فیشینگ نوعی حمله‌ی سایبری است که در آن، کلاهبردار خود را به‌عنوان یک نهاد معتبر یا تجاری معرفی می‌کند تا مردم را فریب دهد و اطلاعات حساس و حیاتی آن‌ها همچون اطلاعات کارت اعتباری، نام کاربری، رمز عبور و غیره را بدزدد. چون فیشینگ نوعی عمل روانشناختی محسوب می‌شود و به اشتباهات انسانی (نه سخت‌افزاری یا نرم‌افزاری) متکی است، پس باید آن را شکلی از حمله‌ی مهندسی اجتماعی تلقی کرد. حمله‌کننده‌های فیشینگ معمولاً از ایمیل‌های جعلی استفاده می‌کنند تا کاربر را متقاعد سازند که اطلاعات حساس و مهم خود را در یک وب‌سایت جعلی وارد کند. این ایمیل‌ها معمولاً از کاربر می‌خواهند رمز عبور خود را بازیابی (Reset) کرده یا اطلاعات کارت اعتباری خود را تائید کند و در نهایت، کاربر را به یک وب‌سایت جعلی هدایت می‌کنند که شباهت زیادی به وب‌سایت اصلی دارد. انواع اصلی فیشینگ عبارتند از: فیشینگ کلون، فیشینگ نیزه‌ای و فارمینگ (Pharming).
حملات فیشینگ در اکوسیستم رمزارزها نیز مورد استفاده قرار می‌گیرد، جاییکه کلاهبردار سعی در سرقت بیت‌کوین یا سایر ارزهای دیجیتال از کاربر دارد. برای مثال، سرقت ممکن است توسط مهاجمی انجام شود که یک وب‌سایت واقعی را جعل کرده و آدرس کیف پول آن وب‌سایت را به آدرس خودش تغییر داده و به کاربر این تصور را می‌دهد که در حال پرداخت پول برای یک خدمت یا کالای قانونی است، در حالیکه در اصل، پول او در حال دزدیده شدن است.
ارز دیجیتال - انواع فیشینگ کدام‌ها هستند؟
انواع گوناگونی از فیشینگ وجود دارد و این‌ها معمولاً بر اساس بُردار هدف و حمله طبقه‌بندی می‌شوند که چند تا از متداول‌ترین آن‌ها از این قرار هستند:
فیشینگ - فیشینگ کلون
هکر از یک ایمیل قانونی و قبلاً ارسال شده استفاده می‌کند و محتوای آن را در یک ایمیل مشابه دارای لینک به یک سایت جعلی کپی می‌کند. سپس هکر ادعا می‌کند که این لینک به‌روز شده یا جدیدی است و لینک قدیمی منقضی شده است.
فیشینگ - فیشینگ نیزه‌ای
این حمله‌ی سایبری بر روی یک شخص یا موسسه‌ای متمرکز است که بدلیل پروفایل شدن، پیچیده‌تر از انواع دیگر فیشینگ است. یعنی، هکر ابتدا اطلاعات مربوط به قربانی خود را جمع‌آوری می‌کند (برای مثال، نام دوستان یا اعضای خانواده) و سپس بر اساس این داده‌‌ها، پیامی درست می‌کند که وظیفه‌ی اصلی آن، متقاعد کردن قربانی برای بازدید از یک وب‌سایت جعلی یا دانلود یک فایل آلوده است.
فیشینگ - فارمینگ
هکر سابقه‌ی DNS را آلوده می‌کند و بازدیدکننده‌ی یک وب‌سایت قانونی را به وب‌سایت دیگری هدایت می‌کند که هکر از قبل آن را ساخته است. این خطرناک‌ترین نوع حمله است، چون سوابق DNS در کنترل کاربر قرار ندارد. بنابراین، کاربر در دفاع از خود درمانده می‌ماند.
فیشینگ - Whaling
شکلی از فیشینگ نیزه‌ای است که افراد ثروتمند و مهمی همچون مدیران عامل و مقامات دولتی را هدف قرار می‌دهد.
فیشینگ - جعل ایمیل
ایمیل‌های فیشینگ معمولاً ارتباطات شرکت‌ها یا افراد قانونی را جعل می‌کنند و ممکن است لینک‌های سایت‌های جعلی را به قربانیان ناآگاه عرضه کنند، جاییکه هکرها با استفاده از صفحات Login که هوشمندانه جعل شده‌اند، اطلاعات Login و PII را جمع‌آوری می‌کنند. این صفحات ممکن است دارای تروجان، Keylogger و اسکریپت‌های آلوده‌ی دیگری باشند که اطلاعات شخصی فرد را سرقت می‌کنند.
