از ابتدای زندگی بشر امنیت یکی از دغدغه های اصلی انسانها بوده است. امروزه با گسترش اینترنت و فضاهای مجازی در کشورمان لزوم امنیت برای فعالیت در این فضاهای مجازی بیش از پیش احساس میشود. ترس و بیم از تخریب مبانی اخلاقی و اجتماعی، و نداشتن امنیت روانی و فرهنگی ناشی از هجوم اطلاعات آلوده و مخرب، افشاء اطلاعات خصوصی یا حساس فردی و سازمانی، تجاوز به داراییهای شهروندان و جرائمی از این دست از طریق اینترنت و فضاهای مجازی واکنشی منطقی است، زیرا هر جامعه ای چارچوبهای اطلاعاتی خاص خود را دارد.
طبیعی است که هر نوع اطلاعاتی که این حد و مرزها را بشکند، میتواند سلامت و امنیت جامعه را به خطر اندازد. برخلاف وجود جنبه‌های مثبت شبکه های جهانی، سوء استفاده از این شبکه ها توسط افراد هنجارشکن، امنیت ملی را در کشورهای مختلف با خطر روبرو ساخته است. از این رو بکارگیری روشها و راهکارهای مختلف برای پیشگیری از نفوذ داده های مخرب و مضر، گزینش اطلاعات سالم، پایش اقدامات و فعالیتهای مجرمانه مانند کلاه برداری، سرقت، تجاوز، اغتشاش و برهم زدن نظم و امنیت عمومی جامعه و مواردی از این دست در این شبکه ها رو به افزایش است. خوشبختانه با وجود هیاهوی بسیاری که شبکه جهانی اینترنت و فضاهای سایبری را غیرقابل کنترل معرفی میکند، فناوری لازم برای کنترل این شبکه و انتخاب اطلاعات سالم رو به گسترش و تکامل است.
ما بعنوان یک شرکت دانش بنیان از ابتدای تاسیس خود همکاری تنکاتنگی با مراکز و نهادهای مسئول در امر امنیت سایبری داشته ایم چرا که ما به رونق کسب و کار سالم در فضایی رقابتی اما امن معتقدیم. ما هیچگاه محل جولان خلافکاران و مجرمان سایبری نبوده و نخواهیم بود و این مجموعه تا وقتی پا برجا باشد برای افزایش حس امنیت و ارتقاء سلامت روانی شهروندان در فضای سایبری هر هزینه ای را خواهد پرداخت.
اما بعد…
بخش اول؛ هم وطنان عزیزم
بارها و بارها در مجامع مختلف عمومی و خصوصی از طرق مختلف مانند تریبونهای سخنرانی، مجلات و روزنامه ها، تلویزیون و رادیو، سایتها و وبلاگهای خبری و تخصصی، و نهایتاً فضای مجازی مانند کانالهای تلگرامی و سایر شبکه های اجتماعی در مورد ابعاد مختلف کلاه برداریها و تخلفات افراد سودجو از عدم آگاهی و دقت شهروندان سخن به فراوان گفته شده است. نتیجه اش چه بوده است؟ همچنان افزایش تخلفات از کارتهای بانکی من و تو شهروند! میگید نه؟؟ آمار زیرو داشته باشید:
این نمودار رشد تعداد استعملات قضایی پلیس محترم فتا از سایت سنگان رو نشون میده. به ۹۵ و ۹۶ دقت کنید. صفر نیست اما خیلی کمه در حد ناچیز. چرا؟ شاید چون اونقدر آمارش پایین بوده که نیازی به استعلام از یک شرکت هاستینگ حس نمیشده. یعنی تعداد تخلفات در ۹۵ و ۹۶ در حدی نبوده که نیاز به استعلام از شخص ثالث داشته باشه. البته کمی هم مربوط به تغییرات فرآیندهای کاری پلیس فتا میشه که خب با این آمار خرابی که شماها بجا گذاشتین کاملاً طبیعیه!
