درباره‌ی فیشینگ و بررسی روش‌های هکرها

به گزارش ایمنا این روزها خبرهای زیادی مبنی بر خالی کردن حساب افراد از طریق کلاه‌برداری و تقلب بر سر زبان‌ها است و درمیان این اخبار کلمه فیشینگ بیش از هر چیز استفاده می‌شود، اما اینکه این عملیات نسبتاً نوظهور در ایران و دنیای مجازی چیست و چگونه انجام می‌شود نیاز به توضیحاتی دارد که بعضاً ممکن است تخصصی  باشند.

فیشینگ چیست؟

حمله فیشینگ (Phishing) : به تلاش برای به‌دست آوردن اطلاعاتی مانند نام کاربری، کلمات عبور، جزئیات حساب بانکی، اطلاعات کارت‌بانکی و مانند آن‌ها از طریق جعل یک وبگاه آدرس ایمیل و مانند آن‌ها گفته می‌شود. به بیان ساده‌ هنگامی‌که شخصی تلاش می‌کند دیگری را فریب دهد تا اطلاعات او را در اختیار بگیرد یک حمله فیشینگ رخ می‌دهد.

فیشنگ یکی از دقیق‌ترین و محبوب‌ترین روش هکرها برای سرقت اطلاعات مختلف است که در آن هکر سعی می‌کند با استفاده از روش‌های جعل، خود را به‌جای صفحات اینترنتی و دیگر منابع قابل‌اعتماد جا بزند تا اطلاعات موردنظرش را به دست آورد، تقریباً بیش از دو دهه از اولین حمله فیشینگ اینترنتی می‌گذرد و تکنیک‌های آن به‌مرور دست‌خوش تغییرات زیادی شده است.

هک فیشینگ یا همان Phishing مخفف عبارت Password Harvesting Fishing به‌معنی شکار کردن گذرواژه کاربر از طریق یک طعمه است که از عمد برای القای مفهوم فریب در آن، از حروف PH به‌جای F استفاده می‌شود. همچنین به‌طورمعمول، به مهاجمی که از تکنیک فیشینگ برای حمله استفاده می‌کند، فیشر یا Phisher گفته می‌شود. حقه فیشینگ برای اولین بار در سال ۱۹۸۷ تعریف شد و اولین باری که واژه فیشینگ برای نام‌گذاری این واژه استفاده گردید سال ۱۹۹۶ بود.

فیشینگ چگونه انجام می‌شود؟

وب‌سایت‌های محبوب، وب‌گاه‌های پرداخت آنلاین، شبکه‌های اجتماعی و حتی مدیران IT از اهداف حملات فیشینگ هستند. علاوه بر آن ایمیل‌هایی باهدف فیشینگ ارسال می‌شوند و حاوی پیوند (لینک) به یک وبگاه هستند که در اکثر موارد حاوی بدافزار هستند.
فیشینگ در مجموعه بزرگ‌تری از انواع هک بانام مهندسی اجتماعی دسته‌بندی می‌شود. مهندسی اجتماعی یکی از روش‌های مرسوم هک است که بر مسائل فنی تأکیدی ندارد و با تکیه‌بر پایه‌های روانشناسی سوژه هدف عمل می‌کند. . در کلاه‌برداری فیشینگ قربانیان به‌صورت مستقیم اطلاعات حساس و محرمانه خود را در وب‌سایت‌های جعلی که در ظاهر کاملاً شبیه وب‌سایت‌های سالم و قانونی می‌باشد وارد می‌نمایند.
به‌عنوان‌مثال در مهندسی اجتماعی با ایجاد احساس طمع جهت دریافت مبلغ بالای یک قرعه‌کشی بانکی از وی اطلاعات بانکی می‌گیرند یا با ایجاد ترس از قطع شدن سرویس‌های یارانه‌ای دولتی، همچون قطع یارانه، ابطال کارت سوخت، قطع سهمیه‌های دولتی و … سوژه موردنظر اطلاعات خود را در اختیار هکر قرار می‌دهد.

