فیشینگ چیست؟ نحوه مقابله با Phishing

تیم محتوای ویترین
زمان مطالعه : 11 دقیقه دیدگاهها

فیشینگ چیست

فیشینگ روشی برای جمع آوری اطلاعات شخصی از طریق وب سایت­ ها و ایمیل­ های فریبنده است. اهداف حملات فیشینگ معمولا وبگاه ­های پرداخت آنلاین و شبکه ­های اجتماعی بوده و قربانیان مستقیما اطلاعات محرمانه و حساس خود را در این دو مکان وارد می­کنند و بدین ترتیب کلاهبرداری فیشینگ صورت می‌­پذیرد.

در همین راستا، در این مقاله از ویترین سافت قصد داریم در مورد فیشینگ، عملکرد آن و روش ­های مقابله با آن صحبت کنیم.

فیشینگ چیست؟

فیشینگ یکی از ساده­ ترین اشکال حمله سایبری برای مجرمین است و همچنین یکی مواردی که هکرها برای سرقت از حسا­­ب ­های شخصی و اهداف کاری خود به آن نیاز دارند.

اگر بخواهیم به عبارتی ساده ­تر، فیشینگ را تعریف کنیم، باید بگوییم که آن تله گذاری و تلاش برای کسب اطلاعاتی مانند رمز عبور، نام کاربری، اطلاعات حساب بانکی از طریق جعل یک وبگاه یا آدرس ایمیل است. در حقیقت، فیشینگ زمانی رخ می­‌دهد که شخصی توسط یک هکر فریب می­‌خورد و اطلاعات شخصی خود را در اختیار او قرار می­‌دهد.

شخصی که فیشینگ انجام می­‌دهد خود را در قالب یک شخص مورد اعتماد معرفی نموده و فرد قربانی را به سمت یک پیام متنی یا فوری سوق می­‌دهد. اما شخص گیرنده تنها با یک کلیک فریب خورده و اطلاعات حساس او فاش می شود.

نمونه­ هایی از فیشینگ

فیشینگ عمدتا از طریق ایمیل صورت می‌­پذیرد گرچه این کلاهبرداری اکنون فراتر از ایمیل ها و تماس ­های تلفنی رسانه­ های اجتماعی (به اصلاح vishing)، خدمات پیام رسانی (معروف به smishing) و … است و همگی در تلاش هستند تا افراد را فریب دهند.

فیشینگ همچنین یک روش شایع برای هکرهای سایبری است که بدافزارها را با تشویق قربانیان به دانلود یک سند یا بازدید از یک لینک توزیع نموده و می‌­توانند حملات مخربی را ایجاد کنند.

به طور کلی هدف این نوع کلاهبرداری ­ها متفاوت است: به عنوان مثال، قربانیان ممکن است با کلیک کردن روی لینک یک صفحه وب جعلی با هدف وارد کردن اطلاعات شخصی فریب بخورند. تخمین زده شده است که به طور متوسط هر ماه در حدود 1.4 میلیون از این وب سایت­ها ایجاد می شوند.

نمونه­ های پیچیده ­تر فیشینگ می­‌توانند شامل یک بازی طولانی باشند. در واقع، هکرها از پروفایل­ های جعلی شبکه ­های اجتماعی، ایمیل ­ها و موارد دیگر برای ایجاد ارتباط با قربانی طی ماه ­ها یا حتی سال ­ها در مورد افراد خاص ، ارتباط برقرار می­‌کنند.

پس از اینکه اطمینان حاصل شد، قربانیان، داده ­های خود را اعم از آدرس ایمیل، گذرواژه شخصی یا شرکتی و حتی داده ­های مثل جزئیات کارت اعتباری و داده ­های شخصی خود را به راحتی در اختیار هکرها قرار می‌­دهند. در نهایت، کلاهبرداری­ ها به راحتی با اطلاعات به دست آمده از قربانیان انجام می‌­شود.

در موارد دیگر، فیشینگ یکی از ابزارهای مورد استفاده برای جاسوسی یا گروه ­های هک تحت حمایت دولت برای جاسوسی از مخالفین و سازمان­ های خاص می‌­باشد و بدین ترتیب، هر کسی می‌­تواند قربانی فیشینگ شود؛ از کمیته ملی دموکرات در انتخابات ریاست جمهوری 2016 آمریکا گرفته تا زیر ساخت ­های مهم، انواع تجارت­ ها و افراد.

