کد یک‌بارمصرف

کدی که خودتون نخواستید

مثلا فرض کنید سر کار نشستید که یه پیامک میاد: «کد ورود به تلگرام: ۴۸۲۹۱۷. این کد رو به هیچ‌کس ندید.» شما که الان وارد تلگرام نمی‌شدید. چند دقیقه بعد، یه پیام از یه شماره‌ی ناشناس: «سلام، ببخشید، اشتباهی شماره‌ی شما رو زدم، یه کد براتون اومده، لطفا بفرستیدش.»

این صحنه یکی از رایج‌ترین راه‌های دزدیدن حساب‌هاست، و همه‌ش روی یه عدد شش رقمی می‌چرخه. درس ورود دومرحله‌ای گفت کد مرحله‌ی دوم چطور ساخته می‌شه. این درس درباره‌ی خود کده: انواعش، پیامکش رو چطور بخونیم، کلاهبردارها با چه بهونه‌هایی می‌خوانش، و اگه یه وقت دادیمش، چی کار کنیم.

کد یک‌بارمصرف یعنی چی

کلید کارتی هتل‌ها رو دیدید؟ برای یه اتاق، فقط برای چند روز، و بعد دیگه کار نمی‌کنه. کد یک‌بارمصرف هم همینه، فقط کوچیک‌تر: برای یه کار مشخص، مثلا ورود به یه حساب یا یه پرداخت، فقط یه بار، و فقط چند دقیقه. اسم انگلیسیش OTP‌ه، کوتاه‌شده‌ی One-Time Password، یعنی «رمز یک‌بارمصرف». توی فارسی بهش کد تایید، کد ورود، کد فعال‌سازی یا رمز پویا هم می‌گن؛ همه یه چیزن.

کد یک‌بارمصرف ساخته شد چون رمز ثابت یه مشکل داشت: اگه یه بار دیده بشه، تا عوض نشه، همیشه کار می‌کنه. کد یک‌بارمصرف اگه دیده بشه هم، چند دقیقه بعد بی‌ارزشه. ولی همین کوتاه بودن عمرش، یه چیز رو مهم‌تر می‌کنه: کسی که می‌خواد کد شما رو بدزده، باید همون لحظه بگیرتش. برای همین کلاهبردارها با عجله سراغش میان.

چند جور کد

• پیامکی. رایج‌ترین؛ یه پیامک با چند رقم. ضعفش اینه که به شماره فرستاده می‌شه، نه به گوشی شما. درس سیم‌سواپ.
• تماس صوتی. یه تماس خودکار کد رو می‌خونه؛ برای وقتی که پیامک نمی‌رسه.
• ایمیلی. کد به ایمیل فرستاده می‌شه؛ به اندازه‌ی امنیت خود ایمیل امنه.
• برنامه‌ی تایید. کدی که خود گوشی با یه برنامه مثل Google Authenticator می‌سازه، بی شماره و بی اینترنت.
• داخل برنامه. بعضی پیام‌رسان‌ها کد ورود رو، اگه روی دستگاه دیگه‌ای وارد باشید، داخل خود برنامه می‌فرستن، نه با پیامک.
• بانکی. رمز یک‌بارمصرف برای ورود به اینترنت‌بانک یا رمز دوم پویا برای پرداخت، از پیامک یا برنامه‌ی خود بانک.

جنسشون فرق داره، ولی قانونشون یکیه: هیچ‌کدوم برای هیچ آدمی نیست.

رمز اول و دوم یک‌بارمصرف بانک

توی ایران، کارت‌های بانکی دو تا رمز دارن و هر دو می‌تونن یک‌بارمصرف بشن، که خیلی‌ها رو گیج می‌کنه. رمز اول همون رمزیه که با کارت توی دستگاه کارت‌خوان یا خودپرداز می‌زنید، و بعضی بانک‌ها برای ورود به اینترنت‌بانک یا همراه‌بانک، یه رمز اول یک‌بارمصرف هم می‌دن. رمز دوم برای خرید و انتقال اینترنتیه، و سال‌هاست برای پرداخت اینترنتی «پویا» شده، یعنی یه رمز یک‌بارمصرف که برای همون یه پرداخت می‌گیرید، از پیامک بانک یا برنامه‌ی خود بانک.

