فیشینگ هدفمند

ایمیل از «مدیر»

مثلا فرض کنید توی یه شرکت کار می‌کنید. یه ایمیل میاد با اسم مدیرتون، که می‌دونه شما توی کدوم پروژه‌اید، می‌دونه هفته‌ی پیش توی یه همایش بودید، و حتی اسم همکار کناری‌تون رو هم می‌آره: «سلام، طبق صحبتی که با آقای فلانی داشتیم، فایل قرارداد تازه رو ببین و تا ظهر نظرت رو بگو. من توی جلسه‌م، فقط ایمیل.»

همه‌چیزش درسته. پیوست رو باز می‌کنید، یا روی لینک «دیدن قرارداد» می‌زنید و با حساب کاری وارد می‌شید. این ایمیل رو مدیرتون نفرستاده؛ یکی هفته‌ها درباره‌ی شما و شرکتتون تحقیق کرده و این ایمیل رو فقط برای شما نوشته.

به این می‌گن فیشینگ هدفمند. این درس می‌گه چطور ساخته می‌شه، جزئیاتش از کجا میاد، چند تا نمونه‌ی واقعی و گرون، و چطور حتی وقتی همه‌چیز درست به نظر میاد، بشناسیدش.

یعنی چی

فیشینگ هدفمند، که به انگلیسی بهش می‌گن Spear phishing، یعنی «فیشینگ با نیزه». همون فیشینگه، با یه فرق بزرگ: به جای اینکه یه پیام یکسان برای هزاران نفر فرستاده بشه، برای یه نفر یا یه گروه کوچیک ساخته می‌شه، با اطلاعاتی که فقط درباره‌ی همون‌ها درسته.

هدفش هم معمولا بزرگ‌تره: دسترسی به حساب کاری، فرستادن یه پول بزرگ، یا نفوذ به شبکه‌ی یه شرکت. برای همین کلاهبردار حاضره وقت بذاره و تحقیق کنه. یه پیام هدفمند گاهی ساعت‌ها یا روزها کار برده، ولی اگه یه بار جواب بده، می‌ارزه.

قدم به قدم

یه حمله‌ی هدفمند معمولا این‌طوری پیش می‌ره:

1. انتخاب هدف. کسی که دستش به چیزی می‌رسه: بخش مالی، منابع انسانی، مدیر، پشتیبانی فنی، یا هر کسی که می‌تونه دری رو باز کنه.
2. جمع کردن اطلاعات. همون اندازه گرفتن، از ردپای عمومی.
3. انتخاب نقش و زمان. از طرف کی پیام بده، و کی. زمان خیلی مهمه: اول ماه که پرداخت‌ها انجام می‌شه، وقتی مدیر سفره و نمی‌شه بهش زنگ زد، یا آخر هفته که کسی سر کار نیست تا بپرسید.
4. ساختن پیام. با لحن درست، موضوع درست، و گاهی یه نشانی ایمیل خیلی شبیه، یا حتی حساب واقعی یه همکار که قبلا دزدیده شده.
5. فرستادن و دنبال کردن. گاهی با یه تماس تلفنی کنارش، که «ایمیلم رو دیدی؟»، تا باورپذیرتر بشه.

شکل‌هاش

• از طرف مدیر. یه کار فوری، یه پرداخت، یا خرید کارت هدیه برای «هدیه به مشتری‌ها». معمولا با «توی جلسه‌م، زنگ نزن».
• از طرف همکار. «این فایل رو ببین»، «این فرم رو پر کن»، معمولا با حساب واقعی و دزدیده‌شده‌ی همون همکار.
• از طرف تامین‌کننده یا مشتری. فاکتوری با شماره حساب تازه، یا درخواست تغییر اطلاعات پرداخت.
• منابع انسانی و حقوق. «تغییر در حقوق»، «فرم مالیات»، «سیاست تازه‌ی شرکت»، با یه صفحه‌ی ورود جعلی.
• استخدام. یه پیشنهاد کار جذاب برای خود شما، با یه فایل «شرح شغل» یا یه «آزمون» که باید نصب بشه.
• آشنا و خانواده. پیامی با اسم دوست یا فامیل، که از چیزی حرف می‌زنه که واقعا اتفاق افتاده.

