آموزشامنیت و حریم خصوصی در اینترنت
صفحه‌ی ورود و درگاه پرداخت جعلی
جواب کوتاه
صفحه‌ی ورود یا درگاه پرداخت جعلی، صفحه‌ایه که عین صفحه‌ی ورود یه سرویس یا صفحه‌ی پرداخت بانک ساخته شده، تا هر چی توش تایپ کنید، رمز، کد، شماره کارت یا رمز دوم، به کلاهبردار برسه. ظاهرش رو کامل می‌شه کپی کرد، حتی قفل کنار نشانی رو. پیش از تایپ، سه سوال بپرسید: به این صفحه از کجا رسیدم، اسم واقعی سایت توی نشانی چیه، و آیا مدیر رمزم خودش رمز رو پر کرد. صفحه‌ی پرداخت درست همیشه از دل خریدی باز می‌شه که خودتون شروع کردید.
یه گوشی ارزون
مثلا فرض کنید توی یه شبکه‌ی اجتماعی تبلیغ یه گوشی رو می‌بینید، سی درصد ارزون‌تر از همه‌جا. روی تبلیغ می‌زنید، یه سایت فروشگاهی با عکس‌های قشنگ باز می‌شه. سفارش می‌دید و به یه صفحه‌ی پرداخت می‌رسید که عین درگاه بانک‌هاییه که همیشه دیدید: کادر شماره کارت، رمز دوم، CVV2 و کد امنیتی.
اطلاعات رو می‌زنید، صفحه می‌گه «خطا در اتصال به بانک، دوباره امتحان کنید». دوباره می‌زنید. چند دقیقه بعد، پیامک دو تا برداشت بزرگ میاد، که هیچ‌کدوم مال اون گوشی نبود. نه فروشگاهی در کار بود، نه درگاهی؛ فقط یه صفحه که ظاهر یه درگاه رو داشت.
توی درس فیشینگ گفتیم که خیلی از فریب‌ها آخرش به یه صفحه‌ی جعلی می‌رسن. این درس فقط درباره‌ی خود اون صفحه‌ست: صفحه‌ی ورود و صفحه‌ی پرداخت. چطور ساخته می‌شن، زرنگ‌ترین شکل‌هاشون چیه، و چطور پیش از زدن رمز و کارت، بشناسیدشون.
دکور فیلم‌برداری
توی فیلم‌ها، گاهی یه خیابون کامل با بانک و مغازه می‌بینید که هیچ‌کدوم واقعی نیستن. از جلو کاملن، ولی پشتشون فقط داربست چوبیه:
صفحه‌ی جعلی هم یه دکوره. لوگو، رنگ، کادرها، دکمه‌ها، حتی متن کوچیک پایین صفحه و نماد اعتماد، همه از روی صفحه‌ی واقعی کپی شدن. ساختنش برای کسی که بلده، چند دقیقه کاره، و حالا حتی آماده‌ش رو هم می‌شه خرید. ولی پشت این دکور، به جای سیستم بانک، یه برنامه‌ی کوچیکه که هر چی تایپ کنید رو نگه می‌داره یا همون لحظه برای کلاهبردار می‌فرسته.
پس نگاه کردن به ظاهر صفحه، هیچ‌وقت برای تشخیص کافی نیست. باید به چیزهایی نگاه کنید که کپی‌شدنی نیستن.
سه سوال پیش از تایپ
پیش از اینکه هر رمز، کد یا اطلاعات کارتی رو توی هر صفحه‌ای بزنید، این سه تا رو بپرسید:
- به این صفحه از کجا رسیدم؟ اگه خودتون از نشانک، برنامه‌ی رسمی یا تایپ نشانی اومدید، خیالتون راحت‌تره. اگه از یه لینک توی پیامک، ایمیل، پیام‌رسان یا یه تبلیغ اومدید، دقیق‌تر نگاه کنید، و اگه رمز یا کارت می‌خواد، همین‌جا وایسید و از راه خودتون برید.
- اسم واقعی سایت توی نشانی چیه؟ تیکه‌ی آخر قبل از اولین «/» تکی، همونی که توی درس نشانی سایت رو چطور بخونیم می‌گیم. آیا اسم همون بانک یا سرویسیه که فکر می‌کنید؟ یه حرف اضافه یا کم، یه خط تیره، یه پسوند عجیب؟
- مدیر رمزم خودش پر کرد؟ اگه از یه مدیر رمز استفاده می‌کنید و روی این سایت همیشه رمز رو پر می‌کرد، ولی این بار ساکته، این یه زنگ خطر خیلی قویه: یعنی نشانی این صفحه با نشانی ذخیره‌شده فرق داره.
