خبرگزاري آريا - ماهنامه معيشت - مهدي اسدي وصفي: فيشينگ، فارمينگ، کليک جکينگ، داکسينگ و... . ممکن است هر يک از اين نام ها، بيانگر خاطره اي تلخ براي شما باشد. اين موارد روش هاي کلاهبرداري مدرن و مبتني بر کامپيوتر است. در دوران دانش آموزي، هنگام يادگيري مبحثي از کتاب ها ابر و باد و مه و خورشيد در خدمت بودند تا بلکه چيزي بياموزيم.


مادر صبح زود صبحانه فراهم مي کرد تا با کلي ناز و عشوه ميل کنيم. پدر با ماشين ما را به مدرسه مي برد و پس از کلي شيطنت معلم با آرامش و گام به گام بحث را آموزش مي داد و درآخر هم نيمي از بحث را گوش مي داديم و نيمي از آن را هم بي خيال مي شديم. همه سوختند تا ما چيزي ياد بگيريم و نشد. تصور کنيد مفهوم فيشينگ را چگونه ياد گرفتم؟ سوختم تا ياد گرفتم. درواقع زمانه با سوزاندن من اين موضوع را به من آموخت.
فيشينگ
يک روز خيلي زياد از موبايلم استفاده کردم و از آنجا که خطم ايرانسل بود، شارژم تمام شد. به سرعت به اينترنت متصل شدم تا کد شارژ تهيه کنم. سايت خاصي را هم نمي شناختم. طبيعي است که با جست و جوگر گوگل سايتي را پيدا کردم. در کادر جست و جوي گوگل نوشتم شارژ ايرانسل و روي يکي از نتايج کليک کردم. صفحه باز شد و پس از وارد کردن مشخصات شارژ به درگاه بانک X وصل شدم تا پول شارژ را پرداخت کنم.

