فیشینگ (phishing) چیست؟
فیشینگ نوعی حمله سایبری است که با استفاده از ایمیل‌های جعلی، پیامک‌ها، تماس‌های تلفنی یا وب‌سایت‌های تقلبی تلاش می‌کند افراد را فریب دهد تا اطلاعات حساس خود را به اشتراک بگذارند، بدافزار دانلود کنند یا به هر طریقی خود را در معرض جرایم سایبری قرار دهند. حملات فیشینگ نوعی از مهندسی اجتماعی هستند. برخلاف سایر حملات سایبری که به طور مستقیم شبکه‌ها و منابع را هدف قرار می‌دهند، حملات مهندسی اجتماعی از خطاهای انسانی، داستان‌های ساختگی و روش‌های فشار روانی استفاده می‌کنند تا قربانیان را وادار به انجام اقداماتی کنند که ناخواسته به خودشان یا سازمانشان آسیب می‌رساند. در یک کلاهبرداری فیشینگ معمولی، هکر وانمود می‌کند شخصی است که قربانی به او اعتماد دارد، مانند یک همکار، مدیر، فردی با جایگاه قانونی یا نماینده یک برند شناخته شده. هکر پیامی ارسال می‌کند و از قربانی می‌خواهد یک فاکتور را پرداخت کند، یک فایل را باز کند، روی یک لینک کلیک کند یا اقدام دیگری انجام دهد. از آنجا که قربانی به منبع ظاهری پیام اعتماد دارد، دستورالعمل‌ها را دنبال کرده و در دام کلاهبردار گرفتار می‌شود. برای مثال آن فاکتور ممکن است مستقیماً پول را به حساب هکر انتقال دهد، آن فایل پیوست ممکن است باج‌افزاری روی دستگاه قربانی نصب کند و آن لینک ممکن است قربانی را به وب‌سایتی هدایت کند که اطلاعاتی مانند شماره کارت اعتباری، شماره حساب بانکی، نام کاربری یا رمز عبور او را سرقت می‌کند.
فیشینگ چگونه کار می‌کند؟
چه یک کمپین فیشینگ به صورت کاملاً هدفمند طراحی شده باشد یا به تعداد زیادی از افراد ارسال شود، همواره با یک پیام مخرب آغاز می‌شود. این پیام به گونه‌ای ساخته می‌شود که ظاهری مشابه پیام‌های یک شرکت معتبر داشته باشد. هرچه جزئیات پیام به واقعیت نزدیک‌تر باشد، شانس موفقیت مهاجم در فریب قربانیان افزایش می‌یابد. در حالی که اهداف مهاجمان متفاوت است، هدف کلی آن‌ها سرقت اطلاعات شخصی یا دسترسی به حساب‌های کاربری است. این حمله معمولاً با تأکید بر حس فوریت در پیام انجام می‌شود. برای مثال، ممکن است تهدید به تعلیق حساب، از دست دادن پول یا حتی از دست دادن شغل قربانی شود. کاربران فریب خورده تحت فشار به درخواست مهاجم عمل می‌کنند، بدون اینکه فرصت کنند به معقول بودن درخواست‌ها یا قانونی بودن منبع پیام فکر کنند. فیشینگ به طور مداوم تکامل می‌یابد تا فیلترهای امنیتی و تشخیص انسانی را دور بزند. به همین دلیل، سازمان‌ها باید به طور مداوم کارکنان خود را برای شناسایی آخرین روش‌های فیشینگ آموزش دهند. تنها کافی است یک نفر قربانی حمله فیشینگ شود تا یک رخنه جدی در داده‌ها رخ دهد. به همین دلیل، فیشینگ به عنوان یکی از مهم‌ترین تهدیدها شناخته می‌شود که کاهش آن از اولویت‌های اساسی است. با این حال، مقابله با فیشینگ چالش‌برانگیز است زیرا نیازمند آگاهی و هوشیاری انسانی در برابر این نوع حملات است.
