به‌روزرسانی، چرا مهمه

پنجره‌ای که «بعدا» زدیم

همه‌مون این پنجره رو دیدیم: «یه به‌روزرسانی آماده‌ست، الان نصب بشه؟» و همه‌مون، دست‌کم یه بار، «بعدا» زدیم؛ چون وسط کار بودیم، چون حجمش زیاد بود، یا چون یه بار یه به‌روزرسانی یه چیزی رو عوض کرد و خوشمون نیومد. «بعدا» معمولا می‌شه چند هفته، و گاهی چند ماه.

«چرا باید گوشی رو به‌روز کنیم» و «آپدیت امنیتی چیه» از جستجوهای همیشگی‌ان. این درس از روی سندهای رسمی اپل، گوگل، سامسونگ، مایکروسافت و اوبونتو، و تعریف‌های رسمی NIST و CISA، می‌گه پشت اون پنجره چی هست، چرا «بعدا» این‌قدر گرون تموم می‌شه، و چطور کاری کنیم که دیگه لازم نباشه بهش فکر کنیم. درس‌های اندروید، آیفون، ویندوز، مک و لینوکس هر کدوم بخش به‌روزرسانی خودشون رو داشتن؛ این درس «چرا»ش رو می‌گه.

به‌روزرسانی یعنی چی

«به‌روزرسانی» یا آپدیت (Update) یعنی سازنده یه نسخه‌ی تازه از برنامه یا سیستم‌عامل می‌فرسته که جای نسخه‌ی قبلی رو می‌گیره. بعضی به‌روزرسانی‌ها امکان تازه میارن، بعضی ایراد درست می‌کنن، و بعضی، که مهم‌ترینشونن، درهای امنیتی رو می‌بندن. مثلا فرض کنید یه قفل‌ساز فهمیده یه کلید عمومی پیدا شده که همه‌ی قفل‌های یه مدل رو باز می‌کنه؛ هر ماه می‌ره و قفل‌های کل شهر رو عوض می‌کنه. کسی که در رو براش باز نکنه، با همون قفل قدیمی می‌مونه، که حالا همه می‌دونن چطور باز می‌شه.

آسیب‌پذیری

«آسیب‌پذیری» (Vulnerability) یعنی یه ایراد توی نرم‌افزار یا سخت‌افزار که یه خلافکار می‌تونه ازش سوءاستفاده کنه، تا کاری بکنه که نباید بتونه؛ مثلا یه برنامه رو بی اجازه اجرا کنه، فایل‌هایی رو بخونه که مال اون نیست، یا کل دستگاه رو بگیره. «آسیب‌پذیری سایبری چیه» از جستجوهای رایجه، و جوابش ساده‌ست: هر برنامه رو آدم‌ها نوشتن، و آدم‌ها اشتباه می‌کنن. یه برنامه‌ی بزرگ مثل سیستم‌عامل گوشی، میلیون‌ها خط کد داره؛ هیچ‌کس نمی‌تونه قول بده توش هیچ اشتباهی نیست.

برای همینه که حتی بهترین سازنده‌ها مرتب وصله‌ی امنیتی می‌دن. «بولتن امنیتی اندروید» (Android Security Bulletin) هر ماه منتشر می‌شه و، طبق صفحه‌ی رسمیش، وصله‌هایی برای خود اندروید، برای هسته‌ی لینوکسی که اندروید روش ساخته شده، و برای ایرادهای سازنده‌های تراشه داره. اپل هم یه صفحه‌ی رسمی داره که همه‌ی به‌روزرسانی‌های امنیتیش رو فهرست می‌کنه. هیچ‌کدوم از این‌ها نشونه‌ی بد بودن نیست؛ نشونه‌ی اینه که کسی داره درها رو پیدا می‌کنه و می‌بنده.

وصله

«وصله» (Patch) همون تیکه کدیه که یه آسیب‌پذیری رو درست می‌کنه. معمولا راه کار این‌جوریه، که دبیان توی سوال‌های رایج امنیتیش قدم‌به‌قدم گفته و درس لینوکس آورد: خبر یه مشکل می‌رسه، تیم امنیت بررسیش می‌کنه، وصله رو می‌سازه و آزمایش می‌کنه، بسته‌ها رو برای همه‌ی دستگاه‌ها آماده می‌کنه، و آخر سر با یه «اطلاعیه‌ی امنیتی» (Security advisory) منتشر می‌کنه.

