آموزشامنیت و حریم خصوصی در اینترنت
فیشینگ چیه
جواب کوتاه
فیشینگ، که به انگلیسی بهش می‌گن Phishing، یعنی یه پیام، ایمیل، تماس یا صفحه که خودش رو جای یه جای معتبر جا می‌زنه، مثل بانک، اداره یا یه فروشگاه، تا شما رمز، کد تایید یا اطلاعات کارت رو توش بزنید. بیشترش با یه لینک شروع می‌شه که به یه صفحه‌ی کپی‌شده می‌ره. بهترین دفاع اینه که سایت‌های مهم رو هیچ‌وقت از لینکی که براتون اومده باز نکنید، و خودتون از نشانک یا برنامه‌ی رسمی برید.
پیامک جریمه
مثلا فرض کنید یه پیامک میاد: «جریمه‌ی رانندگی شما پرداخت نشده؛ برای جلوگیری از توقیف خودرو، تا امروز از این لینک پرداخت کنید.» لینک رو باز می‌کنید. یه صفحه با لوگو و رنگ‌های آشنا، یه کادر شماره کارت، رمز دوم و CVV2. مبلغش هم کمه، چند ده هزار تومن، پس نگرانی نداره. می‌زنید.
چند دقیقه بعد، یه برداشت چند میلیونی از کارتتون میاد. هیچ جریمه‌ای در کار نبود، و اون صفحه هم مال هیچ اداره‌ای نبود. یکی ظاهر یه صفحه‌ی پرداخت رو کپی کرده بود، لینکش رو برای هزاران شماره فرستاده بود، و منتظر بود.
به این کار می‌گن فیشینگ. رایج‌ترین فریب اینترنته، و تقریبا هر کسی که گوشی داره، هر هفته یه نمونه‌ش رو می‌بینه. این درس می‌گه چطور کار می‌کنه، چه شکل‌هایی داره، و چطور همیشه بشناسیدش، حتی وقتی داستانش تازه‌ست.
یعنی چی، و چرا این اسم
فیشینگ (Phishing) یعنی یه نفر خودش رو جای یه جای معتبر جا بزنه، مثل بانک، اداره، پیام‌رسان، فروشگاه یا حتی همکار شما، تا با یه پیام یا صفحه‌ی ساختگی، رمز، کد تایید، اطلاعات کارت یا اطلاعات شخصی شما رو بگیره. فیشینگ یکی از شکل‌های مهندسی اجتماعیه، یعنی گول زدن آدم به جای شکستن کامپیوتر.
اسمش از ماهیگیریه. به انگلیسی ماهیگیری می‌شه fishing. کلاهبردار هم یه طعمه می‌ندازه توی دریای پیام‌ها و منتظر می‌مونه یکی گاز بزنه. اولین بار حدود سال ۱۹۹۶ این اسم رو هکرهایی استفاده کردن که رمز حساب‌های یه سرویس اینترنتی معروف اون زمان، به اسم AOL، رو می‌دزدیدن. چرا با «ph» نوشته می‌شه نه «f»؟ هکرهای اون دوره عادت داشتن «f» رو «ph» بنویسن، به یاد phreaking، یعنی دستکاری خط‌های تلفن، که سرگرمی هکرهای دهه‌های قبل بود.
اگه جایی «فیشینگ» شنیدید که به ماهی و قلاب ربطی داشت، مثلا فلای فیشینگ، اون همون ماهیگیری واقعیه با f؛ این درس درباره‌ی اون یکیه.
قلاب و طعمه
یه ماهیگیر رو تصور کنید که قلابش رو توی یه دریای پر از ماهی انداخته. سر قلاب یه چیزی هست که ماهی‌ها دوستش دارن:
توی فیشینگ، دریا همون پیام‌هاییه که هر روز برامون میاد، و طعمه یه چیز آشناست که ما بهش واکنش نشون می‌دیم: اسم بانکمون، یه جریمه، یه بسته‌ی پستی، یه جایزه، یه هشدار از پیام‌رسان. ماهیگیر نمی‌دونه کدوم ماهی گاز می‌زنه؛ فقط می‌دونه اگه قلاب رو جلوی هزاران نفر بندازه، چند نفر بالاخره می‌زنن. برای همینه که فیشینگ‌های معمولی برای همه یکی‌ان.