وقتي مشخصات کارت، رمز دوم و ساير اطلاعات را وارد کردم با کليک بر گزينه پرداخت بعد از مدتي پيغام آمد: «با عرض پوزش ارتباط با سرور موقتا مقدور نمي باشد. » از آنجا که عجله داشتم بي خيال شدم و گفتم به يک عابربانک برسم، شارژ مي خرم. بعد از ده دقيقه پيامي آمد. به گوشي نگاه کردم. نوشته بود: «برداشت از حساب 20 ميليون تومان و مانده حساب 3 هزار تومان. »
فکر کردم کارت بانکي ام را دزديده اند. سريع داخل کيفم را بررسي کردم. کارت داخل کيفم بود. شوکه شدم و تپش قلب عجيبي گرفتم. به خانواده زنگ زدم که ببينم کسي خريدي داشته است؛ ديدم همه بي اطلاع اند. فکر به جايي قد نمي داد. تنها چيزي که به ذهنم رسيد تماس با پليس بود. با توضيح ماجرا براي پليس مرا به پليس فتا ارجاع دادند و آن جا فهميدم که مورد حمله قرار گرفته ام، فقط با ورود به يک سايت و وارد کردن اطلاعات کارت بانکي.
فيشينگ چيست؟
برخي Phishing را مخفف عبارت Harvesting Fishing Password (شکار کردن رمز عبور کاربر از طريق يک طعمه) و برخي ديگر آن را Fishing (استعاره از کلمه ماهيگيري) تعبير کرده اند؛ اما در اصطلاح کامپيوتري به معناي شبيه سازي قسمت هايي از يک سايت آشنا يا معروف است تا با گمراه کردن کاربر، به اطلاعات شخصي وي دسترسي پيدا کنند.
فيشينگ يکي از تکنيک هاي مهندسي اجتماعي است که در آن کلاهبردار از ضعف امنيتي يک وب سايت براي انجام عمليات مجرمانه خود استفاده مي کند.
فرايند کلاهبرداري از طريق فيشينگ
فرايند کلاهبرداري از طريق فيشينگ داراي سه مرحله به شرح زير است:
مرحله اول
ثبت دامنه جعلي. مهاجم در آغاز فرايند کلاهبرداري از طريق فيشينگ، يک آدرس اينترنتي مشابه با سايت شرکت يا سازمان رسمي و واقعي را براي خود تهيه و ثبت مي کند.
مرحله دوم
ايجاد يک سايت جعلي با ظاهري مشابه سايت اصلي. در اين مرحله کلاهبردار، صفحه اي مشابه با صفحه متناظر سايت اصلي طراحي مي کند تا از خطاي چشمي کاربر در جهت فريب آن بهره ببرد. در بسياري موارد اين شباهت در فرم هاي ورود اطلاعات، پيوندها، فونت ها و ساير موارد نيز رعايت مي شود تا کاربر کوچک ترين شکي به جعلي بودن سايت نکند. هرچه شباهت سايت جعلي به سايت اصلي بيشتر باشد، کاربر کمتر به جعلي بودن سايت شک مي کند و احتمال به قلاب افتادن او بيشتر است.
مرحله سوم
شکار طعمه و کسب اطلاعات او. در اين مرحله مهاجم با استفاده از روش هايي قربانيان خود را به سمت اين سايت جعلي جذب مي کند. يکي از مرسوم ترين روش ها، ارسال ايميل براي ميليون ها آدرس است. البته ارسال ايميل تنها راه صيد طعمه نيست، بلکه روش هاي ديگري از قبيل قرار دادن بنر تبليغاتي يا پيوندهاي جعلي در صفحات سايت هاي ديگر براي هدايت کاربر به سايت هاي جعلي نيز وجود دارد. زماني که کاربر به سايت هدايت شد، کلاهبردار با ظاهرسازي خوب و مناسب سايت، باعث مي شود تا کاربر مجاب شود که وارد سايت شرکت يا سازماني معتبر و رسمي شده است؛ بنابراين به راحتي اطلاعات شخصي خود را در محل هاي مورد نظر وارد مي کند.
تکنيک هاي فيشينگ
مهاجمان براي انجام فيشينگ، تکنيک هاي گوناگوني انجام مي دهند که در ادامه نحوه به کارگيري اين تکنيک ها، تشريح مي شود.
1. دستکاري و تقلب در لينک ها و آدرس ها
ارسال لينک ها و آدرس هاي متعلق به سازمان هاي غيرواقعي و جعلي از طريق ايميل، يکي از شيوه هاي متداول و رايج در فيشينگ است. در اين تکنيک کلاهبردار تنها با تغيير يک يا چند حرف از حروف آدرس اصلي يا از دامين هاي فرعي گمراه کننده براي ايجاد آن ها استفاده مي کند. محتواي ايميل به قدري شبيه به نسخه اصلي و قانوني است که کاربر هيچ شکي به تقلبي بودن سايت نمي کند و به سايت اعتماد مي کند. در اين تکنيک براي گمراه کردن کاربر از اسامي معتبري مانند gmail يا از حرف @ در آدرس استفاده مي شود تا بتواند اعتماد کاربر را جلب کند.