شکل‌های نشانی جعلی
نشانی صفحه‌های جعلی معمولا یکی از این شکل‌هاست. فرض کنید نشانی واقعی بانک mybank.ir باشه:
- یه کلمه‌ی اضافه: mybank-login.ir یا mybank-ir.com. اسم بانک توشه، ولی یه دامنه‌ی کاملا جداست که هر کسی می‌تونه بخره.
- اسم بانک به‌عنوان پیشوند: mybank.ir.secure-pay.top. اسم واقعی اینجا secure-pay.topئه و «mybank.ir» فقط یه پیشونده که صاحب اون دامنه هر چی دلش بخواد جلوش می‌ذاره.
- یه حرف عوض‌شده: mybamk.ir یا my-bank.ir؛ درس دامنه‌ی غلط‌املایی.
- حروف هم‌شکل از یه الفبای دیگه: که برای چشم عین اصلیه؛ درس لینک‌هایی که درست به نظر می‌رسن ولی تقلبین.
- یه پسوند دیگه: mybank.com یا mybank.top به جای .ir.
روی گوشی، نوار نشانی کوچیکه و گاهی فقط یه تیکه از نشانی رو نشون می‌ده. روی نوار نشانی بزنید تا کاملش رو ببینید، مخصوصا پیش از زدن رمز یا کارت.
این صفحه‌ها از کجا میان
یه صفحه‌ی جعلی تا کسی بهش نره، بی‌خطره. کلاهبردارها از این راه‌ها آدم‌ها رو بهش می‌رسونن:
- لینک توی پیامک، ایمیل یا پیام‌رسان، با یه داستان عجله‌دار؛ درس‌های امنیت پیامک و فیشینگ ایمیلی.
- تبلیغ توی شبکه‌های اجتماعی، معمولا با تخفیف‌های خیلی بزرگ.
- تبلیغ بالای نتیجه‌های جستجو، برای اسم یه بانک یا یه برنامه؛ کسی که اسم بانکش رو جستجو می‌کنه و روی اولین نتیجه می‌زنه، به صفحه‌ی جعلی می‌رسه.
- کیوآرکد روی یه کاغذ یا آگهی؛ درس کیوآرکد جعلی.
- یه سایت دیگه که شما رو برای «پرداخت» به یه درگاه می‌فرسته.
برای همینه که مطمئن‌ترین راه، اینه که برای بانک و ایمیل و هر جای مهم، یه راه ثابت داشته باشید، نشانک یا برنامه‌ی رسمی، و همیشه فقط از همون برید.
صفحه‌ی ورود
صفحه‌های ورود جعلی بیشتر برای این‌ها ساخته می‌شن: ایمیل (چون کلید همه‌ی حساب‌هاست)، شبکه‌های اجتماعی و پیام‌رسان‌ها، بانک اینترنتی، و حساب‌های کاری مثل ایمیل شرکت. چند تا ترفند رایج دارن:
- نشانی ایمیل شما از قبل توش نوشته شده. چون لینک مخصوص شما فرستاده شده، صفحه اسم یا ایمیلتون رو می‌دونه و فقط رمز رو می‌خواد. این حس «آشنا» رو قوی‌تر می‌کنه، ولی هیچ‌چیز رو ثابت نمی‌کنه.
- «رمز اشتباه بود، دوباره بزنید». بار اول، هر رمزی که بزنید «اشتباهه»، تا دو بار بزنید و مطمئن بشن رمز رو درست گرفتن. بعدش هم گاهی شما رو به سایت واقعی می‌فرستن، تا فکر کنید فقط یه خطای کوچیک بود.
- بعد از رمز، کد هم می‌خواد. چون همون لحظه دارن با رمز شما وارد سایت واقعی می‌شن. پایین‌تر، توی بخش صفحه‌ی آینه‌ای، کاملش رو می‌گیم.
- نشانی روی یه سرویس معتبر. صفحه روی یه فرم آنلاین، یه فایل اشتراکی یا یه سایت‌ساز رایگان ساخته شده، پس اسم یه شرکت بزرگ توی نشانیه. هیچ فرم عمومی‌ای، جای ورود به ایمیل یا بانک شما نیست.
