چگونه از پول و اطلاعات شخصی در اینترنت محافظت کنیم

2024 نویسنده: Malcolm Clapton | [email protected]. آخرین اصلاح شده: 2023-12-17 03:54

هرچه اطلاعات بهتری داشته باشید، فریب دادن شما دشوارتر است. در اینجا همه چیزهایی است که باید در مورد فیشینگ با مایکروسافت بدانید.

نکات بیشتری در مورد نحوه محافظت از خود در برابر تهدیدات دیجیتال بیابید.

فیشینگ چیست و چقدر خطرناک است

فیشینگ یک نوع رایج کلاهبرداری سایبری است که هدف از آن به خطر انداختن و ربودن حساب‌ها، سرقت اطلاعات کارت اعتباری یا هر گونه اطلاعات محرمانه دیگر است.

بیشتر اوقات، مجرمان سایبری از ایمیل استفاده می کنند: به عنوان مثال، آنها نامه هایی را از طرف یک شرکت معروف ارسال می کنند و کاربران را به بهانه تبلیغات سودآور به وب سایت جعلی آن جذب می کنند. قربانی جعلی را نمی شناسد، لاگین و رمز عبور را از حساب خود وارد می کند و به این ترتیب خود کاربر اطلاعات را به کلاهبرداران منتقل می کند.

هر کسی ممکن است رنج بکشد. ایمیل های فیشینگ خودکار اغلب مخاطبان گسترده ای (صدها هزار یا حتی میلیون ها آدرس) را هدف قرار می دهند، اما حملاتی نیز وجود دارند که هدف خاصی را هدف قرار می دهند. اغلب، این اهداف مدیران ارشد یا سایر کارمندانی هستند که دسترسی ممتاز به داده‌های شرکت دارند. این استراتژی شخصی سازی شده فیشینگ، نهنگ نامیده می شود که به معنای «گرفتن نهنگ» است.

عواقب حملات فیشینگ می تواند ویرانگر باشد. کلاهبرداران می توانند مکاتبات شخصی شما را بخوانند، پیام های فیشینگ را به حلقه مخاطبین شما ارسال کنند، از حساب های بانکی پول برداشت کنند و به طور کلی از طرف شما به معنای وسیع عمل کنند. اگر یک کسب و کار دارید، خطر حتی بیشتر است. فیشرها می توانند اسرار شرکت را بدزدند، فایل های حساس را از بین ببرند یا اطلاعات مشتریان شما را فاش کنند و به اعتبار شرکت آسیب برسانند.

بر اساس گزارش روند فعالیت فیشینگ کارگروه مبارزه با فیشینگ، تنها در سه ماهه آخر سال 2019، کارشناسان امنیت سایبری بیش از 162000 وب سایت کلاهبردار و 132000 کمپین ایمیل را کشف کردند. در این مدت حدود هزار شرکت از سراسر جهان قربانی فیشینگ شده اند. باید دید چه تعداد از حملات شناسایی نشدند.

تکامل و انواع فیشینگ

اصطلاح "فیشینگ" از کلمه انگلیسی "fishing" گرفته شده است. این نوع کلاهبرداری واقعاً شبیه ماهیگیری است: مهاجم طعمه را به شکل یک پیام یا پیوند جعلی پرتاب می کند و منتظر می ماند تا کاربران گاز بگیرند.

اما در انگلیسی فیشینگ کمی متفاوت نوشته می شود: فیشینگ. به جای حرف f از دیگراف ph استفاده می شود. طبق یک نسخه، این اشاره به کلمه ساختگی ("فریبکار"، "کلاهبردار") است. از سوی دیگر - به خرده فرهنگ هکرهای اولیه که به آنها phreakers ("phreakers") می گفتند.

اعتقاد بر این است که اصطلاح فیشینگ برای اولین بار در اواسط دهه 1990 در گروه های خبری Usenet به طور عمومی استفاده شد. در آن زمان، کلاهبرداران اولین حملات فیشینگ را با هدف هدف قرار دادن مشتریان ارائه دهنده اینترنت آمریکایی AOL انجام دادند. مهاجمان با ارسال پیام هایی خواستار تایید اعتبار خود شدند و خود را به عنوان کارمندان شرکت معرفی کردند.

با توسعه اینترنت، انواع جدیدی از حملات فیشینگ ظاهر شدند. کلاهبرداران شروع به جعل کردن کل وب سایت ها و تسلط بر کانال ها و خدمات ارتباطی مختلف کردند. امروزه چنین انواع فیشینگ را می توان تشخیص داد.