تاریخچه فیشینگ (Phishing)
تاریخچه اصطلاح فیشینگ به طور کامل مشخص نیست، اما یکی از توضیحات رایج این است که فیشینگ مشابه کلمه “fishing” (ماهیگیری) است. این نام گذاری به این دلیل است که کلاهبرداری‌های فیشینگ از طعمه‌ها برای فریب دادن قربانیان استفاده می‌کنند، درست مانند ماهیگیری که برای گرفتن ماهی از طعمه استفاده می‌کند. توضیح دیگری برای منشأ فیشینگ به رشته‌ای از کاراکترها اشاره دارد که معمولاً در لاگ‌های چت AOL یافت می‌شد. این کاراکترها برچسبی رایج در زبان نشانه‌گذاری HTML بودند که در chat transcripts ظاهر می‌شدند. به دلیل تکرار زیاد این کاراکترها در این لاگ‌ها، مدیران AOL نمی‌توانستند به طور مؤثر از آن‌ها برای شناسایی فعالیت‌های مشکوک استفاده کنند. هکرها از این رشته به عنوان جایگزینی برای هرگونه اشاره به فعالیت‌های غیرقانونی، مانند سرقت اطلاعات کارت اعتباری یا حساب، استفاده می‌کردند. در اوایل دهه ۱۹۹۰، گروهی به نام Warez Group الگوریتمی برای تولید شماره‌های کارت اعتباری ایجاد کردند. این شماره‌ها به طور تصادفی تولید می‌شدند تا حساب‌های جعلی AOL ایجاد کنند که اسپم‌هایی به حساب‌های دیگر ارسال می‌کردند. برخی از هکرها همچنین سعی کردند نام‌های کاربری خود را تغییر دهند تا شبیه مدیران AOL شوند. سپس آن‌ها از این نام‌های کاربری برای فیشینگ افراد از طریق AOL Instant Messenger و سرقت اطلاعات آن‌ها استفاده می‌کردند. امروزه، حملات فیشینگ پیچیده‌تر و خطرناک‌تر از گذشته شده‌اند. با گسترش استفاده از شبکه‌های اجتماعی و روش‌های ورود مانند Facebook Login، مهاجمان می‌توانند با استفاده از یک رمز عبور فیشینگ شده، چندین نقض داده را انجام دهند و در معرض خطر حملات متعدد قرار گیرند.
انواع حملات فیشینگ:
- Email Phishing
این نوع از حملات که به “فیشینگ فریبنده” نیز معروف است، شامل ارسال ایمیل‌های جعلی با هدف سرقت اطلاعات حساس مالی و شخصی است. این ایمیل‌ها معمولاً به‌گونه‌ای طراحی شده‌اند که شبیه پیام‌های ارسالی از شرکت‌های معتبر باشند. آن‌ها اغلب حاوی لینک‌هایی هستند که کاربر را به وب‌سایت‌های جعلی هدایت می‌کنند، جایی که از او خواسته می‌شود اطلاعات شخصی خود را وارد کند.
- Trap Phishing
این نوع حمله بر پایه اشتباهات تیم‌های فناوری اطلاعات (IT) یک شرکت انجام می‌شود. مهاجمان و مجرمان سایبری همواره به دنبال آسیب‌پذیری‌ها و ضعف‌های امنیتی در سیستم‌های شرکت هستند.
- Spear Phishing
در این روش، یک گروه خاص یا فرد مشخصی، مانند مدیر سیستم یک شرکت، هدف قرار می‌گیرد. به عنوان مثال، یک ایمیل Spear Phishing ممکن است شامل اطلاعات مرتبط با حوزه کاری قربانی، یک لینک دانلود و یک درخواست فوری باشد. در این نوع حمله، مهاجم اغلب از قبل اطلاعاتی مانند نام، محل کار، عنوان شغلی و نقش قربانی را در اختیار دارد.
- Angler Phishing
این نوع حمله جدید از شبکه‌های اجتماعی برای فریب کاربران استفاده می‌کند. مهاجمان لینک‌های جعلی، وب‌سایت‌های کپی شده یا پیام‌هایی در پلتفرم‌های اجتماعی ارسال می‌کنند که کاربران را ترغیب به افشای اطلاعات حساس یا دانلود بدافزار می‌کند. کلاهبرداران همچنین حساب‌های جعلی مشابه برندهای معتبر ایجاد کرده و به پست‌های کاربران پاسخ می‌دهند تا اطلاعات آن‌ها را دریافت کنند.
- Whaling
Whaling نوعی فیشینگ هدفمند است که مدیران اجرایی ارشد مانند مدیرعامل (CEO) یا مدیر مالی (CFO) را هدف قرار می‌دهد. این نوع حمله ممکن است با ارسال ایمیلی از مدیر بخواهد اطلاعاتی را به روز کند یا تهدید کند که شرکت با پیامدهای قانونی فوری مواجه است که نیاز به اقدام سریع دارند.
- Voice Phishing (Vishing)
Vishing شامل تماس‌های تلفنی با هدف دستیابی به اطلاعات حساس شخصی یا سازمانی است. مهاجمان از اعتماد، ترس، طمع یا حس کمک به دیگران برای فریب قربانیان استفاده می‌کنند. نام “Vishing” از ترکیب کلمات “Voice” و “Phishing” گرفته شده است.