راهنمای جیمیل یه قانون ساده‌ی همیشگی داره: اگه روی لینکی زدید و رمز جیمیل یا حساب گوگلتون رو خواست، چیزی نزنید و خودتون مستقیم به سایت برید.
«ورود با گوگل»
خیلی از سایت‌ها یه دکمه دارن: «ورود با حساب گوگل» یا «ورود با اپل». این کار امنه، چون شما رمز رو نه توی اون سایت، بلکه توی صفحه‌ی خود گوگل یا اپل می‌زنید. ولی کلاهبردارها از همین عادت هم استفاده می‌کنن: یه پنجره‌ی کوچیک باز می‌کنن که شبیه پنجره‌ی ورود گوگله، حتی نشانی درست گوگل هم بالاش نوشته شده، ولی این پنجره فقط یه عکسه که توی خود صفحه‌ی جعلی کشیده شده. توی درس فیشینگ بهش گفتیم «مرورگر توی مرورگر».
چطور بفهمیم؟ پنجره‌ی واقعی یه پنجره‌ی جدای مرورگره، که می‌شه کشیدش و از صفحه بیرون برد، و نشانیش توی یه نوار نشانی واقعی نوشته شده. اگه وارد گوگل هستید، معمولا پنجره‌ی واقعی اصلا رمز نمی‌خواد و فقط حسابتون رو نشون می‌ده تا انتخابش کنید. اگه یه پنجره‌ی «ورود با گوگل» از شما رمز خواست، در حالی که همین الان توی همون مرورگر وارد گوگل هستید، دقت کنید. و باز هم: مدیر رمز توی پنجره‌ی جعلی چیزی پر نمی‌کنه.
درگاه پرداخت
درگاه پرداخت، همون صفحه‌ایه که موقع خرید اینترنتی، شماره کارت و رمز دوم رو توش می‌زنید. درگاه جعلی یکی از رایج‌ترین فریب‌ها توی ایرانه، چون همه زیاد ازش استفاده می‌کنیم. پیش از زدن اطلاعات کارت، سه جای صفحه رو ببینید:
- نشانی. اسم واقعی سایت درگاه باید مال یه بانک یا شرکت پرداختی باشه که می‌شناسید. اگه نشانی عجیبه، یا اسم یه بانک با چند تا کلمه‌ی اضافه یا یه پسوند غریبه داره، نزنید.
- اسم پذیرنده و مبلغ. درگاه درست معمولا اسم فروشنده‌ای که بهش پول می‌دید و مبلغ دقیق رو نشون می‌ده. اگه اسم فروشنده با سایتی که ازش خرید کردید جور نیست، یا مبلغ فرق داره، دست نگه دارید.
- کادرها. درگاه برای خرید، شماره کارت، CVV2، تاریخ انقضا و رمز دوم می‌خواد؛ نه رمز اول کارت (رمز خودپرداز)، نه کد ملی، نه موجودی حساب. اگه چیزی بیشتر خواست، جعلیه.
و از همه مهم‌تر: درگاه درست همیشه از دل خریدی باز می‌شه که خودتون، توی یه سایت یا برنامه‌ای که خودتون باز کردید، شروع کردید. هیچ‌وقت از لینکی که با پیامک یا پیام‌رسان اومده، پرداخت نکنید، هر چقدر هم صفحه‌ش آشنا باشه.
رمز دوم پویا
توی ایران، برای خرید اینترنتی معمولا یه رمز دوم یک‌بارمصرف لازمه، که به پیامک یا برنامه‌ی بانک میاد. این خودش یه لایه‌ی محافظت خوبه، ولی فقط وقتی که پیامکش رو کامل بخونید.
پیامک رمز پویا معمولا غیر از خود رمز، مبلغ و اسم فروشنده یا پذیرنده رو هم می‌گه. یعنی بانک داره به شما می‌گه این رمز برای چه پرداختیه. اگه شما یه خرید دویست هزار تومنی دارید ولی پیامک می‌گه رمز برای یه پرداخت ده میلیونیه، یا اسم پذیرنده یه چیز دیگه‌ست، یعنی کسی داره با کارت شما یه خرید دیگه انجام می‌ده، و صفحه‌ای که جلوی شماست جعلیه. اون رمز رو نزنید و کارت رو مسدود کنید.
و البته، رمز پویا رو هم مثل هر کد دیگه‌ای، به هیچ‌کس، پشت تلفن یا توی پیام، ندید. درس کد تایید رو به هیچ‌کس ندید.