2. دور زدن فيلتر
از آنجا که برخي فيلترهاي ضدفيشينگ وجود دارد که متن هاي موجود در ايميل هاي حاوي آدرس هاي جعلي را شناسايي مي کند، فيشرها با استفاده از عکس به جاي متن، کار اين فيلترها را سخت کرده اند و در حقيقت اين فيلترها در شناسايي اين فيشينگ ها ناتوانند.
3. وب سايت جعلي
کلاهبرداري از طريق فيشينگ با وب سايت جعلي تنها با ورود و بازديد قرباني از سايت جعلي رخ نمي دهد، بلکه ممکن است کلاهبردار با دستورات جاوا اسکريپت، نوار آدرس را تغيير دهيد. درواقع فيشر با قرار دادن تصوير يک آدرس اينترنتي قانوني و موجه در نوار آدرس يا بستن نوار آدرس اصلي و باز کردن نوار آدرسي جديد با آدرسي اينترنتي قانوني و موجه، اين کار را انجام مي دهد.
حتي ممکن است کلاهبردار با استفاده از نقايص موجود در برنامه جاوا اسکريپت سايتي معتبر و قانوني، قرباني را به صفحه اينترنتي که در آن همه چيز از آدرس سايت گرفته تا گواهي امنيتي، همه درست و صحيح به نظر مي رسند، هدايت کند.
در حقيقت لينک دادن به صفحه اصلي ترفندي براي به ثمر رساندن سرقت و انجام دادن حمله است. کشف اين نوع حمله ها (که به کراس سايت اسکريپتينگ معروف هستند) براي افرادي که دانش لازم را ندارند، کار بسيار سختي است. فيشرها بدين دليل از اين تکنيک استفاده مي کنند که گاهي ساب دامين هاي سايت تقلبي به اندازه اي طولاني است که در نگاه اول آدرس اصلي سايت قابل ديدن نيست.
همچنين کاربران به اندازه کافي به آدرس سايت دقت نمي کنند و فقط با ديدن استايل صفحه، شروع به وارد کردن اطلاعات مي کنند. نبايد فراموش کرد که علاوه بر موارد فوق ايجاد يک وب سايت، بسيار ساده است و مي تواند با هزينه ناچيز يا گاهي بدون هزينه، صفحه تقلبي مورد نظرش را بسازد.
4. بدافزارهاي فيشينگ
نرم افزارهايي هستند که معمولا از طريق پيوست هاي ايميل يا به عنوان لينک دانلود مثلا يک فيلم به هدف تحويل داده مي شود. سپس اين بدافزارها بر روي کامپيوتر، موبايل يا ساير دستگاه ها نصب شده و اعمال مختلفي را انجام مي دهند. اين بدافزارها ممکن است اقدام به تغيير دادن محتواي صفحات کنند يا کاربر را به صفحات دلخواه هکر هدايت کرده، سپس از تکنيک هاي ديگر براي به دست آوردن اطلاعات مهم استفاده کنند.
بدافزارهاي فيشينگ معمولا در گروه حملات مرد مياني (Man-In-The-Middle) قرار دارند. برنامه فيشينگ Man-In-The-Middle، که در سال 2007 کشف شد، از رابطي ساده استفاده مي کرد که به فيشر (مهاجم) اجازه مي داد بدون هيچ مشکلي سايت هاي خاصي را مجددا ايجاد کند و جزييات اطلاعات ورود يا لاگين افراد (نام کاربري و رمز عبور) وارد شده در وب سايت جعلي را براي ورود به سايت هاي اصلي ثبت و ضبط کند.
5. فيشينگ از طريق تلفن
حملات فيشينگ فقط به اينترنت محدود نمي شوند و ممکن است فيشينگ با تلفن صورت پذيرد. در اين روش مهاجم با فرستادن پيام، خود را کارمند بانک جا مي زند و از مشتري مي خواهد براي رفع مشکل حسابش در اسرع وقت، با يک شماره (که يک سرويس تلفن اينترنتي و متعلق به کلاهبردار است) تماس بگيرد.