چرا این نوع کلاهبرداری، فیشینگ نامیده می­شود؟

اصطلاح کلی این کلاهبرداری ­ها – phishing – یک ورژن اصلاح شده از fishing است، یعنی ماهیگیری، و کلاهبرداران سعی دارند همانند صید ماهی شما را فریب داده و از طریق ایمیل­ ای فریبنده شما را به دام یا حلقه بیندازند.

این واژه برای نخستین بار در سال 1995 میلادی به کار گرفته شد. اصطلاح phishing خلاصه عبارت Password Harvesting Fishing، به معنای شکار پسورد از طریق طعمه است و در آن حرف Ph به جای F برای فریفتن جایگزین شده است. آن همچنین احتمالا به تاریخچه هکرها اشاره دارد: برخی از اولین هکرها به عنوان phreaks یا phreakers شناخته می­‌شدند.

فیشینگ از چه زمانی آغاز شد؟

what is phishing

اولین مثال از کلمه فیشینگ در اواسط دهه 1990 با استفاده از ابزارهای نرم افزاری مانند AOHell اتفاق افتاد که سعی داشت نام کاربری و رمزهای عبور AOL را سرقت کنند.

در واقع، این حملات اولیه موفقیت آمیز نیز بودند زیرا نوع جدیدی از حمله بوده و کاربران قبلا با آن مواجه نشده بودند. AOL هشدارهایی را در مورد خطرات احتمالی به کاربران ارائه داد، اما همچنان فیشینگ با گذشت بیش از بیست سال ادامه دارد.

هزینه حملات فیشینگ چقدر است؟

نمی­توان به راحتی در مورد هزینه این کلاهبرداری­ ها صحبت کرد، اما FBI اذعان می­دارد که تأثیر چنین کلاهبرداری ­هایی ممکن است برای تجارت ایالات متحده چیزی در حدود 5 میلیارد دلار در سال باشد و هزاران شرکت سالانه مورد این کلاهبرداری قرار می­گیرند.

یک مثال از این حادثه را می­‌توان در مورد دانشگاه MacEwan در ادمونتون، آلبرتای کانادا در ژوئیه سال 2017 زذ که در آن مجموعه ­ای از ایمیل­ های فریبنده کارکنان دانشگاه را متقاعد ساخت تا اطلاعات بانکی الکترونیکی خود را برای یکی از فروشندگان اصلی در دانشگاه تغییر دهند.

این کلاهبرداری بزرگ منجر به انتقال 11.8 میلیون دلار به یک حساب بانکی شد که کارکنان بر این باور بودند آن حساب متعلق به فروشنده بود.

کلاهبرداری فیشینگ به چه صورت است؟

” spray and pray ” کمترین نوع حمله فیشینگ است که به موجب آن پیام ­های عمومی برای میلیون­ ها کاربر به صورت انبوه ارسال می­شود. پیام ­هایی نظیر، “فوری از طرف بانکتان” و یا “شما در قرعه کشی برنده شدید” نمونه ­هایی است که کاربران را به دلیل حرص زیاد کور می­‌کند.

برخی از ایمیل­ ها هم سعی دارند با ایجاد رعب و ترس از کاربر کلاهبرداری کنند؛ در واقع در ایمیل آمده است که حکمی برای دستگیری کاربر وجود دارد و در صورت عدم کلیک او را به زندان خواهند برد.

این نوع طرح ­ها به قدری اساسی هستند که اغلب حتی یک صفحه وب جعلی در آن ها وجود ندارد و به قربانیان اغلب تنها گفته می­شود که از طریق ایمیل پاسخ دهند. گاهی اوقات نیز کاربران از روی کنجکاوی قربانی این بازی شده و ادامه ماجرا.

انواع حملات فیشینگ

فیشینگ هدف­دار یا نیزه­ای (Spear phishing)

فیشینگ هدف­دار نوعی پیشرفته از یک فیشینگ معمولی بوده و هدف آن گروه ­ها یا افراد خاص است. مجرمان در این نوع حملات، به جای ارسال پیغام ­های مبهم، بخش خاصی از یک سازمان را مورد حمله قرار می­دهند. این ورژن از فیشینگ به دانش خاص و یا به عبارتی به قدرت ویژه­ای نیاز دارد.

