فیشینگ روشی برای جمع آوری اطلاعات شخصی از طریق وب سایت ها و ایمیل های فریبنده است. اهداف حملات فیشینگ معمولا وبگاه های پرداخت آنلاین و شبکه های اجتماعی بوده و قربانیان مستقیما اطلاعات محرمانه و حساس خود را در این دو مکان وارد میکنند و بدین ترتیب کلاهبرداری فیشینگ صورت می‌پذیرد.
در همین راستا، در این مقاله از ویترین سافت قصد داریم در مورد فیشینگ، عملکرد آن و روش های مقابله با آن صحبت کنیم.
فیشینگ چیست؟
فیشینگ یکی از ساده ترین اشکال حمله سایبری برای مجرمین است و همچنین یکی مواردی که هکرها برای سرقت از حساب های شخصی و اهداف کاری خود به آن نیاز دارند.
اگر بخواهیم به عبارتی ساده تر، فیشینگ را تعریف کنیم، باید بگوییم که آن تله گذاری و تلاش برای کسب اطلاعاتی مانند رمز عبور، نام کاربری، اطلاعات حساب بانکی از طریق جعل یک وبگاه یا آدرس ایمیل است. در حقیقت، فیشینگ زمانی رخ می‌دهد که شخصی توسط یک هکر فریب می‌خورد و اطلاعات شخصی خود را در اختیار او قرار می‌دهد.
شخصی که فیشینگ انجام می‌دهد خود را در قالب یک شخص مورد اعتماد معرفی نموده و فرد قربانی را به سمت یک پیام متنی یا فوری سوق می‌دهد. اما شخص گیرنده تنها با یک کلیک فریب خورده و اطلاعات حساس او فاش می شود.
نمونه هایی از فیشینگ
فیشینگ عمدتا از طریق ایمیل صورت می‌پذیرد گرچه این کلاهبرداری اکنون فراتر از ایمیل ها و تماس های تلفنی رسانه های اجتماعی (به اصلاح vishing)، خدمات پیام رسانی (معروف به smishing) و … است و همگی در تلاش هستند تا افراد را فریب دهند.
فیشینگ همچنین یک روش شایع برای هکرهای سایبری است که بدافزارها را با تشویق قربانیان به دانلود یک سند یا بازدید از یک لینک توزیع نموده و می‌توانند حملات مخربی را ایجاد کنند.
به طور کلی هدف این نوع کلاهبرداری ها متفاوت است: به عنوان مثال، قربانیان ممکن است با کلیک کردن روی لینک یک صفحه وب جعلی با هدف وارد کردن اطلاعات شخصی فریب بخورند. تخمین زده شده است که به طور متوسط هر ماه در حدود 1.4 میلیون از این وب سایتها ایجاد می شوند.
نمونه های پیچیده تر فیشینگ می‌توانند شامل یک بازی طولانی باشند. در واقع، هکرها از پروفایل های جعلی شبکه های اجتماعی، ایمیل ها و موارد دیگر برای ایجاد ارتباط با قربانی طی ماه ها یا حتی سال ها در مورد افراد خاص ، ارتباط برقرار میکنند.
پس از اینکه اطمینان حاصل شد، قربانیان، داده های خود را اعم از آدرس ایمیل، گذرواژه شخصی یا شرکتی و حتی داده های مثل جزئیات کارت اعتباری و داده های شخصی خود را به راحتی در اختیار هکرها قرار میدهند. در نهایت، کلاهبرداری ها به راحتی با اطلاعات به دست آمده از قربانیان انجام میشود.
در موارد دیگر، فیشینگ یکی از ابزارهای مورد استفاده برای جاسوسی یا گروه های هک تحت حمایت دولت برای جاسوسی از مخالفین و سازمان های خاص می‌باشد و بدین ترتیب، هر کسی میتواند قربانی فیشینگ شود؛ از کمیته ملی دموکرات در انتخابات ریاست جمهوری 2016 آمریکا گرفته تا زیر ساخت های مهم، انواع تجارت ها و افراد.
چرا این نوع کلاهبرداری، فیشینگ نامیده میشود؟
اصطلاح کلی این کلاهبرداری ها – phishing – یک ورژن اصلاح شده از fishing است، یعنی ماهیگیری، و کلاهبرداران سعی دارند همانند صید ماهی شما را فریب داده و از طریق ایمیل ای فریبنده شما را به دام یا حلقه بیندازند.
