فیشینگ صوتی و تلفنی

تماس از «امنیت بانک»

مثلا فرض کنید ساعت ده شب گوشیتون زنگ می‌خوره. روی صفحه نوشته «بانک»، همون اسمی که پیامک‌های بانکتون باهاش میاد. یه آقای آروم و مودب می‌گه از واحد امنیت بانکه، یه خرید مشکوک از کارت شما در حال انجامه، و برای جلوگیری، باید هویتتون رو تایید کنه. چهار رقم آخر کارتتون رو هم درست می‌گه.

بعد می‌گه: «یه کد امنیتی براتون فرستادم، لطفا برام بخونید تا تراکنش رو مسدود کنم.» پیامک کد میاد. روش نوشته «این کد رو به کسی ندید»، ولی شما فکر می‌کنید این آدم که کسی نیست، از خود بانکه. کد رو می‌خونید. چند ثانیه بعد، پیامک یه برداشت واقعی میاد.

این درس می‌گه این تماس‌ها چطور کار می‌کنن، چرا اسم بانک روی صفحه بود، و چطور با یه قانون یه‌خطی جلوی همه‌شون رو بگیرید. بیشتر نکته‌های این درس رو خود اپل هم توی راهنمای رسمیش درباره‌ی تماس‌های جعلی گفته.

یعنی چی

فیشینگ صوتی یا کلاهبرداری تلفنی، که به انگلیسی بهش می‌گن Vishing، از Voice و Phishing، همون فیشینگه، ولی به جای ایمیل یا پیامک، با صدا: تماس تلفنی، پیام صوتی، یا تماس صوتی و تصویری توی پیام‌رسان‌ها. هدفش هم همونه: کد تایید، رمز، اطلاعات کارت، پول، یا اینکه یه کاری بکنید، مثلا یه برنامه نصب کنید.

چرا تلفن؟ چون صدای یه آدم، اعتماد بیشتری می‌سازه تا یه متن. پشت تلفن نمی‌شه نشانی لینک رو خوند یا فرستنده رو بررسی کرد. و یه آدم ماهر، وسط حرف زدن، می‌تونه با حس شما بازی کنه، سوال‌هاتون رو جواب بده و نذاره فکر کنید. برای همینه که تماس تلفنی یکی از قوی‌ترین ابزارهای مهندسی اجتماعیه.

کدی که بلند خونده می‌شه

چرا کلاهبردار کد رو از شما می‌خواد؟ چون همون لحظه، پشت یه کامپیوتر، داره با اطلاعات شما وارد حساب بانکی، پیام‌رسان یا ایمیلتون می‌شه، یا یه خرید اینترنتی با کارتتون انجام می‌ده. سیستم برای تایید، یه کد به گوشی شما می‌فرسته. کلاهبردار اون کد رو نداره، پس زنگ می‌زنه و با یه داستان، از خودتون می‌گیرتش.

برای همینه که روی پیامک‌های کد نوشته «این کد رو به کسی ندید». این جمله برای همین لحظه‌ست. و راهنمای اپل صاف می‌گه اپل هیچ‌وقت ازتون نمی‌خواد رمز، رمز گوشی یا کد دومرحله‌ای رو بهش بگید، توی سایتی بزنید، یا توی پنجره‌ی تایید دومرحله‌ای «قبول» رو بزنید. این قانون برای همه‌ی جاهای معتبر درسته: هیچ بانک، اپراتور، پیام‌رسان یا اداره‌ای، کد تایید شما رو پشت تلفن نمی‌خواد. هر کسی خواست، کلاهبرداره. درس کد تایید رو به هیچ‌کس ندید.

یه شکل دیگه‌ش هم خاموش کردن امنیته. اپل می‌گه کلاهبردارها گاهی ازتون می‌خوان ورود دومرحله‌ای یا محافظت گوشی دزدیده‌شده رو «برای جلوگیری از حمله» خاموش کنید. این برعکسه: می‌خوان امنیت شما رو پایین بیارن. اپل هیچ‌وقت از شما نمی‌خواد ویژگی امنیتی‌ای رو خاموش کنید؛ هیچ جای معتبر دیگه‌ای هم نمی‌خواد.