فیشرها معمولاً پیام‌های گول‌زننده را در قالب پیشنهادات وسوسه کننده از قبیل خرید ارزان کارت شارژ یا برنده شدن در قرعه‌کشی و یا در قالب اطلاعیه‌های هشدار مانند تغییر سریع رمز عبور یا قطع حقوق و یارانه  ارسال می‌کنند تا اطلاعات کاربران را به چنگ آورند.

انواع فیشینگ

فیشینگ تلفنی: فیشرها در این روش از طریق تلفن و شماره ناشناس با اشخاص ارتباط برقرار می‌کنند و خود را نماینده بانک، شرکت معتبر و یا سازمانی که شما می‌شناسید معرفی می‌کنند و از شما می‌خواهند جهت دریافت جایزه خود یا جهت رفع مشکلات ایجادشده در حساب بانکی، اطلاعات بانکی خود را در اختیارشان قرار دهید.

فیشینگ پیامکی: فیشرها با ارسال پیامک به شماره همراه شما، اعلام می‌کنند که حساب بانکی شما دچار مشکل شده است و شمارا به زنگ زدن به شماره تماسی جعلی (سرویس تلفن اینترنتی) هدایت می‌کنند و سپس از شما شماره‌حساب و رمز کارت و یا حتی رمز دوم را می‌خواهند، نکته مهم این است که برای واریز هرگونه وجه از قبیل جایزه، پاداش و مزایا به‌حساب شما، نیازی به اعلام رمز بانکی شما نخواهد بود. گاه فیشرها با ارسال لینک جعلی در اس‌ام‌اس افراد را به صفحات جعلی هدایت می‌کنند.

فیشینگ ایمیلی: در فیشینگ با ایمیل فیشر با ارسال ایمیل‌های فریبنده به طعمه‌ها می‌کوشد بابیان دلایل مختلف مخاطبان را به واردکردن اطلاعات بانکی خود وادار کند، ممکن است این ایمیل به‌ظاهر از طرف بانک شما، یک شرکت معتبر یا حتی بانک مرکزی ارسال شود و از شما درخواست کند ظرف زمان معینی اطلاعات بانکی خود را ارسال کنید، نکته قابل‌توجه این است که سیستم مالی و بانکی هیچ‌گاه از طریق ایمیل از شما درخواست ن اطلاعات بانکی نمی‌کند و شما حتی مجاز به اعلام رمز بانکی خود به کارکنان بانک هم نیستید. یکی از شیوه‌های رایج در فیشینگ ارسال لینک‌های متعلق به سازمان‌های غیرواقعی طریق ایمیل می‌باشد. تفاوت این آدرس‌ها با آدرس اصلی یک یا دو حرف است یا از دامنه‌های فرعی گمراه‌کننده برای ایجاد آن‌ها استفاده گردیده است.
دور زدن فیلتر: فیشرها با استفاده کردن از عکس به‌جای متن، کار فیلترهای ضد فیشینگ را که کار شناسایی متن‌هایی ایمیل شده که حاوی آدرس جعلی هستند را سخت می‌کنند.

طراحی صفحه‌ای نظیر درگاه پرداخت بانک: هکر در این روش صفحه‌ای مشابه درگاه پرداخت آنلاین بانک‌ها طراحی می‌کند و با قرار دادن این صفحه جعلی در فروشگاه‌های صوری و با ارائه پیشنهادهای وسوسه کننده خرید سعی می‌کند شمارا وادار کند وارد صفحه پرداخت جعلی که طراحی کرده بشوید و وجه انتقال دهید، به‌محض ورود به این صفحه جعلی و ارائه اطلاعات بانکی، اطلاعات شما به‌صورت خودکار برای فیشر ارسال می‌شود و او به دسترسی به‌حساب شما خواهد بود، امن‌ترین درگاه، درگاه پرداخت بانک مرکزی به نام شاپرک است و در کنار آن حتماً باید نام یکی از psp‌های (شرکت‌های پرداخت الکترونیک) مطرح درج‌شده باشد.

