمود می کند که یک مدیر است و فوراً یک حواله بانکی بزرگ می خواهد.
فریب مدیرعامل، نوع دیگری از فیشینگ نیزه ای است که مدیرعامل یک سازمان را هدف قرار می دهد. هدف این است که فردی که در جایگاه رهبری شرکت قرار دارد، مبالغ انبوهی را به مهاجم منتقل کند.
- فیشینگ از طریق پیامک (SmisZing):
نوعی حمله که در آن کلاهبرداران پیام های متنی را به تلفن همراه مخاطب پیامک می کنند و احتمالا خطرناک ترین شکل فیشینگ در حال حاضر باشد. در حالی که مردم ازداستان “شاهزاده نیجریه” ( کسی که ادعا میکرد شاهزاده نیجریه است و کلی ثروت دارد و نیاز به کمک دارد تا ثروت خود را از کشور خارج کند و از شما درخواست اطلاعات شخصی بانکی یا مقداری پول برای جابجایی می کرد) با خبر بودند اما ممکن است در مورد متون جعلی هوشیار نباشند.
- فیشینگ صوتی (Vishing):
بسیاری از ما با تماس های ضبط شده ی خودکار آشنا هستیم. بدتر از بازاریاب های تلفنی، افرادی هستند که از پست صوتی یا تماس تلفنی به عنوان یک حمله فیشینگ استفاده می کنند. در فرآیندی که به عنوان Vishing شناخته می‌شود، یک تماس تلفنی ضبط شده از شما می‌خواهد شماره‌ای را روی صفحه کلید خود فشار دهید، یا تماس‌گیرنده اطلاعات شخصی شما را جستجو می‌کند، شاید بگوید که از طرف یک مسابقه تلویزیونی، رادیویی، بانک یا حتا مدرسه فرزندانتان است.
- جعل پیوند 🙁Link manipulation)
در دنیای کلاهبرداری های فیشینگ، دستکاری پیوند ها مانند این است که یک کرم مصنوعی را به قلاب خود بچسبانید تا ماهی را فریب دهید تا گاز بگیرد. سوای این مورد، کرم یک پیوند به ظاهر درست است. با این حال، در زیر آن پیوندی به یک وب سایت مخرب پنهان است.
- کلون فیشینگ (Clone Phishing):
فرض کنید اخیراً یک پست الکترونیکی از بانک خود حاوی پیوست یا پیوند دریافت کرده اید. چند هفته بعد، شما همان پست الکترونیکی را دریافت می کنید. با شبیه سازی فیشینگ، مهاجمان سایبری پست های الکترونیکی قانونی را دوباره ایجاد می کنند. همه جزئیات یکسان هستند، اما پیوندها یا پیوست ها را با محتوای فیشینگ جایگزین می کنند. آنها فکر می کنند اکثر مردم پست های الکترونیکی را تشخیص می دهند اما به دقت به تغییرات ایجاد شده نگاه نمی کنند. و اغلب حق با آنهاست.
- تبلیغات مخرب (Malvertising):
وب سایت های مخرب و تبلیغات. در این نوع حملات فیشینگ، مجرمان سایبری یک تبلیغ جعلی را برای شما پست الکترونیکی می‌کنند که به نظر درست و قانونی می‌رسد، اما حاوی پیوندهایی به وب‌سایت‌هایی است که بدافزار را منتشر می‌کنند.
- فیشینگ از طریق موتور جستجوگر :
(Search engine phishing)
این شکل از حمله فیشینگ هنگام جستجو شما را مورد هدف قرار می دهد. این سناریو را در نظر بگیرید: درخواست مشکوکی برای دریافت پول از بانک خود دریافت می کنید. مطمئناً این یک کلاهبرداری است، شما اطلاعات تماس بانک مورد نظر را در گوگل جستجو می کنید. و روی پیوندی کلیک می‌کنید و ناآگاهانه به سمت یک وب‌سایت جعلی از بانک خود می روید، که شما را مستقیماً به دست کلاهبردارانی می‌دهد که تمام اطلاعات شخصی شما را می‌خواهند.
این تنها یک نمونه از تهدیدی به نام فیشینگ موتور جستجو است. با استفاده از تکنیک های سئو(بهینه سازی سایت برای موتورهای جستجو) ، مجرمان سایبری سایت فیشینگ خود را در صفحه اول گوگلدر معرض نمایش قرار می دهند. از آنجا، آنها می توانند انواع آسیب مثل: وادار کردن به کلیک روی پیوندهای مخرب، دانلود بدافزار، یا زنگ زدن به یکی از مجرمان سایبری و ارائه اطلاعات شخصی، وادار کنند.
- فارمینگ 🙁Pharming)
این نوع حمله سایبری ترافیک را از یک وب سایت قانونی به یک وب سایت جعلی هدایت می کند. اگرچه سایت ممکن است قانونی به نظر برسد، اما حاوی مطالب مخربی است که هدف آنها چیزی جز سرقت اطلاعات شخصی شما نیست.
در حالی که کارگزاران داده ممکن است از کوکی‌ها و ابزارهای دیگر برای جمع‌آوری اطلاعات شخصی برای فروش به تبلیغ‌کنندگان، کمپین‌های سیاسی یا سایر اشخاص ذینفع استفاده کنند، فارمینگ، داده‌های خصوصی را جمع‌آوری می‌کند که توسط آن هکرها می‌توانند هویت شما را به سرقت ببرند.
چگونه جلوی پست های الکترونیکی فیشینگ را بگیریم
هکرها از ارسال پست های الکترونیکی حاوی فیشینگ دست نمی کشند. بنابراین این وظیفه شماست که از خود محافظت کنید. برای شروع، از این اقدامات مهم پیروی کنید:
- روی پیوندهای مشکوک کلیک نکنید یا پیوست های پست الکترونیکی مشکوک را باز نکنید.
- گذرواژه های خوب و امنی تنظیم کنید و از آنها در چندین وب سایت استفاده مجدد نکنید.
- از احراز هویت دو مرحله ای برای ایمن سازی حساب های خود استفاده کنید.
- از فیلترهای هرزنامه برای مسدود کردن پست های الکترونیکی که می توانند از آزاردهنده تا خطرناک متغیر باشند، استفاده کنید.
- از ارسال اطلاعات شخصی مانند تاریخ تولد، شماره تلفن، آدرس و برنامه های تعطیلات خود در رسانه های اجتماعی عمومی خودداری کنید.
- یک برنامه امنیتی یا افزونه ضد فیشینگ برای مرورگر دانلود کنید که از حملات فیشینگ محافظت می کند.
درنهایت گلدشتاین می‌گوید که اجتناب از کلاهبرداری فیشینگ به یک نکته مهم ختم می‌شود: قبل از کلیک کردن، لحظه‌ای فکر کنید.
