رایج‌ترین اشکال حملات فیشینگ
همانطور که میدانید مباحث امنیتی هیچ‌گاه در اثر گذشت زمان اهمیت خود را از دست نمی‌دهند، بلکه در هر برهه‌ای از زمان شکل جدیدی به خود گرفته و مطابق رشد تکنولوژی ظاهر می‌شوند.
یکی از این مباحث، حملات فیشینگ است که همواره در اشکال و روش‌ها و قالب‌های گوناگون خود را نمایان می‌کند.
معرفی
از این حمله برای سرقت و سوءاستفاده از هویت قربانیان به کمک شبکه‌های رایانه‌ای استفاده می‌شود. اين‌گونه حمله‌ها عموما به قصد دسترسی به شناسه‌ها و رمزهای عبور و اطلاعات حساس افراد طراحی شده است.
در واقع سرقت با متد فيشينگ یک تهدید اینترنتی است که در آن مهاجم با روش‌هایی کاربر را متقاعد می‌کند تا اطلاعات شخصی و مهم خود را در اختیار او قرار دهد.
این اطلاعات می‌تواند هویت فردی، یعنی مشخصات قربانی یا هویت بازرگانی او همچون شماره حساب بانکی و رمز عبور آن یا هر آنچه دارای اهمیت است باشد که به کمک آن سارقِ هویت، امکان سوءاستفاده از آن را پیدا می‌کند. به‌طور کلی شامل اطلاعات ارزشمندی می‌شود که استفاده غیرقانونی از آن، منافعی برای هکرها و کلاهبرداران به دنبال بیاورد.
نکته‌ای که باید در اینجا مورد توجه قرار گیرد، این حقیقت است که رفتار و برنامه‌ریزی مهاجم به‌گونه‌ای اجرا می‌شود که کاربر از دادن اطلاعات مهم خود به فردی که قصد استفاده غیرقانونی از آنها را دارد، مطلع نمی‌شود.
هکر خود را در سایه افراد یا شرکت‌های قانونی پنهان كرده و به روش‌هایی مانند ایجاد سایتی مشابه شرکت واقعی و هدایت کاربران به آن یا با ارسال تعداد بسیار زیادی ایمیل و هرزنامه، کاربر را وادار به واردکردن اطلاعات مطلوب می‌كند.
میزان خطرناک بودن این حمله گاه به حدی است که کاربر تا مدت‌ها از وقوع و عواقب آن بی‌خبر مانده و دچار مشکلات بسیاری می‌شود، به همین دلیل قربانی حمله ممکن است دچار خسارت هنگفتی، همچون خالی شدن حساب بانکی‌اش شود.
نه‌تنها در این حمله بلکه در بسیاری از حملات، یکی از مهم‌ترین عواملی که زمینه‌ساز رخداد یک حمله موفق می‌شود، دانش پایین و سطحی کاربران در مواجهه با این حملات یا پیشگیری از آن است. پایین بودن سطح آگاهی کاربر از مباحث امنیتی ایده‌آل هکرها است که کار را برای آنها آسان می‌کند.
اما این مساله تنها به حیطه کارکرد سیستم‌های رایانه‌ای منتهی نمی‌شود، بلکه مساله مهم‌تر و حیاتی‌تر، موضوع امنیت در شبكه‌هاي رايانه‌اي است که در اغلب موارد توجه بسیار کمی به آن می‌شود و اولویت بالایی نزد کاربران ندارد.
به‌طور کلی دانش کاربران در زمینه امنیت سیستم‌های شبكه‌اي در اغلب موارد بسیار کم و ناچیز است. همه سایت‌ها دارای نشانی‌هایی براي دسترسی کاربران به آنها هستند. از این‌رو سارقِ هویت از این موضوع بهره‌برداری كرده و ترفند زیر را به‌کار می‌گیرد. او ابتدا یک سایت مانند یک فروشگاه اینترنتی را به‌عنوان سایت هدف انتخاب كرده و دامنه‌ای را با نامی نزدیک به نام آن سایت خریداری و ثبت می‌کند، به نحوی که دامنه خریداری‌شده تنها در یک یا دو کاراکتر با دامنه سایت اصلی تفاوت داشته و تا حد امکان مشابه آن انتخاب شده باشد.