به محض تماسِ مشتري دستوراتي به او داده مي شود تا شماره حساب و رمز خود را وارد کند و به اصطلاح در قلاب ماهيگير بيفتد. در اين روش فيشرها براي واقعي جلوه دادن تماس، گاهي اوقات از داده هاي جعلي براي کالر آي دي (نمايش شماره تماس گيرنده روي تلفن) استفاده مي کنند.
در اين روش (Vishing)، مهاجم با ادغام اين تکنيک ها (Phishing) و تماس هاي صوتي (Voice)، شانس موفقيت حمله خود را بسيار زياد افزايش مي دهد. همچنين ممکن است کاربران با تهديدهاي آنلاين آشنا باشند، اما با برقراري تماس صوتي يا پيامک در قالب رسمي و قانوني گول بخورند و هکر بتواند حملات فيشينگ خود را به صورت بهينه انجام دهد. توجه کنيد که ممکن است براي جلب اعتماد شما، در طرف مقابل دستگاه خودکار پاسخگوي تلفن راه اندازي شده باشد.
6. فيشينگ از طريق پيام رسان
تلگرام، وايبر، واست آپ، ياهو مسنجر و. . . ، برنامه هاي پيام رساني هستند که براي کاربران خود امکان برقراري ارتباط متني، صوتي و تصويري را با کاربران ديگري که در فهرست آن ها هستند، فراهم مي سازند. هکرها مي توانند با شناسايي دوستان هدف مورد نظر و ساخت حساب کاربري با مشخصات يکي از دوستان وي يا هک کردن اکانت يکي از دوستانش، به شخص مورد نظر دسترسي پيدا کنند.
از آنجا که هدف به دوستان خود اعتماد بيشتري دارد و اکانتي به نام يکي از دوستانش در دست هکر است، خيلي راحت مي تواند فريب بخورد و اطلاعاتي را که هکر مي خواهد در اختيار وي قرار دهد. به دليل اينکه ايجاد يک اکانت با مشخصات دوست هدف بسيار ساده و در شرايطي غيرقابل ردگيري است و هر شخصي معمولا اعتماد زيادي به دوستان موجود در ليست خود دارد، کارآيي اين تکنيک افزايش مي يابد.
7. نرم افزارهاي جاسوسي
در اين تکنيک، فيشر از روش هاي مختلف مانند کليک کردن بر روي يک لينک، نرم افزارهاي جاسوسي را وارد سيستم مي کند که اين نرم افزار به صورت يک کد مخرب هيچ تخريب يا عمل ديگري انجام نمي دهد تا وقتي که کاربر آدرس يک وب سايت معروف مانند سايت يک بانک را درج کند، اين نرم افزار به کار افتاده و کاربر را به صورت خودکار به يک وب سايت جعلي شبيه بانک هدايت مي کند.
حالا شما وقتي مي خواهيد خدمات بانکي انجام دهيد، وارد باکس مورد نظر البته در وب سايت جعلي شده و با وارد کردن رمز و شناسه کاربري، اطلاعات خود را در اختيار فيشر قرار مي دهيد. اين روش آخرين بار براي کاربران وب سايت گوگل اتفاق افتاد.
8. ساير روش ها
نوع ديگري از حمله به اين شرح است که قرباني را به وب سايت اصلي بانک ارجاع مي دهند، سپس يک پنجره پاپ آپ در بالاي صفحه سايت به شکلي در مي آيد که کاربر تصور مي کند اين صفحه و اين سايت متعلق به بانک است. از اين طريق اطلاعات حساس قرباني درخواست مي شود که قرباني با اعتمادي که به سايت دارد، اطلاعات خود را وارد مي کند.
روش ديگر که يکي از جديدترين روش هاي فيشينگ است، تب نبينگ نام دارد. در اين روش از صفحاتي که کاربر باز کرده استفاده مي شود . کاربر به طور آهسته به سايت ساختگي ارجاع داده مي شود.
روش ديگري که در فرودگاه ها، هتل ها و ساير اماکن عمومي استفاده مي شود، دوقلوهاي شر يا Evil Twins است. در اين روش فيشر شبکه اي بي سيم (وايرلس) ساختگي ايجاد مي کند که اين شبکه مي تواند در مکان هاي عمومي وجود داشته باشد. با ورود کاربر به اين شبکه جعلي، فيشر سعي مي کند رمزهاي عبور و ساير اطلاعات مرتبط با کارت اعتباري او را ثبت و ضبط کند.
نکاتي براي شناسايي و پيشگيري از حملات فيشينگ
1. همان طور که بيان شد، بيشتر هدف فيشينگ دسترسي به اطلاعات شخصي و به ويژه اطلاعات مربوط به حساب شماست. احتياط و بهترين روش براي جلوگيري از تحقق هدف فيش اين است که حساب يا کارتي که با آن خدمات اينترنتي انجام مي دهيد، حداقل موجودي را داشته باشد؛ زيرا در صورت دسترسي کلاهبردار به اطلاعات شما ضربه زيادي به شما نمي رسد.
شايان ذکر است که اگر هم براي نقل و انتقالات خود سقف تعيين کنيد، باز فيشر مي تواند با خريد کالاهايي چون سکه موجودي کارت شما را خالي کند. همچنين از سيستم اطلاعات يک بار مصرف که در برخي از بانک ها فعال شده، استفاده کنيد به اين روش که در هر بار استفاده اينترنت، يک رمز براي شما پيامک مي شود که با وارد کردن آن رمز فقط براي يک بار، مي توانيد فرايند خود را به اتمام برسانيد.
2. منطق اين حملات بر اين پايه روان شناسي استوار است که اعتماد قرباني را جلب کند. در اين گونه حملات مهاجمان با ايجاد روابط صميمي و دوستانه خود را به هدفشان نزديک مي کنند و پس از جلب اعتماد قرباني، از وي درخواست اطلاعات يا کاري را مي کنند که به آن نياز دارند. معمولا افرادي که با چاپلوسي و زبان بازي ميانه خوبي دارند، مي توانند در انجام اين گونه حملات موفق باشند.
بنابراين با اعتماد نکردن بي دليل و بيش از اندازه مي توانيد بيشتر حملات را ناکارآمد کنيد. معيار شما براي اعتماد به طرف مقابل قانون باشد تا لطمه اي نبينيد يا در صورت شکست احتمالي لااقل پشتوانه و حمايت قانون را داشته باشيد.
3. يکي از روش هاي رايج در فيشينگ ارسال آدرس با ايميل است. به هيچ وجه به آدرس ارسال کننده ايميل اعتماد نکنيد! اگر ايميلي در پوشه هرزنامه يا اسپم شما بود، به احتمال زياد محتواي آن يا تبليغاتي است يا فيشينگ. اين ايميل هاي ناشناس و ضمائم آن ها را باز نکنيد!
4. آدرس سايت ها را خود وارد کنيد و روي لينک هايي که از صحت آن ها مطمئن نيستيد، کليک نکنيد.
5. قبل از هرگونه اقدامي براي پيام دريافتي پيرامون درستي پيام تحقيق کنيد. از آنجا که از هک شدن اکانت دوستتان اطلاع نداريد، بنابراين چنانچه به پيام هايش مشکوک شديد، با دوستتان به صورت تلفني تماس بگيريد يا از سوال هاي از پيش تعيين شده استفاده کنيد.