حالا بریم سرغ امسال … بوم! به یکباره از اول سال تا الان فقط استعلام سوء استفاده از کارتهای بانکی سرقتی چندین برابر شده! شما حساب کن که این فقط آمار سایت سنگان تا این لحظه هست که هنوز ۶ ماه دیگش مونده. به این تعداد میتونید آمار سایر همکاران ما رو هم اضافه کنید. اگه با همین فرمون پیش بریم تا آخر سال گمونم هر کدوم حداقل یه نفر تو فامیل و بستگان مون یه سر به پلیس فتا زده باشه! نمودار بعدی رو داشته باشید:
این نمودار میدونید یعنی چی؟ یعنی یه عده از خدا بیخبر دامنه هایی رو فقط برای فیشینگ و سرقت از حسابهای مردم از ما اجاره کرده بودند و همونطور که ملاحظه میکنید آمار فیشینگ ما در سال جدید چه رشد عجیب و غریبی رو نشون میده.
نگران نشین، به خدمت همه این عزیزان رسیده شده 😉
اما چی میشه که اینجوری میشه؟ چرا علیرغم تلاشهای بسیار مسئولین، کارشناسان و نهادهای ریز و درشت دولتی و خصوصی بازار دستبرد زدن به حسابها از طریق اینترنت اینقدر داغه؟! نخندین جدی میگم! انرژی تون نیوفته … جواب در تیتر بعد…
فیشینگ و راهکارهای جلوگیری
قطعاً منظورم Fishing نیست؛ ماهی کبابی تو یه روز روشن آفتابی کنار خانواده. بلکه منظورم Phishing هست؛ به دام انداختن مردم تو هر روزی اعم از آفتابی یا غیر آفتابی هست بشکلی که طرف وادار بشه اطلاعات حساب بانکیش رو یه جایی که نباید، جایی که به ظاهر معتبره اما نیست ثبت کنه.
مجرمی که به فیشینگ رو میاره میدونه که اگه بیاد بهت بگه ببخشید میشه برام یه صد تومن کارت به کارت کنی با چه جوابی روبرو میشه. اما این شمایین که نمیدونین وقتی براتون مثلا پیام میاد: «بیا اینجا ببین چی داریم»، «جدیدترین اپلیکیشنهای اونجوری»، «اپلیکیشن دوربین لخت کننده … واقعا کار میکنه بیا خودت ببین» – «اپلیکیشن صیغه یاب، بینام – سریع – مطمئن» – «ازدواج موقت/دوستیابی/هم خونه/هم صحبت/ماساژ/شارژ رایگان بگیر/شارژ اینترنت رایگان/…» – «هک تلگرام/اینستاگرم/توئیتر/آنفالویاب حرفه‌ای/افزایش لایک، ویو و فالوئر» – «پدیده سال ۲۰۱۸، اپلیکیشن ردیابی؛ از مکان فرزندان/سالمندان/کارمندان/همسر خود آگاه باشید»
جهت دانلود و نصب به آدرس … بروید
در واقع دارین وارد دام ماهیگیری میشید. اونجا حتما یه لینکی یه دکمه ای چیزی با عنوان «جهت انتقال به درگاه بانک … و پرداخت …» یا عبارتی مشابه وجود داره که مثلا شما رو به یه همچین آدرسی میبره:
همش کلکه، دورغه. باید بیشتر دقت کنید و ریزتز و با چشم بازتر بهش نگاه کنید. ظاهرش با درگاه پرداخت بانک سامان مو نمیزنه. بجز یه چیز: آدرس اینترنتیش یا همون URL. به آدرس دقت کنید: کدوم بانک یا موسسه مالی ایرانی حتی بدون مجوز بانک مرکزی تو ایرانو میشناسید که پسوند سایتش .pw باشه؟؟ یا عکس زیرو ببینید:
خوب به گرافیکش دقت کنید چقدر شبیه تبلیغات اجناس و خدمات معتبر خارجی هست. چهره هایی که طبیعتاً برای هر ایرانی جذابه، تصویر گوشی آیفون نسل ۳ که برای همه ما نمادی از اطمینان و کارایی بالا بود، رنگهای گرم و تند، استفاده از عبارت پدیده سال و نهایتن اون عبارت قرمز رنگ فرصت محدود که کاملن عمدی کوچکتر تعبیه شده.
