امنیت و حریم خصوصی در اینترنت یعنی چی

یه داستان آشنا

مثلا فرض کنید یه شب از طرف یکی از دوستاتون توی پیام‌رسان یه پیام میاد: «سلام، شرمنده، یه مشکلی پیش اومده، می‌تونی یه پولی برام کارت به کارت کنی؟ فردا پس می‌دم.» اسم درسته، عکس درسته، حتی چند تا پیام قبلی‌تون هم بالاش هست. ولی کسی که پشت اون حسابه، دوست شما نیست.

چند روز قبل، دوستتون یه پیامک گرفته بوده که «برای فعال‌سازی، کدی که براتون فرستاده شد رو بفرستید». کد رو داده، و حسابش دست یکی دیگه افتاده. حالا اون آدم از حساب اون، از همه‌ی دوستاش پول می‌خواد.

این درس می‌گه امنیت و حریم خصوصی در اینترنت دقیقا یعنی چی، چه فرقی با هم دارن، چرا شما هم هدفید حتی اگه فکر می‌کنید چیز مهمی ندارید، و کدوم چند تا عادت ساده جلوی بیشتر این اتفاق‌ها رو می‌گیره. لازم نیست فنی باشید؛ همه‌ی این درس برای آدم معمولیه.

شکل‌های خطر

خطرهایی که یه آدم معمولی توی اینترنت می‌بینه، تقریبا همیشه یکی از این پنج تاست. هر کدوم توی این مسیر درس خودش رو داره؛ اینجا فقط می‌گیم چی‌ان تا اسمشون رو بشناسید:

فیشینگ (Phishing). پیام، ایمیل، تماس یا صفحه‌ای که خودش رو جای یه جای معتبر جا می‌زنه، مثل بانک، اداره یا یه فروشگاه، تا رمز، کد یا اطلاعات کارت رو بگیره. رایج‌ترین خطر اینترنته و چند تا شکل داره: پیامکی، ایمیلی، تلفنی، با کیوآرکد. درس فیشینگ چیست از همین‌جا شروع می‌شه.

دزدیدن حساب (Account Takeover). یکی وارد حساب شما می‌شه، با رمزی که از یه سایت دیگه لو رفته، یا با کدی که خودتون دادید، و بعد رمز و شماره رو عوض می‌کنه که شما نتونید برگردید. همون داستان اول درس.

برنامه‌ی مخرب (Malware). برنامه‌ای که خودش رو یه برنامه‌ی معمولی جا می‌زنه، مثلا یه «برنامه‌ی پیگیری بسته» یا نسخه‌ی رایگان یه بازی، ولی پشت صحنه پیامک‌ها و رمزها رو می‌دزده، یا فایل‌ها رو قفل می‌کنه و پول می‌خواد.

نشت اطلاعات (Data Breach). اینجا تقصیر شما نیست: یه سایتی که توش عضو بودید هک می‌شه و ایمیل و رمزهای کاربراش بیرون می‌ریزه. اگه همون رمز رو جای دیگه هم استفاده کرده باشید، اونجا هم در باز شده. برای همینه که رمز هر حساب باید جدا باشه.

گم شدن یا دزدیده شدن گوشی. گوشی امروز کیف پول، دفترچه تلفن، آلبوم عکس و کلید همه‌ی حساب‌هاست. گوشی بی قفل، دست هر کی بیفته، همه‌ی این درها رو باز داره.

چهار حس

تقریبا همه‌ی فریب‌ها، هر شکلی که داشته باشن، با یکی از این چهار حس بازی می‌کنن. اگه بشناسیدشون، وسط یه پیام مشکوک خودتون می‌فهمید که دارن باهاتون بازی می‌کنن:

• عجله. «تا یک ساعت دیگه»، «همین الان»، «آخرین فرصت». عجله می‌کنن تا شما وقت فکر کردن نداشته باشید.
• ترس. «حسابتون مسدود می‌شه»، «پرونده‌ی قضایی دارید»، «کارتتون استفاده شده». آدم ترسیده دقیق نگاه نمی‌کنه.
• طمع. «برنده شدید»، «سود تضمینی»، «نصف قیمت، فقط امروز». چیزی که خیلی خوب‌تر از واقعیته، معمولا واقعی نیست.
• اعتماد. اسم بانک، لوگوی یه اداره، صدای یه آدم آشنا، یا پیام از حساب یه دوست. به جایی که بهش اعتماد دارید تکیه می‌کنن.

