آموزشامنیت و حریم خصوصی در اینترنت
لینک کوتاه و لینک پنهان
جواب کوتاه
لینک کوتاه، یه نشانی کوتاهه که یه سرویس کوتاه‌کننده‌ی لینک (URL Shortener) ساخته و پشتش یه نشانی بلند دیگه پنهانه؛ وقتی روش می‌زنید، اول به سرور اون سرویس می‌رید و اون شما رو به مقصد واقعی می‌فرسته. مشکلش اینه که از روی خود لینک، هیچ راهی ندارید بفهمید مقصد کجاست؛ و کلاهبردارها از همین برای پنهان کردن سایت‌های جعلی استفاده می‌کنن. راهش اینه که لینک کوتاهی که از یه ناشناس اومده رو باز نکنید، اگه لازمه مقصدش رو پیش از باز کردن ببینید، و اگه بازش کردید، پیش از هر کاری نشانی صفحه‌ای که باز شده رو بخونید.
یه پیامک با لینک کوتاه
مثلا فرض کنید یه پیامک میاد: «بسته‌ی شما به دلیل نقص نشانی برگشت خورد. برای ثبت دوباره: sh.rt/x7Q». هیچ اسم سایتی توی لینک نیست؛ فقط چند تا حرف. نمی‌دونید این لینک مال شرکت پسته یا یه سایت جعلی. اگه نشانی کامل بود، شاید از اسمش می‌فهمیدید؛ ولی اینجا اسمی نیست که بخونید.
توی درس نشانی سایت رو چطور بخونیم یاد گرفتیم اسم واقعی سایت رو از نشانی پیدا کنیم. لینک کوتاه همین رو از ما می‌گیره. این درس می‌گه لینک کوتاه چطور کار می‌کنه، چرا کلاهبردارها این‌قدر دوستش دارن، و چطور پیش از اینکه دیر بشه، بفهمید یه لینک کوتاه کجا می‌ره. کنارش هم از لینک‌های پنهان دیگه حرف می‌زنیم: دکمه‌ها، عکس‌ها و لینک‌هایی که از یه سایت معتبر شما رو جای دیگه می‌فرستن.
کوتاه‌کننده چطور کار می‌کنه
یه سرویس کوتاه‌کننده‌ی لینک (URL Shortener)، یه فهرست بزرگ داره. هر کسی که یه لینک بلند بهش بده، یه کد کوتاه می‌گیره، و سرویس توی فهرستش می‌نویسه این کد کوتاه، مال اون لینک بلنده:
مثل یه جعبه‌ی دربسته که فقط یه برچسب شماره روشه. وقتی شما روی لینک کوتاه می‌زنید، مرورگر اول به سرور اون سرویس می‌ره، سرویس توی فهرستش نگاه می‌کنه و شما رو به نشانی بلند می‌فرسته. به این فرستادن می‌گن تغییر مسیر (Redirect). همه‌ی این‌ها توی کسری از ثانیه اتفاق میفته، و شما فقط صفحه‌ی آخر رو می‌بینید.
لینک کوتاه خودش بد نیست. برای پیامک که جاش کمه، برای کیوآرکد که ساده‌تر می‌شه، و برای نوشتن روی کاغذ یا گفتن پشت تلفن، خیلی کاربردیه. فقط یه مشکل داره: مقصد رو پنهان می‌کنه.
چرا کلاهبردارها دوستش دارن
- نشانی جعلی پنهان می‌مونه. اسم مشکوک سایت فیشینگ، مثل یه دامنه‌ی عجیب یا یه پسوند غریبه، توی لینک کوتاه دیده نمی‌شه.
- از فیلترها رد می‌شه. بعضی فیلترهای پیامک و ایمیل، دامنه‌های فیشینگ شناخته‌شده رو می‌گیرن؛ ولی لینک کوتاه یه دامنه‌ی معتبر و معروف داره، پس رد می‌شه.
- جاش توی پیامک کمه. پیامک محدودیت حرف داره، و لینک کوتاه، داستان بیشتری رو توی پیامک جا می‌کنه.
- عادت داریم. اپراتورها، بانک‌ها و فروشگاه‌ها هم از لینک کوتاه استفاده می‌کنن، پس دیدنش عجیب نیست.