نقش‌های رایج

این‌ها نقش‌هایی‌ان که بیشتر پشت تلفن بازی می‌شن:

• امنیت بانک. برداشت مشکوک، کارت در خطر، «رمز پویاتون رو فعال کنیم». آخرش کد، رمز دوم یا انتقال پول.
• اپراتور. «سیم‌کارتتون داره مسدود می‌شه»، «برنده‌ی جایزه‌ی اپراتور شدید»، «برای ارتقا به نسل جدید، کدی که میاد رو بگید». گاهی هدف، گرفتن کد برای انتقال شماره‌ی شما به یه سیم‌کارت دیگه‌ست. درس سیم‌کارت و شماره‌ی موبایل.
• جایزه و قرعه‌کشی. از طرف یه برنامه‌ی تلویزیونی یا یه فروشگاه: «برنده شدید، برای واریز جایزه برید پای خودپرداز». پای خودپرداز با یه سری دستور، به‌جای گرفتن پول، پول می‌فرستید.
• اداره یا دادگاه. «پرونده دارید»، «جریمه‌ی سنگین»، «باید همین الان پرداخت کنید وگرنه…». با ترس از قانون بازی می‌کنه.
• پشتیبانی فنی. از طرف یه شرکت نرم‌افزاری یا خود سرویس: «کامپیوترتون ویروسی شده» یا «حسابتون هک شده». آخرش نصب یه برنامه‌ی دسترسی از راه دور یا پرداخت.
• بیمه یا خدمات. «بیمه‌تون تمدید نشده»، «یه بازپرداخت دارید».
• فامیل در خطر. «پسرتون تصادف کرده»، «دخترتون بازداشت شده، برای آزادیش پول لازمه». گاهی با صدای ساختگی خود اون آدم.

تماس خودکار و «بله»

بعضی تماس‌ها اصلا آدم پشتشون نیست؛ یه صدای ضبط‌شده‌ست که می‌گه «برای صحبت با کارشناس، عدد ۱ رو بزنید». به این‌ها می‌گن تماس خودکار (Robocall). با زدن اون عدد، یا به یه کلاهبردار وصل می‌شید، یا فقط به فرستنده خبر می‌دید که این شماره فعاله و یکی جواب می‌ده.

یه نگرانی رایج هم هست که «اگه پشت تلفن بگم بله، صدام رو ضبط می‌کنن و ازش سوءاستفاده می‌کنن». بیشتر از اینکه یه «بله» خطرناک باشه، اینه که هر چی طولانی‌تر حرف بزنید، صدای بیشتری از شما ضبط می‌شه، که برای ساختن صدای ساختگی کافیه. پس با تماس‌های ناشناس و مشکوک، کوتاه حرف بزنید یا اصلا جواب ندید؛ اگه کار مهمی باشه، پیام می‌ذارن یا از راه دیگه پیداتون می‌کنن.

یه بوق و قطع

یه شکل دیگه هم هست که اصلا حرفی توش زده نمی‌شه. گوشیتون یه بار زنگ می‌خوره و پیش از اینکه جواب بدید، قطع می‌شه؛ معمولا از یه شماره‌ی خارجی ناآشنا، گاهی نصفه‌شب. کنجکاو می‌شید و برمی‌گردید زنگ می‌زنید. اون شماره یه خط پولیه که برای هر دقیقه، هزینه‌ی خیلی بالایی از شارژ یا قبض شما برمی‌داره، و پشت خط هم یه ضبط‌شده یا موسیقی شما رو تا جایی که می‌شه نگه می‌داره. به این فریب، با یه کلمه‌ی ژاپنی، می‌گن Wangiri، یعنی «یه زنگ و قطع».

قانونش: به شماره‌ی خارجی ناشناسی که فقط یه زنگ زده و قطع کرده، زنگ نزنید. اگه کسی واقعا کارتون داشته باشه، دوباره زنگ می‌زنه یا پیام می‌ذاره.

«این برنامه رو نصب کنید تا کمکتون کنم»

خیلی از تماس‌های جعلی پشتیبانی، آخرش ازتون می‌خوان یه برنامه‌ی «دسترسی از راه دور» نصب کنید، یعنی برنامه‌ای که به یه نفر دیگه اجازه می‌ده صفحه‌ی گوشی یا کامپیوترتون رو ببینه و کنترلش کنه. این برنامه‌ها خودشون بد نیستن؛ پشتیبانی واقعی شرکت‌ها هم گاهی ازشون استفاده می‌کنه. ولی وقتی یه ناشناس پشت تلفن ازتون خواست، یعنی دارید کلید کل دستگاه رو بهش می‌دید.

از اون لحظه، می‌تونه وارد برنامه‌ی بانک بشه، پیامک‌های کد رو ببینه، و حتی صفحه رو براتون سیاه کنه تا نفهمید چی کار می‌کنه. یه نشونه‌ی معروف هم داره: بعد از نصب، ازتون می‌خواد وارد برنامه‌ی بانک بشید «تا ببینه پول برگشته یا نه».

قانون: هیچ‌وقت، به درخواست کسی که خودش زنگ زده، برنامه‌ی دسترسی از راه دور نصب نکنید. اگه واقعا مشکلی دارید، خودتون از راه رسمی با پشتیبانی تماس بگیرید.