یه نکته‌ی مهم از سند امنیت اپل: اپل، «برای محافظت از مشتری‌ها»، تا وقتی بررسی تموم نشده و وصله در دسترس همه نیست، درباره‌ی یه مشکل امنیتی چیزی نمی‌گه یا تاییدش نمی‌کنه. یعنی وقتی خبرش رو می‌شنوید، معمولا وصله‌ش هم اومده؛ و از همون لحظه، نوبت شماست.

درها رو کی پیدا می‌کنه

درها رو هم تیم‌های خود سازنده‌ها پیدا می‌کنن، هم «پژوهشگرهای امنیتی» (Security researchers) بیرون از شرکت، و هم، متاسفانه، خلافکارها. فرق اینجاست که پژوهشگر درست‌کار، در رو اول به سازنده می‌گه تا ببنده، بعد عمومی می‌کنه؛ اسم این روش «افشای هماهنگ» (Coordinated disclosure)‌ه. سند امنیت اپل یه راه رسمی برای فرستادن پژوهش‌ها داره، و سوال‌های رایج امنیتی دبیان می‌گه اگه یه مشکل امنیتی پیدا کردید، همیشه به تیم امنیت خبر بدید؛ و اگه سازنده‌های دیگه هم آسیب‌پذیرن، تیم دبیان باهاشون هماهنگ می‌کنه تا همه با هم وصله و اطلاعیه بدن.

این برای شما یعنی چی؟ یعنی بیشتر وقت‌ها، روزی که خبر یه آسیب‌پذیری رو می‌شنوید، وصله‌ش هم آماده‌ست، و همه‌ی سازنده‌های بزرگ با هم منتشرش کردن. پس خبر بد، معمولا همون روز با راه حلش میاد؛ فقط باید نصبش کرد.

حمله‌ی روز صفر

«zero day چیه» و «آسیب‌پذیری روز صفر» از جستجوهای پرتکرار این موضوعن. «حمله‌ی روز صفر» (Zero-day attack)، طبق تعریف رسمی واژه‌نامه‌ی NIST، موسسه‌ی ملی استانداردها و فناوری آمریکا، یعنی «حمله‌ای که از یه آسیب‌پذیری قبلا ناشناخته در سخت‌افزار، فریمور یا نرم‌افزار سوءاستفاده می‌کنه». اسمش از اینه که سازنده «صفر روز» فرصت داشته تا درستش کنه، چون اصلا خبر نداشته.

حمله‌ی روز صفر ترسناکه، چون هیچ وصله‌ای جلوش نیست؛ ولی گرون و کمیابه، و معمولا برای هدف‌های خاص خرج می‌شه، همون آدم‌هایی که درس آیفون گفت حالت قفل کامل براشونه. برای بیشتر آدم‌ها، خطر واقعی چیز دیگه‌ایه: درهایی که دیگه روز صفر نیستن، وصله‌شون اومده، ولی روی دستگاهشون نصب نشده. بخش بعد این رو با عدد نشون می‌ده.

اسم هر در: CVE

اگه یه اطلاعیه‌ی امنیتی رو نگاه کنید، کنار هر مشکل یه شماره مثل CVE-2026-21589 می‌بینید. CVE، کوتاه‌شده‌ی Common Vulnerabilities and Exposures، یعنی «آسیب‌پذیری‌ها و افشاهای رایج»، یه سامانه‌ی جهانیه که به هر آسیب‌پذیری شناخته‌شده یه شماره‌ی یکتا می‌ده، تا همه، از سازنده تا تیم‌های امنیت، درباره‌ی یه در مشخص حرف بزنن. سند امنیت اپل هم می‌گه اطلاعیه‌هاش با جزئیات CVE همراهه. عدد وسطش سال ثبته؛ پس این یکی سال ۲۰۲۶ ثبت شده.

لازم نیست شما شماره‌ها رو دنبال کنید؛ ولی اگه یه خبر گفت «فلان آسیب‌پذیری با شماره‌ی CVE فلان»، حالا می‌دونید یعنی یه در مشخص که اسم داره، و معمولا وصله‌ش هم اومده.