خیلی از این‌ها به همون ایمیل جعلی کاری می‌رسن، که فقط توی آمریکا و فقط توی سال ۲۰۲۵ حدود ۳ میلیارد دلار زیان زد.

«سلام مامان»

فیشینگ هدفمند فقط کاری نیست؛ توی خانواده هم هست. یه شکل معروفش، که چند سال پیش توی چند تا کشور خیلی رایج شد، اینه: یه پیام از یه شماره‌ی ناشناس میاد، «سلام مامان، گوشیم افتاد شکست، این شماره‌ی جدیدمه، ذخیره‌ش کن». چند پیام بعد، یه مشکل فوری پیش میاد: «یه قبض دارم که امروز باید پرداخت بشه، برنامه‌ی بانکم روی گوشی جدید هنوز کار نمی‌کنه، می‌شه تو بزنی؟»

این پیام‌ها اول عمومی بودن، ولی شکل هدفمندشون اسم بچه، اسم شهر، یا یه اتفاق واقعی رو هم می‌دونه، که از صفحه‌های اجتماعی پیدا شده. راهش ساده‌ست: به شماره‌ی قدیمی و همیشگی همون آدم زنگ بزنید، یا یه سوال بپرسید که فقط خودش جوابش رو می‌دونه، یا رمز خانوادگی‌ای که توی درس مهندسی اجتماعی گفتیم.

شکار نهنگ

وقتی هدف فیشینگ هدفمند یه آدم خیلی مهمه، مثل مدیرعامل، مدیر مالی، یا صاحب یه کسب‌وکار، بهش می‌گن شکار نهنگ، که به انگلیسی بهش می‌گن Whaling. چون این آدم‌ها دسترسی و اختیار زیادی دارن، یه بار گول خوردنشون می‌تونه خیلی گرون تموم بشه.

پیام‌ها برای این‌ها رسمی‌تر و دقیق‌ترن: یه «احضاریه» از یه دادگاه، یه نامه از یه نهاد مالی، یه شکایت از یه مشتری مهم، یا یه پیشنهاد سرمایه‌گذاری. و چون این آدم‌ها سرشون شلوغه و کارهای زیادی رو به بقیه می‌سپرن، گاهی کمتر از همه دقت می‌کنن.

شکل برعکسش هم هست: پیام از طرف نهنگ، یعنی به اسم مدیرعامل، به یه کارمند. کارمند معمولا جرئت نمی‌کنه از درخواست «مدیرعامل» سوال کنه، و کلاهبردار هم دقیقا روی همین حساب کرده. اینجاست که یه قانون کاری روشن، مثل «هر پرداخت با تلفن تایید بشه، حتی اگه از مدیرعامل بود»، کار آدم‌ها رو راحت می‌کنه.

یه فایل اکسل، یه شرکت امنیتی

مارس ۲۰۱۱، شرکت RSA، که خودش یه شرکت امنیتی بود و دستگاه‌های ورود دومرحله‌ای برای بانک‌ها و شرکت‌ها می‌ساخت، هدف یه فیشینگ هدفمند شد. مهاجم دو تا ایمیل، توی دو روز، برای دو گروه کوچیک از کارمندها فرستاد، با یه پیوست اکسل به اسم «برنامه‌ی استخدام ۲۰۱۱» (2011 Recruitment plan).

جالب اینکه ایمیل‌ها توی پوشه‌ی هرزنامه رفته بودن. ولی یکی از کارمندها، کنجکاو، ایمیل رو از هرزنامه درآورد و فایل رو باز کرد. فایل یه حفره‌ی تازه و هنوز ناشناخته توی نرم‌افزار فلش رو، که به این‌جور حفره‌ها می‌گن «روز صفر» (Zero-day)، اجرا کرد و یه در پشتی روی کامپیوترش نصب شد. از اونجا مهاجم‌ها کم‌کم به سیستم‌های مهم‌تر رسیدن و اطلاعاتی درباره‌ی محصول ورود دومرحله‌ای شرکت بردن.

دو تا درس داره: یکی، اینکه یه فیلتر هرزنامه کار خودش رو کرد، ولی یه کلیک کنجکاوانه خنثیش کرد. دو، اینکه موضوع پیام، یعنی استخدام، برای هر کارمندی جذابه؛ دقیقا به اندازه‌ی کنجکاوی آدم‌ها دوخته شده بود.