این نوع پیام­ های خاص غالبا نقطه ورود تعدادی از حملات سایبری پر رنگ و حوادث هک شده است. باند جنایت کار سایبری و مهاجمین تحت حمایت دولت از این به عنوان ابزاری برای جاسوسی بهره می­‌گیرند.

در سطح مصرف کننده هم می­‌توان آن را به گونه ­ای طراحی نمود که مانند بروزرسانی از بانک شما باشد و یا به شما بگوید که به صورت آنلاین چیزی سفارش  داده اید و در واقع آن مرتبط با یکی از حساب ­های آنلاین شما باشد.

مشخص شده است که هکرها به دنبال قربانیان نقض داده ­ها هستند و به عنوان متخصصان امنیتی که وظیفه آنها هشدار دادن است عمل می­‌کنند و به این ترتیب با به دست آوردن اطلاعات حساب قربانی، کلاهبرداری خود را با موفقیت انجام می­‌دهند.

در حالی که فیشینگ نیزه­ای یا هدف دار عمدتا مصرف کنندگان و کاربران اینترنتی را هدف قرار می­‌دهد، استفاده از آن به عنوان ابزاری برای نفوذ در شبکه یک سازمان هدف برای مجرمان اینترنتی بسیار موثرتر بوده و می‌­توانند پول بیشتری را به جیب بزنند.

فیشینگ ایمیل

در این نوع کلاهبرداری، مهاجم هزاران پیام جعلی را ارسال کرده و به این ترتیب، اطلاعات قابل توجه و مبالغ زیادی را به دست می‌­آورد. یکی از تکنیک­ های موثر این کلاهبرداران این است که برای افزایش میزان موفقیت خود از ایمیل­ های واقعی تقلید کرده و عبارت، متن یا لوگویی را به کار می­برند که پیام قانونی به نظر برسد.

علاوه بر این، آنها طوری اقدام می­‌کنند که کاربران گمان کنند این پیام بسیار فوری بوده و سریع اطلاعات خود را فاش می­‌کنند.

فیشینگ تلفنی

نمی­توان گفت که تمامی این کلاهبرداری ­ها از طریق ایمیل یا وبگاه جعلی صورت می­‌گیرند. مثلا پیام­ هایی که ظاهرا از سوی بانک ارسال شده و از کاربر می­‌خواهد که به دلیل ایراد در حساب، شماره خاصی را شماره ­گیری کند، می­تواند نوعی فیشینگ تلفنی باشد.

در نهایت، قبل از گرفتن شماره که متعلق به فیشر بوده و با سرویس صدا روی پروتکل اینترنت ارائه شده است از کاربر درخواست می­شود که شماره حساب و PIN خود را وارد نماید.

افزایش فیشینگ در طول بحران مثل ویروس کرونا

آیا تا به حال به این موضوع فکر کرده ­اید که فیشینگ در طول بحران افزایش می‌­یابد؟ مهاجمان و کلاهبرداران برای دستیابی به موفقیت، دست به فریب و ایجاد احساس فوریت زده و بحران ­هایی نظیر ویروس کرونا می­‌تواند زمینه را برای مهاجمان تسهیل سازد. چرا که افکار عمومی در حال حاضر درگیر این بیماری و نحوه مقابله با آن است.

اطلاعات درخواستی سایت­ های فیشینگ

جلوگیری از فیشینگ

سایت ­های فیشینگ به طور کلی اطلاعات زیر را از قربانیان درخواست می­کنند:

  • تاریخ تولد
  • شماره­های کارت اعتباری
  • اطلاعات هویتی
  • کدهای PIN
  • شماره ­های حساب­ های بانکی
  • نام کاربری
  • گذرواژه

نحوه مقابله با فیشینگ

به طور کلی می­‌توان گفت یکی از ایده ­های ساده برای مقابله با فیشینگ، آموزش است. بله آموزش. برای مثال آموزش کارکنان در یک سازمان در مورد مراقبت از یک ایمیل فیشینگ می‌­تواند کمک زیادی به محافظت از سازمان یا شرکت شما در برابر این حملات مخرب کند.