درهایی که ازشون استفاده شده

«آژانس امنیت سایبری و زیرساخت آمریکا» (Cybersecurity and Infrastructure Security Agency یا CISA) یه فهرست عمومی داره به اسم «آسیب‌پذیری‌های شناخته‌شده‌ای که ازشون سوءاستفاده شده» (Known Exploited Vulnerabilities یا KEV). طبق صفحه‌ی خودش، این فهرست «منبع معتبر آسیب‌پذیری‌هاییه که توی دنیای واقعی ازشون سوءاستفاده شده»؛ یعنی نه فقط درهایی که پیدا شدن، بلکه درهایی که خلافکارها واقعا ازشون رد شدن.

روزی که این درس رو نوشتیم، این فهرست ۱۷۴۶ ردیف داشت، و تازه‌ترینش همین دیروز اضافه شده بود؛ کنار بعضی‌هاشون هم نوشته «استفاده‌شده در حمله‌های باج‌افزار». و نکته‌ی اصلی: برای اضافه شدن به این فهرست، یکی از شرط‌ها اینه که یه راه درست کردن روشن، مثل به‌روزرسانی سازنده، وجود داشته باشه. یعنی تقریبا همه‌ی این ۱۷۴۶ در، وصله داشتن؛ و باز هم ازشون حمله شده، چون جایی نصب نشده بودن. CISA این فهرست رو برای سازمان‌های دولتی خود آمریکا با مهلت نصب منتشر می‌کنه؛ مثلا ردیفی که ۱۵ اکتبر اضافه شده، مهلت نصبش ۱۸ اکتبره، یعنی سه روز. اگه برای یه سازمان بزرگ سه روز کافیه، برای یه گوشی هم «بعدا» بهونه‌ی خوبی نیست.

داستان واناکرای

معروف‌ترین مثال این حرف، باج‌افزار «واناکرای» (WannaCry)‌ه. طبق اطلاعیه‌ی رسمی مایکروسافت، روز ۱۴ مارس ۲۰۱۷، یعنی ۲۴ اسفند ۱۳۹۵، مایکروسافت یه به‌روزرسانی امنیتی «حیاتی» (Critical) به اسم MS17-010 منتشر کرد که یه آسیب‌پذیری توی بخش اشتراک فایل ویندوز رو می‌بست؛ دری که، به گفته‌ی همون اطلاعیه، می‌ذاشت یه خلافکار از راه دور، فقط با فرستادن چند پیام ساختگی، روی کامپیوتر برنامه اجرا کنه.

دو ماه بعد، طبق اطلاعیه‌ی CISA، صبح ۱۲ مه ۲۰۱۷، یعنی ۲۲ اردیبهشت ۱۳۹۶، واناکرای پیدا شد و توی چند ساعت پخش شد؛ گزارش‌ها از ده‌ها هزار آلودگی توی بیش از ۱۵۰ کشور می‌گفتن، و برای هر کامپیوتر حدود ۳۰۰ دلار بیت‌کوین باج می‌خواست. CISA صاف نوشته که واناکرای از همون آسیب‌پذیری MS17-010 استفاده می‌کرد، که وصله‌ش دو ماه پیش اومده بود. یعنی کامپیوتری که اون به‌روزرسانی رو توی اون دو ماه نصب کرده بود، از این در آلوده نمی‌شد. همون اطلاعیه می‌گه مایکروسافت یه روز بعد از شروع حمله، استثنائا برای ویندوزهای قدیمی و بی‌پشتیبانی مثل XP هم وصله داد.

خلافکارها هم وصله رو می‌خونن

شاید بپرسید: اگه اطلاعیه فقط می‌گه «یه مشکل درست شد»، خلافکار از کجا می‌فهمه در کجا بوده؟ جوابش اینه که وصله خودش نقشه‌ست. نسخه‌ی قبلی و نسخه‌ی تازه رو کنار هم می‌ذارن و نگاه می‌کنن چی عوض شده؛ همون تیکه‌ای که عوض شده، جای دره. برای نرم‌افزارهای «متن‌باز» (Open source)، مثل لینوکس، تغییرها حتی عمومی‌ان، و صفحه‌ی امنیت دبیان هم می‌گه عمدا همین‌طوره، چون «امنیت از راه پنهون‌کاری هیچ‌وقت کار نمی‌کنه».

