فیشینگ چیست؟ انواع، نشانه‌های هشدار و راه‌های محافظت

پیامکی می‌رسد که می‌گوید بسته‌ای تحویل داده نشده و برای ارسال دوباره هزینه کمی می‌خواهد. پیوند آن صفحه‌ای با رنگ‌های شرکت ارسال بسته باز می‌کند که فرم کارت بانکی دارد و هیچ ایرادی در آن به چشم نمی‌آید. نکته همین است: صفحه متعلق به کسی است که شماره کارت را می‌خواهد و چنین هزینه‌ای هرگز وجود نداشته است.

این نوشته توضیح می‌دهد فیشینگ چیست، یک حمله چگونه پیش می‌رود، انواع اصلی آن کدام‌اند، چه نشانه‌هایی یک پیام را لو می‌دهند، چرا passkeyها جلوی بیشتر آن را می‌گیرند و اگر روی پیوند کلیک کرده‌اید چه باید بکنید. نوشته برای کسی است که پیام را دریافت می‌کند؛ اینجا دستورالعملی برای مهاجم نیست.

فیشینگ چیست؟#

فیشینگ گونه‌ای مهندسی اجتماعی است: مهاجم به سامانه‌ای نفوذ نمی‌کند، بلکه یک انسان را قانع می‌کند که در را برایش باز کند. مرکز ملی امنیت سایبری بریتانیا (NCSC) آن را این‌طور توصیف می‌کند که مجرمان با ایمیل، پیامک یا تماس تلفنی جعلی قربانیان خود را فریب می‌دهند؛ CISA، آژانس امنیت سایبری آمریکا، هم می‌افزاید که طعمه معمولاً طوری به نظر می‌رسد که انگار از کسی آمده که به او اعتماد دارید.

این واژه با «fishing» (ماهیگیری) بازی می‌کند: طعمه‌ای برای افراد زیادی فرستاده می‌شود و فرستنده منتظر می‌ماند کسی آن را به دندان بگیرد. صید یکی از این چهار چیز است: اطلاعات ورود شما، اطلاعات کارت یا حساب بانکی، کد یک‌بارمصرفی که یک ورود را کامل می‌کند، یا کلیکی که بدافزار نصب می‌کند، یعنی نرم‌افزاری که برای جاسوسی از دستگاه شما یا آسیب زدن به آن ساخته شده است.

حمله فیشینگ چگونه کار می‌کند؟#

1. یک بهانه. فرستنده داستانی متناسب با همان لحظه انتخاب می‌کند: یک بسته پستی، استرداد مالیات، حسابی که قفل شده، صورت‌حسابی پرداخت‌نشده، سندی که با شما به اشتراک گذاشته شده است.
2. طعمه فرستاده می‌شود. یک ایمیل، پیامک یا پیام مستقیم یک پیوند، یک پیوست یا شماره تلفنی برای تماس با خود دارد؛ در تماس تلفنی، خود صدا طعمه است.
3. قلاب. پیوند نسخه‌ای از یک صفحه ورود یا پرداخت واقعی را باز می‌کند، پیوست از شما می‌خواهد «محتوا را فعال کنید»، یا تماس‌گیرنده از شما می‌خواهد کدی را که همین حالا رسیده بلند بخوانید.
4. اطلاعات گرفته می‌شود. هر چه تایپ کنید به دست فرستنده می‌رسد. برخی صفحه‌های فیشینگ ورودی شما را از راه یک ریورس پروکسی (reverse proxy) به سایت واقعی می‌رسانند، پس ورود ظاهراً موفق است، در حالی که مهاجم کوکی نشستی را که سایت برمی‌گرداند نگه می‌دارد؛ نوشته session hijacking چیست؟ توضیح می‌دهد چرا همان کوکی به‌تنهایی حساب را باز می‌کند.
5. اطلاعات به کار می‌رود. رمز عبور در سایت واقعی و سایت‌های دیگر امتحان می‌شود، از کارت برداشت می‌شود، یا حساب شما همان طعمه را برای مخاطبانتان می‌فرستد.