بهترین روش مقابله با این نوع از حمله‌های فیشینگ دقت به URL درگاه پرداخت است.استفاده از سیستم‌های انتقال وجه معتبر هم‌ می‌تواند مفید باشد. هرکدام از سایت‌های بانک‌ها از آدرس مشخصی برای درگاه پرداخت خود استفاده می‌کنند هر آدرس دیگری می‌تواند نشانه یک حمله فیشینگ باشد. درگاه‌های پرداخت بانک‌ها از کدهای امنیتی با ضریب اطمینان بالا استفاده می‌کنند و اغلب در آدرس سایت عبارت https:// قابل‌مشاهده خواهد بود.

فیشینگ با دستگاه‌های POS و ATM تقلبی: برخی کلاه‌برداران با استفاده از POS و ATM تقلبی کارت‌های بانکی طعمه‌های خود را کپی کرده و به بهانه فروش محصول و کالا رمز عبور آن‌ها را می‌پرسند و سپس به‌راحتی حساب بانکی افراد را خالی می‌کنند. بهتر است هیچ‌گاه رمز عبور خود را در اختیار فروشندگان قرار ندهید.

ربات تلگرام و فیشینگ: ربات‌های تلگرام این روزها به بسیاری از کارهای ما سرعت بخشیده‌اند، اما تلگرام بستر مناسبی برای انتقال وجه نیست و گاه هکرها به بهانه انتقال وجه و یا حتی دریافت خدمات و یا خرید محصولی و یا حتی با نوشتن پست‌های وسوسه‌برانگیز و تحریک افراد برای عضو شدن در کانال و یا گروه‌هایی، اطلاعات شخص را سرقت می‌کنند.

نرم‌افزارهای مخرب: در این روش، فیشرها سعی می‌کنند تا روی دستگاه قربانی، یک برنامه آلوده به بدافزار را اجرا کنند. پس از فعال شدن بدافزار، مجرمان می‌توانند با دسترسی به کامپیوتر یا موبایل قربانی، اطلاعات حساس او را به چنگ آورند. از نرم‌افزارهایی که حاوی لینک یک صفحه تقلبی هستند نیز برای انجام فیشینگ استفاده می‌شود. نرم‌افزار و بازی‌های جنجالی و اغلب تحت عناوین مستهجن (مثل صیغه یاب، ماهواره جیبی و …) از خطرناک‌ترین نرم‌افزارهای مورداستفاده برای فیشینگ هستند، قربانی پس از نصب نرم‌افزارهای جعلی، اقدام به پرداخت مبلغ خدمات در داخل نرم‌افزار می‌کند، و اطلاعات کارت‌بانکی خود را در اختیار فیشر گذاشته است.

فیشینگ با اپلیکیشن‌های اندروید: اپلیکیشن‌های نامعتبر اندرویدی راهکار خوبی برای کلاه‌برداران اینترنتی هستند تا از طریق آن‌ها بتوانند به حساب‌های کاربری و بانکی مخاطبان دسترسی پیدا کنند.

فیشینگ هدف‌دار یا اسپیر فیشینگ (Spear Phishing): این نوع فیشینگ، فرد یا افراد خاصی را موردحمله قرار می‌دهد، به‌طوری‌که مهاجم ابتدا از قربانیان خود اطلاعاتی جمع‌آوری کرده و در پیام‌های خود از آن‌ها استفاده می‌کند تا فرد بیشتر اعتماد کند. مثلاً در پیام خود از نام، نام خانوادگی، علایق، شماره تلفن و … استفاده می‌کند تا قربانی به نامعتبر بودن ایمیل شک نکند.

مثلاً این دو پیام را در نظر بگیرید:

-شما برنده قرعه‌کشی بانک X شده‌اید.

-جناب آقای حسین صدری، شما برنده قرعه‌کشی بانک ملت شده‌اید.

قطعاً پیام دوم بیشتر از پیام اول می‌تواند اعتماد قربانی را به خود جلب کند.

