فیشینگ چیست و چطور تشخیص دهیم

چرا فیشینگ با دقت بیشتر حل نمی شود

فیشینگ به سیستم کامپیوتری شما حمله نمی کند. به ترتیب تصمیم گیری شما حمله می کند. هیچ رخنه ای در کار نیست: پیام می آید، شما را در وضعیتی می گذارد که فکر کردن سخت است، و بعد از شما می خواهد کاری کنید که در حالت عادی نمی کردید.

هر پیام فیشینگ سه چیز کنار هم دارد. یک بهانه که باورپذیر است، یک مرجع که شناخته شده است، و یک عجله که وقت فکر کردن را می گیرد. حساب شما مسدود می شود، سفارشتان برگشت می خورد، تا امشب فرصت دارید. عجله جزو تزئینات نیست؛ خود ابزار است.

یک تصور غلط را همین اول کنار بگذاریم. سال ها به مردم گفتند نشانه فیشینگ، فارسی بد و غلط املایی است. آن نشانه دیگر کار نمی کند. متن روان و بی غلط، امروز هزینه ای ندارد و هر کسی می تواند آن را تولید کند. اگر تشخیص شما به کیفیت نگارش وابسته باشد، دقیقا روی چیزی حساب کرده اید که آسان تر از همه قابل جبران است.

موضع ما این است: تشخیص فیشینگ یک احساس نیست، یک رویه است. آدم دقیق در روز خوب هم گول می خورد، چون در روز بد کسی حواسش جمع نیست. چیزی که در روز بد هم کار می کند، ترتیب ثابتی از سوال هاست که همیشه یکسان اجرا می شود، حتی وقتی پیام از یک آدرس آشنا آمده.

چهار سوالی که به ترتیب می پرسیم

ترتیب اینجا خودش نصف ماجراست. سوال ها از ارزان ترین به گران ترین چیده شده اند، یعنی از چیزی که بدون باز کردن هیچ لینکی جواب دارد تا چیزی که نیاز به بررسی دارد. اگر سوال اول جواب بدهد، بقیه لازم نمی شوند.

یک: منتظرش بودم؟ این تنها سوالی است که خود پیام نمی تواند رویش اثر بگذارد. فاکتوری که سفارشش را نداده اید، بسته ای که نفرستاده اید، هشدار حسابی که اصلا در آن سایت حساب ندارید. اگر جواب نه است، هرچه در پیام هست از این لحظه بی اعتبار می شود، از جمله لینک هایش و شماره تماسی که داخلش نوشته.

دو: عجله دارد؟ سازمان های واقعی برای کارهای مهم مهلت می دهند و راه های متعدد. تهدید بستن حساب تا امشب، جریمه ای که با تاخیر چند برابر می شود، تخفیفی که تا یک ساعت دیگر تمام است: همه یک کار می کنند و آن هم بستن پنجره فکر کردن است. عجله به تنهایی اثبات چیزی نیست، ولی وقتی با سوال اول جمع شود، تقریبا همیشه جواب روشن است.

سه: لینک همان جایی می رود که ادعا می کند؟ این سوال یک مهارت لازم دارد که در بخش بعد می آید. متن لینک هر چیزی می تواند باشد؛ چیزی که اهمیت دارد دامنه مقصد است.

چهار: چیزی می خواهد که هرگز نباید داده شود؟ یک فهرست کوتاه که استثنا ندارد: رمز، کد تایید دو مرحله ای، کد پشت کارت بانکی، رمز پویا، کدهای بازیابی، و دسترسی از راه دور به دستگاه شما. هیچ بانکی، هیچ اپراتوری و هیچ پشتیبانی ای این ها را نمی خواهد. اگر کسی خواست، صرف نظر از اینکه بقیه پیام چقدر درست به نظر می رسد، همان جا تمام است.

دو حالت هست که این ترتیب را کوتاه می کند. اگر جواب سوال چهار بله باشد، اصلا لازم نیست بقیه را بپرسید. و اگر پیام از یک آدرس واقعا آشنا آمده ولی محتوایش نامعمول است، سوال ها را رها کنید و مستقیم بروید سراغ همان کاری که در بخش آخر می آید: تماس با همان آدم از راهی که خودتان انتخاب کرده اید.

خواندن آدرس، مهارتی که همه چیز به آن برمی گردد

در یک آدرس اینترنتی، تنها بخشی که دروغ نمی گوید دامنه است، و دامنه را باید از راست به چپ خواند: از آخرین نقطه به عقب. در example.com/bank دامنه example.com است و bank فقط یک پوشه روی همان سایت. هر کسی می تواند هر پوشه ای بسازد.