این یعنی انتشار وصله، شروع یه مسابقه‌ست: سازنده‌ها و کاربرها برای نصب، خلافکارها برای ساختن حمله پیش از نصب. هر چی زودتر نصب کنید، کمتر توی این مسابقه می‌مونید.

امنیتی یا امکانات

همه‌ی به‌روزرسانی‌ها یکی نیستن. بعضی‌ها «نسخه‌ی تازه»‌ان، مثلا رفتن از اندروید ۱۵ به ۱۶ یا از iOS 26 به 27، با امکانات و ظاهر تازه. بعضی‌ها فقط «به‌روزرسانی امنیتی»‌ان، کوچیک و بی تغییر ظاهر. سند امنیت اوبونتو، که درس لینوکس گفت، می‌گه به‌روزرسانی‌های امنیتیش معمولا امکان تازه نمیارن تا سیستم پایدار بمونه؛ اپل هم، طبق صفحه‌ی امنیتش، علاوه بر به‌روزرسانی‌های معمولی، «بهبودهای امنیتی پس‌زمینه» (Background Security Improvements) می‌فرسته.

پس اگه از یه نسخه‌ی تازه می‌ترسید یا هنوز نمی‌خواید ظاهر گوشی عوض بشه، دست‌کم به‌روزرسانی‌های امنیتی رو نصب کنید. خیلی وقت‌ها این دو تا جدا میان.

تاریخ وصله‌ی اندروید

«آپدیت امنیتی سامسونگ چیه» و «آپدیت امنیتی شیائومی چیه» از جستجوهای رایجه، و جوابش یه تاریخه. طبق راهنمای اندروید، از Settings، About phone، Android version، سه چیز می‌بینید: نسخه‌ی اندروید، «به‌روزرسانی امنیتی اندروید» (Android security update)، که یه تاریخه، و «به‌روزرسانی سیستم گوگل‌پلی» (Google Play system update). اون تاریخ می‌گه آخرین وصله‌ی امنیتی که روی گوشی شماست، مال کیه.

قاعده‌ی ساده‌ش: اگه این تاریخ چند ماه عقبه، یا گوشی دنبال به‌روزرسانی بگردید، یا سازنده دیگه براش نمی‌فرسته. درس اندروید هم یه طراحی برای همین صفحه داشت. «به‌روزرسانی سیستم گوگل‌پلی» هم یه راه جداست که گوگل باهاش بعضی بخش‌های اندروید رو، مستقل از سازنده‌ی گوشی، به‌روز می‌کنه.

سازنده‌ها و سال‌های پشتیبانی

هر دستگاه یه «تاریخ انقضا»ی امنیتی داره، که بعدش دیگه وصله نمی‌گیره. مثلا سامسونگ، طبق صفحه‌ی رسمی امنیتش، به‌روزرسانی امنیتی رو ماهانه، سه‌ماهه یا شش‌ماهه، بسته به مدل گوشی، می‌فرسته، و از ژانویه‌ی ۲۰۲۴، پشتیبانی امنیتی گوشی‌های گلکسی رو تا هفت سال بیشتر کرده؛ فهرست اینکه هر مدل توی کدوم دسته‌ست، روی همون صفحه‌ست. سازنده‌های دیگه هم صفحه‌ی مشابه دارن.

کامپیوترها هم همین‌طورن: درس ویندوز گفت پشتیبانی ویندوز ۱۰ روز ۲۲ مهر ۱۴۰۴ تموم شد، و درس لینوکس گفت هر نسخه‌ی اوبونتو چند سال پشتیبانی داره. پیش از خرید یه گوشی، مخصوصا دست دوم، یه بار ببینید هنوز چند سال وصله می‌گیره؛ گوشی ارزونی که سال دیگه وصله نمی‌گیره، از نظر امنیت گرون تموم می‌شه.