- می‌تونه عوض بشه. که بخش بعد کاملش رو می‌گیم.
مقصدی که عوض می‌شه
بیشتر سرویس‌های کوتاه‌کننده، به کسی که لینک رو ساخته اجازه می‌دن هر وقت خواست، مقصدش رو عوض کنه. یعنی یه لینک کوتاه که امروز به یه سایت بی‌خطر می‌ره، فردا ممکنه به یه صفحه‌ی فیشینگ بره، بی اینکه حتی یه حرف از خود لینک عوض بشه.
کلاهبردارها گاهی از همین استفاده می‌کنن: اول، وقتی فیلترها و آدم‌ها لینک رو بررسی می‌کنن، مقصد یه سایت عادیه؛ بعد از اینکه لینک پخش شد، مقصد رو عوض می‌کنن. برای همینه که حتی لینکی که یه بار بررسی کردید، دفعه‌ی بعد هم باید دوباره بسنجید. این همون مشکلیه که توی درس کیوآرکد جعلی برای کیوآرکدهای پویا دیدیم.
زنجیره‌ی پرش‌ها
گاهی یه لینک کوتاه به یه لینک کوتاه دیگه می‌ره، و اون به یه سایت تبلیغ، و اون به مقصد آخر. هر کدوم از این پرش‌ها یه تغییر مسیره:
کلاهبردارها این زنجیره‌ها رو برای این می‌سازن که ردگیری سخت‌تر بشه، و اگه یکی از حلقه‌ها بسته شد، بقیه هنوز کار کنن. گاهی هم زنجیره بسته به اینکه شما با گوشی اومدید یا کامپیوتر، از کدوم کشور، یا ساعت چنده، شما رو به یه جای دیگه می‌فرسته؛ مثلا به کسی که از یه کشور دیگه بررسی می‌کنه، یه صفحه‌ی بی‌خطر نشون می‌ده، و به شما صفحه‌ی فیشینگ. برای شما، فقط یه قانون مهمه: نشانی صفحه‌ای که آخر جلوی چشمتونه.
پیش از باز کردن، نگاه کنید
چند تا راه هست که بی باز کردن یه لینک کوتاه، بفهمید کجا می‌ره:
- نگه داشتن انگشت. روی گوشی، انگشتتون رو روی لینک نگه دارید. بعضی برنامه‌ها و مرورگرها، یه پیش‌نمایش کوچیک از صفحه نشون می‌دن که نشانی آخرش هم توشه. ولی بیشتر وقت‌ها فقط خود لینک کوتاه رو نشون می‌دن، نه مقصد رو.
- صفحه‌ی پیش‌نمایش خود کوتاه‌کننده. بعضی سرویس‌های کوتاه‌کننده، یه راه برای دیدن مقصد پیش از رفتن دارن؛ مثلا با اضافه کردن یه علامت یا یه کلمه به لینک، به جای رفتن، یه صفحه باز می‌شه که مقصد رو نشون می‌ده. اگه می‌دونید یه کوتاه‌کننده‌ی خاص چنین امکانی داره، از راهنمای خودش استفاده کنید.
- از فرستنده بپرسید. اگه لینک از یه آشنا اومده، ازش بپرسید این چیه. اگه از یه شرکت اومده، به جای لینک، خودتون به سایت یا برنامه‌ی رسمی برید.
و ساده‌ترین قانون: لینک کوتاهی که از یه شماره یا فرستنده‌ی ناشناس اومده، مخصوصا اگه با عجله یا ترس همراهه، اصلا لازم نیست بازش کنید. هر خبری که اون لینک ادعا می‌کنه، از بسته‌ی پستی تا ابلاغیه و جایزه، رو می‌شه از راه رسمی خود اون جا هم دید.
باز کردید؟ نشانی رو بخونید
اگه یه لینک کوتاه رو باز کردید، هیچ اشکالی نداره؛ باز کردن صفحه به‌تنهایی معمولا خطری نداره. حالا وقتشه که کاری که لینک کوتاه نذاشت، انجام بدید: نوار نشانی رو بزنید و نشانی کامل صفحه‌ای که باز شده رو بخونید. اسم واقعی سایت، همون تیکه‌ی آخر قبل از اولین «/»، همونیه که انتظار داشتید؟
اگه صفحه رمز، کد، اطلاعات کارت یا نصب یه برنامه خواست، و شما نمی‌تونید با اطمینان بگید این همون سایت درسته، هیچ‌چیز نزنید. صفحه رو ببندید و خودتون، از نشانک یا برنامه‌ی رسمی، برید.