بنابراین فیشینگ به هر کاری یا ترفندی منجمله اقدامات بالا گفته میشه که شما رو مجاب میکنه پول بریزید برای فردی که نمیشناسین یا از هویتش مطمئن نیستید. حالا هر کاری. اما خوبه بدونید این روزها اپ های موبایل، ایمیل، پیامک و شبکه های اجتماعی اصلی ترین ابزار مهاجمین هستند. لذا تنها راه مقابله واقعی با فیشینگ این دو کلمه سهل و ممتنع است: «آگاهی» و «هشیاری». هر دو رو باید با هم داشته باشین. اگه فقط آگاه باشید اما بازم به خودتون نیایید کار از کار میگذره. اگرم کلا آگاهی نداشته باشید که واسه مهاجم کره حساب میشین! پس «آگاهی» + «هشیاری» = ایمنی در برابر فیشینگ.
البته یکسری ابزارها هم هستند که در این راه بهتون کمک میکنند. مانند نرم افزارهای امنیتی روی گوشی یا مرورگرتون که بعضیاشون توانایی تشخیص صفحات فیشینگ رو دارن. مثلا این دو تا پلاگین رو که توسط مرکز آپا سمنان طراحی شده داشته باشید، خوبه:
نسخه کروم:
https://bit.ly/2RN6NNF
نسخه فایرفاکس:
https://mzl.la/2Ab1d0V
یا بعنوان مثال سرویسی جهانی و رایگان بنام PhishTank وجود داره که اغلب موارد فیشینگ رو خود مردم گزارش میکنن. در کشور ما متاسفانه هنوز سرویس مشابه دولتی تاسیس نشده اما سرویسی بنام «دیده بان اطلاع رسانی کلاه برداری های سایبری» وجود داره که مشابه PhishTank کار میکنه یعنی خیلی از موارد رو خود مردم اونجا گزارش میکنند. خوبی این سرویس ایرانی اینه که کانال تلگرامی هم داره. عسکهایی که تو گزارش زدم از همین سرویس دهنده هست. من به شخصه براشون آرزوی موفقیت دارم.
اینجا خواهش میکنم فیلمهای آموزشی فیشینگ رو که بچه های پلیس فتا و شبکه اجتماعی آپا تولید کردن رو ببینید:
«آشنایی با فیشینگ – پلیس فتا»
«آشنایی با فیشینگ – مرکز آپا سمنان»
بخش دوم؛ ارائه دهندگان خدمات
در بخش دوم مقاله صحبتهایی فنی تر با ارائه دهندگان خدمات دارم؛ همکاران و اشخاص ثالثی که به نحوی در مهار فیشینگ نقش دارند…
۱- اغلب خریدها با کارتهای سرقتی از طریق IP های خارج کشور و مخصوصن ترکیه هست. توصیه میکنیم در این زمینه همکاری تنگاتنگی با نهادهای ذیربط بویژه پلیس فتا داشته باشید تا بتونید در پیگیری های قضایی کلاه برداران زودتر به نتیجه برسیم.
۲- به شرکتهای هاستینگ یعنی همکاران و رقبای گلمون توصیه میکنیم IP های ترکیه رو حداقل فعلا ببندن. بعلاوه از سیستمهای احراز هویت پیشرفته چند مرحله ای یا سخت افزاری استفاده کنند.
۳- به ارائه دهندگان کارت مانند بانکها، موسسات مالی اعتباری و شاپرک شدیدن پیشنهاد میکنیم یا حتی خواهش میکنیم لازم باشه التماسم میکنیم! که تمام پرداختهای اینترنتی رو با استفاده از رمز یکبار مصرف انجام بدن. خیلی باعث خوشحالی ماست که پروژه استفاده از رمز یکبار مصرف در تراکنشهای بانکی جدی شده اما متاسفانه خبرهای خوشی ازش شنیده نمیشه و ما از گوشه کنار میشنویم که جامعه بانکی علیرغم تظاهر به موافقت در مقابل این کار خوب مقاومت میکند. ما امیدواریم این ساز و کار با همکاری هر چه بیشتر بانکها و موسسات مالی اعتباری هر چه زودتر مستقر شود.
شایان ذکر است که همین الان در اروپا تمام خریدها با رمز یکبار مصرف انجام میشود و اگر خریدی از درگاهی در کشور دیگه انجام بشه که تا حالا خرید نداشتی بدون تایید تلفنی اجازه برداشت از کارت نمیدن. یا در صورت خرید مشکوک شما رو هدایت میکنن به سایت بانک برای پاسخ به سوالات امنیتی (security questions).