چرا آپدیت گوشیم نمیاد

«چرا آپدیت گوشیم نمیاد» از پرتکرارترین جستجوهای این موضوعه. چند دلیل رایج داره. اول، سازنده هنوز برای مدل شما نفرستاده؛ به‌روزرسانی‌ها معمولا مرحله‌به‌مرحله، مدل‌به‌مدل و کشوربه‌کشور، میان. دوم، طبق راهنمای اندروید، اگه اعلان رو پاک کردید یا گوشی آفلاین بوده، باید خودتون از Settings، System، Software updates چک کنید. سوم، همون راهنما می‌گه گوشی‌های قدیمی همیشه نمی‌تونن نسخه‌ی تازه‌ی اندروید رو اجرا کنن؛ یعنی دوره‌ی پشتیبانی تموم شده.

و دلیل چهارم: جا یا شارژ کم. راهنمای اندروید پیش از به‌روزرسانی پیشنهاد می‌کنه به وای‌فای وصل باشید و دست‌کم ۷۵ درصد شارژ داشته باشید، چون به‌روزرسانی‌ها بزرگن و وقت می‌برن. اگه همه‌ی این‌ها درست بود و باز نیومد، صفحه‌ی امنیت سازنده‌ی گوشی‌تون رو ببینید که مدلتون هنوز توی فهرست هست یا نه.

دستگاه قدیمی

اگه دستگاهتون دیگه وصله نمی‌گیره، چند کار می‌شه کرد تا وقتی عوضش کنید. برنامه‌ها و مرورگر رو به‌روز نگه دارید، چون معمولا تا مدتی بعد از سیستم‌عامل هم به‌روزرسانی می‌گیرن. کمتر برنامه‌ی تازه نصب کنید. کارهای خیلی حساس، مثل بانک و ایمیل اصلی، رو روی یه دستگاه به‌روز انجام بدید. و حواستون باشه که هر چی می‌گذره، درهای شناخته‌شده‌ی بیشتری روی اون دستگاه باز می‌مونه. برای کامپیوتر، درس ویندوز ESU رایگان ویندوز ۱۰ و درس لینوکس Ubuntu Pro رایگان رو گفتن؛ هر دو یه فرصت چندساله‌ان، نه راه همیشگی.

کجا خودکارش کنیم

بهترین راه برای اینکه هیچ‌وقت «بعدا» نزنید، اینه که اصلا نپرسه. طبق راهنمای رسمی هر سازنده:

اپل، توی صفحه‌ی امنیتش، صاف نوشته که به‌روز نگه داشتن نرم‌افزار یکی از مهم‌ترین کارهاییه که برای امنیت دستگاه اپل می‌شه کرد. همین حرف برای همه‌ی دستگاه‌ها درسته.

برنامه‌ها

«آپدیت برنامه‌ها در گوگل‌پلی» یه جستجوی رایجه. طبق راهنمای گوگل‌پلی، برنامه‌ها رو می‌شه یکی‌یکی، همه با هم، یا خودکار به‌روز کرد. دستی: Play Store، عکس پروفایل بالای صفحه، Manage apps & device، و زیر Updates available، Update all. خودکار: Play Store، عکس پروفایل، Settings، Network preferences، Auto-update apps، و یکی از گزینه‌ها، مثلا فقط با وای‌فای. راهنما یه جمله‌ی جالب هم داره: اگه گوگل تشخیص بده یه به‌روزرسانی، یه آسیب‌پذیری امنیتی حیاتی رو درست می‌کنه، ممکنه اون به‌روزرسانی رو بی توجه به تنظیم شما نصب کنه.

و یه نکته که به درس دسترسی برنامه‌ها برمی‌گرده: طبق همون راهنما، بعضی برنامه‌ها بعد از به‌روزرسانی، اجازه‌ی تازه می‌خوان، و یه اعلان میاد که می‌پرسه قبول می‌کنید یا نه. اون لحظه هم مثل دفعه‌ی اول فکر کنید. روی آیفون، طبق راهنمای اپل، برنامه‌های App Store به‌طور پیش‌فرض خودکار به‌روز می‌شن؛ و برنامه‌های خود آیفون، با به‌روزرسانی iOS.