سه شکلی که بیشترین قربانی را می گیرند، همگی روی همین یک نکته حساب باز می کنند. اول، نام واقعی به عنوان زیردامنه: چیزی مثل bankname.example.com، که چشم اسم آشنا را می بیند و دامنه واقعی که بعد از آخرین نقطه است را نمی خواند. دوم، نام واقعی به عنوان مسیر: example.com/bankname/login. سوم، دامنه ای که یک حرف با اصل فرق دارد یا پسوندش عوض شده. هر سه در یک نگاه سریع درست به نظر می رسند و همین کافی است.

روش عملی خواندن، دو قدم بیشتر ندارد. آخرین نقطه را پیدا کنید و یک کلمه قبل و بعدش را بخوانید؛ آن دو تکه، هویت واقعی سایت اند. بقیه آدرس، هر چقدر هم طولانی و پر از کلمه آشنا، فقط چیزی است که صاحب همان دامنه نوشته. ساختار کامل یک آدرس و اینکه هر تکه اش چه کار می کند، در مسیر اینترنت و شبکه درس جداگانه ای دارد، و خواندنش قبل از ادامه این درس ارزش دارد.

روی گوشی، این کار سخت تر است و باید صادق بود: نوار آدرس کوتاه است، آدرس های طولانی بریده نشان داده می شوند، و نگه داشتن انگشت روی لینک هم همیشه مقصد کامل را نشان نمی دهد. قاعده ای که روی گوشی هم کار می کند این است: به جای بررسی لینک، از لینک استفاده نکنید. اپ بانک یا سایت را خودتان باز کنید. اگر خبری هست، همان جا هم هست.

و یک چیز که کمتر گفته می شود: قفل کنار آدرس هیچ ربطی به صداقت سایت ندارد. آن قفل فقط می گوید ارتباط رمزگذاری شده است، و صفحه جعلی هم به سادگی می تواند رمزگذاری شده باشد. قفل یعنی کسی وسط راه حرف شما را نمی خواند؛ یعنی نمی گوید طرف مقابل کیست.

الگوهایی که در ایران بیشتر دیده می شوند

پیام های فیشینگ محلی چند قالب ثابت دارند و شناختن قالب، از حفظ کردن نمونه ها مفیدتر است. نمونه ها هر ماه عوض می شوند؛ قالب ها سال هاست ثابت مانده اند. متن واقعی هیچ کدام را اینجا بازتولید نمی کنیم، چون هدف تشخیص است نه ساختن.

قالب بانکی. ادعا: مشکلی در حساب یا کارت شما پیش آمده. خواسته: ورود به یک درگاه برای تایید هویت یا فعال سازی مجدد. نشانه ساختاری: صفحه ای که هم شماره کارت و هم رمز دوم و هم کد پیامکی را در یک فرم می خواهد. درگاه واقعی بانکی هرگز همه اینها را از یک صفحه غیربانکی نمی گیرد و رمز اینترنتی شما را هم نمی پرسد.

قالب حمایتی و سهام. ادعا: پرداختی به شما تعلق گرفته، یارانه یا سهام یا مبلغ برگشتی. خواسته: ثبت اطلاعات بانکی برای واریز. نشانه ساختاری: هیچ سازمانی برای واریز پول به شما، به رمز کارت شما احتیاج ندارد. شماره حساب برای واریز کافی است و رمز فقط برای برداشت لازم است. همین یک جمله، کل این قالب را از کار می اندازد.

قالب مرسوله و گمرک. ادعا: بسته ای برای شما هست و هزینه کوچکی مانده. خواسته: پرداخت مبلغ کم از طریق لینک. نشانه ساختاری: مبلغ عمدا ناچیز است تا فکر نکنید ارزش بررسی دارد، در حالی که چیزی که واقعا می خواهند اطلاعات کارت است و نه آن مبلغ.

قالب کاری. ادعا: پیامی از یک همکار یا مدیر، معمولا با لحن عادی. خواسته: تغییر شماره حساب یک پرداخت، یا باز کردن یک فایل. این قالب خطرناک ترین است چون هیچ کدام از نشانه های بالا را ندارد. تنها چیزی که جلویش را می گیرد، عادت تایید از راه دوم است: تماس با همان آدم با شماره ای که خودتان از قبل دارید.

یک نکته درباره پیامک که مرتب پرسیده می شود: نام یا شماره فرستنده ای که روی صفحه گوشی می بینید، مدرک نیست. حتی وقتی همان شماره همیشگی باشد، پیام جدید در همان رشته گفتگو می نشیند و آشنا به نظر می رسد. قاعده ای که هر دو حالت را پوشش می دهد ساده است: به بانک هرگز از داخل یک پیام نروید.

