ي از کارت هاي اعتباري با استفاده از رمز دوم و cvv2 و سپس تبديل آن پول به هر چيز ديگر با روشي که نتوان آن را پيگيري کرد (استفاده از نام شخصي ديگر براي خريد جنس، انتقال پول به حساب شخصي ديگر و بازپس گيري آن و .) ، به موضوعي بسيار مهم و البته خطرناک تبديل شده است که نگراني مردم را برانگيخنه و گريبان بسياري را نيز گرفته است.
از جمله ي اين روش ها مي توان به قراردادن کارت اعتباري خود در اختيار شخصي ديگر براي خريد و فروش با کارت شماست.به عبارت ديگرفردي به شما پيشنهاد مي دهد که مبلغي را به کارت شما واريز مي کند و شما بايد جنسي را بخريد و در ازاي انجام اين کار، مبلغي را به عنوان دستمزد دريافت کنيد. از جمله ي اين اجناس براي خريد مي توان صرافي ارز ديجيتال به خريد بيت کوين، پرفکت، وبماني و ديگر ارزهاي ديجيتال اشاره کرد. اين موضوع به قدري زياد است که حتي با جستجو در ديوار هم به وفور مي توان اين نوع آگهي ها را مشاهده کرد. فرض کنيد فرد هکر مبلغ 30 ميليون تومان به کارت شما واريز کرده و از شما مي خواهد به وسيله ي اين پول، پرفکت ماني خريداري کنيد و مبلغ مثلا 5 ميليون تومان را دريافت کنيد. پليس با پيگيري پول يده شده از کارت شخص قرباني، به کارت شما ميرسد و اين شما هستيد که با آن خريد کرده ايد و مجرم خواهيد بود.
اما در پس اين معامله که به نظر ساده مي آيد چيست؟ اين موضوع از چه زماني شروع شد و به زبان ساده چيست؟
به طور کلي به اين روش ي، فيشينگ (Phishing) گفته مي شود. با ما همراه باشيد تا به شرح فيشينگ، انواع آن و راه هاي جلوگيري از فريب خوردن توسط اين روش بپردازيم.
فيشينگ راهي است که تبهکاران، اطلاعاتي نظير کلمه کاربري، رمز عبور، شماره 16 رقمي عابر بانک، رمز دوم و CVV2 را از طريق ابزارهاي الکترونيکي ارتباطات به سرقت مي برند. شبکه هاي اجتماعي، سايت هاي حراجي و درگاه هاي پرداخت آنلاين نمونه اي از ابزار هاي الکترونيکي ارتباطات مي باشند.به عبارت ساده تر زماني که کسي سعي در فريب شما براي به دست آوردن اطلاعات فوق ميکند، يعني شما در برابر حمله فيشينگ قرار گرفته‌ايد.
ي فيشينگ از طريق ايميل ها و پيامها صورت مي پذيرد و قربانيان به صورت مستقيم اطلاعات حساس و محرمانه خود را در وب سايت هاي جعلي که در ظاهر کاملا شبيه وب سايت هاي سالم و قانوني مي باشد وارد مي نمايند. حقه ي فيشينگ يکي از تکنيک هاي مهندسي اجتماعي براي فريب کاربران مي باشد که علي‌القاعده از ضعف امنيتي يک وب سايت براي انجام عمليات مجرمانه خود استفاده مي کنند. براي اولين بار حقه ي فيشينگ در 1987 تعريف شد و اولين باري که واژه فيشينگ براي نام گذاري اين واژه استفاده گرديد، سال 1996 بود.
يکي از شيوه هاي متداول و رايج در فيشينگ ارسال لينک ها و آدرس هاي متعلق به سازمانهاي غير واقعي و جعلي از طريق ايميل مي باشد. آدرس هايي که تنها تفاوت آنها با آدرس اصلي يک يا دو حرف است يا از دامين هاي فرعي گمراه کننده براي ايجاد آنها استفاده گرديده است.