و قلاب هم معمولا یه لینکه. پشت لینک، صفحه‌ایه که کلاهبردار ساخته و هر چی توش تایپ کنید، مستقیم به اون می‌رسه.
پنج قدم
بیشتر فیشینگ‌ها، هر داستانی داشته باشن، همین پنج قدم رو دارن:
- طعمه. یه پیامک، ایمیل، پیام توی پیام‌رسان یا تماس، با یه داستان که یه حس قوی بیدار می‌کنه: ترس، عجله، طمع یا کنجکاوی.
- کلیک. داستان شما رو به یه لینک یا کیوآرکد می‌رسونه. تا اینجا هنوز هیچ اتفاقی نیفتاده؛ باز کردن صفحه به‌تنهایی معمولا ضرری نداره.
- صفحه‌ی جعلی. لینک یه صفحه باز می‌کنه که عین صفحه‌ی ورود یا پرداخت یه جای معتبره. لوگو، رنگ، حتی قفل کنار نشانی.
- تایپ. اینجاست که اتفاق میفته: رمز، کد تایید، شماره کارت، رمز دوم، کد CVV2، یا اطلاعات شخصی رو توی اون صفحه می‌زنید.
- استفاده‌ی فوری. کلاهبردار معمولا همون لحظه، یا چند دقیقه بعد، از اطلاعات استفاده می‌کنه: وارد حسابتون می‌شه یا از کارتتون خرید می‌کنه، قبل از اینکه شما بفهمید.
خبر خوب اینه که شما چهار جا فرصت دارید زنجیر رو پاره کنید: می‌تونید به داستان باور نکنید، روی لینک نزنید، نشانی صفحه رو بخونید، یا هیچ‌چیز توش تایپ نکنید. پاره شدن هر کدوم از این حلقه‌ها کافیه.
یه پیام رو باز کنیم
بیاید یه پیام فیشینگ رو تیکه‌تیکه کنیم. چهار جای این پیام، چهار تا زنگ خطره:
- فرستنده. توی ایمیل، نشانی واقعی فرستنده رو ببینید، نه اسمی که نوشته؛ اسم رو هر کسی می‌تونه هر چی بنویسه. توی پیامک، اسم یا شماره‌ی فرستنده هم می‌تونه جعل بشه، پس به‌تنهایی چیزی رو ثابت نمی‌کنه.
- عجله یا ترس. «تا ۲ ساعت دیگه»، «توقیف»، «مسدود». جاهای واقعی معمولا این‌طوری حرف نمی‌زنن، و اگه هم بزنن، شما می‌تونید خودتون از راه رسمی بررسی کنید.
- لینک. نشانی لینک رو بخونید. اسم واقعی سایت تیکه‌ی آخر قبل از اولین «/» تکیه؛ مثلا توی bank-ir.help/verify اسم واقعی bank-ir.helpئه، نه اسم بانک. درس نشانی سایت رو چطور بخونیم کاملش رو می‌گه.
- خواسته. رمز، کد تایید، رمز دوم، CVV2، عکس کارت ملی. هیچ جای معتبری این‌ها رو از راه یه لینک توی پیامک ازتون نمی‌خواد.
چند تا نشونه‌ی دیگه هم کمک می‌کنن، ولی به‌تنهایی کافی نیستن: غلط املایی یا جمله‌بندی عجیب، سلام کلی مثل «مشتری گرامی» به جای اسم شما، و پیامی که منتظرش نبودید. با هوش مصنوعی، پیام‌های فیشینگ دیگه کمتر غلط دارن؛ پس به نبودن غلط تکیه نکنید.
صفحه‌ی جعلی
ساختن یه کپی از صفحه‌ی ورود یا پرداخت یه سایت، چند دقیقه کاره. هر چیزی که روی صفحه می‌بینید، لوگو، رنگ، دکمه‌ها، حتی متن کوچیک پایین صفحه، کپی‌شدنیه. فقط یه چیز رو نمی‌شه کپی کرد:
نشانی. صفحه‌ی جعلی هر چقدر هم شبیه باشه، روی یه نشانی دیگه‌ست، چون نشانی اصلی مال صاحب اصلیشه. حتی قفل کنار نشانی هم کمکی نمی‌کنه؛ کلاهبردار می‌تونه برای نشانی خودش گواهی رایگان بگیره و قفل داشته باشه. قفل فقط می‌گه راه بین شما و «همین سایت» امنه، نه اینکه این سایت مال کیه. درس HTTPS این رو کامل می‌گه.