نماد اعتماد
خیلی از فروشگاه‌های اینترنتی ایرانی، پایین صفحه‌شون نماد اعتماد الکترونیکی، که بهش «اینماد» می‌گن، دارن؛ مجوزی که بعد از بررسی هویت و نشانی و اطلاعات تماس یه کسب‌وکار داده می‌شه. ولی عکس نماد رو هر کسی می‌تونه کپی کنه و روی سایت خودش بذاره. پس خود عکس، چیزی رو ثابت نمی‌کنه؛ باید روش بزنید:
نماد واقعی وقتی روش می‌زنید، یه صفحه از سایت خود اینماد باز می‌کنه که اطلاعات اون کسب‌وکار رو نشون می‌ده، و مهم‌تر از همه، دامنه‌ای که این نماد براش صادر شده. اون دامنه باید دقیقا همون نشانی سایتی باشه که توش هستید. اگه نماد کلیک نمی‌خوره، یا شما رو به یه صفحه‌ی دیگه از خود همون سایت می‌بره، یا دامنه‌ی توی صفحه‌ی اینماد با سایت فرق داره، اون نماد جعلی یا قرضیه.
یه نکته‌ی مهم هم هست: داشتن نماد درست یعنی کسب‌وکار ثبت شده و هویتش بررسی شده؛ یعنی اگه مشکلی پیش بیاد، می‌دونید طرف کیه. ولی معنیش این نیست که صفحه‌ی پرداختی که بعدش باز می‌شه هم حتما درسته. اون رو باز هم با همون سه نگاه بالا بسنجید.
صفحه‌ی آینه‌ای
زرنگ‌ترین نوع صفحه‌ی جعلی، اصلا کپی نیست؛ آینه‌ست. بین شما و سایت واقعی می‌شینه، و هر چی شما تایپ می‌کنید رو همون لحظه به سایت واقعی می‌ده، و هر چی سایت واقعی جواب می‌ده رو به شما نشون می‌ده:
یعنی شما واقعا وارد حسابتون می‌شید، همه‌چیز درست کار می‌کنه، کد دومرحله‌ای واقعی براتون میاد و می‌زنیدش، و هیچ خطایی نمی‌بینید. ولی صفحه‌ی آینه‌ای از همه‌ی اینا یه کپی نگه می‌داره: رمز، کد، و مهم‌تر از همه، «کوکی نشست»، که پایین‌تر می‌گیم. به این نوع حمله به انگلیسی می‌گن Adversary-in-the-Middle، یعنی «مهاجم در میانه». این روش ورود دومرحله‌ای با پیامک و حتی با برنامه رو دور می‌زنه.
تنها چیزی که این آینه نمی‌تونه عوض کنه، باز هم نشانیه. صفحه‌ی آینه‌ای روی دامنه‌ی کلاهبردار باز می‌شه، نه دامنه‌ی سایت واقعی. برای همینه که مدیر رمز روش پر نمی‌کنه، و پس‌کی هم روش اصلا کار نمی‌کنه.
کیت آماده
چند سال پیش، ساختن یه صفحه‌ی آینه‌ای کار متخصص‌ها بود. امروز نه. کلاهبردارها «کیت فیشینگ» می‌فروشن، یعنی بسته‌ی آماده با قالب صفحه‌ی ورود سرویس‌های معروف، مثل ایمیل و حساب‌های کاری، و حتی امکان گرفتن کد دومرحله‌ای. خریدار فقط یه اشتراک ماهانه می‌خره، یه دامنه ثبت می‌کنه، و شروع می‌کنه. به این مدل به انگلیسی می‌گن Phishing-as-a-Service، یعنی «فیشینگ به‌عنوان سرویس».
معنیش برای ما اینه که صفحه‌های جعلی دیگه زشت و پر از غلط نیستن. خیلی‌هاشون از نظر ظاهر، با صفحه‌ی واقعی هیچ فرقی ندارن. پس دیگه نمی‌شه با «ظاهرش یه کم عجیب بود» فیشینگ رو گرفت. باید به عادت‌ها تکیه کنیم، نه به چشم.
کوکی نشست
وقتی وارد یه سایت می‌شید، سایت یه بلیت کوچیک توی مرورگرتون می‌ذاره که بهش می‌گن کوکی نشست (Session Cookie)، تا هر بار که صفحه‌ی تازه‌ای باز می‌کنید، دوباره رمز نخواد. مثل دستبند یه مهمونی که با داشتنش، دیگه دم در کارت دعوت نمی‌خوان.
