فیشینگ چیست؟ انواع آن کدام است؟+ راه حل های مقابله

فهرست مطالب

فیشینگ (Phishing) چیست؟

همانطور که توضیح دادیم، فیشینگ یکی از روش‌های متقلبانه در فضای مجازی است که با هدف فریب کاربران برای افشای اطلاعات محرمانه انجام می‌شود. در این نوع حمله، مهاجمان با طراحی پیام‌ها، وب‌سایت‌ها یا حتی رابط‌های کاربری جعلی که کاملاً شبیه منابع معتبر هستند، تلاش می‌کنند اعتماد کاربر را جلب کرده و او را به وارد کردن اطلاعات مهمی مانند رمزهای عبور، شماره کارت بانکی یا اطلاعات امنیتی وادار کنند.

هدف نهایی این حملات، دسترسی به داده‌های شخصی برای سوءاستفاده مالی، سرقت هویت یا نفوذ به حساب‌های کاربری و بانکی است. فیشینگ اغلب در قالب ایمیل‌ها یا پیامک‌هایی ظاهر می‌شود که از ظاهر حرفه‌ای برخوردارند، اما پشت آن‌ها نیت مجرمانه‌ای پنهان شده است.

تاریخچه فیشینگ

فیشینگ برای اولین‌بار در دهه ۱۹۹۰ میلادی پدیدار شد و نام آن از واژه "fishing" به معنای صید گرفته شده است؛ چرا که مهاجمان با فریب، اطلاعات کاربران را "صید" می‌کنند. اولین قربانیان این حملات، کاربران سیستم AOL بودند.
با گسترش اینترنت در دهه ۲۰۰۰، فیشینگ شکل حرفه‌ای‌تری به خود گرفت و ایمیل‌های جعلی برای سرقت اطلاعات بانکی کاربران رواج یافت. در این دوره، بانک‌ها به اهداف اصلی این حملات تبدیل شدند.
در دهه ۲۰۱۰، فیشینگ هدفمندتر شد. تکنیک‌هایی مثل فیشینگ نیزه‌ای، اسمی‌شینگ (Smishing) و وی‌شینگ (Vishing) رواج یافتند که از طریق پیامک، تماس تلفنی یا ایمیل‌های شخصی‌سازی‌شده قربانیان را فریب می‌دادند. تمرکز این حملات به‌تدریج از کاربران عادی به سازمان‌ها و شرکت‌های بزرگ منتقل شد.

چگونه بفهمم مورد حمله فیشینگ قرار گرفته‌ام؟

اگر احساس می‌کنید چیزی در حساب‌های آنلاین یا دستگاهتان غیرعادی است، احتمال دارد با حمله فیشینگ روبه‌رو شده باشید. برای اطمینان، چند نشانه مهم وجود دارد که می‌تواند به شما در تشخیص این موضوع کمک کند.

1. دریافت پیام مشکوک با درخواست اطلاعات

یکی از رایج‌ترین نشانه‌های فیشینگ، دریافت ایمیل یا پیامکی است که ظاهراً از طرف بانک، شرکت یا سازمانی معتبر ارسال شده، اما از شما می‌خواهد روی لینکی کلیک کرده یا اطلاعاتی مانند رمز عبور، شماره کارت بانکی یا کد تایید را وارد کنید. با دقت به آدرس فرستنده، لینک‌های داخل پیام و غلط‌های نگارشی توجه کنید؛ این موارد اغلب نشان‌دهنده جعلی بودن پیام هستند.

2. هدایت به صفحات غیر معمول و جعلی

اگر روی لینکی کلیک کردید و وارد صفحه‌ای شدید که طراحی آن کمی متفاوت است یا از شما اطلاعات حساس خواسته می‌شود، احتمال دارد آن صفحه جعلی و ساختگی باشد. اگر بعد از وارد کردن اطلاعات، دیگر به حساب خود دسترسی ندارید یا رمز عبور شما تغییر کرده، به‌احتمال زیاد قربانی حمله فیشینگ شده‌اید.