فیشینگ - Redirects وب‌سایت
Redirects وب‌سایت، کاربران را به URLهای متفاوتی از URL در نظر گرفته شده برای بازدید می‌فرستند. هکرهایی که از چنین آسیب‌پذیری‌هایی استفاده می‌کنند، ممکن است Redirects را وارد کرده و بدافزار روی کامپیوتر کاربر نصب شود.
فیشینگ - Typosquatting
Typosquatting ترافیک را به‌سمت وب‌سایت‌های تقلبی هدایت می‌کند که از هجی‌های زبان خارجی، غلط‌های املایی متداول یا تغییرات جزئی در دامنه‌ی سطح بالا استفاده می‌کند. فیشرها از دامنه‌ها برای تقلید رابط‌های مجازی وب‌سایت استفاده کرده و از کاربرانی سوءاستفاده می‌کنند که URL را اشتباه تایپ یا اشتباه می‌خوانند.
فیشینگ - Watering Hole
در یک حمله‌ی Watering Hole، فیشرها کاربران را پروفایل کرده و وب‌سایت‌هایی را مشخص می‌کنند که آن‌ها اغلب به آن مراجعه می‌کنند. فیشرها آسیب‌پذیری‌های این سایت‌ها را بررسی می‌کنند و در صورت امکان، اسکریپت‌های آلوده‌ای را تزریق می‌کنند که طراحی شده تا دفعه‌ی بعدی که کاربر به آن سایت مراجعه کرد، او را هدف قرار دهند.
فیشینگ - جعل هویت
جعل هویت شخصیت‌های تاثیرگذار در شبکه‌های اجتماعی، یکی دیگر از تکنیک‌های مورد استفاده در ترفندهای فیشینگ است. فیشرها ممکن است رهبران اصلی شرکت‌ها را جعل هویت کنند و با توجه به مخاطبانی که آن فرد تاثیرگذار دارد، ممکن است تبلیغات یا اقدامات فریبنده‌ی دیگری انجام دهند. قربانیان چنین ترفندی ممکن است حتی به‌صورت جداگانه از طریق فرایندهای مهندسی اجتماعی هدف قرار بگیرند. هکرها ممکن است حساب‌های تائید شده را هک کرده و نام کاربری را تغییر دهند تا هویت یک شخصیت واقعی را جعل کنند. قربانیان به احتمال زیاد با شخصیت‌های ظاهراً بانفوذ تعامل کرده و PII را ارائه می‌دهند و این فرصت را برای فیشرها فراهم می‌کند تا از اطلاعات آن‌ها سوءاستفاده کنند.
اخیراً، فیشرها به‌طور جدی پلتفورم‌هایی همچونSlack ، Discord و Telegram را با چت‌های جعلی، جعل هویت افراد و جعل خدمات قانونی هدف قرار داده‌اند.
فیشینگ - تبلیغات
تبلیغات پولی، روش دیگری است که برای فیشینگ استفاده می‌شود. این تبلیغات (جعلی) از دامنه‌هایی استفاده می‌کنند که هکرها آن‌ها را جعل کرده و پول پرداخته‌اند تا نتایج سرچ‌ها برای آن‌ها بالا بیاید. این سایت‌ها حتی ممکن است به‌عنوان نتیجه‌ی سرچ برتر در سرچ شرکت‌ها یا خدمات قانونی همچون Binance ظاهر شوند و اغلب به‌عنوان ابزاری برای جعل اطلاعات مهم و حساس مورد استفاده قرار می‌گیرند که ممکن است شامل اطلاعات Login برای حساب‌های تجاری شما باشد.
فیشینگ - برنامه‌ها (اپلیکیشن‌های مخرب)
فیشرها ممکن است از برنامه‌های مخرب به‌عنوان بُرداری برای تزریق بدافزار استفاده کنند، بدافزاری که رفتار شما را نظارت کرده یا اطلاعات حساس و مهم‌تان را به‌سرقت می‌برد. این برنامه‌ها ممکن است به‌عنوان ردیاب قیمت، کیف پول یا سایر ابزارهای مرتبط با رمزنگاری، خود را عرضه کند
فیشینگ متنی و صوتی
فیشینگ پیامکی، یک شکل متنی فیشینگ و ویشینگ، معادل صوتی/تلفنی آن، از دیگر روش‌هایی است که هکرها تلاش می‌کنند اطلاعات شخصی شما را بدست آورند.