- Text Phishing (Smishing)
در Smishing، مهاجمان از پیامک یا SMS برای اجرای حملات خود استفاده می‌کنند. معمولاً پیام‌هایی حاوی لینک‌های کلیک پذیر یا شماره تلفن‌های بازگشتی به قربانی ارسال می‌شود که ممکن است منجر به فاش شدن اطلاعات حساس شود.
- Pharming
Pharming شامل دستکاری تنظیمات مرورگر قربانی است تا پاپ‌آپ‌های مشکوکی نمایش داده شود که از کاربر می‌خواهند روی لینکی کلیک کند. این لینک معمولاً کدی مخرب دانلود کرده و قربانی را به وب‌سایتی تحت کنترل مهاجم هدایت می‌کند. برای جلوگیری از این نوع حمله، هرگز روی لینک‌های موجود در پاپ‌آپ‌ها کلیک نکنید و آدرس وب‌سایت‌های معتبر را به صورت دستی در مرورگر وارد کنید.
عواقب حملات فیشینگ برای کاربران و سازمان‌ها:
حملات فیشینگ می‌توانند عواقب جدی و غیرقابل جبرانی برای افراد و سازمان‌ها داشته باشند. این حملات می‌توانند به صورت مستقیم به اطلاعات شخصی و مالی کاربران آسیب برسانند و حتی باعث خسارات جبران‌ناپذیر برای سازمان‌ها شوند. در اینجا برخی از عواقب مهم فیشینگ برای کاربران و سازمان‌ها آمده است:
عواقب حملات Phishing برای کاربران:
- سرقت پول از حساب بانکی شما: یکی از خطرات جدی حملات فیشینگ، دسترسی به اطلاعات بانکی است. کلاهبرداران می‌توانند از طریق ایمیل‌های جعلی، سایت‌های فیشینگ یا پیام‌های متنی کاربران را فریب داده و اطلاعات حساب‌های بانکی یا کارت‌های اعتباری آن‌ها را سرقت کنند، که در نهایت منجر به سرقت مستقیم پول می‌شود.
- از دست دادن دسترسی به عکس‌ها، ویدیوها و فایل‌های شخصی: برخی از حملات فیشینگ ممکن است به صورت حملات بدافزاری طراحی شوند که فایل‌ها و داده‌های شخصی کاربران را قفل کرده و دسترسی به آن‌ها را غیرممکن می‌سازند. این حملات می‌توانند شامل بدافزارهایی باشند که فایل‌های شخصی را قفل کرده و درخواست وجه برای آزادسازی آن‌ها داشته باشند.
- ارسال پست‌های جعلی از حساب‌های رسانه‌های اجتماعی شما: مهاجمان می‌توانند با دسترسی به حساب‌های رسانه‌های اجتماعی شما، پست‌های جعلی منتشر کنند یا حتی از نام شما برای ارسال پیام‌های فریبنده به دیگران استفاده کنند. این نوع حملات نه تنها باعث آسیب به اعتبار فرد می‌شود، بلکه می‌تواند روابط اجتماعی و حرفه‌ای او را نیز تهدید کند.
- جعل هویت شما توسط مجرمان سایبری که ممکن است دوستان یا خانواده شما را در معرض خطر قرار دهند: هکرها می‌توانند از هویت شما برای فریب دیگران استفاده کرده و اطلاعات حساس آن‌ها را نیز سرقت کنند. در چنین شرایطی، مجرمان سایبری می‌توانند به راحتی دوستان یا خانواده شما را نیز هدف قرار دهند، به ویژه اگر آن‌ها به شما اعتماد داشته باشند.
عواقب حملات فیشینگ برای سازمان‌ها:
- از دست دادن منابع مالی شرکت: حملات فیشینگ می‌توانند برای سازمان‌ها هزینه‌های هنگفتی به همراه داشته باشند. با دسترسی به اطلاعات حساس مالی یا حساب‌های بانکی شرکت، مجرمان سایبری می‌توانند به راحتی منابع مالی شرکت را به سرقت ببرند یا از آن‌ها سوءاستفاده کنند.
- افشای اطلاعات شخصی شرکا، همکاران و مشتریان: حملات فیشینگ ممکن است به افشای اطلاعات محرمانه و حساس سازمان‌ها منجر شود. این اطلاعات می‌تواند شامل جزئیات مالی، داده‌های شخصی کارکنان، شرکا و مشتریان باشد که در صورت افشا می‌تواند به طور جدی به شهرت و امنیت سازمان آسیب وارد کند.