از سوی دیگر، تمرینات به کارمندان این امکان را می‌­دهد تا در یک محیط محافظت شده اشتباه کنند و به طور اساسی از آن اشتباه درس بگیرند.

چهار اقدام اساسی برای مقابله با فیشینگ عبارتند از:

  1. احراز هویت دو عاملی: احراز هویت دو عاملی یا فFA موثرترین روش برای مقابله با حملات فیشینگ به شمار می رود. زیرا هنگام ورود به برنامه­ هایی که حساسیت ویژه ­ای دارند، یک لایه تأیید دیگر با آن اضافه می­‌شود. در واقع برخی از حساب­ ها با نیاز به دو یا چند احراز هویت برای ورود به سیستم حساب شما، امنیت بیشتری را ایجاد می­‌کنند. احراز دو هویتی شامل دو مورد برای کاربران می­شود:

– موردی که آنها می­‌دانند نظیر رمز عبور و نام کاربری

– موردی که دارند مثل تلفن­ های هوشمند

اما به خاطر داشته باشید که به جز این راه مقابله، سازمان­ ها باید سیاست­ های هوشمندانه و سختگیرانه ­ای را برای مدیریت رمز عبور اعمال کنند. مثلا از کاربران خواسته شود تا رمزهای عبور خود را بارها تغییر دهند. و یا اینکه کمپین­ های آموزشی با اجرای اقدامات ایمن و موثری نظیر عدم کلیک بر لینک ­های ایمیل خارجی، در راستای کاهش حملات فیشینگ بکوشند.

  1. با استفاده از نرم افزارهای خاص

شما می­‌توانید با بهره گیری از نرم افزار امنیتی از رایانه خود محافظت کنید و نرم افزار را به گونه ­ای تنظیم نمایید که به طور خودکار به روز شود و بتواند با تهدیدهای امنیتی جدید مقابله نماید. همچنین می­‌توانید با تنظیم نرم افزار برای بروز رسانی خودکار، از تلفن همراه خود محافظت نمایید. در حقیقت، این بروزرسانی­ ها می‌­توانند از شما در برابر تهدیدات امنیتی محافظت کنند.

  1. با تهیه نسخه پشتیبان از اطلاعات خود محافظت نمایید: یکی دیگر از روش­ های مقابله با فیشینگ این است که از داده ­های خود بک آپ گرفته و اطمینان حاصل نمایید که آن نسخه به شبکه خانگی شما متصل نیست. شما همچنین می­‌توانید پرونده ­های رایانه خود را به یک هارد یا فضای ذخیره سازی ابری منتقل کنید.

اگر مشکوک به حملات فیشینگ باشم چه کاری انجام دهم؟

اگر شما ایمیل یا پیامکی دریافت کرده ­اید که از شما خواسته شده روی یک لینک کلیک کنید یا پیوستی را باز نمایید، در ابتدا به این سوال پاسخ دهید که آیا من در شرکت حساب کاربری دارم و یا شخصی را که با من ارتباط برقرار نموده است می­شناسم؟

اگر پاسخ شما منفی است، پس با یک کلاهبرداری فیشینگ مواجه شده ­اید. از این رو برگردید و نکات مرتبط با نحوه شناسایی فیشینگ را مرور کرده و به دنبال نشانه­ های این کلاهبرداری بگردید. اگر آنها را مشاهده نمودند پیام را گزارش داده و آن را حذف کنید.

اگر هم پاسخ شما بله است، با استفاده از شماره تلفن یا وب سایتی که می‌­دانید واقعی است در ابتدا تماس بگیرید و بعد اطلاعات موجود در ایمیل را پیگیری نمایید.

سخن آخر

درست است که فیشینگ نزدیک به بیست سال است که وجود دارد اما همچنان به دو دلیل، تهدید جدی به حساب می‌­آید زیرا انجام آن ساده است و حتی با یک عملیات یک نفره نیز کار می­‌کند و دوم اینکه هنوز هم کاربران زیادی در فضای مجازی هستند که از این موضوع آگاهی نداشته و جذب این تهدیدها می‌­شوند.