متن و دکمه
لینک کوتاه، تنها راه پنهان کردن مقصد نیست. توی ایمیل‌ها، صفحه‌ها و بعضی پیام‌رسان‌ها، لینک می‌تونه پشت یه متن یا یه دکمه پنهان بشه: «اینجا بزنید»، «پیگیری سفارش»، یا حتی یه متن که خودش شکل یه نشانی درسته، مثل «mybank.ir»، ولی مقصدش یه جای دیگه‌ست.
اینجا هم همون قانون: نوشته‌ی روی لینک رو فرستنده هر چی بخواد می‌نویسه. روی کامپیوتر، موس رو بدون کلیک روی لینک ببرید و نشانی واقعی رو پایین صفحه ببینید؛ روی گوشی، انگشت رو نگه دارید. درس فیشینگ ایمیلی این رو با طراحی نشون داده.
عکسی که لینکه
یه عکس هم می‌تونه لینک باشه. توی ایمیل‌ها، خیلی وقت‌ها کل یه پیام، فقط یه عکس بزرگه که شبیه یه نامه‌ی رسمیه، و هر جاش رو بزنید، به یه سایت می‌ره. چون متن واقعی‌ای وجود نداره، فیلترهای ایمیل هم کمتر می‌تونن محتواش رو بسنجن. شکل دیگه‌ش هم کیوآرکده، که یه عکسه که یه نشانی رو پنهان می‌کنه.
اگه یه ایمیل فقط یه عکس بود و ازتون می‌خواست روش بزنید، با همون دقتی باهاش رفتار کنید که با یه لینک ناشناس. روی کامپیوتر، موس رو روی عکس ببرید تا نشانیش رو ببینید.
تغییر مسیر از سایت معتبر
یه ترفند زرنگ‌تر: لینک با نشانی یه سایت کاملا معتبر و معروف شروع می‌شه، ولی اون سایت شما رو خودکار به یه سایت دیگه می‌فرسته. خیلی از سایت‌ها، برای کارهای خودشون، صفحه‌هایی دارن که هر نشانی‌ای که توی خود لینک بیاد رو باز می‌کنن؛ مثلا برای وقتی که از یه تبلیغ یا یه نتیجه‌ی جستجو روی یه سایت می‌زنید. اگه این صفحه‌ها درست بسته نشده باشن، کلاهبردار می‌تونه لینکی بسازه که با اسم اون سایت معتبر شروع می‌شه و به صفحه‌ی فیشینگ ختم می‌شه. به این می‌گن تغییر مسیر باز (Open Redirect).
این لینک‌ها معمولا خیلی طولانی‌ان و توشون، توی بخش پرسش بعد از علامت سوال، یه نشانی دوم هم هست، گاهی رمزگذاری‌شده با علامت‌های درصد. پس اینکه یه لینک با اسم یه سایت معروف شروع می‌شه، کافی نیست. باز هم: نشانی صفحه‌ای که آخر باز می‌شه.
لینکی که یه برنامه رو باز می‌کنه
همه‌ی لینک‌ها یه سایت باز نمی‌کنن. بعضی لینک‌ها مستقیم یه کار روی گوشی انجام می‌دن: لینکی که با tel: شروع می‌شه، یه شماره رو می‌گیره؛ لینکی که با sms: شروع می‌شه، یه پیامک آماده با متن و گیرنده‌ی مشخص می‌سازه؛ لینکی که با mailto: شروع می‌شه، یه ایمیل آماده؛ و لینک‌های خاص هر برنامه، مثلا یه پیام‌رسان یا یه برنامه‌ی پرداخت، که همون برنامه رو روی یه صفحه‌ی خاص باز می‌کنن.
این لینک‌ها کاربردی‌ان، ولی می‌تونن ازشون سوءاستفاده بشه؛ مثلا یه دکمه‌ی «تماس با پشتیبانی» که یه شماره‌ی پولی رو می‌گیره، یا یه دکمه‌ی «تایید» که یه پیامک آماده برای عضویت توی یه اشتراک پولی می‌سازه. خوشبختانه گوشی‌ها معمولا پیش از تماس یا فرستادن، از شما تایید می‌خوان. اون تایید رو بی‌دقت نزنید؛ شماره یا متن پیامک رو ببینید.