3. هشدارهای امنیتی از سرویس‌های معتبر

در بسیاری از موارد، سرویس‌های بانکی یا اپلیکیشن‌های امنیتی به شما اطلاع می‌دهند که یک ورود مشکوک از مکان یا دستگاه ناشناس انجام شده است. همچنین اگر بدون درخواست شما، پیام‌هایی برای تغییر رمز عبور دریافت کردید، سریعاً باید دسترسی‌ها را بررسی و رمزها را تغییر دهید.

4. رفتار غیرعادی در سیستم یا حساب‌ها

گاهی پس از یک حمله موفق، نشانه‌هایی مانند کند شدن سیستم، باز شدن خودکار صفحات مشکوک، ارسال ایمیل‌های ناخواسته از حساب شما یا تراکنش‌های مالی مشکوک در بانک دیده می‌شود. این موارد می‌توانند نشانه وجود بدافزار یا نرم‌افزار جاسوسی روی دستگاه شما باشند که اطلاعات را در پس‌زمینه جمع‌آوری می‌کند.

اگر مشکوک شدید، چه کار کنید؟

• رمز عبور حساب‌های مهم خود را فوراً تغییر دهید.
• احراز هویت دو مرحله‌ای را فعال کنید.
• دستگاه خود را با آنتی‌ویروس اسکن کنید.
• گزارش حمله را به بانک یا تیم امنیت سازمان اعلام کنید.

انواع فیشینگ

ایمیل فیشینگ (Email Phishing)

ایمیل فیشینگ یکی از قدیمی‌ترین و رایج‌ترین روش‌های کلاهبرداری اینترنتی است که در آن هکرها با ارسال ایمیل‌هایی جعلی، سعی در فریب کاربران و دریافت اطلاعات شخصی آن‌ها دارند. این ایمیل‌ها معمولاً شبیه پیام‌های رسمی بانک‌ها یا شرکت‌های معتبر طراحی می‌شوند و لینک‌هایی به وب‌سایت‌های تقلبی دارند که کاربر را به وارد کردن اطلاعات حساس مانند رمز عبور یا شماره کارت بانکی ترغیب می‌کنند.
این شیوه‌ی حمله برای اولین‌بار در دهه ۱۹۹۰ میلادی ظهور کرد و کاربران خدمات AOL از نخستین قربانیان آن بودند. از آن زمان تاکنون، ایمیل فیشینگ به یکی از ابزارهای اصلی هکرها برای دسترسی به اطلاعات محرمانه تبدیل شده است و همچنان با ظاهری حرفه‌ای و فریبنده به فعالیت خود ادامه می‌دهد.

فیشینگ نیزه‌ای (Spear Phishing)

فیشینگ نیزه‌ای نوعی حمله سایبری هدفمند است که برخلاف فیشینگ‌های عمومی، تنها یک فرد یا سازمان خاص را نشانه می‌گیرد. در این روش، مهاجم با تحقیق قبلی و جمع‌آوری اطلاعات شخصی یا شغلی درباره قربانی، پیام‌هایی طراحی می‌کند که بسیار معتبر و شخصی‌سازی‌شده به نظر می‌رسند.

ایمیل‌های فیشینگ نیزه‌ای معمولاً طوری نوشته می‌شوند که گویی از طرف یک همکار، مدیر یا شریک تجاری ارسال شده‌اند و کاربر را تشویق می‌کنند تا اطلاعات حساس مانند رمزهای عبور، فایل‌های محرمانه یا داده‌های ورود به سامانه‌های سازمانی را افشا کند.

