فیشینگ چیست و چطور پیام و سایت جعلی را تشخیص بدهیم؟

فیشینگ (Phishing) یعنی کلاهبردار با یک پیام یا سایت جعلی، خودش را جای یک مرجع معتبر (بانک، سرویس پیام‌رسان، ایمیل، پست) جا بزند تا شما رمز، کد یا اطلاعات کارتتان را خودتان وارد کنید. چون از ضعف انسان استفاده می‌کند نه ضعف فنی، مؤثر است؛ ولی نشانه‌هایش مشخص است.

نشانه‌های پیام جعلی

• فوریت و ترس: «حساب شما مسدود می‌شود»، «تا ۲۴ ساعت دیگر تأیید کنید».
• درخواست رمز یا کد: سرویس‌های واقعی رمز یا کد یک‌بارمصرف شما را از طریق پیام نمی‌پرسند.
• لینک کوتاه یا مشکوک: آدرس مقصد با نام سرویس واقعی نمی‌خواند.
• غلط‌های نگارشی و لحن غیرعادی، هرچند فیشینگ‌های امروزی گاهی بی‌غلط‌اند.
• فرستنده‌ی ناآشنا؛ نام نمایشی را می‌شود جعل کرد، آدرس واقعی را بخوانید.
• وعده‌ی جایزه یا کمک مالی بدون اینکه شما کاری کرده باشید.

نشانه‌های سایت جعلی

• دامنه را بخوانید. نه دنبال قفل، بلکه به خودِ آدرس نگاه کنید. بخش مهم، دامنه‌ی اصلی (قبل از اولین /) است. حرف‌های جایگزین‌شده (مثلاً o با 0) یا افزودن کلمه (مثل -login) را بررسی کنید.
• قفل HTTPS مشکل را حل نمی‌کند؛ سایت فیشینگ هم می‌تواند HTTPS داشته باشد (توضیح).
• صفحه‌ی ورود که از لینک پیام باز شده و نه از آدرسی که خودتان تایپ کرده‌اید.
• درخواست اطلاعات اضافی (مثل کد CVV2 و رمز دوم کارت) در جاهایی که منطقی نیست.

چه کار کنیم؟

۱. روی لینک پیام نزنید؛ آدرس سایت را خودتان تایپ کنید یا از بوکمارک خودتان بروید. ۲. اگر نگران حسابتان شدید، از مسیر رسمی (اپ یا سایت) وارد شوید و ببینید پیامی هست یا نه. ۳. از مدیر رمز استفاده کنید: مدیر رمز فقط روی دامنه‌ی درست رمز را پر می‌کند و اگر پر نکرد یعنی دامنه چیز دیگری است. ۴. احراز هویت دومرحله‌ای را روشن کنید (راهنما). حتی با لو رفتن رمز، مانع ورود می‌شود؛ ولی کد را هرگز به کسی (حتی به «پشتیبانی») نگویید.

اگر اشتباه کلیک کردم یا اطلاعات دادم؟

• فوراً رمز آن حساب (و هر جا که همان رمز را استفاده می‌کنید) عوض کنید (راهنمای رمز قوی).
• اگر اطلاعات کارت داده‌اید، با بانک تماس بگیرید و کارت را مسدود کنید.
• نشست‌های فعال حساب را ببندید (Log out from all devices) در تنظیمات امنیتی.
• اگر برنامه‌ای نصب کرده‌اید، گوشی یا کامپیوتر را اسکن کنید.
• مورد را به سرویس مربوطه گزارش دهید.

برای صاحبان سایت

اگر سایتتان ورود دارد، آموزش کاربران، 2FA و محدودیت تعداد تلاش ورود را جدی بگیرید. و هرگز در ایمیل یا پیام رسمی لینک «رمز را اینجا وارد کنید» نفرستید؛ این عادت، کاربر را برای قبول فیشینگ آماده می‌کند.

سوالات رایج

فیشینگ فقط ایمیلی است؟ نه؛ پیامک (smishing)، تماس تلفنی (vishing)، پیام‌رسان و حتی تبلیغات جعلی هم از همین جنس‌اند.

آنتی‌ویروس جلوی فیشینگ را می‌گیرد؟ بعضی موارد را می‌گیرد، ولی مهم‌ترین دفاع، دقت خودتان و 2FA است.