دور زدن
فيشرها با استفاده کردن از عکس به جاي متن، کار هاي ضد فيشينگ را که براي شناسايي متن هايي که عموماً در ايميل هاي حاوي آدرس هاي جعلي يافت مي شوند، را سخت مي کنند.
تنها با ورود و بازديد يک قرباني به سايت جعلي عمل ي صورت نمي پذيرد . در برخي از روش هاي فيشينگ از دستورات جاوا اسکريپت استفاده مي شود تا نوار آدرس را اصلاح کند و تغيير دهد. اين کار با قرار دادن تصوير يک آدرس اينترنتي قانوني و موجه در نوار آدرس يا بستن نوار آدرس اصلي و باز کردن يک نوار آدرس جديد که حاوي آدرس اينترنتي قانوني و موجه است، انجام مي شود.
يک فيشر(مهاجم) حتي مي تواند از نقايص موجود در برنامه جاوا اسکريپت يک سايت معتبر و قانوني عليه قربانيان خوداستفاده نمايند. اين نوع حمله ها ( که به کراس سايت اسکريپتينگ معروف هستند) به طور خاص سخت و پيچيده هستند، چون آنها قرباني را به صفحه اينترنتي ثبت نام خدمات بانکي خود ارجاع مي دهند. صفحه اي که در آن همه چيز از آدرس سايت گرفته تا گواهي امنيتي، همه درست و صحيح به نظر مي رسند. در حقيقت لينک دادن به صفحه اصلي حقه اي براي به ثمر رساندن سرقت و انجام دادن حمله است. با انجام اين کار کشف اين حمله براي افرادي که دانش لازم را ندارند، کار بسيار سختي است. در سال 2006 چنين حمله اي عليه سايت Pay Pal انجام شد.
يک برنامه فيشينگ در سطح جهاني با عنوان Man-in-the-middle، که در سال 2007 کشف شد، از يک رابط ساده استفاده مي کرد که به فيشر (مهاجم) اجازه مي داد بدون هيچ مشکلي سايت هايي خاصي را مجدداً ايجاد کند و جزئيات اطلاعات ورود يا لاگين افراد (نام کاربري و رمز عبور) وارد شده در وب سايت جعلي را براي ورود به سايت هاي اصلي ثبت و ضبط کند.
براي از کار انداختن تکنيک ها و برنامه هايي که وب سايت ها را با هدف پيدا کردن متون و علائم مرتبط با فيشينگ اسکن و بررسي مي کنند، فيشرها به تازگي شروع به استفاده از وب سايت هايي کرده اند که با برنامه هاي فلش ساخته شده اند. اين گونه سايت ها بسيار واقعي به نظر مي رسند اما در واقع در اين سايت ها متون و علائم مرتبط با فيشينگ پشت ظاهر برنامه هاي فلش پنهان شده اند.
فيشينگ از طريق تلفن
تمامي حملات فيشينگ نياز به استفاده از يک وب سايت جعلي و ساختگي ندارند. اين نوع حملات شامل پيام هايي هم مي شوند که ادعا مي کند از طرف بانک هستند و از مشتري ها (استفاده کنندگان خدمات بانکي) مي خواهند با توجه به مشکلي که براي حساب هاي آنها به وجود آمده است، با يک شماره تماس بگيرند. به محض اين که مشتري با اين شماره تلفن (که متعلق به مهاجم است و يک سرويس تلفن اينترنتي است) تماس بگيرد، دستوراتي به مشتري داده مي شود تا شماره حساب و رمز خود را وارد کند. فيشرهايي که از سرويس تلفن اينترنتي استفاده مي کنند، گاهي اوقات از داده هاي جعلي براي آي دي کالر استفاده مي‌نمايند تا براي مشتريان اين گونه به نظر برسد که اين تماس از طرف يک سازمان مطمئن و معتبر انجام مي شود.