صفحه‌ی آینه‌ای همین دستبند رو هم می‌دزده. کسی که اون رو داره، بدون رمز و بدون کد، وارد حساب شما می‌شه، چون سایت فکر می‌کنه این همون شماست که چند دقیقه پیش وارد شده. برای همینه که بعد از هر اتفاق مشکوک، فقط عوض کردن رمز کافی نیست؛ باید از همه‌ی دستگاه‌ها و نشست‌ها هم خارج بشید، تا همه‌ی دستبندهای قدیمی باطل بشن. خیلی از سرویس‌ها توی تنظیمات امنیتشون گزینه‌ای مثل «خروج از همه‌ی دستگاه‌ها» دارن.
مدیر رمز و پس‌کی
دو تا ابزار هستن که بیشترین کمک رو در برابر صفحه‌ی جعلی می‌کنن، چون هیچ‌کدوم به چشم شما تکیه نمی‌کنن:
مدیر رمز (Password Manager). رمز هر سایت رو با نشانی دقیقش ذخیره می‌کنه، و فقط روی همون نشانی پرش می‌کنه. روی صفحه‌ی جعلی، هر چقدر هم شبیه، ساکت می‌مونه. فقط کافیه عادت کنید وقتی ساکت موند، رمز رو دستی تایپ نکنید و اول نشانی رو بررسی کنید. درس مدیر رمز چند تا مدیر رمز رایگان هم معرفی می‌کنه.
پس‌کی (Passkey). روش تازه‌ی ورود بی رمز، که به خود دامنه‌ی سایت گره خورده. روی دامنه‌ی جعلی، اصلا کار نمی‌کنه، و چیزی هم برای تایپ کردن نداره که بشه دزدیدش. برای همین در برابر صفحه‌ی آینه‌ای هم مقاومه. هر سرویسی که پس‌کی داره، روشنش کنید. درس پس‌کی.
فروشگاه جعلی
گاهی نه فقط صفحه‌ی پرداخت، بلکه کل فروشگاه جعلیه، مثل داستان اول درس. چند تا نشونه داره:
- قیمت‌ها خیلی پایین‌تر از همه‌جا، مخصوصا برای کالاهای گرون و پرطرفدار.
- سایت تازه‌ست، هیچ سابقه، نشانی، تلفن ثابت یا نظر واقعی‌ای ازش پیدا نمی‌شه.
- نماد اعتماد نداره، یا داره ولی کلیک نمی‌خوره یا دامنه‌ش فرق داره.
- پرداخت رو کارت به کارت می‌خواد، یا درگاهش عجیبه.
- فقط از راه تبلیغ توی شبکه‌های اجتماعی پیدا می‌شه، نه از جستجوی اسمش.
یه کار ساده: پیش از خرید از یه فروشگاه ناآشنا، اسمش رو با کلمه‌ی «کلاهبرداری» یا «نظرات» جستجو کنید. اگه کسی گول خورده باشه، معمولا جایی نوشته.
کارت جدا برای خرید اینترنتی
یه عادت ساده که اگه یه روز با همه‌ی دقتتون باز هم توی یه درگاه جعلی کارت زدید، ضرر رو کوچیک نگه می‌داره: برای خرید اینترنتی، یه کارت جدا داشته باشید، که فقط به اندازه‌ی خریدهاتون توش پول باشه. هر وقت خواستید خرید کنید، همون موقع از حساب اصلی به این کارت پول بریزید.
این‌طوری، کسی که اطلاعات این کارت رو بگیره، به حساب اصلی و پس‌اندازتون دسترسی نداره. خیلی از بانک‌ها هم توی برنامه‌شون گزینه‌هایی دارن، مثل گذاشتن سقف برای خرید اینترنتی یا خاموش و روشن کردن خرید اینترنتی یه کارت. اگه بانکتون چنین چیزی داره، ازش استفاده کنید.
چک‌لیست ده ثانیه‌ای
پیش از زدن هر رمز یا اطلاعات کارتی، این شش تا رو، که کمتر از ده ثانیه طول می‌کشه، از خودتون بپرسید:
- خودم این صفحه رو باز کردم، یا یه لینک منو آورد؟
- اسم واقعی سایت توی نشانی، همونیه که فکر می‌کنم؟
- مدیر رمزم خودش پر کرد؟
- توی درگاه، اسم پذیرنده و مبلغ درسته؟
- چیزی بیشتر از لازم می‌خواد، مثل رمز اول کارت یا کد ملی؟
- پیامک رمز پویا، همون مبلغ و پذیرنده رو می‌گه؟
اگه جواب یکی از این‌ها «نه» یا «نمی‌دونم» بود، چیزی نزنید و از راه خودتون برید.
