فیشینگ و مهندسی اجتماعی؛ حمله را قبل از کلیک تشخیص دهید
فیشینگ و مهندسی اجتماعی چگونه کار میکنند و چه نشانه‌هایی آن‌ها را لو می‌دهند؛ از ایمیل‌های فوری و پیامک‌های جعلی تا تماس‌های پشتیبانی قلابی و روش‌های درست واکنش.
بیشترین ضررهای مالی کاربران ایرانی در فضای آنلاین نه از بدافزارهای پیچیده، که از فیشینگ می‌آید: پیامکی که می‌گوید «کارت شما مسدود شده، این لینک را باز کنید»، تماسی که خودش را پشتیبانی بانک معرفی می‌کند و از شما کد تأیید می‌خواهد، یا ایمیلی که آدرس یک سایت معروف را با یک حرف تفاوت تقلید می‌کند. در همهٔ این سناریوها، هدف یکی است: به‌جای شکستن سیستم، آدمِ پشت سیستم را فریب بدهند.
این قسمت از مجموعهٔ امنیت سایبری برای همه به هنر تشخیص می‌پردازد: چرا مهندسی اجتماعی روی افراد آموزش‌دیده هم کار می‌کند، الگوهای تکراری فیشینگ کدام‌اند و در لحظهٔ تردید، رفتار درست چیست. پیشنهاد می‌کنیم رمزهای عبور قوی و مدیر رمز عبور را هم بخوانید؛ این دو لایه روی‌هم، بیشتر سناریوهای فریب را خنثی میکنند.
چرا آدم‌های باهوش هم فریب می‌خورند
مهندسی اجتماعی به ضعف هوشمتان حمله نمی‌کند؛ به شرایطتان حمله می‌کند. فیشینگ حرفه‌ای زمان‌بندی‌شده است: وقتی خسته‌اید، عجله دارید یا ترسیده‌اید، تصمیم‌گیری به بخشی از مغز منتقل می‌شود که راحت‌تر به فرمان گوش می‌دهد. سه اهرم اصلی حمله‌کننده‌ها:
- فوریت: «حساب شما تا چند ساعت دیگر مسدود می‌شود.» زمان فکرکردن را حذف می‌کند.
- ترس و طمع: جایزهٔ رایگان، بدهی جعلی، پروندهٔ حقوقی الکی؛ هر چیزی که هیجان بسازد.
- تقلید اعتماد: لوگو، شمارهٔ آشنا، اسم دوست یا همکار؛ ظاهر آشنا جای بررسی را میگیرد.
نشانه‌های فیشینگ در پیام و ایمیل
خبر خوب اینکه تقریباً همهٔ فیشینگ‌ها چند نشانهٔ مشترک دارند؛ خبر اینکه باید آن‌ها را تا حد غریزه تمرین کنید:
- درخواست رمز یا کد تأیید: هیچ بانک، سرویس پستی یا پشتیبانی واقعی از شما رمز و کد یک‌بارمصرف نمی‌خواهد. این درخواست، همیشه کلاهبرداری است.
- آدرس فرستنده و لینک مقصد را جدا بررسی کنید: روی لینک موس ببرید تا آدرس واقعی را ببینید؛ دامنههای شبیه با یک حرف تفاوت رایج‌اند.
- لحن فوری و تهدیدآمیز: مهلت کوتاه، تهدید به تعقیب قضایی یا قطع سرویس، نشانهٔ فشار روانی است.
- درخواست پرداخت غیرمعمول: خرید کارت هدیه یا واریز به شماره‌کارتی به نام شخص.
تماس تلفنی و پیامک‌های جعلی
در ایران، فیشینگ تلفنی (vishing) و پیامکی (smishing) از ایمیل رایج‌ترند. الگوی تکراری چنین است: تماس‌گیرنده خودش را کارمند بانک یا پشتیبانی اپراتور معرفی می‌کند، از یک «تراکنش مشکوک» می‌گوید و برای جلوگیری از برداشت، کد پیامکی یا رمز دوم را می‌خواهد. رفتار درست:
- تماس را قطع کنید و خودتان شمارهٔ رسمی را بگیرید: شمارهٔ پشت کارت یا اپلیکیشن رسمی بانک؛ نه شماره‌ای که تماس‌گیرنده داده.