6. اگر از شما درخواست پاسخ دادن يا فرستادن يک کد شده باشد، به هيچ وجه کد گفته شده را به آن شماره نفرستيد.
7. به خاطر داشته باشيد که اصلاح اطلاعات حساب بانکي هيچ گاه به صورت تلفني صورت نمي گيرد. چنانچه تغيير يا اصلاحي نياز باشد، حتما بايد به صورت حضوري و با امضاي فرم هاي مشخص انجام شود. دريافت پيامي در اين زمينه خبر از کلاهبرداري مي دهد.
8. همان طور که گفته شد، افراد معمولا به لينک هايي که متن آن ها خود به صورت لينک است، اعتماد کرده و بدون توجه به لينک اصلي، بر روي آن کليک مي کنند. با بردن اشاره گر ماوس بر روي لينک، در پايين مرورگر و در قسمت استاتوس بار، مي توانيد آدرس اصلي را که لينک به آن اشاره مي کند، ببينيد. به عبارت ديگر، هيچ وقت به متن لينک به عنوان آدرس آن نگاه نکنيد.
9. دانش خود را در مورد مباحث هک و امنيت و انواع آسيب پذيري ها افزايش دهيد. با افزايش دانش خود نه تنها مي توانيد اين حملات را تشخيص دهيد، بلکه به دليل آشنايي با مباحث در اين زمينه از وسواس جلوگيري مي شود و با اطمينان بيشتر مي توانيد از امکانات مدرن استفاده کنيد.
10. از ذخيره اطلاعات حساب يا اطلاعات خصوصي خود روي گوشي ها خودداري کنيد.
11. يکي از مواردي که زمينه ساز وقوع و موفقيت حمله فيشينگ است، بي حوصلگي و بي توجهي کاربران به هشدارهاي امنيتي است. متاسفانه در اکثر موارد کاربران دقت و توجه کافي براي خواندن متن پيام هاي هشداري که به آن ها داده مي شود، به کار نمي برند و اين به نوبه خود اين امکان را به سارق مي دهد تا حمله خود را عملي سازد. از اين رو پيشنهاد مي شود اگر خسته شده ايد، کارهاي حساس بانکي و مالي برخط را کنار بگذاريد؛ زيرا تمام کارهايي که در زمان خستگي انجام مي دهيد، مي تواند ريسک بالاي امنيتي را به همراه داشته باشد.
12. وارونه سازي و جا به جايي راست چين/ چپ چين کردن متن ها، يکي از جديدترين ترفندهاي کلاهبرداران است. درواقع کلاهبرداران با اين روش، سيستم هاي ضداسپم را دور مي زنند و به صندوق هاي ايميل کاربران راه پيدا مي کنند. با شناختن اين ترفند مي توانيد ايميل هاي فيشينگ را از ايميل هاي سالم تشخيص دهيد.
ساير روش هاي هک حساب کاربري آنلاين
فيشينگ تنها روش هک حساب نيست و روش هاي ديگري از قبيل فارمينگ، کليک جکينگ، داکسينگ و. . . هم وجود دارند. براي آشنايي بيشتر با هر يک از اين روش هاي هک و همچنين تفاوت اين روش ها با هم به مطلب زير توجه کنيد.
روش هايي براي هک کردن حساب کاربري آنلاين
کليک جکينگ: مخفي کردن لينک هايي زير محتوي قابل کليک که وقتي روي آنها کليک مي کنيد باعث مي شود شما نرم افزار مخرب دانلود کنيد يا کاري را انجام دهيد.
داکسينگ: انتشار عمومي اطلاعات مهم و محرمانه شخصي از طريق شبکه هاي اجتماعي.
فارمينگ: هدايت کاربران از يک وب سايت مشروع به وب سايت متقلب براي اهدافي نظير استخراج اطلاعات محرمانه.
اسپوفينگ: فريب دادن کامپيوترها يا کاربران به وسيله مخفي کردن يا هويت هاي جعلي. ايميل اسپوفينگ از يک ايميل جعلي يا شبيه سازي آدرس ايميل واقعي بهره مي گيرد.
بيتينگ: کسي به شما حافظه فلش يا سي دي و. . . مي دهد که در آن نرم افزار مخرب وجود دارد، به کامپيوتر شما وصل مي شود و يک در (در پشتي) به هکرها مي دهد تا به اطلاعات شما دسترسي داشته باشند.
کراس- سايت اسکربيتينگ: تزريق کدهاي مخرب به سايت هاي مورد اعتماد شما.
مهندسي اجتماعي: استراتژي هايي براي گرفتن اطلاعات مهم از مردم بدون اينکه احساس کنند بازجويي مي شوند.
فيشينگ: به صورت رايج به صورت يک ايميل معمولي از طرف شخصي يا سازماني است که در آن نرم افزار يا لينک مخرب تعبيه شده است.