گاهی نشانی صفحه‌ی جعلی خیلی شبیه اصلیه: یه حرف کم یا زیاد، یه خط تیره، یه پسوند دیگه، یا حتی حرف‌هایی از یه الفبای دیگه که عین حروف انگلیسی دیده می‌شن. برای این آخری، درس لینک‌هایی که درست به نظر می‌رسن ولی تقلبین رو ببینید. برای همینه که بهترین راه، خوندن نشانی نیست، بلکه اینه که اصلا از لینک وارد نشید.
دنبال چی‌ان
هر فیشینگ یکی از این‌ها رو می‌خواد. اگه هر کدوم رو دیدید، اون لحظه وقت مکثه:
- رمز یه حساب. ایمیل، پیام‌رسان، شبکه‌ی اجتماعی، یا حساب بانکی اینترنتی.
- کد تایید یا کد یک‌بارمصرف. کدی که با پیامک یا توی برنامه میاد. این کد یعنی اجازه‌ی ورود یا اجازه‌ی پرداخت؛ دادنش یعنی دادن کلید. درس کد تایید رو به هیچ‌کس ندید.
- اطلاعات کارت بانکی. شماره کارت، تاریخ انقضا، CVV2 و رمز دوم. با همین چهار تا می‌شه از کارت شما خرید اینترنتی کرد.
- اطلاعات شخصی. کد ملی، تاریخ تولد، عکس کارت ملی یا شناسنامه، برای فریب‌های بعدی، باز کردن حساب به اسم شما، یا فروختن.
- نصب یه برنامه. «برای پیگیری بسته، این برنامه رو نصب کنید.» برنامه‌ای که بعد پیامک‌ها و کدهای شما رو می‌خونه. درس برنامه‌ی جعلی و فایل APK.
از چه راه‌هایی میاد
فیشینگ از هر راهی که شما پیام می‌گیرید، میاد. هر کدوم یه اسم داره و توی این مسیر درس خودش رو داره:
ایمیل. قدیمی‌ترین و هنوز رایج‌ترین شکلش. ایمیلی که ظاهرش عین ایمیل بانک، سرویس یا همکاره. درس فیشینگ ایمیلی.
پیامک. که به انگلیسی بهش می‌گن Smishing، از SMS و Phishing. ابلاغیه، جریمه، یارانه، بسته‌ی پستی. توی ایران خیلی رایجه. درس امنیت پیامک.
تماس تلفنی. که بهش می‌گن Vishing، از Voice و Phishing. همون «کارمند بانک» که کد می‌خواد. درس فیشینگ صوتی و تلفنی.
کیوآرکد. که بهش می‌گن Quishing. کیوآرکدی روی یه کاغذ، تبلیغ یا حتی ایمیل، که شما رو به یه صفحه‌ی جعلی می‌بره، بی اینکه نشانی رو ببینید. درس کیوآرکد جعلی.
پیام‌رسان و شبکه‌ی اجتماعی. پیام از طرف «پشتیبانی» یه پیام‌رسان، یه صفحه‌ی جعلی با اسم یه فروشگاه معروف، یا پیام از حساب یه دوست که دزدیده شده.
تبلیغ توی جستجو. گاهی یه سایت جعلی برای اسم یه بانک یا برنامه تبلیغ می‌خره، تا بالای نتیجه‌های جستجو بیاد. کسی که دنبال سایت اصلیه، روی اولین نتیجه می‌زنه. برای همین، سایت‌های مهم رو با نشانک باز کنید، نه با جستجو.
هدفمند. وقتی پیام برای یه نفر خاص ساخته شده، با اسم و جزئیات درست، بهش می‌گن Spear phishing، یعنی «فیشینگ با نیزه». اگه هدف یه مدیر ارشد یا آدم خیلی مهم باشه، گاهی بهش می‌گن Whaling، یعنی «شکار نهنگ». درس فیشینگ هدفمند.
کلون. یه پیام واقعی که قبلا براتون اومده، مثلا یه ایمیل اطلاع‌رسانی، عینا کپی می‌شه و فقط لینکش عوض می‌شه، و دوباره فرستاده می‌شه، با این بهونه که «نسخه‌ی اصلاح‌شده‌ست». به این می‌گن Clone phishing.