این واژه برای نخستین بار در سال 1995 میلادی به کار گرفته شد. اصطلاح phishing خلاصه عبارت Password Harvesting Fishing، به معنای شکار پسورد از طریق طعمه است و در آن حرف Ph به جای F برای فریفتن جایگزین شده است. آن همچنین احتمالا به تاریخچه هکرها اشاره دارد: برخی از اولین هکرها به عنوان phreaks یا phreakers شناخته می‌شدند.
فیشینگ از چه زمانی آغاز شد؟
اولین مثال از کلمه فیشینگ در اواسط دهه 1990 با استفاده از ابزارهای نرم افزاری مانند AOHell اتفاق افتاد که سعی داشت نام کاربری و رمزهای عبور AOL را سرقت کنند.
در واقع، این حملات اولیه موفقیت آمیز نیز بودند زیرا نوع جدیدی از حمله بوده و کاربران قبلا با آن مواجه نشده بودند. AOL هشدارهایی را در مورد خطرات احتمالی به کاربران ارائه داد، اما همچنان فیشینگ با گذشت بیش از بیست سال ادامه دارد.
هزینه حملات فیشینگ چقدر است؟
نمیتوان به راحتی در مورد هزینه این کلاهبرداری ها صحبت کرد، اما FBI اذعان میدارد که تأثیر چنین کلاهبرداری هایی ممکن است برای تجارت ایالات متحده چیزی در حدود 5 میلیارد دلار در سال باشد و هزاران شرکت سالانه مورد این کلاهبرداری قرار میگیرند.
یک مثال از این حادثه را می‌توان در مورد دانشگاه MacEwan در ادمونتون، آلبرتای کانادا در ژوئیه سال 2017 زذ که در آن مجموعه ای از ایمیل های فریبنده کارکنان دانشگاه را متقاعد ساخت تا اطلاعات بانکی الکترونیکی خود را برای یکی از فروشندگان اصلی در دانشگاه تغییر دهند.
این کلاهبرداری بزرگ منجر به انتقال 11.8 میلیون دلار به یک حساب بانکی شد که کارکنان بر این باور بودند آن حساب متعلق به فروشنده بود.
کلاهبرداری فیشینگ به چه صورت است؟
” spray and pray ” کمترین نوع حمله فیشینگ است که به موجب آن پیام های عمومی برای میلیون ها کاربر به صورت انبوه ارسال میشود. پیام هایی نظیر، “فوری از طرف بانکتان” و یا “شما در قرعه کشی برنده شدید” نمونه هایی است که کاربران را به دلیل حرص زیاد کور می‌کند.
برخی از ایمیل ها هم سعی دارند با ایجاد رعب و ترس از کاربر کلاهبرداری کنند؛ در واقع در ایمیل آمده است که حکمی برای دستگیری کاربر وجود دارد و در صورت عدم کلیک او را به زندان خواهند برد.
این نوع طرح ها به قدری اساسی هستند که اغلب حتی یک صفحه وب جعلی در آن ها وجود ندارد و به قربانیان اغلب تنها گفته میشود که از طریق ایمیل پاسخ دهند. گاهی اوقات نیز کاربران از روی کنجکاوی قربانی این بازی شده و ادامه ماجرا.
انواع حملات فیشینگ
فیشینگ هدفدار یا نیزهای (Spear phishing)
فیشینگ هدفدار نوعی پیشرفته از یک فیشینگ معمولی بوده و هدف آن گروه ها یا افراد خاص است. مجرمان در این نوع حملات، به جای ارسال پیغام های مبهم، بخش خاصی از یک سازمان را مورد حمله قرار میدهند. این ورژن از فیشینگ به دانش خاص و یا به عبارتی به قدرت ویژهای نیاز دارد.
این نوع پیام های خاص غالبا نقطه ورود تعدادی از حملات سایبری پر رنگ و حوادث هک شده است. باند جنایت کار سایبری و مهاجمین تحت حمایت دولت از این به عنوان ابزاری برای جاسوسی بهره میگیرند.