دلیل این موضوع واضح است؛ چرا که معمولا کاربران توجه زیادی به این تفاوت‌ها نمی‌کنند و در واقع دچار نوعی خطای دید خواهند شد. بنابراین کاربر با اطمینان از معتبر بودن سایت، اطلاعات هویتی خود را وارد مي‌كند و بدون آنکه آگاه باشد، در دامی که برای او گسترده شده قرار می‌گیرد.
مهاجم می‌تواند از فریب مشاهدات کاربر بهره دیگری نیز ببرد. براي نمونه می‌تواند از یک تصویر برای پیوند به سایت جعلی خود استفاده کند و در نتیجه کاربر را گمراه كند یا تصاویری را در صفحه سایت خود قرار دهد که مشابه پنجره‌های مرورگر کاربر باشند. بنابراین کاربر به‌دلیل شباهت‌های بسیار زیاد این دو صفحه، تصور می‌کند صفحه جدید نیز بخشی از همان سایت اصلی است و در واقع هر دو متعلق به یک منبع هستند.
یکی دیگر از مواردی که زمینه‌ساز وقوع یک حمله سرقت فيشينگ و موفقیت آن است، بی‌حوصله بودن یا بي‌توجهي کاربران به هشدارهای امنیتی است. متاسفانه در بيشتر موارد کاربران دقت و توجه کافی برای خواندن متن پیام‌های هشداری که به آنها داده می‌شود به‌کار نمی‌برند و این مساله به سارق امكان می‌دهد تا حمله خود را عملی سازد.
فرایند سرقت فيشنيگ
اما پس از ذکر مواردی پیرامون سرقت فيشنيگ و علت‌های وقوع موفقیت‌آمیز آن، اکنون نوبت آن است تا فرایند سرقت فيشینگ در سه مرحله ساده به‌صورت زیر دسته‌بندی و ارايه شود.
مرحله اول: ثبت یک دامنه جعلی
مهاجم در آغاز فرایند سرقت فيشينگ نیازمند آن است تا یک آدرس اینترنتی، مشابه با سایت شرکت یا سازمان رسمی و واقعی را برای خود تهیه و ثبت كند.
گرچه الزامی به شباهت اسمی ميان سایت اصلی و سایت جعلی وجود ندارد، اما این کار در ایجاد خطای چشمی برای کاربران نقش بسزایی را ایفا می‌کند.
به این موضوع در سطرهای بالایی پرداخته شد. اما آنچه در مرحله اول قطعی و ضروری است، ثبت یک دامنه (دامنه: همان آدرسي است كه براي بازديد از يك سايت در مرورگر خود وارد مي‌كنيد) برای سایت جعلی براي سرقت فيشينگ به‌وسيله سارق هویت است.
مرحله دوم: ایجاد یک سایت جعلی با ظاهری مشابه سایت اصلی
این موضوع نیز از منظر دیگری پیش از این بررسی شد. در این مرحله سارق برای فریب کاربران، صفحه پیش روی سایت خود را مشابه صفحه متناظر سایت اصلی طراحی می‌کند.
به این ترتیب از خطای چشمی به‌وجود آمده در کاربر برای حصول نتیجه در فرایند سرقت فيشينگ خود، بهترین بهره را می‌برد. این طراحی یکسان و مشابه، تنها به صفحه اصلی سایت محدود نمی‌شود و تا حد امکان فرم‌های ورود اطلاعات، صفحات داخلی و پیوندها را نیز پوشش می‌دهد.
دقت در پیاده‌سازی، ریزه‌کاری‌ها و حتی انتخاب فونت‌های مشابه سایت اصلی، در فریب کاربران موثر است، بنابراين نبايد کاربران دچار کوچک‌ترین شک و تردیدی شوند.
مرحله سوم: فرستادن ایمیل به تعداد زیادی از کاربران
پس از انجام مراحل یک و دو، سارق باید قربانیان خود را به طریقی به سمت این سایت جعلی جذب كند.
