- نویسنده : باما‌تک
- بازدید :1مشاهده
در ادبیات امنیت اطلاعات و فضای مجازی، فیشینگ (Phishing) یکی از قدیمی‌ترین، شایع‌ترین و در عین حال مخرب‌ترین گونه‌های حملات سایبری به شمار می‌رود که مبنای عملکرد آن نه نفوذ به لایه‌های رمزنگاری سرورها، بلکه فریب دادن ذهن انسان است. واژه فیشینگ که از ترکیب و استعاره واژه ماهیگیری (Fishing) با حروف Ph به نشانه تماس‌های تلفنی و فریکینگ (Phreaking) شکل گرفته، دقیقاً بیانگر سازوکار این نوع حمله است؛ پهن کردن یک طعمه جذاب، فریبنده یا هراس‌انگیز برای به دام انداختن کاربران ناآگاه و استخراج باارزش‌ترین دارایی‌های دیجیتال آن‌ها. مهاجمان در این سناریو با جعل دقیق هویت برندهای مطرح، بانک‌ها، ارگان‌های دولتی یا سرویس‌های پرکاربردی همچون گوگل و مایکروسافت، محیطی کاملاً یکپارچه و فریبنده را شبیه‌سازی می‌کنند. هدف نهایی مهاجم می‌تواند سرقت نام کاربری و رمزهای عبور، به چنگ آوردن اطلاعات هویتی و اسناد محرمانه، یا ربودن اطلاعات کارت‌های بانکی جهت تخلیه آنی حساب‌های مالی باشد. با توجه به گسترش خریدهای آنلاین و تراکنش‌های روزمره اینترنتی، آسیب‌پذیری کاربران در برابر این شیوه پیچیده مهندسی اجتماعی روزبه‌روز بیشتر می‌شود. در این مقاله به شکلی جامع بررسی خواهیم کرد که فیشینگ از نظر فنی چیست و چه روش‌ها و راهکارهایی برای جلوگیری قطعی از این حملات وجود دارد.
۱. ماهیت حمله فیشینگ و دسته‌بندی گونه‌های رایج آن
فیشینگ ماهیتی چندوجهی دارد و بسته به کانال ارتباطی و میزان سفارشی‌سازی برای قربانی، به چند دسته فنی اصلی تقسیم می‌شود.
فیشینگ درگاه‌های پرداخت و ایمیلی (Email Phishing & Clone Phishing)
شایع‌ترین نوع فیشینگ از طریق ارسال انبوه ایمیل‌ها و صفحات پرداخت جعلی صورت می‌پذیرد. در این سناریو، مهاجم ایمیلی با گرافیک رسمی یک سرویس ارسال کرده و مدعی می‌شود نشست کاربری شما منقضی شده یا دسترسی حسابتان به تعلیق درآمده است. با کلیک بر روی پیوند، کاربر به صفحه‌ای دقیقاً مشابه درگاه پرداخت شبکه شتاب یا صفحه ورود هدایت شده و به محض وارد کردن داده‌ها، تمامی اطلاعات حساس مستقیماً به سرور یا ربات تلگرامی هکر مخابره می‌شود.
نیزه‌فیشینگ و صید نهنگ (Spear Phishing & Whaling)
برخلاف ارسال ایمیل‌های انبوه، در نیزه‌فیشینگ مهاجم تحقیقات عمیقی روی قربانی (شامل بررسی لینکدین، علایق کاری و سمت سازمانی) انجام می‌دهد و پیامی بسیار شخصی‌سازی‌شده و مستند ارسال می‌کند. حالت پیشرفته‌تر این حمله تحت عنوان «والینگ» شناخته می‌شود که هدف آن مدیران ارشد سازمان‌ها، صاحبان کسب‌وکار یا مسئولان ارشد مالی است تا از طریق فریب آن‌ها مبالغ کلان بانکی یا اطلاعات راهبردی شرکت سرقت شود.
۲. شاخص‌های رفتاری و سرنخ‌های فنی برای شناسایی صفحات فیشینگ
شناسایی صفحات و پیام‌های فیشینگ نیازمند کنترل چند بخش کلیدی در ارتباطات شبکه و آدرس صفحات وب است.
بررسی ساختار دامنه رسمی در برابر دامنه‌های جعلی (Domain Verification)
همواره پیش از وارد کردن اطلاعات ورود یا شماره کارت، نوار آدرس مرورگر را بررسی کنید. برای مثال در شبکه بانکی ایران، تمامی درگاه‌های شاپرک باید زیردامنه‌ای رسمی از نشانی
shaparak.irباشند (مانند
xxx.shaparak.ir). هر نشانی دیگری نظیر
shaparak-pay.comیا
shaparak.ir.fake-site.comجعلی است. هکرها از دامنه‌های مشابه برای عبور از فیلترهای ذهنی کاربر نهایت بهره را می‌برند.
خطاهای املایی، نگارشی و ادعاهای نامتعارف و فوری
بسیاری از حملات فیشینگ حاوی اشتباهات گرامری، استفاده از فونت‌های غیراستاندارد، یا متن‌های ترجمه‌شده با ابزارهای خودکار هستند. افزون بر این، برانگیختن اضطرار، ترس از دست دادن سرمایه، وعده جوایز نجومی یا درخواست اقدام فوری در بازه زمانی کوتاه، یکی از بارزترین سرنخ‌های مهندسی اجتماعی در پیام‌های فیشینگ است.
۳. راهکارهای اساسی برای پیشگیری و مقابله با فیشینگ
با پیاده‌سازی چند اصل امنیتی بنیادین، می‌توان ضریب موفقیت حملات فیشینگ را عملاً به صفر رساند.
فعال‌سازی احراز هویت دو مرحله‌ای سخت‌افزاری و نرم‌افزاری (2FA)
فعال کردن تایید دو مرحله‌ای بر پایه برنامه‌های احراز هویت (مانند Google Authenticator، Microsoft Authenticator) یا کلیدهای امنیتی فیزیکی (مانند YubiKey)، حتی در صورت لو رفتن رمز عبور، مانع از ورود مهاجم به حساب کاربری می‌شود. از تکیه بر پیامک به عنوان تنها لایه امنیتی پرهیز کنید، چرا که پیامک در برابر حملات سیم‌سوآپ یا بدافزارهای پیامک‌خوان آسیب‌پذیر است.
بهره‌گیری از افزونه‌های ضدفیشینگ و برنامه‌های مدیریت گذرواژه (Password Managers)
برنامه‌های معتبر مدیریت رمز عبور (مانند Bitwarden یا 1Password) داده‌های ورود را فقط در دامنه‌ای پر می‌کنند که دقیقاً با آدرس ذخیره‌شده تطابق داشته باشد. بنابراین اگر شما وارد یک صفحه فیشینگ جعلی شوید، نرم‌افزار مدیریت پسورد هیچ اطلاعاتی را وارد فیلدها نمی‌کند و شما سریعاً متوجه فریبکارانه بودن وب‌سایت خواهید شد. همچنین استفاده از افزونه‌های امنیتی ضدفیشینگ در مرورگرها لایه مضاعفی از پایش خودکار را فراهم می‌سازد.