روش گرفتنش بانک به بانک فرق داره؛ بعضی‌ها با یه دکمه توی صفحه‌ی پرداخت پیامک می‌فرستن، بعضی‌ها با برنامه‌ی خودشون. چیزی که فرق نداره: این رمزها فقط توی صفحه‌ی پرداخت یا برنامه‌ی رسمی بانک زده می‌شن. هیچ کارمند بانک، هیچ پلیس و هیچ «پشتیبان»ی، هیچ‌وقت رمز اول، رمز دوم یا رمز یک‌بارمصرف شما رو نمی‌خواد.

بهونه‌ها

بهونه‌ها عوض می‌شن، ولی چند تاشون خیلی رایجن، و شناختنشون باعث می‌شه زود بفهمید:

• «اشتباهی شماره‌ی شما رو زدم، کدی که اومده رو بفرستید.» کدی که برای شماره‌ی شماست، فقط به درد حساب شما می‌خوره.
• «برنده‌ی قرعه‌کشی شدید؛ برای واریز جایزه، کد رو بفرستید.» جایزه کد نمی‌خواد.
• «از پشتیبانی هستیم، حسابتون مشکل امنیتی داره، کد رو بخونید تا درستش کنیم.» گوگل توی راهنماش صاف نوشته هیچ‌وقت برای تایید کد بهتون زنگ نمی‌زنه؛ بقیه هم همین‌طور.
• «از بانک تماس می‌گیرم؛ یه برداشت مشکوک داشتید، برای لغوش رمز یک‌بارمصرفی که میاد رو بگید.» همون رمز، برای انجام برداشته، نه لغوش.
• «برای خرید وسیله‌تون، اول کد تایید آگهی رو بفرستید.» خریدار هیچ کدی از شما لازم نداره.
• یه دوست یا فامیل توی پیام‌رسان: «یه کد برات اومده، مال منه، بفرست.» حساب اون احتمالا هک شده (بخش زنجیره).

درس مهندسی اجتماعی گفت همه‌ی این بهونه‌ها از عجله، ترس یا طمع استفاده می‌کنن تا شما فکر نکنید. یه مکث کوتاه، و یه سوال: «چرا این آدم کد منو لازم داره؟»، کافیه.

تماس خودکار

یه نوع تازه‌تر هم هست: تماس خودکار. کلاهبردار رمز شما رو داره، توی سایت وارد می‌شه، و هم‌زمان یه برنامه به شما زنگ می‌زنه که با صدای رسمی و ضبط‌شده می‌گه: «از واحد امنیت بانک تماس می‌گیریم. یه تراکنش مشکوک ثبت شده. برای جلوگیری، کدی که الان براتون پیامک شده رو وارد کنید.» شما کد رو با کیبورد گوشی می‌زنید و برنامه، همون لحظه، کد رو برای کلاهبردار می‌فرسته.

چون صداش ماشینی و رسمیه، خیلی‌ها فکر می‌کنن واقعا از بانکه. ولی قانون همونه: هیچ سیستم واقعی‌ای، توی تماس، کد پیامکی شما رو نمی‌خواد. تماس رو قطع کنید، و اگه نگرانید، خودتون به شماره‌ی رسمی پشت کارت زنگ بزنید. درس کلاهبرداری تلفنی بیشتر درباره‌ی این تماس‌هاست.

کد برای کارهای حساس

کد فقط برای ورود نیست. خیلی از سرویس‌ها، وقتی کار حساسی انجام می‌شه، حتی بعد از ورود، دوباره کد یا تایید می‌خوان. گوگل توی راهنماش می‌گه برای کارهای حساس، مثل عوض کردن راه‌های بازیابی، دوباره ازتون می‌خواد ثابت کنید خود شمایید، تا اگه یه نفر به حساب رسیده بود، هنوز نتونه حساب رو کامل از دست شما دربیاره.

