فیشینگ (Phishing) چیست؟

فیشینگ نوعی حمله مهندسی اجتماعی است که اغلب برای سرقت اطلاعات کاربر از جمله اطلاعات ورود به سیستم و شماره کارت اعتباری بانک استفاده می شود. روند کار در فیشینگ این گونه است که مهاجم به عنوان یک شخص قابل اعتماد قربانی را برای باز کردن ایمیل، ارسال پیام و … فریب می دهد. سپس گیرنده با کلیک بر روی یک لینک مخرب فریب می خورد، این کلیک منجر به نصب بدافزار ها،حمله باج افزارها و یا افشای اطلاعات حساس شود.

اولین دادخواست فیشینگ در سال 2004 علیه یک نوجوان کالیفرنیایی که از وب سایت “America online” تقلید کرده بود، ایجاد شد. وی با استفاده از این وب سایت جعلی توانسته بود به اطلاعات کارت بانکی کاربران دسترسی پیدا کند و بتواند از حساب های آنان پول برداشت کند.

یک حمله از نوع فیشینگ می تواند نتایج مخرب داشته باشد مثلا ممکن است با اکانت شما خرید هایی غیر قانونی انجام شود، یا سرمایه شما دزدیده شود. هر فردی می تواند در معرض این رخداد قرار بگیرد چرا که اغلب مهاجمان با وعده های وسوسه بر انگیز، نظر قربانی را جذب می کنند.

علاوه بر این فیشینگ گاهی برای بدست آوردن جایگاه در شبکه های شرکتی یا دولتی برای انجام یک حمله بزرگتر است. در این سناریو از کارمندان به منظور دور زدن محیط های امنیتی سازمان ها و نهاد ها استفاده می شود. سازمانی که در معرض چنین حملاتی قرار دارد، علاوه بر ضرر های مالی، شهرت و اعتماد مصرف کننده را نیز از دست می دهد.

نوعی از فیشینگ که در ایران بیشتر با آن رو به رو هستیم، سرقت اطلاعات کارت بانکی و هویتی است. Phishing جرم فریب دادن مردم برای بدست آوردن اطلاعات حساس مانند پسورد و شماره کارت های اعتباری است. این کلمه مخفف عبارت “Password Harvesting Fishing” است و در لغت به معنای دست یافتن به پسورد کاربر است. برای فیشینگ روش های مختلفی وجود دارد اما تمامی روش ها یک ویژگی مشترک دارند، آنها سعی می کنند از سوی فردی به شما نزدیک شوند که شما به آن اعتماد دارید. مثلا اینکه از سوی بانک شما، ایمیل یا پیامی برایتان ارسال می کنند که شما را به کلیک بر روی لینک خاص ترغیب می کنند. و از این طریق اطلاعات و موجودی کارت شما را سرقت می کنند.

بر خلاف سایر تهدید های آنلاین، فیشینگ به تخصص فنی پیچیده ای نیاز ندارد. در واقع به گفته Adam Kujawa مدیر لابراتورهای Malwarebytes، فیشینگ ساده ترین نوع حمله سایبری و عین حال خطرناک ترین و موثرترین است. این به خاطر این است که به آسیب پذیرترین و قدرتمند ترین رایانه روی زمین یعنی ذهن انسان حمله می کند. از ویندوز و آیفون تا مک و اندروید، هیچ سیستم عاملی از فیشینگ کاملا ایمن نیست. در حقیقت مهاجمان به جای تلاش برای پیدا کردن یک آسیب پذیری فنی و نفوذ به لایه های امنیتی به ضعیف ترین پیوند یک سیستم امنیتی مراجعه می کنند : انسان! چرا که فقط یک انسان است که بررسی نمی کند که یک ایمیل از کجا آمده است.

انواع روش های فیشینگ

جعل آدرس سایت

یکی از معروف ترین روش های فیشینگ است که در آن کاربران به جای سایت اصلی، به یک سایت جانبی و نادرست هدایت می شوند. آدرس سایت جعلی بسیار شبیه به آدرس سایت اصلی است و کاربر در نگاه اول متوجه تفاوت ها نمی شود. یکی از سایت هایی که جعل آن خطرات زیادی در پی دارد، سایت شاپرک است.