اگه وارد کردیم
- اطلاعات کارت زدید؟ همین الان کارت رو از برنامه‌ی بانک مسدود کنید یا به شماره‌ی پشت کارت زنگ بزنید. بعد درخواست کارت تازه بدید.
- رمز یه حساب رو زدید؟ از راه درست وارد بشید و رمز رو عوض کنید، و از همه‌ی دستگاه‌ها و نشست‌ها خارج بشید تا کوکی‌های دزدیده‌شده باطل بشن.
- کد دومرحله‌ای هم زدید؟ فرض کنید یکی وارد شده؛ دستگاه‌های وصل و برنامه‌های مجاز حساب رو ببینید و ناشناس‌ها رو بیرون کنید، و ایمیل و شماره‌ی بازیابی رو بررسی کنید که عوض نشده باشن.
- همون رمز رو جای دیگه هم داشتید؟ اونجاها رو هم عوض کنید.
- صفحه رو به‌عنوان فیشینگ گزارش کنید، مثلا به Google Safe Browsing، تا بقیه هشدار ببینن.
درس روی لینک فیشینگ کلیک کردیم، چی کار کنیم همه رو کامل‌تر می‌گه.
تمرین
- دفعه‌ی بعد که خرید اینترنتی کردید، توی صفحه‌ی درگاه نشانی، اسم پذیرنده و مبلغ رو پیدا کنید، و پیامک رمز پویا رو کامل بخونید.
- روی نماد اعتماد یه فروشگاه که ازش خرید می‌کنید بزنید و دامنه‌ی توی صفحه‌ی اینماد رو با نشانی سایت مقایسه کنید.
- اگه مدیر رمز ندارید، یکی رو امتحان کنید؛ اگه دارید، ببینید روی بانک و ایمیلتون پر می‌کنه.
- توی تنظیمات امنیتی ایمیلتون، گزینه‌ی خروج از همه‌ی دستگاه‌ها رو پیدا کنید، تا روز لازم دنبالش نگردید.
اشتباه‌های رایج
- «عین درگاه همیشگی بود.» ظاهر کپی‌شدنیه؛ نشانی، پذیرنده و مبلغ رو ببینید.
- «نماد اعتماد داشت.» عکس نماد کپی‌شدنیه؛ روش بزنید و دامنه رو مقایسه کنید.
- «رمز رو اشتباه زدم، دوباره زدم.» صفحه‌ی جعلی عمدا بار اول خطا می‌ده تا رمز رو دو بار بگیره.
- «وارد حسابم شدم و همه‌چیز درست کار می‌کرد.» صفحه‌ی آینه‌ای دقیقا همینه؛ نشانی رو ببینید.
- «رمز رو عوض کردم، تمومه.» کوکی نشست دزدیده‌شده با رمز تازه باطل نمی‌شه؛ از همه‌ی دستگاه‌ها خارج بشید.
- «مدیر رمز پر نکرد، خودم تایپ کردم.» سکوت مدیر رمز، بهترین زنگ خطره؛ اول نشانی رو بررسی کنید.
جمع‌بندی. آنچه از این درس با خودتان می‌برید.
- صفحه‌ی جعلی فقط یه نماست؛ ظاهرش کامل کپی می‌شه، نشانیش نه.
- سه سوال: از کجا رسیدم، نشانی چیه، مدیر رمز پر کرد یا نه.
- توی درگاه، نشانی، اسم پذیرنده و مبلغ رو ببینید؛ پیامک رمز پویا رو هم بخونید.
- صفحه‌ی آینه‌ای کد دومرحله‌ای رو هم می‌گیره؛ پس‌کی جلوش رو می‌گیره.
- اگه چیزی وارد کردید، سریع کارت رو مسدود یا رمز رو عوض کنید و همه‌ی نشست‌ها رو ببندید.
خودتون رو بسنجید
۱۵ پرسش، هر بار تازه از میان ۳۰ پرسش این درس. آخرش فقط کارنامه رو می‌بینید: چند تا درست، چند تا نادرست.