یه قانون ساده از همین‌جا درمیاد: هر وقت یه پیام یا تماس هم عجله داشت و هم ازتون رمز، کد، پول یا اطلاعات خواست، صبر کنید. از یه راه دیگه که خودتون می‌شناسید، مثلا شماره‌ای که خودتون از قبل دارید یا برنامه‌ی رسمی، بررسیش کنید. جای واقعی هیچ‌وقت از اینکه چند دقیقه صبر کردید ضرر نمی‌کنه.

خرید و فروش اینترنتی

یکی از رایج‌ترین جاهایی که آدم‌ها پول از دست می‌دن، خرید و فروش بین مردمه: آگهی یه گوشی دست‌دوم، یه فروشگاه توی شبکه‌ی اجتماعی، یا خریداری که برای جنس شما پیام می‌ده. این فریب‌ها چند تا الگوی تکراری دارن که اگه بشناسید، همون اول می‌بینیدشون.

بیعانه برای جنسی که وجود نداره. قیمت خیلی پایین‌تر از بازاره، فروشنده عجله داره و می‌گه «چند نفر دیگه هم خواستن، یه بیعانه بزن تا برات نگهش دارم». بعد از پرداخت، دیگه جواب نمی‌ده. قیمت خیلی خوب و عجله، همون طمع و عجله‌ست.

خریداری که لینک «دریافت پول» می‌فرسته. شما فروشنده‌اید، و خریدار می‌گه «پول رو واریز کردم، از این لینک بزن تا به حسابت بیاد». لینک یه صفحه‌ی شبیه درگاه بانکه که شماره‌ی کارت و رمز دوم شما رو می‌خواد. یادتون باشه: برای گرفتن پول، هیچ‌وقت لازم نیست رمز کارت رو جایی بزنید. رمز فقط برای دادن پوله.

عکس رسید جعلی. عکس یه رسید پرداخت رو می‌فرسته که ساختگیه. پیش از تحویل جنس، خود حساب بانکیتون رو ببینید، نه عکسی که براتون فرستادن.

فروشگاه جعلی. یه سایت یا صفحه با عکس‌های قشنگ و قیمت‌های عجیب، که هیچ نشونی و تلفن و سابقه‌ای نداره، و پول رو کارت به کارت می‌خواد. راه امن‌تر اینه که از جایی بخرید که درگاه پرداخت رسمی داره، و اگه شک دارید، اسم فروشگاه رو با کلمه‌ی «کلاهبرداری» جستجو کنید ببینید کسی چیزی گفته یا نه.

هک شدن گوشی یعنی چی

خیلی‌ها می‌گن «گوشیم هک شده»، و منظورشون یه چیزیه که توی فیلم‌ها دیدن: یکی از راه دور، بی هیچ کاری از طرف شما، کنترل گوشی رو دست گرفته. این‌جور حمله‌ها واقعا وجود دارن، ولی خیلی گرونن و فقط برای آدم‌های خیلی خاص استفاده می‌شن، نه برای آدم معمولی.

برای بیشتر آدم‌ها، «هک شدن گوشی» در واقع یکی از این سه تاست: یکی وارد یه حساب شده، مثلا پیام‌رسان، با کدی که خود آدم داده. یا یه برنامه‌ی مخرب نصب شده، که خود آدم از یه لینک یا فایل گرفته و بهش دسترسی داده. یا گوشی دست کسی بوده و چیزی روش گذاشته. یعنی تقریبا همیشه یه در رو خودمون باز کردیم.

این خبر خوبیه، چون یعنی همون چهار عادت کافیه: کد ندید، برنامه رو فقط از فروشگاه رسمی گوشی بگیرید و به دسترسی‌هاش دقت کنید، گوشی رو به‌روز نگه دارید، و قفلش کنید. درس برنامه‌ی جعلی و فایل APK بخش برنامه‌ها رو کامل می‌گه.