فارمینگ (Pharming): در حمله فارمینگ، مجرمان سایبری فایل‌های هاست یک وب‌سایت یا سامانه نام دامنه (DNS)  آن‌ را دست‌کاری می‌کنند، بنابراین وقتی کاربران برای ورود به سایت آدرس درست آن را وارد می‌کنند، بدون این‌که متوجه شوند وارد یک صفحه تقلبی می‌شوند و در صورت واردکردن اطلاعات، آن‌ها را تقدیم هکرها می‌کنند. این‌یکی از خطرناک‌ترین روش‌های فیشینگ است زیرابه دلیل صحیح بودن آدرس وب‌سایت، امکان تشخیص درست توسط کاربر وجود ندارد.

نتایج جستجو: در این حالت هکر با استفاده از روش‌های جدید و تبلیغات در موتورهای جستجو، یک وب‌سایت جعلی را در نتایج بالا می‌آورد و کاربران بی‌خبر از همه‌جا، روی نتایج اولیه کلیک کرده و اطلاعات شخصی خود را در یک سایت مخرب وارد می‌کنند. البته این روزها موتورهای جستجوی بزرگ مثل گوگل با طرح‌های فیشینگ مبارزه می‌کنند اما گاهی اوقات این سایت‌ها هم در شناسایی این وب‌سایت‌های فیشینگ با مشکل مواجه می‌شوند.

پاپ آپ: نوعی از حمله فیشرها که موفقیت‌آمیز بودنش ثابت‌شده است، ارجاع دادن قربانی به وب‌سایت اصلی بانک است، سپس یک پنجره پاپ آپ به شکلی که به نظر می‌رسد این صفحه و سایت متعلق به بانک است در بالای صفحه سایت به نمایش درمی‌آید و اطلاعات قربانی را درخواست می‌کند

 تب نبینگ: یکی از جدیدترین روش‌های فیشینگ،. این برنامه از صفحاتی که کاربر بازکرده استفاده می‌کند و به‌طور آهسته کاربر را به سایت ساختگی ارجاع می‌دهد

دوقلوهای شر یا Evil twins روشی است که شناسایی و کشف آن کار بسیار سختی است، فیشر یک شبکه بی‌سیم (وایرلس) ساختگی ایجاد می‌کند. این شبکه همانند شبکه‌های معتبر عمومی و قانونی می‌تواند در مکان‌های عمومی مانند فرودگاه‌ها، هتل‌ها و کافی‌شاپ‌ها وجود داشته باشد. وقتی‌که یک نفر وارد شبکه جعلی می‌شود، فیشر سعی می‌کند رمزهای عبور و یا سایر اطلاعات مرتبط باکارت اعتباری او را ثبت و ضبط کنند.

جاوا اسکریپ: در برخی از روش‌های فیشینگ از دستورات جاوا اسکریپت استفاده می‌شود تا نوار آدرس را اصلاح کند و تغییر دهد. این کار با قرار دادن تصویر یک آدرس اینترنتی قانونی و موجه در نوار آدرس یا بستن نوار آدرس اصلی و باز کردن یک نوار آدرس جدید که حاوی آدرس اینترنتی قانونی و موجه است، انجام می‌شود..

فیشر می‌تواند از نقایص موجود در برنامه جاوا اسکریپت یک سایت معتبر و قانونی علیه قربانیان خود استفاده نمایند. این نوع حمله‌ها ( که به کراس سایت اسکریپتینگ معروف هستند) سخت و پیچیده هستند، چون قربانی را به صفحه اینترنتی ثبت‌نام خدمات بانکی خود ارجاع می‌دهند، صفحه‌ای که در آن‌همه چیز از آدرس سایت گرفته تا گواهی امنیتی، درست و صحیح به نظر می‌رسند. در حقیقت لینک دادن به صفحه اصلی حقه‌ای برای به ثمر رساندن سرقت و انجام دادن حمله است. با انجام این کار کشف این حمله برای افرادی که دانش لازم را ندارند، کار بسیار سختی است. در سال ۲۰۰۶ چنین حمله‌ای علیه سایت Pay Pal انجام شد.