فیشینگ چه انواعی دارد؟#

spear phishing و whaling نسخه‌های هدفمند فیشینگ‌اند. NCSC می‌گوید مهاجم از اطلاعاتی درباره کارکنان یا شرکت شما استفاده می‌کند تا پیام را قانع‌کننده کند، و whaling را گونه‌ای از spear phishing می‌داند که «ماهی بزرگی» مانند یکی از اعضای هیئت‌مدیره را هدف می‌گیرد.

smishing و vishing همین ترفند را به تلفن می‌برند؛ CISA آن‌ها را مهندسی اجتماعی از راه پیامک و از راه صدا تعریف می‌کند. این دو اغلب با هم کار می‌کنند: پیامکی درباره یک پرداخت مشکوک هشدار می‌دهد و «تیم مقابله با کلاهبرداری» در شماره‌ای که همان پیامک داده است، کدی از شما می‌خواهد.

quishing پیوند را در یک کد QR پنهان می‌کند. کمیسیون تجارت فدرال آمریکا (FTC) درباره کدهایی هشدار داده است که روی کدهای واقعی پارکومترها چسبانده شده‌اند، و درباره کدهای QR در ایمیل‌ها و پیامک‌های غیرمنتظره که به یک سایت کپی‌شده می‌رسند.

consent phishing هیچ رمز عبوری نمی‌دزدد. مایکروسافت آن را فریب دادن کاربران برای اعطای مجوز به یک برنامه ابری مخرب توصیف می‌کند؛ صفحه رضایت واقعی است، پس نوار نشانی درست به نظر می‌رسد. آنچه آن را لو می‌دهد خود درخواست است، مانند یک «نمایشگر سند» ناشناس که می‌خواهد ایمیل‌های شما را بخواند و از طرف شما ایمیل بفرستد؛ راه‌حل، حذف آن برنامه از فهرست برنامه‌های متصل حساب شماست.

پیام فیشینگ را چگونه تشخیص دهید؟#

پیام فیشینگ شما را وادار می‌کند پیش از فکر کردن اقدام کنید، پس فشار نخستین نشانه است؛ نشانی‌ای که به آن سازمان تعلق ندارد نشانه دوم است. NCSC پنج نشانه را برمی‌شمارد: اقتدار (پیامی که ادعا می‌کند از یک مرجع رسمی آمده است)، فوریت (مهلتی کوتاه یا تهدید به جریمه)، احساسات (وحشت، ترس، امید یا کنجکاوی)، کمیابی (چیزی که کم پیدا می‌شود) و رویدادهای روز (فصل مالیات، یک خبر بزرگ).

سپس جزئیات را بررسی کنید:

• نشانی فرستنده، نه نام نمایشی. نام می‌تواند «پشتیبانی بانک» باشد؛ آنچه اهمیت دارد دامنه بعد از @ است.
• دامنه‌های مشابه. نامی که یک حرف با نام واقعی فرق دارد، یا برند واقعی را در ابتدای نشانی بلندتری می‌گذارد، پوششی رایج است؛ نوشته typosquatting چیست؟ نشان می‌دهد چنین نامی را چگونه بخوانید.
• پیوندی که نشانی واقعی‌اش با متنش فرق دارد. روی رایانه، نشانگر ماوس را روی آن نگه دارید؛ روی گوشی، انگشت خود را روی آن نگه دارید تا پیش‌نمایشش را ببینید.
• پیوستی غیرمنتظره، به‌ویژه پیوستی که از شما می‌خواهد محتوا را فعال کنید. Office در ویندوز ماکروهای فایل‌هایی را که از اینترنت آمده‌اند به‌طور پیش‌فرض مسدود می‌کند، پس دستورالعملی برای برداشتن این مسدودیت خودش یک هشدار است.
• پرداختی خارج از روال: حساب بانکی «جدید» یک تأمین‌کننده، کارت هدیه، انتقال فوری وجه برای مدیری که در دسترس نیست.
• درخواست کد. FTC صریح می‌گوید هر کسی که کد تأیید حساب شما را بخواهد کلاهبردار است.
• نگارش بی‌غلط چیزی را ثابت نمی‌کند. CISA یادآوری می‌کند که ابزارهای هوش مصنوعی اکنون پیام‌هایی پاکیزه و بدون غلط می‌نویسند.

در صورت تردید، از راهی که از قبل می‌شناسید با سازمان تماس بگیرید، مثلاً اپلیکیشن آن یا شماره روی کارتتان، و هرگز از پیوند یا شماره درون پیام استفاده نکنید.