اگر شما از سایتی خرید کنید برای پراخت وجه اغلب به درگاه شاپرک متصل می شوید. شما در این سایت تمامی مشخصات کارت خود را درج می کنید. حال اگر دقت لازم را نداشته باشید و به جای سایت شاپرک به سایت ” shaqerak” متصل شوید، و اطلاعات کارت خود را وارد کنید، چه اتفاقی می افتد؟

سایت برای شما یک پیام مبنی بر عدم موفقیت تراکنش ارسال می کند اما تمام مشخصات حساب شما را در دست دارد و می تواند به جای شما از هر سایتی خرید کند. البته با فعال شدن رمز دو مرحله ای پویا این موضوع تا حدودی رفع شده است.

گاهی نیز این لینک ها، سایت های متداولی نیستند که هر روز استفاده می کنید! به جای آن پیام های وسوسه انگیزی هستند که شما را برای کلیک کردن بر روی آن جذب می کنند. این لینک ها می توانند از روش های مختلفی برای شما ارسال شوند :

• پیامک
• ایمیل
• گروه های تلگرامی
• اینستاگرام
• و …

پس توجه داشته باشید که بر روی چه لینکی کلیک می کنید و در چه سایتی مشخصات خود را ثبت می کنید.

فیشینگ از طریق تلفن

در این روش از سوی یک نهاد و سازمان معتبر مانند بانک با شما تماس گرفته می شود وا شما می خواهند اطلاعات خود را در خصوص کارت بانکی مجدد بازگو کنید. مثلا ممکن است به شما بگویند کارت بانکی شما با مشکل مواجه شده است و برای رفع مشکل باید رمز خود را اعلام کنید و یا حتی از ترفند برنده شدن در مسابقات استفاده می کنند تا اطلاعات شما را دریافت کنند.

توجه داشته باشید که گاهی این افراد برای آنکه اعتماد شما را جلب کنند، اطلاعات شخصی شما را بازگو می کنند. مثلا ممکن است نام و نام خانوادگی و یا آدرس ایمیل شما را در اختیار داشته باشند. امروزه با گسترش شبکه های اجتماعی کسب اطلاعات پایه ای در مورد افراد سخت نیست.

نرم افزار های مخرب

نمونه این نوع فیشینگ در روزهای گذشته بسیار دیده شده است. در حالی که اکثر مردم نیاز به نرم افزار هایی برای دریافت رمز دوم پویا داشته اند، عده ای فرصت طلب با منتشر کردن نرم افزاری های مخرب، سعی می کردند، فضایی مشابه نرم افزار بانکی را ایجاد نمایند. همانطور که مستحضر هستید، در زمان نصب نرم افزار، شما به نرم افزار اجازه می دهید به بخش های مختلفی از موبایل شما دسترسی داشته باشد. این دسترسی گاهی خطرناک است. پس همیشه نرم افزار های مورد نیاز خود را از وب سایت های معتبر دانلود کنید و در هنگام نصب سطح دسترسی اپلیکیشن مورد نظر را بررسی نمایید.

فیشینگ با دستگاه POS تقلبی

همه ما زمانی که به خرید می رویم، از دستگاه های POS و یا کارت خوان استفاده می کنیم. به عبارت بهتر استفاده از دستگاه های کارت خوان ناگذیر است. اغلب نیز در هنگام ورود رمز، آنرا بلند اعلام می کنیم تا فروشنده خود رمز را وارد نماید. شاید جالب باشد که بدانید، فروشنده می تواند با نصب دستگاه کوچکی به نام اسکیمر، داده های نوار مغناطیسی کارت بانکی را کپی کند. به این ترتیب فروشنده اطلاعات کارت شما را در اختیار دارد و زمانی که شما رمز را برای او بازگو می کنید، آخرین فاکتور برای انجام یک سرقت فراهم می شود. حتی گاهی دیده شده است برخی فروشگاه ها سیستم دوربین مدار بسته خود را به گونه ای تنظیم می کنند که در هنگام درج رمز در دستگاه POS، فیلمبرداری برای فهمیدن رمز انجام شود و به رمز کارت شما دسترسی داشته باشند. پس بهتر است در هنگام خرید دقت لازم را داشته باشید.