کلیدواژه: کلاهبرداری از طریق فیشینگ | وب سایت جعلی | داده می شود | یک وب سایت | سایت اصلی | آدرس اصلی | نرم افزار | وارد کردن | نوار آدرس | مورد نظر | تکنیک ها | سایت ها | لینک ها | روش ها | بر روی

منبع: خبرگزاری آریا

منبع این خبر، وبسایت www.aryanews.com است و سایت «رویداد ۲۴» مسئولیتی در قبال محتوای آن ندارد. چنانچه این خبر را شایسته تذکر می‌دانید، خواهشمند است کد ۱۴۷۰۷۳۹۷ را همراه موضوع به آدرس info@porsyar.com ارسال فرمایید.
با عنایت به اینکه سایت «رویداد ۲۴» مصداق بستر مبادلات الکترونیکی متنی، صوتی و تصویر است، مسئولیت نقض حقوق تصریح شده مولفان در قانون فوق از قبیل تکثیر، اجرا و توزیع و یا هر گونه محتوی خلاف قوانین کشور ایران بر عهده منبع مطلب و کاربران است.

خلبان ایرانی که صدام دستور داد پیکرش را دو نیم کنند را بشناسید

مزاحمت‌هایی که نصیب آیت الله هاشمی می شد الان نصیب ما شده/پنج نفر از اعضای خانواده ما مممنوع الخروج هستند/فکر می کنند اسناد سری داریم که می خواهیم منتشر کنیم/حجاب را به صورت سنتی و بدون هیچ تحقیقی انتخاب کردم/ازدواج موقت همان دوست دختر پسری است

بررسی وحشتناک ترین جملات ترامپ در سخنرانی مجمع عمومی سازمان ملل متحد

در همین زمینه