در سطح مصرف کننده هم می‌توان آن را به گونه ای طراحی نمود که مانند بروزرسانی از بانک شما باشد و یا به شما بگوید که به صورت آنلاین چیزی سفارش داده اید و در واقع آن مرتبط با یکی از حساب های آنلاین شما باشد.
مشخص شده است که هکرها به دنبال قربانیان نقض داده ها هستند و به عنوان متخصصان امنیتی که وظیفه آنها هشدار دادن است عمل میکنند و به این ترتیب با به دست آوردن اطلاعات حساب قربانی، کلاهبرداری خود را با موفقیت انجام میدهند.
در حالی که فیشینگ نیزهای یا هدف دار عمدتا مصرف کنندگان و کاربران اینترنتی را هدف قرار می‌دهد، استفاده از آن به عنوان ابزاری برای نفوذ در شبکه یک سازمان هدف برای مجرمان اینترنتی بسیار موثرتر بوده و می‌توانند پول بیشتری را به جیب بزنند.
فیشینگ ایمیل
در این نوع کلاهبرداری، مهاجم هزاران پیام جعلی را ارسال کرده و به این ترتیب، اطلاعات قابل توجه و مبالغ زیادی را به دست می‌آورد. یکی از تکنیک های موثر این کلاهبرداران این است که برای افزایش میزان موفقیت خود از ایمیل های واقعی تقلید کرده و عبارت، متن یا لوگویی را به کار میبرند که پیام قانونی به نظر برسد.
علاوه بر این، آنها طوری اقدام میکنند که کاربران گمان کنند این پیام بسیار فوری بوده و سریع اطلاعات خود را فاش میکنند.
فیشینگ تلفنی
نمیتوان گفت که تمامی این کلاهبرداری ها از طریق ایمیل یا وبگاه جعلی صورت میگیرند. مثلا پیام هایی که ظاهرا از سوی بانک ارسال شده و از کاربر می‌خواهد که به دلیل ایراد در حساب، شماره خاصی را شماره گیری کند، میتواند نوعی فیشینگ تلفنی باشد.
در نهایت، قبل از گرفتن شماره که متعلق به فیشر بوده و با سرویس صدا روی پروتکل اینترنت ارائه شده است از کاربر درخواست میشود که شماره حساب و PIN خود را وارد نماید.
افزایش فیشینگ در طول بحران مثل ویروس کرونا
آیا تا به حال به این موضوع فکر کرده اید که فیشینگ در طول بحران افزایش می‌یابد؟ مهاجمان و کلاهبرداران برای دستیابی به موفقیت، دست به فریب و ایجاد احساس فوریت زده و بحران هایی نظیر ویروس کرونا میتواند زمینه را برای مهاجمان تسهیل سازد. چرا که افکار عمومی در حال حاضر درگیر این بیماری و نحوه مقابله با آن است.
اطلاعات درخواستی سایت های فیشینگ
سایت های فیشینگ به طور کلی اطلاعات زیر را از قربانیان درخواست میکنند:
- تاریخ تولد
- شمارههای کارت اعتباری
- اطلاعات هویتی
- کدهای PIN
- شماره های حساب های بانکی
- نام کاربری
- گذرواژه
نحوه مقابله با فیشینگ
به طور کلی می‌توان گفت یکی از ایده های ساده برای مقابله با فیشینگ، آموزش است. بله آموزش. برای مثال آموزش کارکنان در یک سازمان در مورد مراقبت از یک ایمیل فیشینگ میتواند کمک زیادی به محافظت از سازمان یا شرکت شما در برابر این حملات مخرب کند.
از سوی دیگر، تمرینات به کارمندان این امکان را می‌دهد تا در یک محیط محافظت شده اشتباه کنند و به طور اساسی از آن اشتباه درس بگیرند.