- کد تأیید را برای هیچ‌کس نخوانید: این کد مانند امضای دیجیتال شماست؛ خواندنش یعنی دادن اجازهٔ ورود.
- به رباتهای پاسخگو اعتماد نکنید: پیامکی که از شما می‌خواهد «۱» را برای تأیید ارسال کنید هم می‌تواند تله باشد.
اگر کلیک کردم یا اطلاعات دادم چه کنم
واکنش سریع، بیشتر ضررها را برمی‌گرداند. ترتیب اقدام‌ها مهم است:
- اگر رمزی داده‌اید، همین حالا از یک دستگاه دیگر رمز آن سرویس و همهٔ جاهایی که همان رمز تکراری بود را عوض کنید.
- اگر کد تأیید بانکی خوانده‌اید، کارت را با اپلیکیشن یا شمارهٔ رسمی بانک موقتاً مسدود کنید.
- اگر روی لینک کلیک کرده و فرمی پر کرده‌اید، حساب‌های مرتبط را بازیابی و امن کنید و به دوستان‌تان خبر دهید که از حساب شما پیام جعلی ممکن است برسد.
- ردپای ماجرا را ثبت کنید: زمان، شمارهٔ فرستنده و متن پیام؛ سند پیگیری شما همین‌هاست.
سؤالات پرتکرار
تفاوت فیشینگ با مهندسی اجتماعی چیست؟
مهندسی اجتماعی چتر کلی فریب انسانی است و فیشینگ یکی از ابزارهای آن: حمله‌ای که با پیام جعلی (ایمیل، پیامک، چت) شما را به سایت قلابی یا افشای اطلاعات می‌کشاند. به بیان دیگر، هر فیشینگی مهندسی اجتماعی است، اما این چتر ابزارهای دیگری هم دارد؛ از تماس تلفنی تا معرفی‌شدن حضوری.
چرا رباتهای هوش مصنوعی فیشینگ را خطرناکتر کردهاند؟
متنهای ترجمهشدهٔ بد و غلطهای املایی که زمانی فیشینگ را لو میدادند، امروز با مدلهای زبانی روان و بینقص شدهاند؛ حتی صدا و تصویر جعلی هم قابل ساخت است. «طبیعیبودن متن» دیگر معیار امنیت نیست؛ معیار درست، مسیر تأیید مستقل است: لینک را خودتان تایپ کنید و از کانال رسمی سرویس وارد شوید.
آیا آنتیویروس جلوی فیشینگ را میگیرد؟
بخشی از آن را بله: بسیاری از آنتیویروسها و مرورگرها دامنههای شناختهشدهٔ قلابی را مسدود میکنند. اما فیشینگ تازه و هدفمند، معمولاً از فهرستهای سیاه جلوتر است و اتکای صرف به ابزار، حس کاذب امنیت میسازد. قویترین فیلتر شما، عادتِ بررسی آدرس و امتناع از دادن کد و رمز است؛ ابزارها لایهٔ دوم باشند نه لایهٔ اول.
این مطلب برایتان مفید بود؟
با پسندیدن، به ما کمک می‌کنید مطالب بهتری منتشر کنیم.
ادامهٔ مجموعه
امنیت سایبری برای همههمهٔ قسمت‌های مجموعه
- امنیت سایبری برای همه؛ ۱۰ عادت ساده که شما را از ۹۰٪ حملات محافظت می‌کند۲ دقیقه
- رمزهای عبور قوی و مدیر رمز عبور؛ ساده‌ترین لایهٔ دفاعی شما۴ دقیقه
- فیشینگ و مهندسی اجتماعی؛ حمله را قبل از کلیک تشخیص دهیدقسمت فعلی
- امنیت وای‌فای عمومی؛ از کافه تا فرودگاه، بی‌خطر بمانید۸ دقیقه
- بدافزارها را بشناسید؛ از ویروس و تروجان تا باج‌افزار و جاسوس‌افزار۷ دقیقه
- ردپای دیجیتال شما؛ اطلاعاتی که درباره‌تان در اینترنت مانده است۸ دقیقه