نوع ديگري از حمله که موفقيت آميز بودنش ثابت شده است، ارجاع دادن قرباني به وب سايت اصلي بانک است. سپس يک پنجره پاپ آپ در بالاي صفحه سايت به نمايش در مي آيد و به شکلي که به نظر برسد اين صفحه و اين سايت متعلق به بانک است، اطلاعات حساس قرباني را درخواست مي کنند.
يکي از جديدترين روش هاي فيشينگ تب نبينگ است. اين برنامه از صفحاتي که کاربر باز کرده استفاده مي کند و به طور آهسته کاربر را به سايت ساختگي ارجاع ميدهد.
دوقلوهاي شر يا Evil twins روشي است که شناسايي و کشف آن کار بسيار سختي است. يک فيشر يک شبکه بي سيم (وايرلس) ساختگي ايجاد مي کند. اين شبکه همانند شبکه هاي معتبر عمومي و قانوني مي تواند در مکان هايي مانند فرودگاه ها، هتل ها و کافي شاپ ها وجود داشته باشد. وقتي که يک نفر وارد شبکه جعلي مي شود، ان سعي مي کنند رمزهاي عبور و يا ساير اطلاعات مرتبط با کارت اعتباري او را ثبت و ضبط کنند.
ارسال ايميلي ازطرف فردي که ادعا ميکند دوست يا همکار شما است.
پيغام ها يا تبليغاتي که درشبکه هاي اجتماعي ارسال مي‌کنند.
وبسايت هاي قلابي که که براي امور خيريه تقاضاي کمک مي‌کنند.
براي اين که به دام حملات فيشينگ نيافتيد حتما به آدرس لينک آن ها دقت کنيد. شما فقط بايد در وبسايت هايي اطلاعات کارت خود را وارد کنيد که دامنه آنها shaparak.ir باشد. به عنوان مثال به تصوير زير توجه کنيد:
هماهنطور که مي‌بينيد، آدرس صفحه در عکس بالا https://bpm.shaparak.ir است.
در صورتي که در گوشي موبايل خود چنين صفحه‌اي را مي‌بينيد به موارد زير هم توجه کنيد:
برخي از سارقان از عبارت هاي شبيه shapark استفاده مي‌کنند. مثلاً shaporak يا … که اين عبارات معتبر نيستند.
در برخي از موارد نيز لينکي در بالاي صفحه وجود نداشته و صرفاً عکسي از لينک پرداخت shaparak وجود دارد. با کليک کردن روي لينک از واقعي بودن آن اطمينان حاصل کنيد.
علائم فيشينگ
آدرسي که در قسمت مربوط به فرستنده يا فرم وجود دارد ظاهرا از طرف شرکتي قانوني است.
اين پيامها معمولا شامل علامت يا تصاويري هستند که از وب سايت شرکت اصلي برداشته شده‌اند.
پيام داراي يک لينک است که به همراه توضيح فرستاده شده است. در صورتي که روي مرورگر کامپيوتر، نشانگر را روي لينک قرار دهيد، در گوشه چپ و پايين صفحه آدرسي را مشاهده کنيد که در اصل آدرس واقعي وب سايتي است که در صورت کليک کردن به آن خواهيد رفت. توجه کنيد که اين لينک به آدرس قانوني اي که شما انتظار داريد منتهي نخواهد شد.
پس به طور کلي مي توان گفت، فيشينگ يک راه ساده ي هکرها يا ان اينترنتي براي به دست آوردن اطلاعات شماره 16 رقمي کارت بانکي، رمز دوم، CVV2، تاريخ صدور کارت و ساير اطلاعات بانکي شما است. باري در امان ماندن از حملات فيشينگ سعي در حفظ رمزهاي اصلي خود و اتنا از انجام عمليات هاي مشکوک و يا وسوسه کننده اي که ممکن سود خوبي نيز نصيب شما کنند داشته باشيد. همچنين از دادن حساب کاربري خود به هر شخص نزديک يا دوري به خود، به شدت بپرهيزيد چرا که هر اتفاقي مي تواند گريبان صاحب حساب، يعني شما را بگيرد.
درباره این سایت