در سال‌های اخیر، این نوع حملات با استفاده از هوش مصنوعی پیچیده‌تر شده‌اند. هکرها با کمک ابزارهای مبتنی بر AI، لحن نوشتاری قربانیان را شبیه‌سازی می‌کنند و محتوایی تولید می‌کنند که تشخیص آن از پیام واقعی بسیار دشوار است. این پیشرفت، نرخ موفقیت فیشینگ نیزه‌ای را به‌طور چشمگیری افزایش داده و آن را به یکی از تهدیدات جدی در فضای امنیت سایبری تبدیل کرده است.

اسمیشینگ (Smishing)

اسمیشینگ یکی از روش‌های مدرن فیشینگ است که از طریق پیامک‌های متنی (SMS) انجام می‌شود. واژه‌ی "Smishing" از ترکیب دو کلمه‌ی "SMS" و "Phishing" ساخته شده و به نوعی از حمله اشاره دارد که هکرها در آن با ارسال پیامک‌های فریبنده، کاربران را به افشای اطلاعات شخصی یا کلیک روی لینک‌های مخرب ترغیب می‌کنند.

در این نوع حمله، پیامک معمولاً ظاهری رسمی دارد و از طرف بانک، شرکت پستی، سازمان دولتی یا فروشگاه‌های معتبر ارسال شده به نظر می‌رسد. محتوای پیام می‌تواند شامل هشدار امنیتی، تخفیف ویژه، بسته‌ی معوق، یا درخواست فوری برای تایید اطلاعات باشد.

اسمیشینگ از اوایل دهه‌ی ۲۰۰۰، هم‌زمان با گسترش تلفن‌های همراه، رواج پیدا کرد. با پیشرفته‌تر شدن گوشی‌های هوشمند، حملات اسمیشینگ نیز پیچیده‌تر شدند. یکی از نمونه‌های معروف این نوع حمله، کلاهبرداری بانکی در سال ۲۰۱۳ بود که در آن مهاجمان با ارسال پیامک‌هایی به ظاهر رسمی، کاربران را به صفحه‌ای جعلی هدایت کردند تا اطلاعات کارت بانکی‌شان را وارد کنند.

نمونه‌ی جدیدتر، حمله‌ای در سال ۲۰۲2 به برخی مشتریان شرکت‌های حمل‌ونقل بین‌المللی بود؛ در این حمله، پیامکی با عنوان «بسته‌تان تحویل داده نشد» ارسال می‌شد که لینکی برای پیگیری در آن وجود داشت. کاربران با کلیک روی لینک به صفحه‌ای جعلی منتقل می‌شدند و اطلاعات شخصی یا مالی خود را وارد می‌کردند.

ویشرینگ (Vishing)

ویشرینگ یا فیشینگ صوتی، نوعی حمله فیشینگ است که از طریق تماس تلفنی انجام می‌شود. در این روش، مهاجم با فرد تماس می‌گیرد و خود را به‌عنوان نماینده‌ی یک نهاد معتبر مانند بانک، شرکت خدماتی یا سازمان دولتی معرفی می‌کند. هدف اصلی این تماس‌ها، فریب قربانی برای افشای اطلاعات حساس مانند شماره کارت بانکی، رمز عبور یا کدهای امنیتی است.

این نوع حمله معمولاً با لحنی اضطراری و فوری همراه است؛ مثلاً تماس‌گیرنده ادعا می‌کند که حساب بانکی شما به دلایل امنیتی مسدود شده و برای رفع مشکل باید اطلاعات خود را تایید کنید. قربانی بدون آگاهی از جعلی بودن تماس، ممکن است اطلاعات محرمانه‌ی خود را به راحتی در اختیار مهاجم قرار دهد.

ویشرینگ از اوایل دهه‌ی ۲۰۰۰ شناخته شد، اما با گسترش تلفن‌های هوشمند و ابزارهای تماس اینترنتی، این روش پیچیده‌تر شد. هکرها حتی ممکن است از شبیه‌سازی صدای افراد آشنا یا نمایش شماره تلفن جعلی (Caller ID Spoofing) استفاده کنند تا تماس واقعی‌تر به نظر برسد.