این کدها از کد ورود هم خطرناک‌ترن، چون کاری که باهاشون انجام می‌شه ماندگاره: عوض کردن شماره‌ی حساب، عوض کردن ایمیل بازیابی، خاموش کردن ورود دومرحله‌ای، اضافه کردن یه دستگاه تازه، یا انتقال پول. اگه پیامکی اومد که کدش برای یکی از این کارهاست و شما همچین کاری نکرده بودید، حتما یکی توی حسابتونه؛ همون لحظه رمز رو عوض کنید و دستگاه‌های واردشده رو ببینید.

رمز پویا موقع خرید

موقع خرید اینترنتی، پیامک رمز پویا معمولا مبلغ و اسم فروشگاه یا پذیرنده رو هم داره. این دو تا رو با چیزی که خودتون می‌خواید بخرید مقایسه کنید. ترفند رایج اینه: یه صفحه‌ی پرداخت جعلی، یا یه آدم که می‌گه «برای واریز پول به حساب شما»، شما رو به زدن رمز پویا می‌کشونه؛ ولی پیامک رمز پویا، مبلغ یه برداشت از کارت شما رو نشون می‌ده.

یه قانون ساده که جلوی خیلی از این‌ها رو می‌گیره: برای گرفتن پول، هیچ‌وقت رمز لازم نیست. کسی که می‌خواد به شما پول بده، فقط شماره‌ی کارت یا شبا لازم داره. هر جا برای «دریافت» پول، رمز یا رمز پویا خواستن، داره برداشت انجام می‌شه. درس درگاه جعلی صفحه‌های پرداخت جعلی رو کامل گفت.

پر کردن خودکار کد

گوشی‌های امروزی کد رو خودشون پیدا می‌کنن. طبق راهنمای اپل، وقتی برای ورود به یه سایت یا برنامه پیامک کد میاد، آیفون کد رو توی پیام‌ها پیدا می‌کنه و بالای کیبورد نشون می‌ده، و با یه ضربه پر می‌شه. اندروید هم همین کار رو با پیشنهاد کیبورد یا برنامه‌ی پیام می‌کنه. این فقط راحتی نیست؛ وقتی کد رو تایپ نمی‌کنید یا کپی نمی‌کنید، کمتر احتمال داره اونو جای دیگه‌ای بزنید.

یه استاندارد هم هست که پیامک کد رو به اسم یه سایت می‌بنده: آخر پیامک یه خط مثل @example.com #482917 میاد، و مرورگر کد رو فقط توی همون سایت پیشنهاد می‌ده، نه توی یه سایت جعلی. اسم این قالب WebOTP‌ه. ولی توی ایران، تجربه‌ی خود تیم سفید اینه که پیامک‌هایی که این خط رو داشتن، گاهی اصلا نمی‌رسیدن، برای همین ما کد رو بی اون می‌فرستیم و خیلی از سرویس‌های ایرانی هم همین‌طور. پس اینجا هنوز چشم خود شماست که باید اسم سایت رو بخونه.

چرا کد زود باطل می‌شه

کد یک‌بارمصرف معمولا بین یک تا ده دقیقه کار می‌کنه، و بعد از یه بار استفاده هم باطل می‌شه. دلیلش اینه که هر چی عمر کد کوتاه‌تر باشه، کسی که اتفاقی دیدش یا از یه جا دزدیدش، وقت کمتری داره. سایت‌های درست یه کار دیگه هم می‌کنن: اگه چند بار پشت هم کد اشتباه زده بشه، تا مدتی کد قبول نمی‌کنن، تا کسی نتونه همه‌ی عددها رو امتحان کنه. یه کد شش رقمی یه میلیون حالت داره؛ با چند بار امتحان، شانس حدس زدنش تقریبا صفره.

برای همین کلاهبردارها حدس نمی‌زنن، از خود شما می‌پرسن، و عجله دارن. هر کی برای کد عجله داره، دلیلش همین عمر کوتاه کده.

کد روی دستگاه‌های دیگه

پیامک‌ها همیشه فقط روی گوشی نیستن. طبق راهنمای اپل، با Continuity، همه‌ی پیامک‌های آیفون می‌تونن روی آیپد و مک هم دیده بشن. اندروید هم با برنامه‌ی پیام روی کامپیوتر همین کار رو می‌کنه. یعنی اگه آیپد خونه دست بچه‌هاست، یا کامپیوتر محل کار با پیام‌هاتون همگامه، کدهای شما اونجا هم میان.