فیشینگ از طریق رخنه‌های امنیتی: یک نمونه از حملات فیشینگ ایجاد صفحه وب‌سایتی جدید در وب‌سایت شما می‌باشد. در این حمله یک هکر از حفره‌های امنیتی موجود در سایت شما استفاده کرده و پس از نفوذ به آن ، صفحه وبی جدید دقیقه مشابه با صفحه ورود به یک بانک در وب‌سایت شما ایجاد کرده و از کاربران اطلاعات بانکی و تجاری را می‌خواهد . کاربر اطلاعات حساب خود را از طریق وب‌سایت شما وارد کرده و این اطلاعات به هکر ارسال خواهد شد و درنهایت و در صورت شکایت کاربران نیز، هیچ آثاری از هکر باقی نمانده و همه به وب‌سایت شما مشکوک خواهند بود.

برای از کار انداختن تکنیک‌ها و برنامه‌هایی که وب‌سایت‌ها را باهدف پیدا کردن متون و علائم مرتبط با فیشینگ اسکن و بررسی می‌کنند، فیشرها به‌تازگی شروع به استفاده از وب‌سایت‌هایی کرده‌اند که با برنامه‌های فلش ساخته‌شده‌اند. این‌گونه سایت‌ها بسیار واقعی به نظر می‌رسند اما درواقع در آن‌ها متون و علائم مرتبط با فیشینگ پشت ظاهر برنامه‌های فلش پنهان‌شده‌اند.

چگونه از موفقیت فیشینگ پیشگیری کنیم؟

• از یک آنتی‌ویروس جامع و مورداطمینان، استفاده کنید.
• به ایمیل‌های ناشناس یا دارای لینک و یا فرم ورود اطلاعات به‌راحتی اعتماد نکنید.
• اگر لینکی از طرف نهاد یا سازمانی برای شما اس ام اس شد حتماً سعی کنید از صحت وجود آن نهاد یا سازمان اطمینان پیدا کنید و اگر قرار است پرداختی انجام دهید مستقیماً از وب‌سایت رسمی آن سازمان این کار را پیگیری کنید.
• به url یا آدرس صفحه دقت کنید. در ایران همواره باید آدرس درگاه‌های پرداخت اینترنتی به وب‌سایت شاپرک مرتبط باشد.
• اگر به لینک پرداختی شک کردید؛ حتماً آن را از طریق وب‌سایت رسمی یا اپلیکیشن مورداطمینان خرید محصول یا خدمات و … پیگیری کنید.
• رمزهای بانکی خود را چند وقت یک‌بار عوض کنید.
• استفاده از رمزهای یک‌بارمصرف برای کارت‌های اعتباری بانکی یکی از بهترین روش‌هاست.
• اگر از سایتی ناگهان به سایت دیگری که حاوی فرم دریافت اطلاعات است؛ منتقل شدید بسیار مراقب صحت و سلامت سایت مقصد نهایی باشید.

مهم‌ترین راه برای مقابله با فیشینگ، پیشگیری از آن به‌واسطه آگاهی دادن به کاربران اینترنت است. انسان دنیای امروز باید دانش‌پایه‌ای در رابطه با کلاه‌برداری‌های اینترنتی و فیشینگ داشته باشد.

شاپرک چیست؟

نظام پرداخت کارتی این امکان را فراهم می‌سازد که بدون نیاز به وجه نقد عملیات بانکی و تجاری انجام داد. سامانه شبکه الکترونیکی پرداخت کارتی(شاپرک)، شبکه‌ای است که تمامی ارائه‌دهندگان خدمات پرداخت و پایانه‌های فروش آن‌ها را در نظامی یکپارچه گرد هم آورده و بر آن‌ها نظارت می‌کند. از مهم‌ترین اقدامات شاپرک دادن مجوز به شرکت‌های psp است.

پی اس پی (PSP) چیست؟

شرکت‌های PSP ازجمله شرکت‌های بزرگ در حوزه پولی و مالی کشور محسوب می‌شوند که واسطه بین بانک‌ها و مشتریان تجاری بوده و عملاً خدمات بانکی را برای عموم مردم پیاده‌سازی می‌کنند.