مرورگر

مرورگر دری‌ه که هر روز به هزار سایت ناشناس باز می‌کنیم، و برای همین یکی از مهم‌ترین چیزهاییه که باید به‌روز بمونه. «آپدیت کروم» هم زیاد جستجو می‌شه. طبق راهنمای کروم، کروم خودش پشت صحنه به‌روز می‌شه، ولی به‌روزرسانی معمولا وقتی نصب می‌شه که مرورگر رو ببندید و دوباره باز کنید. اگه مدت‌هاست کروم رو نبستید، ممکنه یه به‌روزرسانی منتظر مونده باشه. برای چک کردن: سه نقطه‌ی بالای صفحه، Help، About Google Chrome؛ اگه دکمه‌ی Relaunch دیدید، بزنیدش. راهنما می‌گه کروم زبونه‌ها رو نگه می‌داره و بعد از باز شدن برمی‌گردونه، جز زبونه‌های ناشناس.

روی اندروید، کروم مثل بقیه‌ی برنامه‌ها از Play Store به‌روز می‌شه، و روی لینوکس، طبق همون راهنما، از مدیر بسته‌ها. پس عادت کنید هر چند روز یه بار مرورگر رو کامل ببندید.

ری‌استارت، نیمه‌ی دوم به‌روزرسانی

خیلی از به‌روزرسانی‌ها دانلود و حتی نصب می‌شن، ولی تا دستگاه یا برنامه ری‌استارت نشه، اثر نمی‌کنن. راهنمای ویندوز می‌گه ممکنه برای تموم شدن نصب، ری‌استارت لازم باشه، و راهنمای بدافزار مایکروسافت پیشنهاد می‌کنه دست‌کم هفته‌ای یه بار کامپیوتر رو ری‌استارت کنید. راهنمای کروم هم گفت به‌روزرسانی معمولا با بستن و باز کردن مرورگر نصب می‌شه. و صفحه‌ی Livepatch اوبونتو، که درس لینوکس گفت، دقیقا برای همینه که وصله‌ی هسته معمولا فقط با ری‌استارت اثر می‌کنه.

یعنی گوشی یا لپ‌تاپی که هیچ‌وقت خاموش نمی‌شه و همیشه فقط می‌خوابه، ممکنه به‌روزرسانی‌ها رو گرفته باشه ولی هنوز با نسخه‌ی قدیمی کار کنه. یه عادت ساده: هفته‌ای یه بار گوشی و کامپیوتر رو کامل ری‌استارت کنید، و مرورگر رو هم کامل ببندید.

اگه چیزی خراب شد

ترس از اینکه «آپدیت گوشی رو خراب کنه» یکی از دلیل‌های اصلی «بعدا» زدنه. واقعیت اینه که گاهی یه به‌روزرسانی یه مشکل کوچیک میاره؛ ولی سازنده‌ها برای همین وصله‌های امنیتی رو کوچیک نگه می‌دارن. دبیان، توی سوال‌های رایجش، می‌گه مهم‌ترین قانونش برای وصله‌ی امنیتی «کمترین تغییر ممکن»ه، چون آدم‌ها به رفتار دقیق سیستم تکیه کردن. اوبونتو هم همین رو گفت.

دو کار ریسک رو کمتر می‌کنه. اول، پیش از به‌روزرسانی‌های بزرگ، مثل نسخه‌ی تازه‌ی سیستم‌عامل، پشتیبان بگیرید؛ راهنمای مک و ویندوز هر دو همینو گفتن. دوم، اگه نگران یه نسخه‌ی تازه‌اید، چند روز صبر کنید تا بقیه امتحانش کنن، ولی به‌روزرسانی‌های امنیتی رو عقب نندازید. یه گوشی که یه روز یه ایراد کوچیک داره، خیلی بهتر از گوشی‌ایه که ماه‌ها در باز داره.

حجم و اینترنت

«چرا آپدیت گوشی دانلود نمی‌شه» یا «حجمش خیلی زیاده» هم از دلیل‌های رایجه. راهنمای اندروید خودش می‌گه به‌روزرسانی‌ها می‌تونن بزرگ باشن و وصل بودن به وای‌فای رو پیشنهاد می‌کنه. گوگل‌پلی هم برای برنامه‌ها گزینه‌ی «فقط با وای‌فای» یا «با مصرف محدود داده‌ی موبایل» داره. اگه اینترنت محدوده، به‌روزرسانی برنامه‌ها رو روی «فقط وای‌فای» بذارید، ولی دست‌کم هفته‌ای یه بار جایی با وای‌فای وصل بشید تا جا نمونن. به‌روزرسانی‌های امنیتی معمولا خیلی کوچیک‌تر از نسخه‌های تازه‌ان.