چرا passkeyها در برابر فیشینگ مقاوم‌اند؟#

passkey را نمی‌توان در صفحه‌ای جعلی تایپ کرد: دستگاه شما آن را فقط به سایتی ارائه می‌کند که برایش ساخته شده است، پس کپی صفحه ورود روی دامنه‌ای دیگر چیزی به دست نمی‌آورد که به کارش بیاید. passkey کلید ورودی است که روی گوشی، رایانه یا مدیر رمز عبور شما ذخیره می‌شود و وب‌سایت فقط نیمه عمومی آن را نگه می‌دارد. FIDO Alliance توضیح می‌دهد که passkey فقط به سایتی ارائه می‌شود که با آن ثبت شده است.

کدها و درخواست‌های تأیید روی گوشی (push) از رمز عبور تنها بهترند، اما صفحه فیشینگ آن‌ها را هم می‌تواند جمع کند. برگه اطلاعات CISA درباره MFA مقاوم در برابر فیشینگ حالت کلاسیک را شرح می‌دهد: یک پورتال ورود جعلی که قربانی نام کاربری، رمز عبور و کد 6 رقمی برنامه احراز هویت (authenticator) را در آن وارد می‌کند. رتبه‌بندی آن، با یک ردیف «فقط رمز عبور» که ما افزوده‌ایم:

CISA این نوع ورود را «استاندارد طلایی» می‌نامد و می‌افزاید که هر نوع احراز هویت چندعاملی (MFA) از نبودنش بهتر است. مدیر رمز عبور هم بررسی مشابهی برای رمزها فراهم می‌کند، چون فرم را فقط در دامنه‌ای پر می‌کند که رمز در آن ذخیره شده است.

اگر روی پیوند فیشینگ کلیک کردید چه کنید؟#

اگر فقط صفحه را باز کرده‌اید و چیزی تایپ نکرده‌اید، آن را ببندید، هر چه دانلود کرده پاک کنید و یک اسکن امنیتی اجرا کنید. اگر رمز عبور، کد یا شماره کارت تایپ کرده‌اید، همین حالا و به این ترتیب اقدام کنید:

1. رمز عبور را در سایت واقعی عوض کنید؛ با تایپ نشانی یا باز کردن اپلیکیشن به آن بروید. اگر همان رمز را جای دیگری هم به کار برده‌اید، آنجا هم عوضش کنید، چون رمز به‌دست‌آمده در سرویس‌های دیگر هم امتحان می‌شود؛ نوشته credential stuffing چیست؟ این مرحله را شرح می‌دهد.
2. از همه نشست‌های دیگر خارج شوید. این کار را از تنظیمات امنیتی حساب انجام دهید، اطلاعات بازیابی، قاعده‌های ارسال خودکار نامه و برنامه‌های متصل را بررسی کنید و هر جا ممکن است یک passkey اضافه کنید.
3. با بانک خود تماس بگیرید، با شماره‌ای که روی کارتتان چاپ شده است، اگر اطلاعات کارت یا حساب بانکی وارد کرده‌اید؛ NCSC و FTC هر دو همین را توصیه می‌کنند.
4. دستگاه را اسکن کنید اگر پیوستی را باز کرده یا چیزی نصب کرده‌اید. اگر دستگاه کاری است، فوراً به تیم فناوری اطلاعات خبر دهید.
5. پیام را گزارش دهید، همان‌طور که در ادامه آمده است. اگر پولی از دست داده‌اید، آن را به‌عنوان کلاهبرداری به پلیس گزارش دهید.

فیشینگ را چگونه گزارش دهید؟#

نخست از دکمه گزارش در برنامه ایمیل خود استفاده کنید، سپس از سرویس گزارش‌دهی کشورتان؛ هر دو فیلترها و فهرست‌های مسدودسازی‌ای را تغذیه می‌کنند که از دیگران محافظت می‌کنند.