فیشینگ بانکی و درگاه جعلی
خیلی از فیشینگ‌ها، آخرش به یه صفحه‌ی پرداخت می‌رسن که عین درگاه پرداخت بانکه، همون صفحه‌ای که موقع خرید اینترنتی شماره کارت و رمز دوم رو توش می‌زنید. بهش می‌گن درگاه جعلی. چند تا قانون ساده جلوی بیشترش رو می‌گیره:
- هیچ‌وقت از لینکی که با پیامک یا پیام‌رسان اومده، پرداخت نکنید. اگه واقعا قبض یا جریمه‌ای هست، از سایت یا برنامه‌ی رسمی خودش که خودتون باز کردید ببینید و بپردازید.
- صفحه‌ی پرداخت درست، همیشه از دل یه خرید یا پرداخت که خودتون شروع کردید باز می‌شه؛ نه از یه لینک تنها توی پیامک.
- پیش از زدن اطلاعات، نشانی صفحه رو بخونید؛ اسم واقعی سایت، تیکه‌ی آخر قبل از اولین «/»، باید اسم بانک یا شرکت پرداختی باشه که می‌شناسید.
- رمز دوم پویا، یعنی رمزی که هر بار براتون پیامک می‌شه، رو بخونید: پیامک بانک معمولا مبلغ و اسم فروشنده رو هم می‌گه. اگه مبلغ یا اسم با چیزی که فکر می‌کردید جور نبود، اون رمز رو نزنید.
- برای «گرفتن» پول، هیچ‌وقت لازم نیست رمز کارت یا رمز دوم رو جایی بزنید. هر صفحه‌ای که برای «واریز به حساب شما» رمز می‌خواد، جعلیه.
کد دومرحله‌ای هم کافی نیست
خیلی‌ها فکر می‌کنن چون ورود دومرحله‌ای دارن، فیشینگ کاری باهاشون نداره. ولی یه نوع زرنگ‌تر فیشینگ هست که کد دوم رو هم می‌گیره:
صفحه‌ی جعلی، بعد از رمز، یه کادر دیگه هم نشون می‌ده: «کدی که براتون پیامک شد رو وارد کنید». پشت صحنه، کلاهبردار هم‌زمان داره با رمز شما وارد سایت واقعی می‌شه؛ سایت واقعی کد رو به گوشی شما می‌فرسته، شما کد رو توی صفحه‌ی جعلی می‌زنید، و اون همون لحظه کد رو توی سایت واقعی می‌زنه. به این کار می‌گن «حمله‌ی آدم وسط» یا «فیشینگ واسطه‌ای».
این یعنی ورود دومرحله‌ای پیامکی خیلی کمک می‌کنه، ولی معجزه نمی‌کنه. روش‌هایی که به نشانی سایت گره خوردن، مثل پس‌کی (Passkey) یا کلید امنیتی سخت‌افزاری، در برابر این نوع هم مقاومن، چون روی سایت جعلی اصلا کار نمی‌کنن. و مدیر رمز هم روی سایت جعلی رمز رو پر نمی‌کنه، که خودش یه زنگ خطره.
ترفندهای زرنگ‌تر
کلاهبردارها هم یاد می‌گیرن. وقتی مردم یاد گرفتن نشانی رو نگاه کنن، چند تا ترفند تازه اومد که نشانی رو هم گول‌زننده می‌کنه. شناختنشون کمک می‌کنه حتی این‌ها رو ببینید.
پنجره‌ی ورود جعلی. یه سایت، مثلا یه سایت جایزه یا بازی، می‌گه «با حساب گوگل وارد شید» و یه پنجره‌ی کوچیک باز می‌کنه که بالاش نشانی درست گوگل هم نوشته شده. ولی اون پنجره واقعی نیست؛ یه عکس و چند تا کادره که داخل خود صفحه کشیده شده. به انگلیسی بهش می‌گن Browser-in-the-Browser، یعنی «مرورگر توی مرورگر».
چطور بفهمید؟ یه پنجره‌ی واقعی رو می‌شه از صفحه بیرون کشید و جابه‌جا کرد؛ این یکی از لبه‌ی صفحه بیرون نمی‌ره، چون جزوی از همون صفحه‌ست. ولی ساده‌ترین راه همونه که همیشه گفتیم: مدیر رمز توی این پنجره چیزی پر نمی‌کنه، چون نشانی واقعی، نشانی بالای خود مرورگره که مال سایت جایزه‌ست.