فیشینگ در مقابل فارمینگ
گرچه برخی فارمینگ را نوعی حمله‌ی فیشینگ می‌دانند، اما فارمینگ به مکانیزم متفاوتی متکی است. تفاوت اصلی بین فیشینگ و فارمینگ در این است که فیشینگ به قربانی‌ای نیاز دارد که مرتکب اشتباه شود، در حالیکه فارمینگ فقط به قربانی‌ای نیاز دارد که وارد یک وب‌سایت قانونی شود که سوابق DNS آن، توسط هکر جعل شده است.
ارز دیجیتال - چگونه می‌توان از فیشینگ جلوگیری کرد؟
- مواظب باشید: بهترین دفاع شما در برابر فیشینگ این است که نسبت به ایمیل‌های دریافتی‌تان، نگاه انتقادی داشته باشید. آیا انتظار این را داشتید که درباره‌ی موضوع خاصی از شخصی ایمیلی را دریافت کنید؟ آیا شک دارید که اطلاعاتی که آن شخص در جستجوی آن است، واقعاً به او مربوط نیست؟ اگر تردید وجود دارد، تمام تلاش خود را بکنید تا از طریق دیگری، با فرستنده تماس بگیرید.
- محتوا را بررسی کنید: برای بررسی اینکه آیا سابقه‌ای از حملات فیشینگ وجود داشته که از آن روش خاص استفاده کرده، می‌توانید بخشی از محتوا (یا آدرس ایمیل فرستنده) را در یک موتور جستجو تایپ کنید.
- روش‌های دیگر را امتحان کنید: اگر فکر می‌کنید که درخواست قانونی برای تائید اطلاعات حساب خود دریافت خواهید کرد، سعی کنید این کار را به‌جای کلیک کردن روی لینک موجود در ایمیل، از طریق روش‌های دیگری انجام دهید.
- URL را بررسی کنید: بدون اینکه روی آن URL کلیک کنید، روی لینک قرار بگیرید تا بررسی کنید آیا آن لینک با HTTPS شروع می‌شود یا با HTTP. البته توجه داشته باشید که این امر به‌تنهایی تضمینی برای قانونی بودن سایت نیست. URLها را از نظر غلط املایی، کاراکترهای غیرمعمول و سایر ناهمخوانی‌ها دقیقاً بررسی کنید.
- کلیدهای خصوصی خود را به‌اشتراک نگذارید: هرگز کلید خصوصی کیف پول بیت‌کوین خود را به اشتراک نگذارید و در تشخیص محصول و فروشنده‌ای که قصد دارید ارز دیجیتال رمزپایه‌ی خود را به او بدهید هوشیار باشید. تفاوت معامله با رمزارز و کارت اعتباری در این است که در رمزارز، اگر کالا یا خدمت توافق شده را دریافت نکرده‌اید، هیچ نهاد مرکزی وجود ندارد که بتوانید اتهامی را در این مورد مطرح کنید. به همین دلیل است که فرد باید هنگام معامله با رمزارزها، محتاط باشد.
فیشینگ یکی از گسترده‌ترین و رایج‌ترین روش‌های حمله‌ی سایبری است. در حالیکه فیلترهای ایمیل، در جدا کردن جعلیات از پیام‌های واقعی کارهای خوبی انجام داده‌اند، باید همچنان مراقب باشید و آخرین خط دفاعی را حفظ کنید. نسبت به هرگونه تلاش برای بدست آوردن اطلاعات حساس یا خصوصی‌تان مواظب باشید. در صورت امکان، همیشه از طریق وسیله‌ی ارتباطی دیگری، قانونی بودن فرستنده و درخواست او را تائید کنید. از کلیک کردن روی لینک‌های موجود در ایمیل‌های مربوط به وقایع امنیتی خودداری کنید و مراقب HTTPS در ابتدای URLها باشید. سرانجام، در معاملات رمزارزهای خود دقت کنید، چون در صورت وجود مشکل در پایان معامله، راهی برای بازگشت آن‌ها وجود ندارد. همیشه کلیدهای خصوصی و رمزهای عبور خود را خصوصی نگه دارید و هرگز هیچ نوع اعتمادی را قطعی تلقی نکنید.