- آسیب به اعتبار و شهرت سازمان شما: یکی از مهم‌ترین پیامدهای حملات فیشینگ برای سازمان‌ها، آسیب به اعتبار و شهرت آن‌ها است. اگر اطلاعات حساس مشتریان یا شرکای تجاری به دلیل حملات فیشینگ فاش شود، سازمان ممکن است اعتماد عمومی و مشتریان خود را از دست بدهد. این موضوع می‌تواند تبعات قانونی و مالی زیادی برای سازمان به همراه داشته باشد.
نشانه‌های رایج حملات فیشینگ:
نشانه‌های رایج یک حمله فیشینگ شامل لینک‌ها یا پیوست‌های مشکوک در ایمیل‌ها، اشتباهات املایی یا گرامری غیرعادی، درخواست‌هایی برای وارد کردن اطلاعات حساس و استفاده از فوریت یا تهدید برای انجام اقدامات سریع است. با افزایش دسترسی به هوش مصنوعی، ممکن است بسیاری از پیام‌های فیشینگ دیگر اشتباهات املایی یا گرامری غیرمعمول نداشته باشند. با پیچیده‌تر شدن این حملات، تاکتیک‌های امنیتی نیز باید تکامل یابند. برخی از نشانه‌های رایج فیشینگ عبارتند از:
- آدرس‌های ایمیل یا URL مشکوک
آدرس ایمیل فرستنده یا URL موجود در پیام ممکن است به طور جزئی تغییر کرده یا شبیه به یک منبع معتبر باشد که اغلب حاوی کاراکترهای اضافی یا اشتباهات املایی است.
- استفاده از عبارت‌های عمومی به جای خطاب مستقیم به فرد
پیام با یک سلام عمومی مانند “مشتری عزیز” آغاز می‌شود به جای استفاده از نام واقعی شما، که نشان می‌دهد این ایمیل یک ایمیل گروهی است نه یک ایمیل هدف گذاری شده.
- پیام‌هایی با لحن تهدیدآمیز یا اضطراری
ایمیل حاوی پیامی است که احساس فوریت یا ترس ایجاد می‌کند، مانند تهدید به تعلیق حساب یا اقدام قانونی، تا فرد را مجبور به انجام فوری عمل بدون بررسی دقیق کند.
- پیوست‌ها یا لینک‌های غیرمنتظره
ایمیل شامل پیوست‌ها یا لینک‌هایی است که انتظار نداشته‌اید و ممکن است حاوی بدافزار باشد یا شما را به یک سایت تقلبی هدایت کند.
- درخواست وارد کردن اطلاعات حساس
پیام، درخواست اطلاعات محرمانه مانند کلمات عبور، شماره کارت‌های اعتباری، کد ملی و … می‌کند که معمولاً سازمان‌های معتبر این اطلاعات را از طریق ایمیل درخواست نمی‌کنند.
- گرامر و املای ضعیف
ایمیل شامل اشتباهات املایی و دستوری قابل توجه است که اغلب نشانه‌ای از حملات فیشینگ خودکار یا غیرحرفه‌ای است.
- جزئیات فرستنده نادرست یا مشکوک
نام فرستنده با آدرس ایمیل مطابقت ندارد یا نام دامنه با سازمان ادعایی هماهنگ نیست، که نشان دهنده تلاش برای جعل هویت است.
- عدم تطابق در لوگوها یا برندینگ‌ها
عناصر بصری ایمیل، مانند لوگوها و برندینگ، به طور جزئی اشتباه، پیکسلی شده یا با برند سازمان واقعی ناسازگار به نظر می‌رسد، که نشان‌دهنده احتمال تقلبی بودن ایمیل است.