مرسوم‌ترین روش برای این کار، استفاده از ارسال تعداد زیادی ایمیل برای میلیون‌ها آدرس پست الکترونیکی در سراسر جهان است. البته روش‌های دیگری هم برای این کار وجود دارد؛ مانند قرار دادن بنر تبلیغاتی یا پیوندهای جعلی در صفحات سایت‌های دیگر که کاربر را به سایت فراهم‌شده برای سرقت فيشينگ هدایت کنند. در نهایت زمانی که کاربر به سایت سرقت فيشينگ هدایت شد، سارق می‌تواند به طریقی وی را به واردکردن اطلاعات حیاتی در محل‌های موردنظر خود وادار كند.
براي مثال ظاهرسازی خوب و مناسب سایت، موجب شود کاربر با اعتماد به اینکه وارد سایت یک شرکت یا سازمان معتبر و رسمی شده است، اطلاعات خود را ارايه کند. در این صورت سارق می‌تواند این اطلاعات را برای استفاده‌های بعدی گردآوری و دسته‌بندی كند.
جمع‌بندی
در این مقاله مقدمه‌ای پیرامون سرقت فيشينگ بیان شد و علاوه بر معرفی دلایل موفقیت این حمله یک نمونه عمومی از فرایند اجرای این سرقت نیز بیان شد.
با آنکه استفاده از نامه‌های الکترونیکی، روشی مرسوم و معمول برای سرقت فيشينگ است، اما این تنها راهکار ممکن برای صیادی اطلاعات قربانیان از سوي سارقان و هکرها نیست.
اپل آی‌دی نمونه جدید حملات فیشینگ
حملات فیشینگ که در قالب یک ایمیل برای کاربر به نمایش در می‌آید، با اعتمادسازی او را به‌گونه‌ای مجبور می‌کند تا اطلاعات حساب کاربری خود را ویرایش کند.
این نوع حملات که امروزه درصد بسیاری از حملات آنلاین قرار دارد، با تکنیک‌های مهندسی اجتماعی کاربران را فریب داده و با معرفی خود به‌عنوان یک شرکت معتبر (در این مطلب مثلا شرکت eBay) از کاربر می‌خواهد اطلاعات محرمانه خود را تغییر دهد و این‌گونه اطلاعات واردشده کاربر به‌وسيله کلاهبرداران اینترنتی به سرقت می‌رود.
این حمله به بهانه‌های گوناگون می‌تواند کاربر را مورد هدف قرار دهد، استفاده از اپل آی‌دی نادرست، دسترسی غیرمجاز به اپل آی‌دی کاربر، بالا بردن سطح ایمنی حساب کاربری و … نمونه بهانه‌هایی است که مجرمان سایبری از آن به نفع خود استفاده می‌کنند.
در این مورد، فرد کلاهبردار به این بهانه که شخصی قصد دسترسی غیرمجاز به حساب کاربری شما را دارد، به‌منظور ارتقاي سطح ایمنی، از شما می‌خواهد جزيیات حساب کاربری خود را تغییر دهید تا به هر دلیل فردی به‌صورت غیرمجاز موفق نشود به حساب شما دسترسی پیدا کند.
این درخواست معمولا در متن ایمیل فیشینگ برای کاربر ارسال می‌شود و به همراه آن یک لینک در بخش پایانی نامه قرار می‌گیرد تا در صورتی كه کاربر روی آن کلیک کند، به یک آدرس جعلی و فرم ساختگی از نمونه اصلی سایت Apple هدایت شود.
در پایان باید گفت در صورتي كه قرار است اطلاعات حساس بانكي خود را در فرم‌هاي آنلاين ثبت كنيد، پيش از وارد كردن نسبت به علت درخواست اين اطلاعات كمي تامل كرده و به‌صورت دقيق آدرس سايت را با آدرس بانكي خود بررسي كنيد. براي پرداخت‌هاي اينترنتي خود سقف تعيين كنيد و در صورتي كه قرار شد بيش از مقدار معيني از حساب شما به‌صورت اينترنتي پرداخت شود، به تاييد مجدد شما نياز باشد.
منبع:عصرارتباط