دو عادت دیگه

پشتیبان (Backup). یه نسخه از عکس‌ها، مدارک و چیزهایی که براتون مهمه، یه جای دیگه هم داشته باشید: یه حافظه‌ی جدا یا فضای ابری. گوشی گم می‌شه، خراب می‌شه، یا برنامه‌ی مخرب فایل‌ها رو قفل می‌کنه. کسی که پشتیبان داره، از این اتفاق‌ها فقط یه کم اذیت می‌شه، نه بیشتر.

قفل گوشی. یه رمز یا الگوی درست برای باز کردن گوشی، نه ۱۲۳۴. چون گوشی بی قفل، کلید همه‌ی حساب‌هاست: پیامک‌های کد تایید هم روش میاد. اثر انگشت یا صورت هم خوبه، ولی پشتش یه رمز درست باشه.

نشونه‌های دزدیده شدن حساب

گاهی تا مدتی خبر ندارید که حسابتون دست کس دیگه‌ست. این نشونه‌ها رو جدی بگیرید:

• پیامکی اومده که «کد ورود شما» یا «رمز شما عوض شد»، در حالی که شما کاری نکردید.
• دوستاتون می‌گن از طرف شما پیام عجیب یا درخواست پول گرفتن.
• توی فهرست دستگاه‌های وصل به حسابتون، دستگاهی هست که نمی‌شناسید.
• از حسابتون بیرون افتادید و رمزتون دیگه کار نمی‌کنه.
• برداشت یا خریدی توی حساب بانکی هست که شما نکردید.
• گوشی یهو بی‌دلیل کند شده، شارژش زود تموم می‌شه، یا برنامه‌ای هست که خودتون نصبش نکردید.

اگه یکی از این‌ها رو دیدید، هر چی زودتر بهتر: از یه دستگاه مطمئن رمز رو عوض کنید، ورود دومرحله‌ای رو روشن کنید، دستگاه‌های ناشناس رو از حساب بیرون کنید، و اگه پای کارت بانکی وسطه، با بانک تماس بگیرید. درس وقتی فریب خوردیم این قدم‌ها رو کامل و به ترتیب می‌گه.

کار کیه

یه سوال که زیاد پرسیده می‌شه اینه که امنیت اینترنت بر عهده‌ی کیه. جوابش اینه که هر کسی یه تیکه‌ش رو داره، مثل امنیت یه ساختمون. سازنده‌ی ساختمون باید در محکم بذاره، نگهبان باید حواسش باشه، ولی کلید خونه‌ی شما دست خود شماست.

سایت‌ها و برنامه‌ها باید سرورهاشون رو امن نگه دارن و رمزها رو درست ذخیره کنن. بانک باید جلوی برداشت عجیب رو بگیره و ورود دومرحله‌ای بده. سازنده‌ی گوشی باید به‌روزرسانی بده. ولی هیچ‌کدوم از این‌ها نمی‌تونن جلوی کدی رو بگیرن که خودتون به کسی می‌دید، یا رمزی که برای ده تا سایت یکیه. اون تیکه کار شماست، و خوشبختانه کوچیک‌ترین و ساده‌ترین تیکه‌ست.

چرا بعضی برنامه‌ها امن‌ترن

امنیت یه برنامه خودبه‌خود به دست نمیاد؛ پول و آدم می‌خواد. باید یه تیم باشه که هر روز دنبال درهای باز بگرده، کد رو بررسی کنه، به‌روزرسانی بده، و وقتی یه نفر خبر داد «اینجا یه مشکل پیدا کردم»، سریع درستش کنه. شرکت‌های بزرگ حتی به هکرهایی که مشکل امنیتی برنامه‌شون رو پیدا و گزارش کنن، جایزه‌ی نقدی می‌دن؛ به این برنامه‌ها می‌گن Bug Bounty، یعنی «جایزه برای پیدا کردن ایراد».

حالا یه برنامه‌ی کوچیک رو تصور کنید، مثلا یه پیام‌رسان یا یه برنامه‌ی ایمیل تازه. ممکنه میلیون‌ها نفر نصبش کرده باشن، ولی تیمش کوچیکه، یا پولش رو نداره، یا اصلا قصدش رو نداره، یا کسی مجبورش نکرده. امنیت هزینه‌ست، و جایی که خرجش نمی‌شه، معمولا درهای باز بیشتری هست. تعداد کاربر زیاد یعنی برنامه معروفه، نه لزوما امن.