چرا فیشینگ یک تهدید بزرگ سایبری محسوب می‌شود؟
فیشینگ یکی از روش‌های محبوب و بسیار مؤثر در بین مجرمان سایبری است. این نوع حملات سایبری خطرناک هستند زیرا برخلاف دیگر حملات سایبری که معمولاً از آسیب‌پذیری‌های فناوری استفاده می‌کنند، فیشینگ به جای هدف قرار دادن سیستم‌ها و شبکه‌ها، از نقاط ضعف انسان‌ها بهره می‌برد. مهاجمان در این نوع حملات نیازی به نفوذ مستقیم به سیستم‌ها یا دور زدن ابزارهای امنیت سایبری ندارند. در واقع، آن‌ها به راحتی می‌توانند افرادی که دسترسی مجاز به منابع حساس دارند (مانند اطلاعات مالی، اطلاعات شخصی یا دیگر داده‌های محرمانه) را فریب دهند تا خودشان به طور غیرمستقیم به اهداف حمله دست یابند. کلاهبرداران فیشینگ ممکن است افرادی باشند که به طور مستقل اقدام به حمله می‌کنند یا گروه‌های جنایتکار پیچیده که از روش‌های پیشرفته و هماهنگ برای اجرای حملات خود استفاده می‌کنند. این حملات می‌تواند برای اهداف مختلف و به ویژه بدخواهانه‌ای مانند سرقت هویت، تقلب در کارت‌های اعتباری، سرقت پول، اخاذی، تصاحب حساب‌ها، جاسوسی و بسیاری از اهداف دیگر انجام شود. یکی از دلایل اصلی خطرناک بودن فیشینگ این است که این حملات می‌توانند هر کسی را مورد هدف قرار دهند، از افراد عادی گرفته تا شرکت‌های بزرگ و سازمان‌های دولتی. چون حملات فیشینگ به طور مستقیم از نقاط ضعف انسانی استفاده می‌کنند، ابزارهای نظارت بر شبکه‌های معمولی نمی‌توانند همیشه این حملات را شناسایی کنند. در واقع، یکی از ویژگی‌های بارز فیشینگ این است که حتی ابزارهای پیشرفته امنیتی ممکن است نتوانند متوجه حملات شوند تا زمانی که قربانی در دام کلاهبرداری گرفتار شده باشد. برای مثال، در برخی از حملات فیشینگ پیچیده، حتی کارکنان فناوری اطلاعات سازمان‌ها هم ممکن است ایمیل‌های جعلی را واقعی تشخیص دهند. برای مقابله مؤثر با فیشینگ، سازمان‌ها باید علاوه بر استفاده از ابزارهای پیشرفته شناسایی تهدیدات، برنامه‌های آموزشی جامع و مستمر برای کارکنان خود فراهم کنند. این آموزش‌ها باید به کاربران این امکان را بدهد تا به طور صحیح و سریع، تلاش‌های کلاهبرداری را شناسایی و به طور ایمن به آن‌ها واکنش نشان دهند. همچنین، باید یک فرهنگ امنیت سایبری ایجاد شود تا همه افراد در سازمان از خطرات فیشینگ آگاه باشند و بتوانند اقدامات لازم را در زمان مناسب انجام دهند.
راهکارهای پیشگیری از حملات فیشینگ:
برای جلوگیری از رسیدن پیام‌های فیشینگ به کاربران نهایی، متخصصان توصیه می‌کنند از لایه‌های امنیتی مختلف با استفاده از ابزارهای زیر استفاده کنید:
- نرم‌افزار آنتی ویروس
- فایروال‌های شبکه و دسکتاپ
- نرم‌افزار ضدجاسوسی (Antispyware)
- نوار ابزار ضد فیشینگ نصب شده در مرورگرهای وب
- فیلتر ایمیل در Gateway ورودی (Gateway Email Filter)
- دروازه امنیت وب (Web Security Gateway)
- فیلتر هرزنامه
- فیلترهای فیشینگ از شرکت‌هایی مانند مایکروسافت
- احراز هویت دومرحله‌ای (۲FA) موثرترین روش برای مقابله با حملات فیشینگ است. این روش یک لایه اضافی تأیید هنگام ورود به برنامه‌های حساس ایجاد می‌کند. ۲FA بر دو عامل تکیه دارد: چیزی که کاربر می‌داند (مانند رمز عبور و نام کاربری) و چیزی که کاربر دارد (مانند تلفن هوشمند). حتی اگر اطلاعات ورود کارمندان به سرقت برود، ۲FA مانع استفاده از این اطلاعات می‌شود، زیرا به تنهایی برای دسترسی کافی نیستند.
- علاوه بر استفاده از ۲FA، سازمان‌ها باید سیاست‌های مدیریت رمز عبور سختگیرانه‌ای اعمال کنند. به عنوان مثال، کارمندان باید موظف به تغییر دوره‌ای رمزهای عبور خود شوند و نباید اجازه داشته باشند از یک رمز عبور برای چندین برنامه استفاده کنند.
- کمپین‌های آموزشی نیز می‌توانند با تقویت اقدامات امنیتی، مانند عدم کلیک روی لینک‌های موجود در ایمیل‌های خارجی، تهدید حملات فیشینگ را کاهش دهند.
