Phishing چیست ؟
Phishing از جمله واژه هائی است که توسط مهاجمان در عرصه ادبیات اینترنت مطرح و به ترغیب توام با نیرنگ کاربران به افشای اطلاعات حساس و شخصی آنان ، اشاره دارد . مهاجمان به منظور نیل به اهداف مخرب خود در اولین مرحله درخواست موجه خود را برای افراد بیشماری ارسال می نمایند و در انتظار پاسخ می مانند . آنان امیدوارند که حتی اگر بتوانند تعداد اندکی از افراد را ترغیب به افشای اطلاعات حساس و شخصی خود نمایند در رسالت خود موفق بوده اند . امیدواری آنان چندان هم بی دلیل نخواهد بود چراکه با توجه به گستردگی تعداد قربانیان اولیه احتمالی ، شانس موفیقت نهائی آنان از لحاظ آماری نیز افزایش می یابد.phishing در واقع نوعی از فریب است که برای دزدیدین هویت شما طراحی شده است. در یک حیله از نوع phishing، یک فرد آسیب رسان سعی می کند تا اطلاعاتی مانند شماره های اعتباری و کلمات عبور یا سایر اطلاعات شخصی شما را با متقاعد کردن شما به دادن این اطلاعات تحت ادعاهای دروغین بدست آورد. این نوع حملات معمولاً از طریق هرزنامه یا پنجره های pop-up می آیند.
تعریف ویکی پدیا از phishing :
در تجارت الکترونیک، فیشینگ یا سرقت آنلاین به تلاش برای دستیابی به اطلاعات حساس افراد مانند نام کاربری، کلمه عبور، و اطلاعات کارتهای اعتباری، بهوسیله جا زدن خود به جای یک سایت مورد اطمینان، گفته میشود.مهاجمان به منظور افزایش ضریب موفقیت حملات سعی می نمایند خود را بگونه ای عرضه نمایند که مردم به آنان اعتماد نموده و آنان را به عنوان نمایندگان قانونی مراکز معتبری نظیر بانک ها قبول نمایند . ماهیت و یا بهتر بگوئیم رمز موفقیت این نوع از حملات بر قدرت جلب اعتماد مردم استوار است و بدیهی است که مهاجمان از هر چیزی که بتواند آنان را موجه تر جلوه نماید ، استقبال خواهند کرد . مهاجمان پس از جلب رضایت و اعتماد کاربران از آنان درخواست اطلاعات حساس و مهمی نظیر شماره کارت اعتباری را می نمایند . اکثر عملیات اشاره شده به صورت اتوماتیک انجام و با توجه به این که کاربران گسترده ای هدف اولیه قرار می گیرند و درصد بسیار زیادی از آنان دارای آگاهی لازم جهت تشخیص و مقابله با این نوع حملات نمی باشند ، شانس موفقیت مهاجمان به منظور سرقت هویت کاربران افزایش می یابد .
سرقت هویت چیست ؟
سرقت هویت ، استفاده از هویت شخص دیگر ( اطلاعات حساس و یا شخصی ) برای سوء استفاده مالی و یا سایر اهدف مخرب است . سوء استفاده یا کلاهبرداری با استفاده از کارت اعتباری دیگران ، یک نمونه از سرقت هویت است . در واقع Phishing ، روشی است که مهاجمان از آن به منظور سرقت هویت استفاده می نمایند .
آیا سرقت هویت صرفا" گریبانگیر افرادی می گردد که اقدام به ارسال اطلاعات online می نمایند ؟
در صورتی که هرگز از کامپیوتر استفاده نکرده باشید ، ممکن است از جمله قربانیان سرقت هویت باشید . مهاجمان می توانند با بکارگیری روش های متعدد به اطلاعات شخصی شما نظیر شماره کارت اعتباری ، شماره تلفن ، آدرس و ... دستیابی پیدا نمایند . اکثر شرکت ها و موسسات ، اطلاعات مربوط به مشتریان خود را در بانک های اطلاعاتی ذخیره می نمایند و در صورت دستیابی سارقین به بانک های اطلاعاتی ، اطلاعات شخصی تعداد زیادی از افراد افشاء می گردد .اینترنت فضای لازم برای سارقین را فراهم نموده است تا بتوانند در زمانی مطلوب و در گستره ای وسیع تر به اطلاعات شخصی و مالی کاربران دستیابی نمایند .اینترنت ، همچنین امکانات مناسبی به منظور فروش و مبادلات تجاری اطلاعات سرقت شده را در اختیار مهاجمان قرار می دهد .