برای نمونه، در یک حمله شناخته‌شده در سال ۲۰۱۹، تماس‌هایی با صدای تقلید شده از مدیرعامل یک شرکت به بخش مالی ارسال شد و باعث انتقال مبلغ زیادی به حساب مهاجم شد.

فارمینگ (Pharming Attack)

فارمینگ نوعی پیشرفته از حملات فیشینگ است که در آن کاربر حتی با وارد کردن آدرس اینترنتی درست (URL) نیز به‌طور ناخواسته به یک وب‌سایت جعلی هدایت می‌شود. این اتفاق معمولاً زمانی رخ می‌دهد که مهاجمان، سرور DNS را که مسئول تبدیل URLها به آدرس‌های IP است، با استفاده از کدهای مخرب آلوده کرده باشند. در نتیجه، زمانی که کاربر قصد دارد وارد یک سایت قانونی شود، به نسخه‌ای تقلبی و ساختگی از آن وب‌سایت منتقل می‌شود.
ویژگی خطرناک حملات فارمینگ در این است که تشخیص آن برای کاربر بسیار دشوار است. ممکن است کاربر آدرس دقیق بانک یا سرویس مورد نظر خود را به‌درستی وارد کند، اما در حقیقت وارد سایتی شده باشد که ظاهر آن کاملاً مشابه نسخه اصلی طراحی شده، در حالی‌که پشت پرده آن، هدفی جز سرقت اطلاعات ندارد.

راهکارهای مؤثر برای جلوگیری از فیشینگ و ارتقای امنیت آنلاین

با وجود افزایش روزافزون حملات فیشینگ، بسیاری از آن‌ها به سرقت اطلاعات کاربران منجر نمی‌شوند. دلیل این امر، آگاهی و استفاده از ابزارهای حفاظتی است. در این مطلب، به مجموعه‌ای از روش‌های کاربردی برای جلوگیری از حملات فیشینگ و حفظ امنیت اطلاعات شخصی می‌پردازیم.

۱. استفاده از نرم‌افزارهای شناسایی فیشینگ

نرم‌افزارهای ضد فیشینگ، ابزارهایی قابل اعتماد برای شناسایی لینک‌های مشکوک هستند. با نصب آن‌ها روی گوشی یا کامپیوتر، می‌توانید پیش از وارد کردن اطلاعات حساس، از اصالت وب‌سایت یا درگاه اطمینان حاصل کنید. برخی آنتی‌ویروس‌ها نیز به صورت پیش‌فرض قابلیت شناسایی صفحات جعلی را دارند.

۲. افزایش سطح آگاهی و آموزش اطرافیان

شناخت روش‌های کلاهبرداری اینترنتی، مهم‌ترین گام در پیشگیری از آن است. اگر کسب‌وکاری را اداره می‌کنید یا در اطرافتان افرادی حضور دارند که اطلاعات کمی دربارۀ فیشینگ دارند، با آموزش ساده و قابل فهم، می‌توانید از آسیب‌پذیری آن‌ها جلوگیری کنید.

۳. احتیاط در مواجهه با پیشنهادهای اغوا کننده

وب‌سایت‌هایی که وعدۀ جوایز بزرگ بدون دلیل را می‌دهند – مانند «شما برندۀ آیفون ۱۵ شده‌اید!» – معمولاً به دنبال فریب شما هستند. چنین پیام‌هایی، هیچ‌گاه از سوی شرکت‌های معتبر ارسال نمی‌شوند و تنها طعمه‌ای برای سرقت اطلاعات شما به شمار می‌آیند.

۴. بررسی دقیق متن پیام‌ها و لینک‌ها

غلط‌های املایی یا نگارشی در پیامک‌ها و ایمیل‌ها، نشانه‌ای از غیرواقعی بودن آن‌ها است. مهاجمان اغلب از زبان فارسی به‌درستی استفاده نمی‌کنند و پیام‌هایی مانند «آخرین مهلت تکمیل مدارک» را ارسال می‌کنند که به‌وضوح اشتباه است.