شاید پرسنل امنیتی یا اشخاص باهوش این کلاهبرداری را باور نکنند و گول ادعاهایی مثل “شما در قرعه کشی برنده شده­ اید” یا “ما از سوی بانک شما پیام می­‌دهیم و لطفا اطلاعات خود را وارد نمایید” را نخورند اما همین هزینه کم کمپین ­های فیشینگ، آنها را به گزینه بسیار جذابی تبدیل نموده است.

در نهایت، فیشینگ همچنان ادامه خواهد داشت و مجرمان اینترنتی به راحت­ ترین شکل ممکن از سرقت اطلاعات­ ها می­‌توانند سود ببرند. اما می‌­توان جلوی این اتفاق را گرفت و با کاربرد نرم افزارهای خاص و بهره ­گیری از آموزش­ های لازم اطمینان حاصل نمایید که قربانی فیشینگ نشوید.

از اینکه تا پایان یکی دیگر از مقالات فراپیام ما را همراهی نمودید، کمال سپاس و تشکر را از شما عزیزان داریم.

بیشتر بخوانید :


برچسب ها :

نظرات

    1. هدف از داشتن فروشگاه آنلاین چیست؟
    2. آیا تا بحال سابقه فروش فضای مجازی داشته اید؟
    3. روش خرید و فروش کالا در فروشگاه اینترنتی به چه صورت است؟
    4. روش های ارسال کالا در فروشگاه به چه صورت است ؟
    5. آیا از تخفیف و کوپن در فروشگاه اینترنتی استفاده می کنند؟
    6. آیا برای راه اندازی فروشگاه اینترنتی ، خودتان کارشناس IT دارید ؟
    7. آیا سابقه فعالیت به عنوان تامین کننده با فروشگاه های اینترنتی دارید؟
    8. آیا نیازی به طراحی قالب اختصاصی فروشگاه اینترنتی دارید؟
    9. آیا در فروش فیزیکی مدیریت انبار دارید؟
    10. آیا در سازمان یا شرکت از سیستم های مالی استفاده می کنید؟
    11. بعد از راه اندازی فروشگاه نیاز به دیجیتال مارکتینگ دارند؟
    12. نکات حائز اهمیت که در فروشگاه اینترنتی برایتان مهم است؟
    لطفا فلوچارت گردش کار فروشگاه اینترنتی و ارتباط تامین کنندگان ، انبارها ، کالاها و خریداران با یکدیگر را دانلود کرده و در کادر مورد نظر ترسیم کنید ، سپس upload نمایید.
    دانلود فایل

      1. عنوان واحد کسب و کار شما
      2. مالکیت کسب و کار
      3. زمینه فعالیت
      4. نوع کسب و کار / ویژگی خاص
      4. چه خدماتی برای کسب و کار خود لازم دارید؟
      بازاریابی آنلاین
      1. در صورت داشتن وب سایت، آدرس آن را بگذارید.
      2. چه مدت از راه اندازی وب سایت شما میگذرد؟
      3. سایت شما با چه سیستم مدیریت محتوایی طراحی شده است؟
      4. از چه شبکه اجتماعی برای کسب و کار خود استفاده میکنید؟ (آیدی هرکدام را بنویسید).
      تولید محتوا
      1. نیاز تولید محتوای شما چیست؟
      تولید محتوای بصری
      نیاز تولید محتوای بصری شما چیست؟
      تولید محتوای متنی
      نیاز تولید محتوای متنی چیست؟
      برندینگ
      1. نیاز به مشاوره برندینگ دارید؟
      2. نام چند رقبا هم رده کسب و کار خود را بیان کنید؟
      3. هدف برند شما در بازار امروزی چیست؟
      4. موفقیت برند خود را چگونه ارزیابی می کنید؟
      5. داستان برند شما چیست؟ (اختیاری)
      6. توضیحات تکمیلی خود را جهت کسب و کار خود بیان کنید؟ (اختیاری)
      لطفا فلوچارت گردش کار فروشگاه اینترنتی و ارتباط تامین کنندگان ، انبارها ، کالاها و خریداران با یکدیگر را دانلود کرده و در کادر مورد نظر ترسیم کنید ، سپس upload نمایید.
      دانلود فایل
      پیشنهاد ویژه

        درخواست دمو

          درخواست مشاوره