تماس و پیام صوتی توی پیام‌رسان

تماس جعلی فقط با خط تلفن نیست. خیلی از کلاهبردارها حالا با پیام‌رسان‌ها زنگ می‌زنن، با یه عکس پروفایل که لوگوی یه بانک یا اداره‌ست و اسمی مثل «پشتیبانی». ساختن چنین حسابی، چند دقیقه کاره، و هیچ‌چیز درباره‌ی صاحبش نمی‌گه. بانک‌ها و اداره‌ها معمولا از پیام‌رسان به مردم زنگ نمی‌زنن که کد یا رمز بخوان.

پیام صوتی هم همین‌طوره: یه پیام صوتی با صدای آشنا، از یه حساب تازه، که می‌گه «گوشیم خراب شده، این شماره‌ی جدیدمه». صدا می‌تونه ساختگی باشه. پیش از هر کاری، به شماره‌ی همیشگی اون آدم زنگ بزنید. بیشتر پیام‌رسان‌ها هم گزینه‌ای برای بی‌صدا کردن تماس از ناشناس‌ها یا محدود کردن اینکه کی بتونه بهتون زنگ بزنه دارن؛ درس‌های امن‌تر کردن واتساپ و امن‌تر کردن تلگرام این‌ها رو از روی راهنمای رسمی خودشون می‌گن.

پشت خط کیه

خیلی‌ها فکر می‌کنن پشت این تماس‌ها یه آدم تنهاست. گاهی هست، ولی خیلی وقت‌ها پشتشون یه صنعت کامله: مراکز تماسی با ده‌ها و صدها نفر، فیلم‌نامه‌های آماده، فهرست شماره‌ها و اطلاعات خریداری‌شده، و یه نفر که آموزششون می‌ده. برای همینه که این‌قدر حرفه‌ای و آروم حرف می‌زنن؛ این کار هر روزشونه.

و گاهی خود اون آدم‌ها هم قربانی‌ان. دفتر حقوق بشر سازمان ملل سال ۲۰۲۳ گزارش داد که بر اساس منبع‌های معتبر، دست‌کم ۱۲۰ هزار نفر توی میانمار و حدود ۱۰۰ هزار نفر توی کامبوج ممکنه به‌اجبار توی مراکز کلاهبرداری اینترنتی نگه داشته شده باشن؛ آدم‌هایی که با آگهی کار جعلی به اونجا کشونده شدن. این یعنی وقتی قطع می‌کنید، دارید از خودتون در برابر یه دستگاه بزرگ محافظت می‌کنید، نه یه آدم تنها. هیچ‌وقت سعی نکنید با کلاهبردار بحث کنید یا «گیرش بندازید»؛ فقط قطع کنید.

نشونه‌ها

هر تماسی که یکی از این‌ها رو داشت، تماس جعلیه یا باید مثل یه تماس جعلی باهاش رفتار کنید:

• کد تایید، رمز، رمز دوم یا اطلاعات کارت رو می‌خواد.
• می‌خواد یه برنامه نصب کنید یا وارد یه سایت بشید.
• می‌خواد پول رو به یه «حساب امن» منتقل کنید، یا برید پای خودپرداز.
• نمی‌خواد قطع کنید، یا می‌گه قطع کنید ضرر می‌کنید.
• عجله داره، یا می‌ترسونه.
• می‌خواد یه ویژگی امنیتی رو خاموش کنید.
• می‌گه «به کسی نگید»، حتی به خانواده یا کارمند بانک.
• پرداخت رو با کارت هدیه، رمزارز یا یه روش عجیب می‌خواد.

رمز خانوادگی و بزرگ‌ترها

برای تماس‌های «فامیل در خطر» و صداهای ساختگی، یه رمز خانوادگی بذارید: یه کلمه یا جمله که فقط اعضای خانواده می‌دونن و هیچ‌جا نوشته نشده. اگه تماسی با صدای یکی از خانواده پول یا کمک فوری خواست، رمز رو بپرسید. یا قطع کنید و به شماره‌ی همیشگی همون آدم زنگ بزنید.

پدربزرگ‌ها و مادربزرگ‌ها بیشتر هدف تماس‌های تلفنی‌ان، چون بیشتر تلفن جواب می‌دن و به صدای مودب و اسم‌های رسمی اعتماد دارن. براشون یه قانون ساده بذارید و چند بار تکرارش کنید: «هیچ‌کس، هیچ‌وقت، پشت تلفن کد یا رمز نمی‌خواد. اگه کسی خواست، قطع کن و به من زنگ بزن.» و شماره‌ی خودتون رو روی گوشیشون، به اسم ساده و درشت، ذخیره کنید.