💥 جدیدترین نوع فیشینگ

یکی از جدید ترین نوع فیشینگ که در ایران بسیار رایج شده است، سیستم اجاره کارت بانکی است. در این روش کلاهبردار ها با وعده سود ماهانه، افراد را فریب می دهند و از آنها درخواست می کنند که مشخصات کارت بانکی خود را در اختیارشان قرار دهند. آنها با بهانه هایی مانند تمام شدن سقف تراکنش در هر روز و یا حجم بالای معاملات، از مردم اخاذی می کنند. فارغ از اینکه قربانی از منبع و نحوه بدست آوردن این پول، آگاهی ندارد و ممکن است این پول دزدی بوده و درگیر فرایند پولشویی شود. در سیستم قضایی، کسانی که پول را منتقل کرده اند و تراکنش را انجام داده اند، مجرم شناخته می شوند ومقصر شناخته می شوند.

از سوی دیگر از جایی که پیگیری تراکنش های مربوط به ارز دیجیتال با توجه به ماهیت ناشناخته ای آن سخت تر است، عده ای از این کلاهبرداران سعی در خرید ارز دیجیتال می کنند. صرافی های آنلاین مانند پی 98، برای حفظ امنیت کاربران مراحل احراز هویت دقیقی دارند تا از اقدامات قیشینگ جلوگیری به عمل آید اما با این حال عده ای هم چنان با دریافت مبالغی ناچیز، در وبسایت احراز هویت می کنند و به جای دیگران خرید می کنند و خطر شرکت در کلاهبرداری های بزرگ را برای خود می خرند. جالب است بدانید اغلب پولی که برای قربانیان واریز می شود، از کارت های بانکی که اطلاعات آن به روش مختلف دزدیده شده است، واریز می گردد. این یعنی کلاهبردار بدون اینکه از خود ردی به جای بگذارد، به سود خود رسیده است و قربانی مقصر تمام و کمال این ماجراست.

روش های جلوگیری فیشینگ

1- سعی کنید همیشه نرم افزارها و آنت ویروس خود را در حالت “Update automatically” قرار دهید تا آخرین نسخه نرم افزار ها برای شما دانلود و نصب شود. بدین صورت اگر بد افزار یا ویروس مخربی قصد ورود به سیستم شما را داشته باشد، نرم افزار ها و آنتی ویروس های آپدیت شده از ورود آن جلوگیری می کنند.

2- سعی کنید همیشه از وبسایت های معتبر خرید کنید. نماد اعتماد الکترونیکی در سایت های ایرانی، یکی از نشانه هایی است که نشان می دهد وب سایت دارای اعتبار است. ضمنا هیچ وقت فریب قیمت پایین کالا ها و خدمات را نخورید. هیچ ارزانی بی علت نیست!

3- به آدرس سایت ها (URL) آنها دقت کنید تا به سایت جعلی هدایت نشوید. علاوه بر این قبل از کلیک بر روی لینک ارسال شده برای شما صحت آدرس سایت را چک کنید. درگاه های پرداخت بانکی همگی از HTTPS پشتیبانی می کنند. از درگاه هایی که رمز نگاری نبوده و HTTPS نیست، استفاده نکنید.

4- نرم افزار های خود را از منابع معتبر مانند گوگل پلی و یا اپ استور دانلود کنید و در هنگام نصب نرم افزار سطح دسترسی آن را حتما بررسی کنید.

5- رمز کارت بانکی و سایر مشخصات حساب های کاربری خود را در اختیار هیچ کس قرار ندهید چرا که مسئولیت تمام فعالیت های حساب های شما، بر عهده خود شماست.

6- از رمز عبور های یکسان و ساده برای تمام اکانت های خود در سایت های مختلف استفاده نکنید. از انتخاب شماره شناسنامه، سال تولد و یا سایر پسورد های قابل حدس جدا بپرهیزید.

نتیجه گیری

به تمام فعالیت هایی که به منظور دست یابی به اطلاعات حساب بانکی، رمز عبور و دسترسی به حساب کاربری در یک سایت خاص صورت می گیرد، فیشینگ گفته می شود. فیشینگ از روش های متفاوتی انجام می شود. یکی از مهم ترین روش هایی که جدیدا قربانیان بسیاری به خود گرفته است، اجاره کارت های بانکی و انتقال پول توسط حساب های بانکی دیگران است.

توصیه می کنیم برای جلوگیری از هر گونه phishing، رمز دوم پویا خود را فعال کنید و به هیچ عنوان (حتی دریافت سود ماهیانه و یا روزانه) مشخصات کارت بانکی خود را در اختیار دیگران قرار ندهید. علاوه بر آن از انجام تراکنش برای دیگران جدا خودداری کنید.