بعضی کشورها برای همین قانون گذاشتن. مثلا اتحادیه‌ی اروپا یه قانون داره به اسم Cyber Resilience Act، یعنی «قانون تاب‌آوری سایبری»، که از دسامبر ۲۰۲۴ شروع شد: سازنده‌ی هر برنامه و دستگاه دیجیتالی که اونجا فروخته می‌شه، باید امنیتش رو از اول طراحی در نظر بگیره، تا سال‌ها به‌روزرسانی امنیتی بده، و از سپتامبر ۲۰۲۶ اگه یه در باز پیدا شد که داره ازش سوءاستفاده می‌شه، ظرف ۲۴ ساعت خبر بده. جریمه‌ش تا ۱۵ میلیون یورو یا ۲٫۵ درصد کل فروش سالانه‌ی شرکته. قانون حفاظت از داده‌ی اروپا (GDPR) هم شرکت‌ها رو مجبور می‌کنه از داده‌ی کاربرها درست محافظت کنن، با جریمه تا ۴ درصد فروش جهانی. البته قانونی پیدا نکردیم که بگه شرکت‌ها «فلان درصد» از پولشون رو باید خرج امنیت کنن؛ قانون‌ها نتیجه رو می‌خوان، نه درصد بودجه رو.

پس طبیعیه که برنامه‌هایی مثل واتساپ، تلگرام یا سیگنال، که یا درآمد خیلی بزرگ دارن یا پشتشون تیم‌های امنیتی بزرگ و سال‌ها بررسی هست، احتمالا امن‌تر از یه برنامه‌ی کوچیک و تازه باشن. یعنی وقتی دارید تصمیم می‌گیرید پیام‌ها، عکس‌ها یا مدارکتون رو به کدوم برنامه بسپرید، فقط «کار می‌کنه یا نه» رو نپرسید؛ بپرسید پشتش کیه، چقدر برای امنیت خرج می‌کنه، و قانون کجا پشت شماست. درس امنیت و حریم خصوصی در پیام‌رسان‌ها همین رو برای پیام‌رسان‌های معروف کنار هم می‌ذاره.

مودم و دستگاه‌های هوشمند

توی خونه فقط گوشی و کامپیوتر به اینترنت وصل نیستن. مودم، دوربین مداربسته، تلویزیون هوشمند، حتی بعضی لامپ‌ها و جاروها هم وصلن. به این‌ها که به انگلیسی بهشون می‌گن Internet of Things، «اینترنت اشیا» می‌گن. این‌ها هم درن، و معمولا درهایی که هیچ‌کس یادش نیست قفلشون کنه.

رایج‌ترین مشکلشون رمز پیش‌فرضه: دستگاه با یه رمز ساده از کارخونه میاد، مثلا admin، که همه‌ی دستگاه‌های همون مدل همونو دارن و روی اینترنت فهرستش پیداست. برنامه‌هایی هستن که کل اینترنت رو دنبال همین درها می‌گردن، دقیقا مثل دزد کوچه. پس دو کار ساده: رمز پنل مودم و دوربین رو عوض کنید، و اگه به‌روزرسانی دارن، نصبش کنید. درس وای‌فای بخش مودم رو بیشتر توضیح می‌ده.

بچه‌ها و پدر و مادرها

دو گروه بیشتر از بقیه گول می‌خورن: بچه‌ها، که به همه اعتماد دارن و برای یه جایزه‌ی بازی هر کاری می‌کنن، و پدربزرگ‌ها و مادربزرگ‌ها، که با پیام «از طرف بانک» یا «از طرف نوه» راحت‌تر نگران می‌شن. اگه این درس رو خوندید، شاید مهم‌ترین کارتون این باشه که برای اونا هم تعریفش کنید.

لازم نیست همه‌ی جزئیات رو بگید. همین یه جمله کافیه: «هیچ‌کس، هیچ‌وقت، کد پیامکی یا رمز کارت رو ازت نمی‌خواد؛ اگه خواست، اول به من زنگ بزن.» برای بچه‌ها هم: «هر کی توی بازی یا پیام‌رسان چیزی ازت خواست که به ما نگفتی، اول به ما بگو.» یه قانون ساده که همیشه یادشون بمونه، از ده تا توصیه‌ی فنی بیشتر کار می‌کنه.