این خودش خطرناک نیست، ولی باید بدونید کدها کجا دیده می‌شن. دستگاهی که دست دیگرانه، یا کامپیوتری که مال شما نیست، نباید پیامک‌هاتون رو داشته باشه؛ از تنظیمات پیام‌ها، همگام بودنش رو خاموش کنید.

پیامک‌های کد قدیمی

پیامک‌های کد بعد از استفاده بی‌ارزشن، ولی جمع شدنشون توی گوشی یه چیز دیگه رو نشون می‌ده: فهرست همه‌ی سرویس‌ها و بانک‌هایی که باهاشون کار می‌کنید. کسی که یه بار به گوشی شما برسه، از همین فهرست می‌فهمه کجاها حساب دارید. بعضی برنامه‌های پیام گزینه‌ای دارن که کدهای قدیمی رو بعد از یه مدت خودشون پاک کنن؛ اگه نه، هر چند وقت یه بار، پیامک‌های کد رو پاک کنید.

کد ایمیلی

کدی که به ایمیل میاد، همون قانون‌ها رو داره، با یه نکته‌ی اضافه: ایمیل جعلی ساختن خیلی راحت‌تر از پیامک جعلیه. اگه ایمیلی اومد که «کد تایید شما» و یه دکمه‌ی «تایید» یا «ورود» داشت، روی دکمه نزنید؛ اگه خودتون همین الان توی سایتی کد خواسته بودید، فقط عدد رو توی همون صفحه‌ای که باز کرده بودید بزنید. درس فیشینگ ایمیلی.

و یادتون باشه، اگه ایمیلتون لو بره، همه‌ی کدهای ایمیلی هم با اون لو رفتن. یه دلیل دیگه که ایمیل باید از همه محکم‌تر باشه.

کد نمیاد

یکی از رایج‌ترین جستجوها «کد تایید نمیاد»ه. پیش از هر کاری:

1. یه دقیقه صبر کنید؛ پیامک‌ها گاهی دیر می‌رسن. پشت هم «ارسال دوباره» نزنید؛ بعضی سرویس‌ها بعد از چند بار، تا یه مدت دیگه کد نمی‌فرستن.
2. شماره‌ای که توی سایت زدید رو دوباره نگاه کنید؛ یه رقم اشتباه، کد رو به یکی دیگه می‌فرسته.
3. بخش پیام‌های فیلترشده یا ناشناس برنامه‌ی پیام رو ببینید؛ درس امنیت پیامک گفت این بخش کجاست.
4. اگه سرویس گزینه‌ی «تماس صوتی» یا «کد با ایمیل» داره، اونو امتحان کنید.
5. اگه برای پیام‌رسانه و روی دستگاه دیگه‌ای وارد هستید، کد ممکنه داخل همون برنامه اومده باشه، نه با پیامک.

و یه هشدار: اگه وقتی کد نمیاد، کسی پیشنهاد داد «کد رو برای من بفرستید تا درستش کنم» یا «این برنامه رو نصب کنید تا کد برسه»، این دیگه مشکل فنی نیست، کلاهبرداریه.

«کد اشتباهه»

پیامی که می‌گه کد تایید اشتباهه یا وقتش تموم شده، معمولا یکی از این دلیل‌ها رو داره: کد دیر زده شده و باطل شده؛ چند بار «ارسال دوباره» زدید و کد قدیمی رو زدید، در حالی که فقط آخرین کد کار می‌کنه؛ یه رقم اشتباه تایپ شده؛ یا کد با رقم‌های فارسی زده شده و سایت فقط رقم لاتین قبول می‌کنه. یه کد تازه بخواید و آخرین پیامک رو بزنید.

برای کد برنامه‌ی تایید، که پیامک نیست، دلیل رایج ساعت گوشیه؛ درس ورود دومرحله‌ای گفت ساعت گوشی باید روی خودکار باشه.