فیشینگ روی سایت‌های معتبر. گاهی صفحه‌ی فیشینگ روی یه سایت کاملا معتبر ساخته می‌شه: یه فرم آنلاین رایگان، یه فایل اشتراکی توی یه سرویس فضای ابری معروف، یا یه صفحه‌ی ساده روی یه سایت‌ساز رایگان. نشانی درسته، مال یه شرکت بزرگه، ولی محتوای صفحه رو کلاهبردار ساخته. قانونش: هیچ فرم عمومی، فایل اشتراکی یا صفحه‌ی سایت‌ساز، جای ورود به حساب بانک یا ایمیل شما نیست.
ریدایرکت از سایت معتبر. لینک با نشانی یه سایت معروف شروع می‌شه، ولی اون سایت شما رو خودکار به یه سایت دیگه می‌فرسته. یا لینک کوتاه‌شده‌ست و مقصدش پیدا نیست. برای همین، نشانی‌ای که مهمه، نشانی صفحه‌ایه که آخر باز شده، نه لینکی که روش زدید. درس لینک کوتاه و لینک پنهان.
پیوست صفحه‌ی وب. ایمیلی با یه فایل پیوست، مثلا «فاکتور» یا «پیام صوتی»، که وقتی بازش می‌کنید، یه صفحه‌ی ورود توی مرورگرتون باز می‌شه. چون از یه فایل روی خود دستگاهتون باز شده، نشانیش هم عجیبه و اسم هیچ سایتی رو نداره. هیچ صفحه‌ی ورودی که از یه فایل پیوست باز شده، واقعی نیست.
چرا کار می‌کنه
فیشینگ کار می‌کنه نه چون آدم‌ها بی‌دقتن، بلکه چون طوری ساخته شده که دقیق‌ترین آدم‌ها رو هم توی یه لحظه‌ی بد گیر بندازه. چند تا دلیل اصلی داره:
- عادت. ما هر روز پیامک بانک، کد تایید و لینک پرداخت می‌گیریم. یه پیام جعلی دیگه، لای ده‌ها پیام واقعی، عجیب به نظر نمیاد.
- گوشی. صفحه‌ی گوشی کوچیکه، نشانی کامل دیده نمی‌شه، و ما معمولا وسط یه کار دیگه پیام رو باز می‌کنیم.
- حس. ترس و عجله، بخش فکر کردن مغز رو کنار می‌زنن. برای همین تقریبا همه‌ی فیشینگ‌ها یه مهلت کوتاه دارن.
- عدد. اگه از هر هزار نفر فقط یه نفر گول بخوره، با فرستادن به یه میلیون شماره، هزار نفر گول خوردن. فرستادن تقریبا مجانیه، پس به‌صرفه‌ست.
- هوش مصنوعی. امروز نوشتن یه پیام بی‌غلط و باورپذیر، به هر زبونی، برای کلاهبردار چند ثانیه کاره.
عددها
یه گروه جهانی به اسم APWG، کوتاه‌شده‌ی Anti-Phishing Working Group، یعنی «گروه کاری مبارزه با فیشینگ»، هر سه ماه یه بار می‌شمره چند تا حمله‌ی فیشینگ دیده. سال ۲۰۲۵ این‌طوری بود:
یعنی کل سال ۲۰۲۵ حدود ۳ میلیون و ۸۰۰ هزار حمله‌ی فیشینگ دیدن، یه کم بیشتر از ۳ میلیون و ۷۶۰ هزار سال قبلش. هر کدوم از این حمله‌ها یه سایت یا یه موج پیامه که ممکنه به هزاران نفر رسیده باشه. یعنی فیشینگ نه کم شده، نه قراره کم بشه؛ فقط شکلش عوض می‌شه، مثلا به سمت پیامک و کیوآرکد و شبکه‌های اجتماعی.
فرقش با هرزنامه و بدافزار
هرزنامه (Spam) یعنی پیام‌های ناخواسته، معمولا تبلیغاتی. آزاردهنده‌ست، ولی معمولا نمی‌خواد شما رو گول بزنه که رمز بدید؛ می‌خواد چیزی بفروشه. فیشینگ ممکنه شکل هرزنامه داشته باشه، ولی هدفش دزدیدن اطلاعاته.
