فیشینگ چیست؟
فیشینگ نوعی حمله سایبری است که در آن یک فرد یا عامل مخرب خود را به عنوان یک نهاد یا کسب وکار معتبر جا می زند تا افراد را فریب داده و اطلاعات حساس آن ها مانند اطلاعات کارت اعتباری، نام کاربری، رمز عبور و موارد مشابه را جمع آوری کند. از آنجا که فیشینگ مبتنی بر دستکاری روانی است و به خطاهای انسانی (نه نقص های سخت افزاری یا نرم افزاری) متکی است، به عنوان نوعی حمله مهندسی اجتماعی شناخته می شود.
معمولاً حملات فیشینگ از ایمیل های جعلی استفاده می کنند که کاربر را متقاعد می سازد اطلاعات حساس خود را در یک وب سایت جعلی وارد کند. این ایمیل ها اغلب از کاربر می خواهند رمز عبور خود را بازنشانی کند یا اطلاعات کارت اعتباری اش را تأیید نماید و او را به وب سایتی جعلی هدایت می کنند که بسیار شبیه وب سایت اصلی است. انواع اصلی فیشینگ شامل Clone Phishing، Spear Phishing و Pharming هستند.
حملات فیشینگ در اکوسیستم ارزهای دیجیتال نیز رایج اند؛ جایی که مهاجمان تلاش می کنند بیت کوین یا سایر دارایی های دیجیتال کاربران را سرقت کنند. برای مثال، مهاجم ممکن است یک وب سایت واقعی را جعل کرده و آدرس کیف پول را به آدرس خود تغییر دهد؛ به گونه ای که کاربر تصور کند در حال پرداخت برای یک خدمت معتبر است، در حالی که در واقع دارایی او به سرقت می رود.
انواع کلاهبرداری های اینترنتی چیست؟
انواع مختلفی از فیشینگ وجود دارد که معمولاً بر اساس هدف و روش حمله دسته بندی می شوند. در ادامه چند نمونه رایج آورده شده است.
کلون فیشینگ Clone Phishing:
مهاجم یک ایمیل معتبرِ قبلاً ارسال شده را کپی کرده و محتوای آن را در ایمیلی مشابه با لینکی به یک وب سایت مخرب قرار می دهد. سپس ادعا می کند این لینک نسخه جدید یا به روزرسانی شده است و شاید بگوید لینک قبلی منقضی شده است.
اسپیر فیشینگ Spear Phishing:
این نوع حمله روی یک شخص یا سازمان مشخص تمرکز دارد و معمولاً نسبت به سایر انواع فیشینگ پیچیده تر است؛ زیرا هدف گذاری شده انجام می شود. مهاجم ابتدا درباره قربانی اطلاعات جمع آوری می کند (مانند نام دوستان یا اعضای خانواده) و سپس بر اساس این داده ها پیامی می سازد تا قربانی را به بازدید از یک وب سایت مخرب یا دانلود یک فایل آلوده ترغیب کند.
فارمینگ Pharming:
مهاجم یک رکورد DNS را آلوده می کند که در عمل بازدیدکنندگان یک وب سایت معتبر را به وب سایتی جعلی که از قبل ساخته است هدایت می کند. این خطرناک ترین نوع حمله است؛ زیرا رکوردهای DNS خارج از کنترل کاربر هستند و دفاع در برابر آن دشوار است.
ویلینگ Whaling:
نوعی از Spear Phishing که افراد ثروتمند و مهم مانند مدیران عامل و مقامات دولتی را هدف قرار می دهد.
ایمیل اسپوفینگ Email Spoofing:
ایمیل های فیشینگ معمولاً ارتباطات شرکت ها یا افراد معتبر را جعل می کنند. این ایمیل ها لینک هایی به وب سایت های مخرب ارائه می دهند که در آن ها با صفحات ورود جعلی، بدافزارهایی مانند تروجان ها و کی لاگرها اطلاعات شخصی و اعتبارنامه های ورود سرقت می شود.
ریدایرکت وبسایت Website Redirects:
ریدایرکت های وب سایت کاربران را به آدرس هایی متفاوت از مقصد موردنظرشان هدایت می کنند. مهاجمان با سوءاستفاده از آسیب پذیری ها، ریدایرکت ها را درج کرده و بدافزار روی سیستم کاربران نصب می کنند.
تشابه تایپی Typosquatting:
در این روش، ترافیک به وب سایت های تقلبی با املای نادرست، املای زبان های خارجی یا تغییرات جزئی در دامنه هدایت می شود. فیشِرها از دامنه هایی استفاده می کنند که رابط وب سایت های معتبر را تقلید می کنند تا از اشتباهات تایپی یا خوانش نادرست URL سوءاستفاده کنند.