چرا آدم‌های باهوش هم گول می‌خورن

خیلی‌ها فکر می‌کنن کسی که گول فیشینگ هدفمند رو می‌خوره، حتما بی‌دقت بوده. ولی کارمندهای یه شرکت امنیتی و بخش‌های مالی دو تا از بزرگ‌ترین شرکت‌های دنیا هم گول خوردن. دلیلش هوش نیست؛ موقعیته.

پیام هدفمند معمولا وقتی میاد که سرتون شلوغه، و چون آشناست، مغز شما رو روی حالت «روال همیشگی» می‌ذاره: همون کاری که هر روز می‌کنید، مثل جواب دادن به مدیر یا پرداخت یه فاکتور. توی این حالت، آدم کمتر سوال می‌پرسه. عجله و اقتدار هم این حالت رو قوی‌تر می‌کنن. برای همینه که بهترین دفاع، دقت بیشتر نیست؛ قانونه. قانونی مثل «هر پرداخت با تلفن تایید می‌شه» نیازی به این نداره که شما توی اون لحظه‌ی شلوغ، زرنگ باشید.

نشونه‌ها

چون جزئیات درستن، باید به چیزهای دیگه نگاه کنید:

• درخواستی که از روال همیشگی بیرونه: پرداخت از راه تازه، حساب تازه، کارت هدیه، فایل از جای تازه.
• عجله، و راه بستن برای پرسیدن: «توی جلسه‌م»، «زنگ نزن»، «محرمانه بمونه».
• نشانی ایمیلی که خیلی شبیهه ولی یه حرفش فرق داره، یا «جواب به» که به نشانی دیگه‌ای می‌ره.
• لحنی که با لحن همیشگی اون آدم جور نیست، حتی اگه از حساب واقعیش اومده.
• پیوست یا لینکی که منتظرش نبودید، حتی از یه آشنا.
• درخواست ورود به یه صفحه برای «دیدن یه فایل».

اگه دو سه تا از این‌ها با هم بودن، پیش از هر کاری، از راه دوم بپرسید.

ردپای کوچیک‌تر

هر چی خیاط اندازه‌های کمتری داشته باشه، لباسش کمتر اندازه می‌شه. چند تا کار ساده ردپای عمومیتون رو کوچیک‌تر می‌کنه:

1. صفحه‌های اجتماعی شخصی رو خصوصی کنید، یا دست‌کم ببینید چه چیزهایی برای همه پیداست.
2. سفرها رو بعد از برگشتن بذارید، نه وقتی هنوز اونجایید.
3. تاریخ تولد کامل، نشانی، اسم مدرسه‌ی بچه‌ها و عکس مدارک رو عمومی نذارید.
4. توی صفحه‌ی کاری، فقط چیزی رو بذارید که لازمه؛ لازم نیست هر پروژه و هر همکار رو اسم ببرید.
5. به نظرسنجی‌ها و پیام‌های ناشناسی که اطلاعات کاری یا شخصی می‌پرسن، جواب ندید.

لازم نیست از اینترنت ناپدید بشید؛ فقط لازمه بدونید چه چیزی پیداست، و هر چیزی که لازم نیست پیدا باشه رو بردارید.

تایید از راه دوم

مهم‌ترین دفاع در برابر فیشینگ هدفمند، همون قانونیه که توی مهندسی اجتماعی گفتیم: هر درخواست پول، رمز، اطلاعات حساس، یا باز کردن یه فایل غیرمنتظره رو، از یه راه دیگه تایید کنید. راهی که کلاهبردار بهش دسترسی نداره:

• تماس تلفنی با شماره‌ای که از قبل دارید، نه شماره‌ای که توی همون پیام اومده.
• پرسیدن حضوری، یا از یه پیام‌رسان دیگه که همیشه با اون آدم حرف می‌زنید.
• برای تامین‌کننده‌ها، شماره‌ای که توی قرارداد و پرونده‌ی قدیمی‌شون هست.

و ورود دومرحله‌ای رو برای حساب کاری و شخصی روشن کنید، ترجیحا با پس‌کی یا برنامه؛ تا اگه یه بار رمز رو توی یه صفحه‌ی جعلی زدید، باز هم در بسته بمونه.