لینک دعوت به گروه
لینک‌هایی هم هستن که شما رو مستقیم عضو یه گروه یا کانال توی یه پیام‌رسان می‌کنن، یا یه گفت‌وگو با یه شماره‌ی ناشناس باز می‌کنن. کلاهبردارها از این‌ها برای کشوندن آدم‌ها به گروه‌های «سرمایه‌گذاری»، «کار در خانه» یا «جایزه» استفاده می‌کنن، که توشون ده‌ها حساب جعلی از «سود کردن» حرف می‌زنن؛ همون گواه اجتماعی که توی درس مهندسی اجتماعی گفتیم.
عضو شدن توی یه گروه به‌تنهایی خطری نداره، ولی اولین قدم یه فریب بلنده. اگه بی‌خبر عضو یه گروه پر از پیام‌های سود و پول شدید، ازش بیرون بیاید و گزارشش کنید. توی تنظیمات حریم خصوصی بیشتر پیام‌رسان‌ها، می‌تونید تعیین کنید کی اجازه داره شما رو به گروه اضافه کنه؛ درس‌های واتساپ و تلگرام.
لینکی که خودش یه فایله
بعضی لینک‌ها، به جای یه صفحه، مستقیم یه فایل دانلود می‌کنن. لینکی که آخرش یه اسم فایل با پسوندی مثل .apk، .exe، .zip یا .html داره، معمولا همین‌طوره. اگه این لینک کوتاه شده باشه، تا روش نزنید، نمی‌فهمید که قراره یه فایل بگیرید، نه یه صفحه ببینید.
اگه روی یه لینک زدید و به جای صفحه، یه فایل دانلود شد که منتظرش نبودید، بازش نکنید. فایل‌های دانلودشده معمولا توی پوشه‌ی دانلودها می‌مونن تا خودتون بازشون کنید؛ پس پاکش کنید و تموم. برای فایل‌های APK روی اندروید، درس برنامه‌ی جعلی و فایل APK رو ببینید.
شمارنده‌ی کلیک
این یکی بیشتر به حریم خصوصی ربط داره تا امنیت. چون هر کلیک روی لینک کوتاه اول از سرور کوتاه‌کننده رد می‌شه، اون سرور می‌تونه ثبت کنه کی، کی و از کجا روش زده:
خیلی از کوتاه‌کننده‌ها، دقیقا برای همین ساخته شدن: به کسی که لینک رو ساخته آمار می‌دن، که چند نفر، از کدوم شهر یا کشور، با گوشی یا کامپیوتر، و از کدوم برنامه روی لینک زدن. برای یه فروشگاه، این ابزار تبلیغاته. برای یه کلاهبردار، این یعنی فهمیدن اینکه شماره‌ی شما فعاله و شما آدمی هستید که روی لینک می‌زنید؛ یعنی هدف خوبی برای فریب بعدی.
گاهی هم هر کسی یه لینک کوتاه مخصوص خودش می‌گیره، یعنی کوتاه‌کننده دقیقا می‌فهمه این کلیک مال شما بوده، نه یکی دیگه. این یکی دیگه از دلایلیه که لینک‌های کوتاه ناشناس رو باز نکنیم، حتی اگه مطمئنیم هیچ‌چیز توش نمی‌زنیم.
لینک‌هایی که می‌میرن
لینک کوتاه فقط تا وقتی کار می‌کنه که سرویس کوتاه‌کننده‌ش زنده‌ست. اگه سرویس بسته بشه، فهرستش هم با خودش می‌ره، و همه‌ی لینک‌هایی که باهاش ساخته شدن، با هم می‌میرن:
این اتفاق برای بزرگ‌ترین شرکت‌ها هم افتاده. گوگل یه کوتاه‌کننده داشت که سال‌ها خیلی‌ها ازش استفاده می‌کردن؛ ژوئیه‌ی ۲۰۲۴ اعلام کرد که بعد از ۲۵ اوت ۲۰۲۵ لینک‌هاش دیگه کار نمی‌کنن، و بعدا گفت لینک‌هایی که هنوز فعالانه استفاده می‌شن رو نگه می‌داره. حالا تصور کنید این لینک‌ها توی کتاب‌ها، مقاله‌ها و کارت‌های ویزیت چاپ شده بودن.