چهار اقدام اساسی برای مقابله با فیشینگ عبارتند از:
- احراز هویت دو عاملی: احراز هویت دو عاملی یا فFA موثرترین روش برای مقابله با حملات فیشینگ به شمار می رود. زیرا هنگام ورود به برنامه هایی که حساسیت ویژه ای دارند، یک لایه تأیید دیگر با آن اضافه میشود. در واقع برخی از حساب ها با نیاز به دو یا چند احراز هویت برای ورود به سیستم حساب شما، امنیت بیشتری را ایجاد میکنند. احراز دو هویتی شامل دو مورد برای کاربران میشود:
– موردی که آنها می‌دانند نظیر رمز عبور و نام کاربری
– موردی که دارند مثل تلفن های هوشمند
اما به خاطر داشته باشید که به جز این راه مقابله، سازمان ها باید سیاست های هوشمندانه و سختگیرانه ای را برای مدیریت رمز عبور اعمال کنند. مثلا از کاربران خواسته شود تا رمزهای عبور خود را بارها تغییر دهند. و یا اینکه کمپین های آموزشی با اجرای اقدامات ایمن و موثری نظیر عدم کلیک بر لینک های ایمیل خارجی، در راستای کاهش حملات فیشینگ بکوشند.
- با استفاده از نرم افزارهای خاص
شما می‌توانید با بهره گیری از نرم افزار امنیتی از رایانه خود محافظت کنید و نرم افزار را به گونه ای تنظیم نمایید که به طور خودکار به روز شود و بتواند با تهدیدهای امنیتی جدید مقابله نماید. همچنین می‌توانید با تنظیم نرم افزار برای بروز رسانی خودکار، از تلفن همراه خود محافظت نمایید. در حقیقت، این بروزرسانی ها می‌توانند از شما در برابر تهدیدات امنیتی محافظت کنند.
- با تهیه نسخه پشتیبان از اطلاعات خود محافظت نمایید: یکی دیگر از روش های مقابله با فیشینگ این است که از داده های خود بک آپ گرفته و اطمینان حاصل نمایید که آن نسخه به شبکه خانگی شما متصل نیست. شما همچنین می‌توانید پرونده های رایانه خود را به یک هارد یا فضای ذخیره سازی ابری منتقل کنید.
اگر مشکوک به حملات فیشینگ باشم چه کاری انجام دهم؟
اگر شما ایمیل یا پیامکی دریافت کرده اید که از شما خواسته شده روی یک لینک کلیک کنید یا پیوستی را باز نمایید، در ابتدا به این سوال پاسخ دهید که آیا من در شرکت حساب کاربری دارم و یا شخصی را که با من ارتباط برقرار نموده است میشناسم؟
اگر پاسخ شما منفی است، پس با یک کلاهبرداری فیشینگ مواجه شده اید. از این رو برگردید و نکات مرتبط با نحوه شناسایی فیشینگ را مرور کرده و به دنبال نشانه های این کلاهبرداری بگردید. اگر آنها را مشاهده نمودند پیام را گزارش داده و آن را حذف کنید.
اگر هم پاسخ شما بله است، با استفاده از شماره تلفن یا وب سایتی که می‌دانید واقعی است در ابتدا تماس بگیرید و بعد اطلاعات موجود در ایمیل را پیگیری نمایید.
سخن آخر
درست است که فیشینگ نزدیک به بیست سال است که وجود دارد اما همچنان به دو دلیل، تهدید جدی به حساب می‌آید زیرا انجام آن ساده است و حتی با یک عملیات یک نفره نیز کار می‌کند و دوم اینکه هنوز هم کاربران زیادی در فضای مجازی هستند که از این موضوع آگاهی نداشته و جذب این تهدیدها می‌شوند.
شاید پرسنل امنیتی یا اشخاص باهوش این کلاهبرداری را باور نکنند و گول ادعاهایی مثل “شما در قرعه کشی برنده شده اید” یا “ما از سوی بانک شما پیام می‌دهیم و لطفا اطلاعات خود را وارد نمایید” را نخورند اما همین هزینه کم کمپین های فیشینگ، آنها را به گزینه بسیار جذابی تبدیل نموده است.
در نهایت، فیشینگ همچنان ادامه خواهد داشت و مجرمان اینترنتی به راحت ترین شکل ممکن از سرقت اطلاعات ها می‌توانند سود ببرند. اما می‌توان جلوی این اتفاق را گرفت و با کاربرد نرم افزارهای خاص و بهره گیری از آموزش های لازم اطمینان حاصل نمایید که قربانی فیشینگ نشوید.
از اینکه تا پایان یکی دیگر از مقالات فراپیام ما را همراهی نمودید، کمال سپاس و تشکر را از شما عزیزان داریم.
بیشتر بخوانید :
نظرات