بدافزار (Malware) یعنی برنامه‌ی مخرب. فیشینگ گاهی شما رو به نصب یه بدافزار می‌کشونه، ولی خیلی وقت‌ها اصلا برنامه‌ای در کار نیست: فقط یه صفحه‌ست و شما خودتون اطلاعات رو تایپ می‌کنید. برای همینه که ضدویروس جلوی خیلی از فیشینگ‌ها رو نمی‌گیره؛ چیزی برای پیدا کردن نیست.
کد ضد فیشینگ
بعضی سرویس‌ها، مثلا بعضی صرافی‌ها و بانک‌ها، یه امکان دارن به اسم کد ضد فیشینگ (Anti-Phishing Code). شما توی تنظیمات حسابتون یه کلمه یا عدد دلخواه انتخاب می‌کنید، و اون سرویس از اون به بعد، این کد رو توی همه‌ی ایمیل‌هایی که براتون می‌فرسته می‌ذاره.
کلاهبردار این کد رو نمی‌دونه، پس ایمیل جعلی یا کد نداره یا کد اشتباه داره. اگه سرویسی که باهاش کار می‌کنید این امکان رو داره، روشنش کنید. فقط یادتون باشه این کد رو هم، مثل رمز، به هیچ‌کس نگید.
چطور در امان بمونیم
این چند تا عادت، به ترتیب اهمیت، جلوی تقریبا همه‌ی فیشینگ‌ها رو می‌گیرن:
- سایت‌های مهم رو از لینک باز نکنید. بانک، ایمیل، پیام‌رسان و هر جایی که پول یا رمز داره: از نشانک، برنامه‌ی رسمی، یا تایپ دستی نشانی.
- از مدیر رمز استفاده کنید. مدیر رمز نشانی سایت رو با نشانی ذخیره‌شده مقایسه می‌کنه و روی سایت جعلی رمز رو پر نمی‌کنه. اگه یه روز پر نکرد، شک کنید. درس مدیر رمز.
- ورود دومرحله‌ای رو روشن کنید. ترجیحا با برنامه یا پس‌کی، نه فقط پیامک. درس ورود دومرحله‌ای.
- کد تایید رو به هیچ‌کس و هیچ صفحه‌ای که از لینک باز شده ندید.
- هر درخواست عجیب رو از راه دوم بررسی کنید. به شماره‌ای که خودتون دارید زنگ بزنید، یا برنامه‌ی رسمی رو خودتون باز کنید.
- گوشی، مرورگر و برنامه‌ها رو به‌روز نگه دارید. مرورگرها فهرستی از سایت‌های فیشینگ شناخته‌شده دارن و جلوی باز شدنشون هشدار می‌دن؛ این فهرست با به‌روزرسانی تازه می‌مونه.
گزارش کنیم
گزارش دادن یه فیشینگ، فقط به نفع خودتون نیست؛ جلوی گول خوردن بقیه رو هم می‌گیره. چند تا راه ساده هست:
- اگه پیامک یا ایمیل به اسم یه بانک یا شرکت بود، از راه رسمی همون بانک یا شرکت بهشون خبر بدید؛ خیلی‌هاشون یه بخش برای گزارش فیشینگ دارن.
- توی برنامه‌ی ایمیل، پیام رو با گزینه‌ی «گزارش فیشینگ» یا «گزارش هرزنامه» علامت بزنید، نه فقط پاکش کنید.
- صفحه‌ی فیشینگ رو می‌تونید به Google Safe Browsing گزارش بدید، با فرمی که خود گوگل برای گزارش صفحه‌های فیشینگ گذاشته. اگه تایید بشه، کروم و مرورگرهای دیگه‌ای که از این فهرست استفاده می‌کنن، به بقیه هشدار می‌دن.
- توی پیام‌رسان‌ها، حساب فرستنده رو گزارش و مسدود کنید.
اگه کلیک کردیم
اگه روی لینک زدید ولی چیزی تایپ نکردید و فایلی نگرفتید، معمولا مشکلی نیست؛ صفحه رو ببندید. اگه چیزی زدید، به ترتیب:
- اگه اطلاعات کارت زدید، همین الان از برنامه‌ی بانک کارت رو مسدود کنید یا به بانک زنگ بزنید.