سایت درست چطور کد می‌فرسته

اگه خودتون سایت یا کسب‌وکار دارید، یا فقط می‌خواید بدونید یه سایت خوب چه شکلیه، این مثال خود تیم سفیده. پیامک ورود ما فقط اینه: «کد ورود به تیم سفید: ۴۸۲۹۱۷»، با رقم‌های لاتین، تا آیفون و اندروید کد رو پیدا کنن و بالای کیبورد بذارن. اسم سرویس و کار، یعنی «ورود»، اول پیامک میاد، که بشه فهمید برای چیه. کد فقط چند دقیقه و فقط یه بار کار می‌کنه، و بعد از چند کد اشتباه، تا مدتی کد قبول نمی‌شه.

توی پیامک کد هم هیچ لینکی نمی‌ذاریم، و هیچ‌کس از طرف ما برای گرفتن کد به کسی زنگ نمی‌زنه. هر سایتی که با کد کار می‌کنه، باید همین‌ها رو داشته باشه.

اگه کد رو دادم

اگه یه وقت کد رو دادید، خجالت نکشید و وقت رو تلف نکنید؛ هر دقیقه مهمه:

1. اگه کد بانک بود، همون لحظه به شماره‌ی رسمی پشت کارت زنگ بزنید و کارت رو مسدود کنید؛ یا از برنامه‌ی رسمی بانک، کارت رو موقتا ببندید.
2. اگه کد یه حساب بود، اگه هنوز وارد هستید، رمز رو عوض کنید و از بخش دستگاه‌ها، همه‌ی دستگاه‌های ناشناس رو بیرون کنید.
3. اگه کد پیام‌رسان بود و حساب هنوز دستتونه، از تنظیمات، دستگاه‌های واردشده رو ببینید و بقیه رو بیرون کنید، بعد قفل دوم رو روشن کنید.
4. اگه حساب از دستتون رفت، از راه بازیابی رسمی خود سرویس برید. درس وقتی حساب از دست رفت.
5. به دوستاتون از یه راه دیگه خبر بدید که از طرف شما کد یا پول نخوان.

از کجا اومد

ایده‌ی رمز یک‌بارمصرف از دنیای جاسوسی میاد؛ «دفترچه‌ی یک‌بارمصرف» که هر صفحه‌ش فقط یه بار برای رمز کردن یه پیام استفاده می‌شد. برای حساب‌ها، بانک‌ها سال‌ها پیش کارت‌هایی می‌دادن که روشون یه فهرست عدد بود و هر بار یکیش رو می‌خواستن، یا وسیله‌های کوچیکی که هر دقیقه یه عدد تازه نشون می‌دادن. با همه‌گیر شدن موبایل، پیامک کد، چون هر کسی داشت و ارزون بود، جای همه‌ی این‌ها رو گرفت.

حالا روند داره برعکس می‌شه: چون پیامک به شماره بسته‌ست و با گرفتن شماره یا فریب آدم لو می‌ره، سرویس‌های بزرگ کم‌کم دارن کد برنامه، اعلان روی گوشی و پس‌کی رو جاش می‌ذارن. درس پس‌کی گفت چرا پس‌کی اصلا کدی نداره که کسی ازتون بخواد.

اشتباه‌های رایج

• «دوستم بود، کد رو خواست، دادم.» حساب دوستتون احتمالا هک شده؛ از یه راه دیگه بپرسید.
• «از بانک زنگ زدن که تراکنش رو لغو کنن.» رمز یک‌بارمصرف برای انجام تراکنشه، نه لغوش.
• «برای گرفتن پول، رمز پویا زدم.» برای گرفتن پول هیچ رمزی لازم نیست.
• «فقط عدد رو دیدم، بقیه‌ی پیامک رو نخوندم.» پیامک می‌گه کد برای چه کاری و چه مبلغیه.
• «کدی که نخواسته بودم اومد، اهمیتی ندادم.» یکی داره تلاش می‌کنه؛ رمز رو عوض کنید.
• «کدها روی صفحه‌ی قفل پیدان.» پیش‌نمایش رو پنهان کنید.

آخرین بررسی راهنمای رسمی اپل، گوگل و واتساپ: ۲۴ مهر ۱۴۰۵.