واترینگ هول Watering Hole:
در این حمله، فیشِرها کاربران را پروفایل کرده و وب سایت هایی را که آن ها معمولاً بازدید می کنند شناسایی می نمایند. سپس این سایت ها را برای یافتن آسیب پذیری ها بررسی کرده و در صورت امکان اسکریپت های مخرب تزریق می کنند تا در بازدید بعدی کاربران، آن ها را هدف قرار دهند.
جعل هویت Impersonation:
جعل هویت افراد تأثیرگذار در شبکه های اجتماعی یکی دیگر از روش های فیشینگ است. مهاجمان ممکن است رهبران کلیدی شرکت ها را جعل کرده و با تبلیغ قرعه کشی ها یا روش های فریبنده دیگر، کاربران را هدف بگیرند. حتی ممکن است حساب های تأییدشده هک شده و با تغییر نام کاربری، هویت فردی واقعی تقلید شود. در این حالت، قربانیان بیشتر به تعامل و ارائه اطلاعات شخصی ترغیب می شوند. اخیراً پلتفرم هایی مانند اسلک، دیسکورد و تلگرام نیز به شدت هدف این نوع حملات قرار گرفته اند.
تبلیغات Advertisements:
تبلیغات پولی نیز به عنوان ابزاری برای فیشینگ استفاده می شوند. این تبلیغات جعلی از دامنه هایی بهره می برند که با Typosquatting ثبت شده اند و با پرداخت هزینه در نتایج جستجو بالاتر نمایش داده می شوند. این وب سایت ها حتی ممکن است در جستجوی نام شرکت های معتبر یا خدماتی مانند XT.COM در رتبه های اول ظاهر شوند و برای سرقت اطلاعات حساس مانند اعتبارنامه های ورود به حساب های معاملاتی به کار روند.
اپلیکیشن های مخرب Malicious Applications:
مهاجمان ممکن است از اپلیکیشن های مخرب برای تزریق بدافزار استفاده کنند که رفتار کاربر را رصد کرده یا اطلاعات حساس را سرقت می کند. این اپ ها ممکن است خود را به عنوان ابزارهای ردیابی قیمت، کیف پول ها یا ابزارهای مرتبط با کریپتو معرفی کنند.
فیشینگ پیامکی یا صوتی Text and Voice Phishing:
فیشینگ پیامکی (SMS Phishing) و فیشینگ صوتی یا تلفنی (Vishing) نیز روش هایی هستند که مهاجمان از طریق آن ها تلاش می کنند اطلاعات شخصی کاربران را به دست آورند.
فیشینگ در مقابل فارمینگ
اگرچه برخی فارمینگ را نوعی فیشینگ می دانند، اما سازوکار آن متفاوت است. تفاوت اصلی این است که فیشینگ به خطای کاربر نیاز دارد، در حالی که فارمینگ تنها مستلزم تلاش کاربر برای دسترسی به یک وب سایت معتبر است که رکورد DNS آن توسط مهاجم دستکاری شده است.
چگونه از کلاهبرداری های اینترنتی جلوگیری کنیم؟
هوشیار باشید:
بهترین دفاع در برابر فیشینگ، تفکر انتقادی درباره ایمیل هاست. آیا انتظار دریافت چنین ایمیلی را داشتید؟ آیا اطلاعاتی که درخواست شده واقعاً مرتبط است؟ اگر تردید دارید، از روش دیگری با فرستنده تماس بگیرید.
محتوا را بررسی کنید:
می توانید بخشی از متن ایمیل یا آدرس فرستنده را در موتور جستجو وارد کنید تا ببینید آیا گزارشی از فیشینگ با این روش وجود دارد یا خیر.
از مسیرهای دیگر اقدام کنید:
اگر فکر می کنید درخواست تأیید اطلاعات از سوی یک کسب وکار آشنا معتبر است، به جای کلیک روی لینک ایمیل، از روش دیگری وارد حساب خود شوید.
آدرس سایت را بررسی کنید:
بدون کلیک کردن، نشانگر موس را روی لینک نگه دارید و بررسی کنید آیا با HTTPS شروع می شود یا خیر. البته HTTPS به تنهایی تضمین مشروعیت سایت نیست. لینک را از نظر غلط های املایی، کاراکترهای غیرمعمول و ناهنجاری ها دقیق بررسی کنید.
کلید خصوصی خود را به اشتراک نگذارید:
هرگز کلید خصوصی کیف پول بیت کوین خود را در اختیار دیگران قرار ندهید و پیش از ارسال هرگونه ارز دیجیتال، از مشروعیت محصول و فروشنده اطمینان حاصل کنید. برخلاف کارت های اعتباری، در تراکنش های کریپتو مرجع مرکزی برای بازگرداندن وجه وجود ندارد؛ بنابراین هنگام انجام تراکنش های ارز دیجیتال باید با دقت بیشتری عمل کرد.