- اگه رمز زدید، از راه درست وارد همون سایت بشید و رمز رو عوض کنید؛ هر جای دیگه هم که همین رمز رو داشت.
- اگه کد تایید زدید، فرض کنید یکی وارد حسابتون شده: رمز رو عوض کنید، دستگاه‌های وصل به حساب رو ببینید و ناشناس‌ها رو بیرون کنید.
- ورود دومرحله‌ای رو اگه ندارید، روشن کنید.
- اگه فایل یا برنامه‌ای گرفتید و باز کردید، پاکش کنید و دستگاه رو بررسی کنید.
درس روی لینک فیشینگ کلیک کردیم، چی کار کنیم همه‌ی این قدم‌ها رو کامل‌تر می‌گه.
کمی تاریخ
فیشینگ از اواسط دهه‌ی ۹۰ میلادی شروع شد، با هکرهایی که توی AOL پیام می‌فرستادن: «از کارکنان AOL هستیم، برای تایید حسابتون رمز رو بفرستید.» حساب‌های دزدیده‌شده بینشون مثل پول خرید و فروش می‌شد.
از اوایل دهه‌ی ۲۰۰۰، با رواج بانکداری اینترنتی و خرید آنلاین، هدف عوض شد و رفت سراغ بانک‌ها و فروشگاه‌ها و سرویس‌های پرداخت. همون سال‌ها گروه APWG هم برای همین ساخته شد. بعد گوشی‌های هوشمند اومدن، و پیامک و پیام‌رسان جای ایمیل رو به‌عنوان راه اصلی گرفتن. حالا هوش مصنوعی پیام‌ها رو بی‌غلط و به هر زبونی می‌نویسه، و کیوآرکد و شبکه‌های اجتماعی راه‌های تازه‌ی فرستادن شدن.
تمرین
- پیامک‌های تبلیغاتی و هشداری چند روز اخیرتون رو باز کنید و برای هر کدوم، چهار نشونه رو پیدا کنید: فرستنده، عجله، لینک، خواسته.
- برای بانک، ایمیل و پیام‌رسانتون نشانک بسازید یا برنامه‌ی رسمیشون رو روی صفحه‌ی اول گوشی بذارید.
- اگه سرویسی که باهاش کار می‌کنید کد ضد فیشینگ داره، روشنش کنید.
- یه پیام فیشینگ رو گزارش کنید، تا یاد بگیرید گزینه‌ی گزارش کجاست.
اشتباه‌های رایج
- «قفل داشت، پس امن بود.» قفل یعنی راه امنه، نه اینکه سایت اصلیه؛ سایت جعلی هم قفل داره.
- «لوگو و رنگش عین بانک بود.» ظاهر رو می‌شه کپی کرد؛ نشانی رو نه.
- «مبلغش کم بود، ریسکی نداشت.» مبلغ کم طعمه‌ست؛ با همون اطلاعات کارت، برداشت بزرگ انجام می‌شه.
- «ورود دومرحله‌ای دارم، پس فیشینگ روم کار نمی‌کنه.» صفحه‌ی جعلی می‌تونه کد پیامکی رو هم بگیره و همون لحظه استفاده کنه.
- «پیام هیچ غلط املایی نداشت.» با هوش مصنوعی، فیشینگ‌ها دیگه بی‌غلطن.
- «از اسم بانک فرستاده شده بود.» اسم فرستنده‌ی پیامک و ایمیل قابل جعله.
جمع‌بندی. آنچه از این درس با خودتان می‌برید.
- فیشینگ یعنی جا زدن خود به جای یه جای معتبر برای گرفتن رمز، کد یا کارت.
- پنج قدم داره: طعمه، کلیک، صفحه‌ی جعلی، تایپ اطلاعات، استفاده‌ی فوری.
- نشونه‌هاش: فرستنده‌ی عجیب، عجله، لینک، و خواستن رمز یا کد یا کارت.
- ظاهر صفحه رو می‌شه کپی کرد، نشانی رو نه؛ نشانی رو بخونید.
- سایت‌های مهم رو از نشانک یا برنامه‌ی رسمی باز کنید، نه از لینک.
خودتون رو بسنجید
۱۵ پرسش، هر بار تازه از میان ۳۰ پرسش این درس. آخرش فقط کارنامه رو می‌بینید: چند تا درست، چند تا نادرست.