۵. تطبیق شماره ارسال‌کننده با منابع رسمی

در صورت دریافت پیام از سوی شرکت‌ها یا پلتفرم‌هایی مانند دیوار، بهتر است شماره ارسال‌کننده را با پیام‌های قبلی مقایسه کنید. ارسال پیام از سرشماره‌های ناشناس یا متفاوت، می‌تواند نشانه‌ای از فیشینگ باشد.

۶. دریافت ناخواسته کدهای تأیید

اگر بدون اقدام قبلی، کد تایید یا رمز یکبار مصرفی از سوی شرکت‌هایی نظیر اسنپ یا دیوار برایتان ارسال شد، احتمال دارد فردی در حال سواستفاده از اطلاعات شما باشد. در چنین شرایطی، نباید هیچ کدی را در اختیار دیگران قرار دهید.

۷. بررسی پروتکل امنیتی لینک

لینک‌هایی که با http آغاز می‌شوند، فاقد رمزنگاری امن هستند. همواره اطمینان حاصل کنید که آدرس موردنظر با https آغاز شده و گواهی امنیتی معتبر دارد.

۸. شناسایی آدرس درگاه‌های پرداخت جعلی

درگاه‌های معتبر پرداخت اینترنتی در ایران به سامانه «shaparak.ir» متصل هستند. اگر لینکی که برای پرداخت دریافت می‌کنید فاقد این نام دامنه باشد، از ورود به آن پرهیز کنید.

۹. توجه به دامنه و آدرس سایت

دامنه‌هایی مانند .ir, .org, .com در ایران رایج‌تر و امن‌ترند. در مقابل، لینک‌هایی با پسوندهایی نظیر .xyz, .shop یا .biz بیشتر در پیامک‌های جعلی دیده می‌شوند.

۱۰. بررسی نماد اعتماد الکترونیکی (اینماد)

قبل از انجام خرید آنلاین یا وارد کردن اطلاعات بانکی، حتماً بر روی نماد اعتماد الکترونیکی سایت کلیک کرده و بررسی کنید آیا به آدرس رسمی https://trustseal.enamad.ir/ هدایت می‌شوید یا خیر. این بررسی، شما را از جعلی نبودن درگاه مطمئن می‌سازد.

۱۱. دقت در آدرس ایمیل‌های سازمانی

سازمان‌ها و شرکت‌های رسمی از آدرس‌های مشخص و دامنه‌های اختصاصی خود استفاده می‌کنند. آدرس‌هایی مثل info@company.com معتبر هستند، اما آدرس‌هایی نظیر company123@gmail.com می‌توانند جعلی باشند.

۱۲. فعال‌سازی احراز هویت دو مرحله‌ای

با فعال کردن تأیید دومرحله‌ای (2FA) در حساب‌های کاربری، یک لایه امنیتی اضافه خواهید داشت. این اقدام باعث می‌شود حتی اگر رمز عبور شما فاش شود، افراد سودجو نتوانند به اطلاعاتتان دسترسی پیدا کنند.

۱۳. به‌روزرسانی مستمر نرم‌افزارها

نسخه‌های قدیمی مرورگرها یا اپلیکیشن‌ها، آسیب‌پذیری‌های امنیتی بیشتری دارند. همواره از منابع رسمی مانند Google Play یا App Store برای به‌روزرسانی نرم‌افزارها استفاده کنید و اپلیکیشن‌های پرداختی را از مارکت‌های معتبر ایرانی دریافت نمایید.
 