• Gmail در رایانه: پیام را باز کنید، روی بیشتر در کنار پاسخ کلیک کنید و سپس گزارش طعمه‌گذاری را بزنید.
• Outlook.com: پیام را انتخاب کنید، سپس Report (گزارش) > Report phishing (گزارش فیشینگ) را بزنید. گزارش دادن فرستنده را مسدود نمی‌کند؛ اگر پیام‌ها ادامه یافت، او را جداگانه مسدود کنید.
• بریتانیا: ایمیل‌های مشکوک را به report@phishing.gov.uk و پیامک‌های کلاهبرداری را به 7726 بفرستید، همان‌طور که صفحه‌های گزارش‌دهی NCSC توضیح می‌دهند.
• آمریکا: FTC از شما می‌خواهد ایمیل‌های فیشینگ را به reportphishing@apwg.org و پیامک‌های فیشینگ را به ⁦SPAM (7726)⁩ بفرستید و کلاهبرداری را در ReportFraud.ftc.gov گزارش کنید.
• کشورهای دیگر: آژانس ملی امنیت سایبری یا CERT کشور شما (تیم واکنش به رخدادهای رایانه‌ای) معمولاً یک فرم گزارش‌دهی دارد.
• در محل کار: از دکمه گزارش شرکت استفاده کنید یا پیام را برای تیم امنیت بفرستید، نه برای همکاران.

سازمان‌ها چگونه در برابر فیشینگ دفاع می‌کنند؟#

سازمان‌ها لایه‌ها را روی هم می‌چینند، چون هیچ فیلتری همه پیام‌ها را نمی‌گیرد. NCSC این لایه‌ها را در چهار دسته قرار می‌دهد: دشوار کردن رسیدن فیشینگ به کاربران (فیلتر ایمیل، احراز هویت ایمیل)، کمک به کاربران برای تشخیص و گزارش آن بدون سرزنش، محدود کردن آسیب یک کلیک (MFA، مدیر رمز عبور، دستگاه‌های به‌روز) و واکنش سریع.

تیم‌های امنیتی پیوندهای گزارش‌شده را پیش از مسدود کردن بررسی هم می‌کنند. برخی صفحه‌های فیشینگ صفحه ورود جعلی را فقط به بازدیدکنندگانی نشان می‌دهند که شبیه هدف‌اند، مثلاً یک اتصال خانگی در کشور هدف، و به بقیه صفحه‌ای خالی نشان می‌دهند. به همین دلیل تحلیلگران پیوند را در یک مرورگر ایزوله، هرگز با اطلاعات ورود واقعی، از راه یک خروجی پروکسی مسکونی در همان کشور و شهر باز می‌کنند.

برای طعمه‌ای که با پیامک فرستاده شده است، صفحه ممکن است فقط روی شبکه موبایل خودش را نشان دهد؛ پروکسی موبایل برای همین یک بررسی، آی‌پی واقعی یک اپراتور تلفن همراه را در اختیار تحلیلگر می‌گذارد. این کار چند بارگذاری صفحه به‌ازای هر پیوند است، برای مستندسازی و گزارش صفحه، و هرگز برای پر کردن آن.

جاهایی که با فیشینگ روبه‌رو می‌شوید#

در صندوق‌های ایمیل شخصی و کاری. در پیامک‌هایی درباره بسته‌های پستی، عوارض جاده، استرداد مالیات یا هشدارهای بانکی. در تماس‌هایی از «تیم مقابله با کلاهبرداری» یا «پشتیبانی فنی». در پیام‌هایی در شبکه‌های اجتماعی که وعده جایزه یا شغل می‌دهند. در کدهای QR چسبانده‌شده روی پوسترها و پارکومترها. در محل کار، در صورت‌حساب‌ها، اعلان‌های اشتراک‌گذاری سند و پیام‌هایی که به نظر می‌رسد از طرف رئیس آمده‌اند.

خطاهای رایج#

• اعتماد به لوگو و نام نمایشی. کپی کردن هر دو رایگان است؛ دامنه را نمی‌شود کپی کرد.
• اعتماد به نماد قفل. HTTPS یعنی اتصال به آن دامنه رمزگذاری شده است، نه اینکه دامنه متعلق به بانک شماست.
• تماس با شماره درون پیام برای بررسی آن. آن شماره متعلق به فرستنده است.
• خواندن کد برای تماس‌گیرنده. کدی که در میانه تماسی می‌رسد که خودتان آغازش نکرده‌اید، خود حمله است.
• پاک کردن بدون گزارش. همین گزارش است که صفحه را برای نفر بعدی مسدود می‌کند.