چرا می بایست از خود در مقابل حملات phishing حفاظت نمود؟
در یک سازمان ، افراد متفاوت اطلاعاتی را نزد خود نگهداری می نمایند که ممکن است حساس و یا برای سایر افراد و یا سازمان ها حائز اهمیت باشد . در حملات phishing ، مهاجمان عموما" از روش های غیرفنی ( نظیر مهندسی اجتماعی ) برای دستیابی به اطلاعات حساس و مهم اشخاص و یا سازمان ها استفاده نموده و موارد زیر را هدف قرار می دهند :
- اطلاعات بانکی نظیر کارت های اعتباری و یا حساب هائی نظیر paypal
- اطلاعات مربوط به نام و رمز عبور
- اطلاعات بیمه همگانی
- و ...
مهاجمان پس از دستیابی به اطلاعات فوق از آنان به منظور نیل به اهداف زیر استفاده می نمایند :
- برداشت از حساب بانکی
- سرویس های online متفاوتی نظیر eBay و یا Amazon
تکنیکهای phishing
- گریز از فیلترها: فیشرها برای جلوگیری از شناسایی متنهای متداول فیشینگ در ایمیل توسط فیلترهای ضد-فیشینگ از عکس به جای نوشته استفاده میکنند.
- جعل وبگاه: برخی از فیشرها از جاوااسکریپت برای تغییر ادرس در نوار ادرس مرورگر استفاده میکنند تا هیچ جای شکی برای قربانی نماند. یک مهاجم حتی میتواند از ایرادهای موجود در اسکریپتهای یک سایت معتبر نیز علیه خودش استفاده کند. به این نوع حمله cross-site scripting گفته میشود. در این مورد از کاربر خواسته میشود تا در بانک خودش لاگین کند. ظاهراً همه چیز عادی است از ادرس وبگاه گرفته تا گواهینامه امنیتی (security certificates). اما در واقعیت، پیوند به ان وبگاه دستکاری میشود تا با استفاده از عیبهای موجود در اسکریپتهای ان وبگاه، حمله انجام شود. با این حال این روش نیازمند دانش و اگاهی بالایی است. از این روش در سال ۲۰۰۶ برای حمله به وبگاه PayPal استفاده شد.
- فیشینگ تلفنی: تمام حملات فیشینگ نیازمند وبگاه قلابی نیست. پیامهایی که ظاهراً از طرف بانک فرستاده شده و از کاربر میخواهد تا مثلاً به دلیل وجود ایراد در حسابشان، شماره خاصی را شماره گیری کنند، نیز میتواند حمله فیشینگ باشد. بعد از گرفتن شماره (که متعلق به فیشر است و با سرویس صدا از طریق آی پی محیا شدهاست)، از کاربر خواسته میشود تا شماره حساب و پین (PIN) خود را وارد کند.
یک نمونه از حملات phishing
تعداد زیادی از حملات phishing از طریق email انجام می شود. مهاجمان email موجه خود را برای میلیون ها قربانی احتمالی ارسال می نمایند . این نوع نامه های الکترونیکی بسیار مشابه وب سایت شرکتی می باشند که email ادعا می نماید ، نامه از آنجا برای کاربران ارسال شده است .
مهاجمان به منظور فریب کاربران از روش های متعددی استفاده می نمایند :
- استفاده از logo وسایر علائم تجاری شناخته شده و معتبر
- ساختار و طراحی email تقلبی مشابه وب سایت واقعی است ، بگونه ای که در اولین مرحله تشخیص جعلی بودن آن برای بسیاری از کاربران غیرممکن است .
- بخش from نامه الکترونکیی ارسالی ، مشابه ارسال یک email معتبر از شرکت مربوطه است .
- در متن email ممکن است فرمی تعبیه شده باشد که از کاربران خواسته شود به دلایل خاصی( مثلا" account شما در معرض تهدید است و ممکن است مورد سوء استفاده قرار گیرد و یا به دلیل بروز اشکالات فنی ) ، مجددا" اطلاعات خود را در فرم درج و آن را ارسال نمایند . در شکل زیر یک نمونه email جعلی نشان داده شده است .