کدام مشاغل بیشتر در معرض فیشینگ هستند؟

حملات فیشینگ بیشتر در حوزه‌هایی رخ می‌دهند که تراکنش مالی بالا یا اطلاعات حساس کاربران در آن‌ها تبادل می‌شود. از جمله این موارد:

• سایت‌های اعتبارسنجی نامعتبر
• فروشگاه‌های آنلاین بدون اینماد
• سایت‌های شرط‌بندی و فال‌گیری
• وب‌سایت‌های حراجی جعلی
• سامانه‌های قرعه‌کشی و فروش اعتبار

در مواجهه با این نوع سایت‌ها، دقت و رعایت اصول امنیتی، نقش کلیدی در جلوگیری از خسارت دارد.

سخن پایانی

بخش بزرگی از زندگی ما به فضای دیجیتال گره خورده است. آگاهی از روش‌های کلاهبرداری سایبری مانند فیشینگ، دیگر یک انتخاب نیست، بلکه یک ضرورت است. همان‌طور که دیدیم، حملات فیشینگ می‌توانند در قالب ایمیل، پیامک، تماس تلفنی یا حتی وب‌سایت‌های ظاهراً معتبر ظاهر شوند و اطلاعات بسیار حساسی از کاربران را هدف قرار دهند. اما خوشبختانه با رعایت چند اصل ساده امنیتی، به‌روزرسانی مداوم نرم‌افزارها و افزایش آگاهی، می‌توان تا حد زیادی از این تهدیدها در امان ماند. در نهایت، مهم‌ترین سلاح در برابر فیشینگ، هوشیاری دیجیتال است. هر چه بیشتر یاد بگیریم، کمتر در دام می‌افتیم.

سؤالات متداول

۱. فیشینگ دقیقاً چه نوع حمله‌ای است؟
فیشینگ نوعی کلاهبرداری اینترنتی است که در آن مهاجمان با جعل هویت سازمان‌های معتبر، کاربر را فریب می‌دهند تا اطلاعات حساس مانند رمز عبور، شماره کارت بانکی یا کدهای امنیتی را افشا کند.

۲. چگونه تشخیص دهم که پیام یا ایمیلی فیشینگ است؟
به نشانه‌هایی مانند غلط‌های نگارشی، آدرس‌های ایمیل مشکوک، لینک‌های غیر عادی و پیام‌های اضطراری با لحن تهدید آمیز توجه کنید. پیام‌های فیشینگ معمولاً تلاش می‌کنند شما را وادار به اقدام فوری کنند.

۳. آیا فعال‌سازی احراز هویت دو مرحله‌ای برای مقابله با فیشینگ مفید است؟
بله، بسیار مؤثر است. با فعال‌سازی 2FA حتی اگر رمز عبور شما فاش شود، مهاجم برای ورود به حساب به کد امنیتی دوم نیز نیاز دارد.

۴. فیشینگ نیزه‌ای (Spear Phishing) با فیشینگ معمولی چه تفاوتی دارد؟
فیشینگ نیزه‌ای حمله‌ای هدفمند است که اطلاعات خاص قربانی را در طراحی پیام‌ها لحاظ می‌کند، در حالی که فیشینگ معمولی برای تعداد زیادی کاربر به‌صورت گسترده ارسال می‌شود.

۵. اگر فکر کنم قربانی فیشینگ شده‌ام، چه کار باید کنم؟
بلافاصله رمز عبور تمام حساب‌های مرتبط را تغییر دهید، احراز هویت دو مرحله‌ای را فعال کنید، سیستم را با آنتی‌ویروس اسکن کنید و موضوع را به بانک یا نهاد امنیتی اطلاع دهید.

۶. کدام کسب‌وکارها بیشتر در معرض فیشینگ هستند؟
کسب‌وکارهایی که با اطلاعات مالی، تراکنش‌های پولی یا داده‌های محرمانه سر و کار دارند، مثل فروشگاه‌های آنلاین، سیستم‌های مالی، یا پلتفرم‌های اعتباری، بیشترین ریسک را دارند.