راهنمای انتخاب#

پرسش‌های متداول#

آیا فقط با باز کردن ایمیل فیشینگ هک می‌شوید؟#

به‌ندرت. خواندن پیام در یک برنامه ایمیل به‌روز معمولاً امن است؛ آسیب وقتی آغاز می‌شود که کلیک کنید، پیوستی را باز کنید یا با دادن اطلاعات پاسخ دهید. نقصی در یک برنامه ایمیل قدیمی گاهی ممکن است فقط با خود پیام فعال شود، پس برنامه را به‌روز نگه دارید.

آیا فیشینگ غیرقانونی است؟#

بله. فیشینگ به کلاهبرداری و دسترسی غیرمجاز به حساب دیگران می‌انجامد و هر دو در بیشتر کشورها جرم‌اند؛ عنوان دقیق جرم به قانون محلی بستگی دارد. شبیه‌سازی‌ای که یک شرکت روی کارکنان خودش اجرا می‌کند آموزش است، نه حمله.

تفاوت فیشینگ و هرزنامه چیست؟#

هرزنامه (اسپم) پیام انبوه ناخواسته است که معمولاً تبلیغاتی است؛ آزاردهنده است، اما وانمود نمی‌کند کسی است که به او اعتماد دارید. فیشینگ وانمود می‌کند فرستنده‌ای مورد اعتماد است تا چیزی از شما بگیرد: یک رمز عبور، یک پرداخت یا یک کلیک.

آزمون فیشینگ در محل کار چیست؟#

آزمون فیشینگ یا شبیه‌سازی فیشینگ، ایمیل فیشینگ جعلی و بی‌خطری است که یک شرکت برای کارکنان خودش می‌فرستد تا تشخیص و گزارش نمونه واقعی را به آن‌ها آموزش دهد. کلیک روی آن معمولاً به یک صفحه آموزشی کوتاه می‌رسد و NCSC به سازمان‌ها توصیه می‌کند کارکنانی را که کلیک می‌کنند توبیخ نکنند. اگر مطمئن نیستید پیامی آزمون است یا نه، به‌هرحال گزارشش دهید.

MFA مقاوم در برابر فیشینگ چیست؟#

مرحله دوم ورودی است که سایت جعلی نمی‌تواند آن را بگیرد یا به سایت واقعی برساند. در عمل یعنی ورود FIDO/WebAuthn با passkey یا کلید امنیتی سخت‌افزاری، و در برخی سازمان‌ها ورود با کارت هوشمند. کدهای پیامکی و کدهای برنامه احراز هویت از رمز عبور تنها بسیار بهترند، اما صفحه فیشینگ می‌تواند آن‌ها را رله کند.

آیا آنتی‌ویروس یا VPN از شما در برابر فیشینگ محافظت می‌کند؟#

فقط تا حدی. نرم‌افزارهای امنیتی و فهرست‌های هشدار مرورگر صفحه‌های فیشینگ شناخته‌شده را مسدود می‌کنند، اما صفحه‌ای که یک ساعت پیش راه‌اندازی شده ممکن است هنوز در هیچ فهرستی نباشد. VPN مسیر شبکه را تغییر می‌دهد و نمی‌تواند صفحه ورود جعلی را از صفحه واقعی تشخیص دهد؛ خواندن نشانی و استفاده از passkey این شکاف را پر می‌کند.

خلاصه#

فیشینگ یک تغییر چهره است، نه نفوذ: کسی خود را فرستنده‌ای مورد اعتماد جا می‌زند تا یک رمز عبور، یک کد، یک پرداخت یا یک کلیک بگیرد. وقتی پیامی به شما فشار می‌آورد درنگ کنید، دامنه فرستنده و نشانی واقعی پیوند را بخوانید و هرگز کدی را برای کسی نخوانید. اگر چیزی تایپ کرده‌اید، رمز عبور را در سایت واقعی عوض کنید، نشست‌های دیگر را ببندید و پیام را گزارش دهید. passkeyها چیزی را که بیشتر صفحه‌های فیشینگ جمع می‌کنند، یعنی رمز عبور و کدی که همه‌جا کار می‌کند، بی‌اثر می‌کنند. برندهایی که کپی‌های صفحه ورود خودشان را زیر نظر دارند، راه‌اندازی این کار را در صفحه حفاظت از برند ما می‌یابند.