فیشینگ یک تکنیک مهندسی اجتماعی است که به وسیله آن می‌توان کاربر را گمراه کرد و اطلاعات شخصی وی را بدست آورد . فیشینگ رایج‌ترین روش کلاهبرداری فضای سایبری می‌باشد. هرچند فیشینگ یک بدافزار نیست اما اطلاعات کاربران شامل نام کاربری و کلمه‌ی عبور فرد و یا اطلاعاتی مربوط به شماره حساب بانکی فرد و خیلی موارد دیگر را به سرقت می‌برد .
فیشینگ انواع مختلفی دارد از جمله فیشینگ جعل وب‌گاه، فیشینگ فریبنده، فیشینگ تلفنی، دوقلوهای شر( Evil twins) و… اما در اینجا به طور مختصر تکنیک‌های کلی و شایع فیشینگ جعل وب‌گاه و فیشینگ فریبنده را توضیح می‌دهیم.
نحوه کار فیشینگ جعل وب‌گاه
مهاجمان در این تکنیک با طراحی یک سایت تقلبی که بسیار شبیه به سایت اصلی می‌باشد، تلاش می‌کنند به روش‌های مختلف قربانیان را به سمت سایت تقلبی مورد نظر خود هدایت کنند تا فرد قربانی اطلاعات محرمانه خود را در آن وارد کند.
در نگاه اول صفحه کاملاً شبیه صفحه مورد نظرمان می‌باشد، درحالی که در آدرس بار که آدرس سایت در آن نوشته شده عباراتی اضافه شده‌است و شما غافل از این تغییر نام کاربری و رمز عبور خود را وارد می‌کنید واطلاعات‌تان به سرقت می‌رود.
به طور مثال : آدرس سایت بانک ملی www.bankmelli-iran.com است، در حالی که برای شما صفحه‌ای کاملا مشابه سایت بانک ملی با آدرس دامنه www.bankmelli-iran.asd.com باز شده‌است. این آدرس جعلی است.
آدرس سایت اصلی asd.com بوده و bankmelli-iran برای آن سایت یک زیردامنه یا سابدامین محسوب می‌شود.
گاهی سابدامین‌های سایت تقلبی به قدری طولانی است که در نگاه اول آدرس اصلی سایت قابل دیدن نیست و این باعث گمراه شدن قربانی می‌شود. متاسفانه کاربران به اندازه کافی به آدرس سایت دقت نمی‌کنند و فقط با دیدن استایل صفحه، شروع به وارد کردن اطلاعات می‌کنند! حتی برخی از افراد به آدرس بار نگاه کرده و با دیدن عبارت bankmelli-iran به این صفحه اعتماد می‌کنند.
در مثالی دیگر آدرس معتبر درگاه‌های پرداخت اینترنتی امن باید سابدامین‌هایی از دامنه shaparak.ir باشد و هرگونه ترکیب دیگری از کلمه shaparak و هر پسوند دیگری از شاپرک به جز ir. نامعتبر می‌باشد. به عنوان مثال ترکیب‌هایی نظیر shaaparak و یا shaparakk شما را وارد صفحه‌ی درگاه پرداخت اینترنتی تقلبی می‌کند.
کاربران باید به درگاه‌هایی با شکل آدرس https://xxx.shaparak.ir توجه کنند که به جای مقدار xxx حتما باید نام یکی از PSP ها (شرکت‌های پرداخت الکترونیک) مطرح درج شده باشد. مانند به پرداخت ملت https://bpm.shaparak.ir یا پرداخت الکترونیک سامان https://sep.shaparak.ir که درگاه‌های معتبر می‌باشند.
نحوه کار فیشینگ فریبنده
در این فیشینگ مهاجم با ارسال یک ایمیل با محتوای تقلبی (مشابه یک ایمیل قانونی)، اقدام به فریب دادن کاربر کرده و از کاربر خواسته می‌شود که اطلاعات حساب خود را (نام کاربری و کلمه عبور) مجدد وارد کند. مهاجم امید دارد که کاربر با کلیک روی لینک جعلی فریب خورده و در صفحه مربوطه login کند. استفاده از ایمیل برای به دام انداختن کاربران بسیار رایج است.
تکنیک هایی که معمولاً در فیشینگ برای فریب کاربران استفاده می‌شوند
- ارسال پیامک‌های جعلی ثبت‌نام کارت سوخت با آدرس جعلی شرکت پخش فرآورده‌های نفتی .
- ارسال ایمیل از طرف فردی که ادعا می‌کند دوست یا همکار شما است.
- ارسال ایمیل و درخواست اطلاعات از سوی بانکی قلابی
- آگهی‌های تبلیغاتی سایت‌های دیگر یا تبلیغ در شبکه‌های اجتماعی
- وب‌سایتی تقلبی که برای امور خیریه تقاضای کمک می‌کند.
- وب‌سایتی با نامی مشابه وب‌سایت‌هایی که شما مدام به آنها سر می‌زنید.
- اعلام برنده‌شدن شما در قرعه‌کشی
- و ….
راه‌هایی برای حفاظت در مقابل حملات فیشینگ
- هرگز اطلاعات کاربری (رمز عبور و نام کاربری) خود را از طریق فرمی که از طریق ایمیل دریافت کرده‌اید، وارد نکنید.
- برای وارد کردن اطلاعات کاربری، یک صفحه جدید در مرورگر باز کنید و آدرس آن وب‌سایت را به صورت دستی وارد کنید.
- به آدرس‌های دامنه دقت کنید آدرس اصلی سایت را با سابدامین‌های دلخواهی که توسط هکر ایجاد می‌شود اشتباه نگیرید.
- اگر روی لینکی کلیک کردید و صفحه جدیدی باز شد، حتما به آدرس آن دقت کنید. همچنین دقت کنید دامنه شامل بخش‌های اضافی نباشد.
- به هیچ وجه و به هیچ عنوان به آدرس ارسال کننده ایمیل اعتماد نکنید!
- اگر ایمیلی در پوشه هرزنامه، اسپم یا Spam شما بود، به احتمال زیاد محتوای آن یا تبلیغاتی و یا فیشینگ است!
- اطلاعات کارت اعتباری را روی هارد دیسک نگهداری نکنید.
- برای اطمینان از واقعی بودن سایت و همچنین وارد کردن اطلاعات کاربری، یک صفحه جدید در مرورگر باز کنید و آدرس آن وب‌سایت را به صورت دستی وارد کنید.
- برای وارد کردن اطلاعات کاربری همیشه از وب سایت های ایمن که با https:// شروع می‌شوند استفاده کنید.
- به‌طور دوره‌ای و مرتب به حساب خود سر بزنید، یعنی آن را برای مدت طولانی بدون کنترل رها نکنید.
- مراقب دکمه‌های دانلود جعلی باشید.
- متن و فونت دکمه با بقیه قسمت‌های وب‌سایت همخوانی داشته باشد .
- مرورگر خود را بطور مرتب به روز کنید و همه وصله‌های امنیتی آن را نصب و فعال کنید.
- از افزونه ضدفیشینگ استفاده نمایید. این افزونه با هدف شناسایی و مقابله با انواع حملات فیشینگ فضای مجازی (صفحات جعلی درگاه‌های پرداخت الکترونیک) ساخته شده است.