فرستنده واقعا کیست، و چیزی که خود ایمیل لو می دهد

خط From در یک ایمیل، متنی است که فرستنده خودش تایپ کرده. درست مثل نام فرستنده روی پاکت نامه: هر چیزی می شود نوشت. برای همین سه سازوکار ساخته شد که سرور گیرنده بتواند بررسی کند نامه واقعا از آن دامنه آمده یا نه، و نتیجه شان را در هدرهای همان نامه می نویسد.

SPF می گوید کدام سرورها حق دارند از طرف این دامنه نامه بفرستند. DKIM یک امضای رمزنگاری روی خود نامه می گذارد که با کلید عمومی منتشرشده در DNS بررسی می شود. DMARC می گوید اگر آن دو نتیجه ندادند، گیرنده چه کند: هیچ، یا بینداز در اسپم، یا اصلا نپذیر. سازوکارشان درس جداگانه ای در همان مسیر اینترنت و شبکه دارد؛ اینجا فقط به نتیجه امنیتی اش کار داریم.

نتیجه عملی این است: در هر ایمیل می توانید هدر Authentication-Results را باز کنید و ببینید سرور گیرنده چه گفته. اگر نوشته spf=fail یا dkim=fail یا dmarc=fail، نامه ادعایی کرده که نتوانسته ثابت کند. این یک نشانه محکم است و در چند ثانیه دیده می شود.

حالا مهم ترین جمله این بخش، که تقریبا هیچ جا گفته نمی شود: pass بودن هر سه، صداقت را ثابت نمی کند. این سه سازوکار به یک سوال جواب می دهند و فقط به همان: آیا این نامه واقعا از این دامنه آمده؟ کسی که امروز یک دامنه شبیه ثبت کند، تا عصر همان روز می تواند هر سه رکورد را درست بگذارد و از آن به بعد نامه هایش با pass کامل می رسند. یعنی pass یعنی «فرستنده صاحب همین دامنه است»، و شما هنوز باید خودتان بخوانید که آن دامنه، همانی است که فکر می کنید یا یک حرفش فرق دارد.

پس ترتیب درست این است: اول هدر را نگاه کنید، چون fail کار را همان جا تمام می کند. اگر pass بود، آن وقت دامنه ای که pass شده را حرف به حرف با دامنه واقعی مقایسه کنید. مرحله دوم را نمی شود به هیچ سیستمی سپرد؛ همان جایی است که چشم آدم لازم است.

کلیک کردم؛ حالا به ترتیب چه کار کنم

اول یک چیز که آرامتان می کند و درست هم هست: باز کردن یک صفحه، به تنهایی، معمولا اتفاق بزرگی نیست. خطر از جایی شروع می شود که چیزی تایپ کرده باشید یا فایلی را باز کرده باشید. پس اولین کار این است که بدانید دقیقا چه کاری کرده اید.

اگر فقط صفحه باز شده و چیزی وارد نکرده اید: صفحه را ببندید و همان جا تمام است. لازم نیست دستگاه را خاموش کنید یا کارت بانکی را ببندید.

اگر رمز وارد کرده اید: از یک راه دیگر وارد همان سرویس شوید، نه از آن لینک؛ آدرس را خودتان تایپ کنید یا اپ رسمی را باز کنید. رمز را عوض کنید، و اگر همان رمز جای دیگری هم استفاده شده بود، آنجا هم عوضش کنید. بعد در تنظیمات همان حساب، جلسه های فعال را ببینید و همه دستگاه های دیگر را خارج کنید. ترتیب مهم است: تا وقتی جلسه فعال کسی باز باشد، عوض کردن رمز به تنهایی او را بیرون نمی اندازد.

اگر کد تایید دو مرحله ای را هم وارد کرده اید: فرض را بر این بگذارید که همین حالا کسی داخل حساب است. همان مسیر بالا را با عجله بروید و بلافاصله کدهای بازیابی را از نو بسازید، چون کدهای قبلی ممکن است دیده شده باشند.

اگر اطلاعات کارت بانکی داده اید: به بانک زنگ بزنید، با شماره ای که پشت کارت نوشته شده و نه شماره ای که در پیام بود، و کارت را مسدود کنید. سرعت اینجا واقعا مهم است.

و اگر این اتفاق روی حساب کاری افتاده: همان لحظه به کسی که سایت یا شبکه را اداره می کند بگویید، حتی اگر خجالت آور باشد. تاخیر همان چیزی است که یک اشتباه کوچک را به یک حادثه تبدیل می کند، چون در آن فاصله کسی می تواند از حساب شما به بقیه هم پیام بدهد.