به‌روزرسانی جعلی

خلافکارها هم می‌دونن ما به «به‌روزرسانی» اعتماد داریم. یکی از ترفندهای رایج، یه صفحه‌ی وب یا پیامکه که می‌گه «مرورگر شما قدیمیه، برای ادامه به‌روزش کنید» یا «گوشی شما نیاز به به‌روزرسانی امنیتی داره»، و یه فایل برای دانلود می‌ده. اون فایل به‌روزرسانی نیست؛ همون برنامه‌ی جعلی‌ایه که درس برنامه‌ی جعلی گفت. قانون ساده‌ش: به‌روزرسانی سیستم‌عامل فقط از تنظیمات خود دستگاه، و به‌روزرسانی برنامه فقط از فروشگاه رسمی یا خود برنامه؛ هیچ‌وقت از یه پنجره‌ی وب یا یه لینک توی پیام. راهنمای اپل هم «پنجره‌ها و تبلیغ‌های گول‌زننده‌ای که می‌گن دستگاه شما مشکل امنیتی داره» رو جزو کلاهبرداری‌های رایج آورده.

مودم و بقیه

گوشی و کامپیوتر تنها چیزهایی نیستن که به اینترنت وصلن. مودم و روتر خونه، تلویزیون هوشمند، دوربین مداربسته‌ی تحت شبکه، و حتی ساعت هوشمند، همه نرم‌افزار دارن، و همه آسیب‌پذیری. صفحه‌ی امنیت سامسونگ هم، برای همین، جدا برای ساعت‌ها و لپ‌تاپ‌ها به‌روزرسانی امنیتی می‌ده. مودم، مخصوصا، دری‌ه که کل خونه از اون رد می‌شه؛ هر چند ماه یه بار، توی صفحه‌ی تنظیماتش، دنبال به‌روزرسانی «فریمور» (Firmware) بگردید، و اگه سال‌هاست هیچ به‌روزرسانی‌ای براش نیومده، به عوض کردنش فکر کنید.

پونزده دقیقه

1. گوشی: تاریخ Android security update رو ببینید؛ Software updates رو چک کنید.
2. آیفون: Software Update، و Automatic Updates روشن.
3. برنامه‌ها: Auto-update apps روی اندروید؛ App Updates روی آیفون.
4. کامپیوتر: Windows Update یا Software Update مک؛ ری‌استارتی که مونده رو بزنید.
5. کروم: About Google Chrome، و اگه بود، Relaunch.
6. صفحه‌ی امنیت سازنده‌ی گوشی: مدلتون تا کی وصله می‌گیره؟
7. مودم: یه بار صفحه‌ی تنظیماتش رو برای به‌روزرسانی فریمور ببینید.

اشتباه‌های رایج

• «بعدا نصب می‌کنم.» از وقتی وصله منتشر شده، نقشه‌ی در هم منتشر شده.
• «گوشیم به‌روزه، پس همه‌چیز به‌روزه.» برنامه‌ها، مرورگر و مودم هر کدوم جدا به‌روز می‌شن.
• «آپدیت گوشی رو خراب می‌کنه.» وصله‌های امنیتی عمدا کوچیک نگه داشته می‌شن؛ پیش از نسخه‌های بزرگ، پشتیبان بگیرید.
• «یه سایت گفت مرورگرم قدیمیه و یه فایل داد.» به‌روزرسانی هیچ‌وقت از یه پنجره‌ی وب نمیاد.
• «گوشیم کار می‌کنه، فرقی نمی‌کنه وصله می‌گیره یا نه.» کار کردن یعنی روشنه، نه اینکه درش بسته‌ست.
• «روز صفر که جلوش نمی‌شه گرفت، پس آپدیت چه فایده.» بیشتر حمله‌ها از درهاییه که وصله‌شون اومده.

آخرین بررسی سندهای رسمی اپل، گوگل، سامسونگ، مایکروسافت، اوبونتو، دبیان، NIST و CISA: ۲۴ مهر ۱۴۰۵.