توی محل کار

اگه کسب‌وکار دارید یا توی یه شرکت مسئولیتی دارید، چند تا قانون ساده، کار فیشینگ هدفمند رو خیلی سخت می‌کنه، چون دیگه گول زدن یه نفر کافی نیست:

1. هر پرداخت، مخصوصا به حساب تازه، با تماس تلفنی تایید بشه، حتی اگه از مدیرعامل باشه.
2. پرداخت‌های بزرگ رو دو نفر تایید کنن.
3. تغییر شماره حساب هر تامین‌کننده، فقط بعد از تماس با شماره‌ی قدیمی‌شون.
4. ایمیل‌هایی که از بیرون شرکت میان، یه برچسب «خارجی» داشته باشن، تا ایمیل جعلی به اسم مدیر زودتر دیده بشه.
5. به همه بگید گزارش دادن یه ایمیل مشکوک، حتی اگه اشتباه باشه، کار درستیه و کسی سرزنش نمی‌شه.

فیشینگ آزمایشی

خیلی از شرکت‌ها، برای آماده کردن کارمندها، گاهی خودشون یه ایمیل فیشینگ ساختگی برای کارمندها می‌فرستن، تا ببینن کی روش کلیک می‌کنه و کی گزارشش می‌ده. به این کار می‌گن فیشینگ آزمایشی (Phishing Simulation). اگه یه روز روی چنین ایمیلی کلیک کردید و یه صفحه گفت «این یه آزمایش بود»، ناراحت نشید؛ کار درستش اینه که یاد بگیرید اون ایمیل چه نشونه‌هایی داشت.

اگه کسب‌وکار کوچیکی دارید، لازم نیست حتما ابزار خاصی داشته باشید. همین که هر چند وقت یه بار با همکارها یه نمونه‌ی واقعی فیشینگ رو با هم نگاه کنید و نشونه‌هاش رو پیدا کنید، خیلی کمک می‌کنه. هدف، سرزنش کسی نیست؛ هدف اینه که همه بدونن گزارش دادن یه ایمیل مشکوک، کار خوبیه.

اگه گول خوردیم

1. اگه پول فرستادید، همین الان به بانک خودتون خبر بدید؛ انتقال‌های بزرگ گاهی اگه زود خبر بدید، قابل برگشتن.
2. اگه رمز حساب کاری رو زدید، رمز رو عوض کنید و به بخش فناوری شرکت خبر بدید.
3. اگه فایل باز کردید، کامپیوتر رو از شبکه جدا کنید و به بخش فناوری بگید.
4. به کسی که اسمش جعل شده خبر بدید؛ شاید حسابش دزدیده شده و بقیه هم پیام گرفتن.

خجالت نکشید و زود بگید. فیشینگ هدفمند برای آدم‌های دقیق ساخته شده؛ چیزی که فرق ایجاد می‌کنه، اینه که چقدر زود خبر بدید. درس روی لینک فیشینگ کلیک کردیم، چی کار کنیم.

تمرین

1. اسم خودتون رو توی یه موتور جستجو بگردید و ببینید یه غریبه چی درباره‌تون پیدا می‌کنه.
2. صفحه‌های اجتماعیتون رو یه بار از نگاه یه غریبه ببینید؛ چه چیزی رو می‌شه برداشت؟
3. اگه کار می‌کنید، شماره‌ی تماس مدیر و تامین‌کننده‌های اصلی رو یه جای مطمئن نگه دارید، برای تایید از راه دوم.
4. اگه کسب‌وکار دارید، قانون «تایید پرداخت با تلفن» رو همین هفته بنویسید.

اشتباه‌های رایج

• «اسم مدیر و همکارم رو می‌دونست.» این اطلاعات عمومیه؛ جزئیات درست یعنی تحقیق، نه واقعی بودن.
• «از حساب خود همکارم بود.» حسابش ممکنه دزدیده شده باشه؛ درخواست عجیب رو از راه دیگه بپرسید.
• «من آدم مهمی نیستم که کسی برام وقت بذاره.» با هوش مصنوعی، ساختن پیام هدفمند تقریبا مجانی شده.
• «مدیرعامل گفت، نمی‌شه سوال کرد.» تایید یه پرداخت، بی‌احترامی نیست؛ قانون کاریه.
• «توی هرزنامه بود، ولی موضوعش جالب بود.» RSA هم از همین راه نفوذ شد.
• «فقط شماره حساب عوض شده بود.» این دقیقا خطرناک‌ترین تغییره؛ با تلفن تایید کنید.