یه خطر امنیتی هم داره: اگه دامنه‌ی یه کوتاه‌کننده‌ی بسته‌شده، بعدها دست کس دیگه‌ای بیفته، اون می‌تونه همون کدهای کوتاه قدیمی رو به هر جایی که بخواد بفرسته. پس لینک‌های کوتاه خیلی قدیمی رو هم با احتیاط باز کنید. به این از کار افتادن لینک‌ها با گذشت زمان، به انگلیسی می‌گن Link Rot، یعنی «پوسیدن لینک»؛ و برای همینه که توی جاهایی که قراره سال‌ها بمونن، مثل کتاب، مقاله‌ی علمی یا کارت ویزیت، نوشتن نشانی کامل خیلی بهتر از لینک کوتاهه.
کوتاه‌کننده‌ی معتبر، مقصد نامعتبر
خیلی‌ها فکر می‌کنن اگه لینک کوتاه از یه کوتاه‌کننده‌ی معروف و معتبره، پس مقصدش هم امنه. ولی کوتاه‌کننده فقط یه فهرسته؛ هر کسی، از جمله یه کلاهبردار، می‌تونه توش یه لینک بسازه. معروف بودن کوتاه‌کننده، هیچ‌چیز درباره‌ی مقصد نمی‌گه.
کوتاه‌کننده‌های بزرگ معمولا لینک‌هایی که گزارش بشن رو می‌بندن، و گاهی پیش از رفتن به مقصدهای مشکوک، یه صفحه‌ی هشدار نشون می‌دن. اگه چنین هشداری دیدید، جدیش بگیرید و رد نشید. ولی نبود هشدار، یعنی هنوز کسی گزارشش نکرده، نه اینکه امنه.
لینک کوتاه واقعی چه شکلیه
بانک‌ها، اپراتورها و فروشگاه‌ها هم گاهی توی پیامک‌هاشون لینک کوتاه می‌فرستن، و این خودش کار تشخیص رو سخت‌تر می‌کنه. ولی شرکت‌های جدی معمولا لینک کوتاهشون رو روی دامنه‌ی خودشون می‌سازن، یعنی اسمشون، یا یه شکل کوتاه از اسمشون، توی لینک دیده می‌شه، و هر بار همون شکل رو دارن.
پس یه راه ساده: پیامک‌های واقعی گذشته‌ی همون شرکت رو پیدا کنید و ببینید لینک‌هاشون چه شکلی بودن. اگه لینک تازه شکلش فرق داره، یا از یه کوتاه‌کننده‌ی عمومی اومده در حالی که قبلا نمیومد، مشکوکه. و همیشه یادتون باشه، حتی لینک واقعی بانک هم نباید شما رو به جایی ببره که رمز بخواد؛ برای ورود، از برنامه یا نشانک برید.
برای کسب‌وکار
اگه کسب‌وکار دارید و توی پیامک یا تبلیغ‌هاتون لینک کوتاه می‌فرستید، مشتری‌هاتون با لینک‌های فیشینگ قاطیتون می‌کنن، چون از بیرون فرقی ندارن. چند تا کار کمک می‌کنه مشتری‌هاتون به لینک‌های شما اعتماد کنن و یاد بگیرن به بقیه اعتماد نکنن:
- اگه می‌شه، لینک کوتاه رو روی دامنه‌ی خودتون بسازید، مثلا یه زیردامنه‌ی کوتاه از اسم خودتون، تا اسم شما توی لینک دیده بشه.
- توی پیامک‌ها بنویسید لینک به کجا می‌ره، و هیچ‌وقت توی پیامک لینک ورود یا پرداخت نفرستید.
- به مشتری‌هاتون بگید شما هیچ‌وقت با لینک، رمز یا کد نمی‌خواید؛ تا هر لینکی که چنین چیزی خواست، لو بره.
- از کوتاه‌کننده‌ای استفاده کنید که می‌دونید تا سال‌ها می‌مونه، یا لینک‌هاتون رو جایی چاپ نکنید که نشه عوضشون کرد.