- در برخی موارد ، مهاجمان به منظور افزایش اعتماد کاربران و معتبر نشان دادن email ارسالی از روش هائی فنی تری استفاده می نمایند. مثلا" ممکن است آنان از روشی موسوم به URL spoofing استفاده نمایند و با ایجاد یک لینک در متن email از کاربران بخواهند که جهت ادامه عملیات بر روی آن کلیک نمایند . با کلیک کاربران بر روی لینک فوق ، آنان در مقابل هدایت به یک سایت معتبر که انتظار آن را دارند به وب سایتی هدایت می گردند که مهاجمان آن را مدیریت می نمایند . شکل ظاهری وب سایت بگونه ای طراحی می گردد که کاربران نتوانند جعلی بودن آن را تشخیص دهند .
Phishing چگونه کار می کند؟
فیشینگ یا سرقت آنلاین در عمل به صورت کپی دقیق رابط گرافیکی یک وبگاه معتبر مانند بانکهای انلاین انجام میشود. ابتدا کاربر از طریق ایمیل و یا آگهیهای تبلبیغاتی سایتهای دیگر، به این صفحه قلابی راهنمایی میشود. سپس از کاربر درخواست میشود تا اطلاعاتی را که میتواند مانند اطلاعات کارت اعتباری مهم و حساس باشد، انجا وارد کند. در صورت گمراه شدن کاربر و وارد کردن اطلاعت خود، ، فیشرها به اطلاعات شخص دسترسی مییابند. از جمله سایتهای هدف این کار میتوان سایتهای eBay، PayPal، و بانکهای انلاین را نام برد.اولین مورد گزارش شده فیشینگ مربوط به دوم ژانویه سال ۱۹۹۶ است که روی گروه خبری (newsgroup) یوزنت alt.online-service.America-online انجام شد.
یک فریب phishing توسط یک کاربر بداندیش که میلیون ها ایمیل فریبنده ارسال می کند، آغاز می شود بطوریکه بنظر می رسد که از وب سایتهای معروف یا از سایت های که مورد اعتماد شما هستند، مانند شرکت کارت اعتباری یا بانک شما می آیند. ایمیل ها و وب سایتهایی که از طریق ایمیل ها برای شما ارسال می شود، آنقدر رسمی بنظر می رسند که بسیاری از مردم را به این باور می رسانند که قانونی هستند. با این باور که این ایمیل ها واقعی هستند، افراد زودباور اغلب به تقاضای این ایمیل ها مبنی بر شماره های کارت اعتباری، کلمات عبور و سایر اطلاعات شخصی پاسخ می دهند.
یک جاعل! لینکی در یک ایمیل جعلی قرار می دهد که اینگونه بنظر می رسد که لینک به وب سایت واقعی است، اما در واقع شما را به سایت تقلبی یا حتی یک پنجره pop-up می برد که دقیقاً مانند سایت اصلی بنظر می رسد. این کپی ها اغلب وب سایت های spoofed نامیده می شوند. زمانیکه شما در یکی از این وب سایت ها یا pop-upهای تقلبی هستید ممکن است ناآگاهانه حتی اطلاعات شخصی بیشتری وارد کنید که مستقیماً به شخصی که این سایت تقلبی را درست کرده است، ارسال خواهد شد. این شخص آن موقع می تواند از این اطلاعات برای خرید کالا یا تقاضا برای یک کارت اعتباری جدید یا سرقت هویت شما اقدام کند.
پنج روش که به شما در محافظت از خودتان در مقابل phishing کمک می کند
همانند دنیای فیزیکی، جاعلان در دنیای اینترنت ایجاد روش های جدید و گمراه کننده تر را برای فریب شما ادامه می دهند. اما پی گیری این پنج روش به شما برای محافظت از اطلاعات شخصیتان کمک می کند.
۱- هرگز به تقاضاهایی که از طریق ایمیل یا پنجره های pop-up اطلاعات شخصی شما را می خواهند، پاسخ ندهید. اگر شک دارید، با موسسه ای که مدعی ارسال ایمیل یا پنجره pop-up است، تماس بگیرید.
اکثر مراکز تجاری قانونی، کلمات عبور، شماره کارت های اعتباری و سایر اطلاعات شخصی را از طریق ایمیل مورد سوال قرار نخواهند داد. اگر ایمیلی اینچنین دریافت کردید، پاسخ ندهید. اگر فکر می کنید که ایمیل صحت دارد، برای تایید از طریق تلفن یا وب سایتشان با آنها تماس بگیرید. اگر احساس می کنید که هدف یک حیله phishing قرار گرفته اید، گام بعدی را برای بهترین روش های رفتن به وب سایت ببینید.
۲- وب سایت ها را با تایپ آدرس آنها در address bar ببینید.