عددها

کمیسیون تجارت فدرال آمریکا (FTC)، که شکایت‌های کلاهبرداری مردم آمریکا رو جمع می‌کنه، ژوئن ۲۰۲۶ گفت آمریکایی‌ها توی سال ۲۰۲۵ حدود ۳ میلیارد و ۵۰۰ میلیون دلار به فریب‌هایی باختن که توشون یکی خودش رو جای یه نفر یا یه جای معتبر جا زده؛ نزدیک سه برابر سال ۲۰۲۰. حدود یک میلیاردش از جعل شرکت‌ها و نزدیک ۹۲۰ میلیونش از جعل اداره‌ها بوده. FTC می‌گه این فریب‌ها از راه پیامک، تماس تلفنی، ایمیل و شبکه‌های اجتماعی به آدم‌ها رسیدن.

یه عدد جالب‌تر هم داره: حدود ۸۰ درصد کسایی که این فریب‌ها رو گزارش دادن، هیچ پولی از دست ندادن. یعنی خیلی‌ها به‌موقع فهمیدن و قطع کردن. همین درس، کارش اینه که شما هم جزو همون ۸۰ درصد باشید.

تنظیمات گوشی

گوشی‌ها چند تا ابزار برای کم کردن تماس‌های ناخواسته دارن. آیفون یه گزینه داره برای بی‌صدا کردن تماس از شماره‌های ناشناس، که تماس‌هاشون مستقیم به پیام صوتی می‌ره و توی فهرست تماس‌ها دیده می‌شن. بیشتر گوشی‌های اندروید هم توی برنامه‌ی تلفن، گزینه‌ای برای تشخیص تماس‌های هرزنامه و مسدود کردنشون دارن. اسم و جای دقیق این گزینه‌ها بسته به مدل گوشی فرق داره؛ توی تنظیمات برنامه‌ی تلفن دنبال «ناشناس» و «هرزنامه» بگردید.

این ابزارها همه‌چیز رو نمی‌گیرن، مخصوصا وقتی شماره جعل شده. ولی تعداد تماس‌های مزاحم رو کم می‌کنن و فرصت گول خوردن رو کمتر. هر شماره‌ای که مزاحم شد رو هم مسدود کنید.

اگه کد دادیم

اگه پشت تلفن کد، رمز یا اطلاعات کارت دادید، یا برنامه‌ای نصب کردید، به ترتیب و سریع:

1. اگه پای کارت یا حساب بانکی وسطه، همین الان از برنامه‌ی بانک کارت رو مسدود کنید یا به شماره‌ی پشت کارت زنگ بزنید.
2. اگه برنامه‌ی دسترسی از راه دور نصب کردید، گوشی یا کامپیوتر رو از اینترنت جدا کنید و برنامه رو پاک کنید.
3. از یه دستگاه دیگه، رمز حسابی که کدش رو دادید عوض کنید و دستگاه‌های ناشناس رو بیرون کنید.
4. ورود دومرحله‌ای رو با برنامه، نه پیامک، روشن کنید.
5. به خانواده بگید؛ کلاهبردار گاهی بعدش سراغ اون‌ها هم می‌ره.

درس روی لینک فیشینگ کلیک کردیم، چی کار کنیم بقیه‌ی قدم‌ها رو کامل‌تر می‌گه.

تمرین

1. شماره‌ی رسمی بانکتون رو از پشت کارت پیدا کنید و توی مخاطب‌ها ذخیره کنید، تا روز لازم دنبالش نگردید.
2. با خانواده یه رمز خانوادگی بذارید.
3. یه بار با بزرگ‌ترهای خانواده، تمرین کنید: «اگه کسی زنگ زد و کد خواست، چی کار می‌کنی؟»
4. گزینه‌ی بی‌صدا کردن یا تشخیص تماس‌های ناشناس و هرزنامه رو توی گوشیتون پیدا کنید.

اشتباه‌های رایج

• «اسم بانک روی صفحه بود.» شماره‌ی تماس‌گیرنده قابل جعله؛ گوشی فقط شماره رو با مخاطب‌ها مقایسه می‌کنه.
• «چهار رقم آخر کارتم رو می‌دونست.» این اطلاعات لو می‌ره و خرید و فروش می‌شه؛ برای اعتمادسازیه.
• «کد رو برای لغو تراکنش خواست.» کد برای انجام تراکنشه، نه لغوش؛ هیچ بانکی کد رو پشت تلفن نمی‌خواد.
• «صدای خود پسرم بود.» صدا رو با هوش مصنوعی می‌شه ساخت؛ رمز خانوادگی بپرسید.
• «خودم زنگ زدم، پس امن بود.» اگه شماره رو از یه پیام یا آگهی گرفتید، به خود کلاهبردار زنگ زدید.
• «گفت اگه قطع کنم ضرر می‌کنم.» این دقیقا جمله‌ایه که می‌خواد قطع نکنید؛ قطع کنید.

آخرین بررسی راهنمای رسمی اپل: ۲۴ مهر ۱۴۰۵.