کمی تاریخ
اولین کوتاه‌کننده‌ی معروف لینک، ژانویه‌ی ۲۰۰۲ ساخته شد. یه برنامه‌نویس آمریکایی به اسم کوین گیلبرتسون، می‌خواست توی گروه‌های خبری اینترنت لینک بذاره، و لینک‌ها اون‌قدر طولانی بودن که وسط پیام می‌شکستن. یه سرویس ساده ساخت که هنوزم کار می‌کنه و یکی از قدیمی‌ترین‌هاست.
چند سال بعد، با اومدن شبکه‌های اجتماعی‌ای که برای هر پیام محدودیت حرف داشتن، لینک کوتاه همه‌گیر شد، و ده‌ها کوتاه‌کننده‌ی دیگه ساخته شدن. کلاهبردارها هم زود فهمیدن این ابزار برای پنهان کردن سایت‌های جعلی عالیه. امروز بیشتر شبکه‌های اجتماعی و پیام‌رسان‌ها، لینک‌ها رو خودشون از یه کوتاه‌کننده‌ی داخلی رد می‌کنن تا اگه مقصدی خطرناک بود، جلوش رو بگیرن یا هشدار بدن.
اگه باز کردیم
- فقط باز کردید و چیزی نزدید؟ صفحه رو ببندید؛ معمولا مشکلی نیست.
- رمز یا کد زدید؟ از راه درست وارد همون حساب بشید، رمز رو عوض کنید و از همه‌ی دستگاه‌ها خارج بشید.
- اطلاعات کارت زدید؟ کارت رو از برنامه‌ی بانک مسدود کنید.
- فایلی دانلود یا برنامه‌ای نصب کردید؟ پاکش کنید و درس برنامه‌ی جعلی رو ببینید.
- لینک رو به‌عنوان هرزنامه یا فیشینگ گزارش کنید، تا جلوی بقیه گرفته بشه.
تمرین
- توی پیامک‌های چند روز اخیر، لینک‌های کوتاه رو پیدا کنید؛ کدوم از جایی اومدن که می‌شناسید، کدوم نه؟
- روی گوشی، روی یه لینک کوتاه انگشت نگه دارید و ببینید چه چیزی نشون داده می‌شه.
- یه لینک کوتاه از یه فرستنده‌ی آشنا رو باز کنید و پیش از هر کاری، نشانی صفحه‌ی آخر رو بخونید.
اشتباه‌های رایج
- «لینک کوتاه بود، پس اسم سایتی نداشت که بد باشه.» اسم سایت پنهانه، نه اینکه وجود نداره.
- «از یه کوتاه‌کننده‌ی معروف بود.» هر کسی توی کوتاه‌کننده‌ی معروف لینک می‌سازه؛ مقصد مهمه.
- «دیروز بررسیش کردم، امن بود.» مقصد لینک کوتاه عوض‌شدنیه.
- «با اسم یه سایت معروف شروع می‌شد.» تغییر مسیر باز، از سایت معروف به سایت جعلی می‌بره.
- «فقط باز کردم، چیزی نزدم، پس هیچ ردی نذاشتم.» کوتاه‌کننده کلیک شما رو ثبت کرده.
- «دکمه نوشته بود پیگیری سفارش.» نوشته‌ی دکمه رو فرستنده می‌نویسه؛ نشانی واقعی رو ببینید.
جمع‌بندی. آنچه از این درس با خودتان می‌برید.
- لینک کوتاه مقصدش رو پنهان می‌کنه؛ از روی خودش چیزی پیدا نیست.
- صاحب لینک کوتاه هر وقت بخواد می‌تونه مقصدش رو عوض کنه.
- پیش از باز کردن، با نگه داشتن انگشت یا صفحه‌ی پیش‌نمایش، مقصد رو ببینید.
- اگه باز کردید، نشانی صفحه‌ای که آخر باز شده مهمه، نه خود لینک.
- هر کلیک روی لینک کوتاه، اول از سرور کوتاه‌کننده رد می‌شه و ثبت می‌شه.
خودتون رو بسنجید
۱۵ پرسش، هر بار تازه از میان ۳۰ پرسش این درس. آخرش فقط کارنامه رو می‌بینید: چند تا درست، چند تا نادرست.