اگر شک دارید که ایمیل از شرکت کارت اعتباری، بانک، سرویس پرداخت آنلاین یا وب سایتهای دیگری است که با آنها تجارت انجام می دهید نباشد، لینک ها را از طریق ایمیل برای رفتن به وب سایت دنبال نکنید. آن لینک ها ممکن است شما را به سایت جعلی ببرند که تمام اطلاعاتی را که وارد می کنید برای جاعل آن سایت ارسال کنند.
حتی اگر address bar آدرس درستی نشان می دهد، خطر آن را نپذیرید. چندین روش برای هکرها وجود دارد تا یک URL جعلی در address bar مرورگرتان نمایش دهند. نسخه های جدیدتر مرورگرها جعل آدرس را مشکل تر می کنند، بنابراین بهتر است که مرورگرتان را مرتب به روز نگهدارید. اگر فکر می کنید که این به روزرسانی ها را همواره به یاد نخواهید داشت، می توانید کامپیوترتان را برای بروزرسانی های خودکار پیکربندی کنید.
۳- بررسی کنید تا مطمئن شوید که وب سایت از رمزنگاری استفاده می کند.
اگر به دسترسی به وب سایت از طریق address bar اعتماد ندارید، چگونه میدانید که ممکن است امن باشد؟ چند روش مختلف وجود دارد. نخست، قبل از وارد کردن هرگونه اطلاعات شخصی، بررسی کنید که آیا سایت از رمزنگاری برای ارسال اطلاعات شخصی شما استفاده می کند. در اینترنت اکسپلورر می توانید این عمل را با دیدن آیکون قفل زردرنگی که در status bar نشان داده می شود، بررسی کنید.
این نشانه دلالت بر استفاده از وب سایت از رمزنگاری برای کمک به محافظت از اطلاعات حساس دارد. ـ شمار کارت اعتباری، شماره امنیتی اجتماعی، جزئیات پرداخت – که شما وارد می کنید.
بر روی این علامت دوبار کلیک کنید تا گواهی امنیتی برای سایت نشان داده شود. نام بعد از Issued toباید با سایتی که در آن حاضر هستید مطابقت کند. اگر نام متفاوت است، احتمالاً در سایت جعلی قرار دارید. اگر مطمئن نیستید که یک گواهی قانونی است، هیچ اطلاعات شخصی وارد نکنید. احتیاط کنید و سایت را ترک کنید.
۴- بطور منظم اعلامیه های کارت اعتباری و بانک تان را مرور کنید.
حتی اگر سه مرحله قبل را انجام می دهید، هنوز ممکن است قربانی دزدی هویت شوید. اگر اعلامیه های بانک تان و کارت اعتباری تان را حداقل ماهانه مرور کنید، ممکن است بتوانید یک جاعل را شناسایی و از وارد آمدن خسارات قابل توجه جلوگیری کنید.
۵- سو ءاستفاده های مشکوک از اطلاعات شخصیتان را به مراکز مناسب گزارش کنید.
اگر قربانی چنین حقه ای بوده اید باید:
· فوراً جعل را به شرکتی که جعل در مورد آن صورت گرفته است، گزارش کنید. اگر مطمئن نیستید که چگونه با شرکت تماس بگیرید، وب سایت شرکت را برای گرفتن اطلاعات صحیح تماس، نگاه کنید. شرکت ممکن است یک آدرس ایمیل مخصوص برای گزارش چنین سو ءاستفاده ای داشته باشد. بخاطر داشته باشید که هیچ لینکی را در ایمیل phishing که دریافت کرده اید، دنبال نکنید. باید آدرس شناخته شده شرکت را مستقیماً در address bar مرورگرتان تایپ کنید.
· جزئیات جعل را، مانند ایمیل هایی که دریافت کرده اید، به مراکز ذیصلاح قانونی همچون مرکز شکایات تقلب های اینترنتی گزارش کنید. این مرکز در کل دنیا برای از کار اندازی سایت های phishing و شناسایی افراد پشت این کلاه برداری ها، کار می کند.در چنین شرایطی برای آموختن نحوه به حداقل رساندن میزان خسارت می توانید به وب سایت دزدی هویت FTC سر بزنید.
منابع :
http://www.srco.ir/Articles/TipsView.asp?ID=445
http://www.ircert.com/articles/Phishing.htm
http://fa.wikipedia.org/wiki/%D9%81%DB%8C%D8%B4%DB%8C%D9%86%DA%AF
ای کاش یکم با هم مهربون بودیم .