ده دقیقه برای امروز

اگه فقط یه بخش از این درس رو انجام بدید، این باشه. به ترتیب، همین امروز:

1. ورود دومرحله‌ای رو برای پیام‌رسان اصلیتون روشن کنید؛ توی تنظیمات، بخش حریم خصوصی و امنیت.
2. همین کار رو برای ایمیلتون بکنید؛ ایمیل کلید بقیه‌ست.
3. ببینید گوشیتون رمز یا الگوی باز کردن داره، و ساده نیست.
4. به‌روزرسانی‌های مونده‌ی گوشی و برنامه‌ها رو نصب کنید و به‌روزرسانی خودکار رو روشن بذارید.
5. اگه یه رمز رو برای چند تا حساب مهم استفاده کردید، حداقل رمز ایمیل و پیام‌رسان رو جدا کنید.
6. یه پیام به خانواده: «هیچ‌وقت کد پیامکی رو به کسی ندید.»

توی این مسیر

این درس نقشه‌ی کلی بود. بقیه‌ی مسیر هر در رو جدا و کامل باز می‌کنه. اول با مهندسی اجتماعی می‌فهمیم فریب از کجا شروع می‌شه. بعد شکل‌های فیشینگ رو یکی‌یکی می‌بینیم، از پیامک و ایمیل تا تماس تلفنی و کیوآرکد و برنامه‌ی جعلی. بعد یاد می‌گیریم نشانی سایت رو بخونیم و فریب‌هایی مثل لینک‌هایی که درست به نظر می‌رسن ولی تقلبین رو بشناسیم. بعد سراغ رمز، مدیر رمز و ورود دومرحله‌ای می‌ریم، بعد گوشی و برنامه‌ها، و آخر اینکه اگه گول خوردیم، چی کار کنیم.

کمی تاریخ

فریب دادن آدم‌ها خیلی قدیمی‌تر از اینترنته؛ کلاهبرداری با نامه و تلفن سال‌ها قبلش بود. اینترنت فقط دو چیز رو عوض کرد: فرستادن یه فریب برای هزاران نفر تقریبا مجانی شد، و کلاهبردار می‌تونه از اون سر دنیا کار کنه.

اولش خطر اصلی ویروس‌هایی بود که با دیسکت و ایمیل پخش می‌شدن و بیشتر خرابکاری می‌کردن. کم‌کم که پول و خرید و بانک اومد توی اینترنت، هدف هم عوض شد: دیگه دنبال خرابکاری نبودن، دنبال پول بودن. و از وقتی همه گوشی هوشمند گرفتن، پیامک و پیام‌رسان جای اصلی فریب شدن. امروز هم رایج‌ترین راه، همون قدیمی‌ترین راهه: گول زدن آدم.

اشتباه‌های رایج

• «من چیز مهمی ندارم، کسی با من کاری نداره.» حمله‌ها برای همه فرستاده می‌شن؛ حساب شما برای فریب دادن دوستاتون ارزش داره.
• «ضدویروس دارم، پس امنم.» ضدویروس جلوی کدی که خودتون به کسی می‌دید رو نمی‌گیره؛ بیشتر خطرها گول خوردنن، نه ویروس.
• «رمزم سخته، پس مشکلی نیست.» رمز سخت اگه جای دیگه هم استفاده شده باشه، با لو رفتن اون سایت، اینجا هم باز می‌شه.
• «پیام از طرف دوستم بود، پس درسته.» حساب دوستتون هم ممکنه دست کس دیگه باشه؛ برای پول، زنگ بزنید.
• «بانک پیامک داده، باید سریع کاری کنم.» بانک هیچ‌وقت رمز و کد رو ازتون نمی‌خواد؛ عجله خودش زنگ خطره.
• «به‌روزرسانی گوشی رو کند می‌کنه، نصبش نمی‌کنم.» هر به‌روزرسانی چند تا در باز رو می‌بنده؛ ریسک نصب نکردن خیلی بیشتره.