• فیشینگ ایمیل. کلاهبرداران یک آدرس پستی مشابه آدرس یک شرکت معروف یا یکی از آشنایان قربانی انتخاب شده ثبت می کنند و از آن نامه می فرستند. در عین حال، با نام فرستنده، طرح و محتوا، یک نامه جعلی می تواند تقریباً با اصل یکسان باشد. فقط در داخل یک پیوند به یک سایت جعلی، پیوست های آلوده یا یک درخواست مستقیم برای ارسال داده های محرمانه وجود دارد.
• اس ام اس فیشینگ (smishing). این طرح مشابه طرح قبلی است، اما به جای ایمیل از پیامک استفاده می شود.مشترک پیامی از یک شماره ناشناخته (معمولاً کوتاه) با درخواست داده های محرمانه یا با پیوند به یک سایت جعلی دریافت می کند. به عنوان مثال، یک مهاجم می تواند خود را به عنوان یک بانک معرفی کند و کد تأییدی را که قبلاً دریافت کرده اید درخواست کند. در واقع، کلاهبرداران برای هک کردن حساب بانکی شما به کد نیاز دارند.
• فیشینگ شبکه های اجتماعی با گسترش پیام‌رسان‌های فوری و رسانه‌های اجتماعی، حملات فیشینگ این کانال‌ها را نیز فراگرفته است. مهاجمان می توانند از طریق حساب های جعلی یا در معرض خطر سازمان های شناخته شده یا دوستان شما با شما تماس بگیرند. در غیر این صورت، اصل حمله با موارد قبلی تفاوتی ندارد.
• فیشینگ تلفنی (ویشینگ). کلاهبرداران فقط به پیامک محدود نمی شوند و می توانند با شما تماس بگیرند. اغلب برای این منظور از تلفن اینترنتی (VoIP) استفاده می شود. تماس‌گیرنده می‌تواند به عنوان مثال، یکی از کارمندان سرویس پشتیبانی سیستم پرداخت شما را جعل کند و از داده‌ها برای دسترسی به کیف پول - ظاهراً برای تأیید درخواست کند.
• جستجوی فیشینگ شما می توانید دقیقاً در نتایج جستجو با فیشینگ مواجه شوید. کافی است روی لینکی که به سایت جعلی منتهی می شود کلیک کنید و اطلاعات شخصی را روی آن بگذارید.
• فیشینگ پاپ آپ مهاجمان اغلب از پنجره های بازشو استفاده می کنند. با بازدید از یک منبع مشکوک، ممکن است بنری را مشاهده کنید که نوید مزایایی را می دهد - به عنوان مثال، تخفیف یا محصولات رایگان - از طرف یک شرکت معروف. با کلیک بر روی این لینک به سایتی هدایت می شوید که توسط مجرمان سایبری کنترل می شود.
• کشاورزی ارتباط مستقیمی با فیشینگ ندارد، اما کشاورزی نیز یک حمله بسیار رایج است. در این حالت، مهاجم با هدایت خودکار کاربر به جای سایت های اصلی به سایت های جعلی، داده های DNS را جعل می کند. قربانی هیچ گونه پیام و بنر مشکوکی را نمی بیند که باعث افزایش اثربخشی حمله می شود.

فیشینگ به تکامل خود ادامه می دهد. مایکروسافت در مورد تکنیک های جدیدی صحبت کرد که سرویس ضد فیشینگ مایکروسافت 365 پیشرفته آن در سال 2019 کشف کرد. به عنوان مثال، کلاهبرداران یاد گرفته‌اند که مواد مخرب را در نتایج جستجو بهتر پنهان کنند: پیوندهای قانونی به بالای صفحه نمایش داده می‌شوند که کاربر را از طریق تغییر مسیرهای متعدد به سایت‌های فیشینگ هدایت می‌کند.

علاوه بر این، مجرمان سایبری شروع به تولید خودکار لینک‌های فیشینگ و کپی‌های دقیق ایمیل‌ها در سطح کیفی جدیدی کردند که به آنها اجازه می‌دهد به طور مؤثرتری کاربران را فریب دهند و اقدامات امنیتی را دور بزنند.

به نوبه خود، مایکروسافت یاد گرفته است که تهدیدات جدید را شناسایی و مسدود کند. این شرکت از تمام دانش خود در زمینه امنیت سایبری برای ایجاد بسته مایکروسافت 365 استفاده کرده است. راه حل های مورد نیاز برای کسب و کار شما را ارائه می دهد، در حالی که اطمینان می دهد که اطلاعات شما به طور موثر محافظت می شود، از جمله در برابر فیشینگ. Microsoft 365 Advanced Threat Protection پیوست های مخرب و لینک های بالقوه مضر در ایمیل ها را مسدود می کند، باج افزارها و سایر تهدیدها را شناسایی می کند.

چگونه از خود در برابر فیشینگ محافظت کنیم

سواد فنی خود را ارتقا دهید. به قول معروف، کسی که از قبل اخطار شده است، مسلح است. امنیت اطلاعات را خودتان مطالعه کنید یا برای مشاوره با کارشناسان مشورت کنید. حتی داشتن دانش کامل از اصول بهداشت دیجیتال می تواند شما را از مشکلات زیادی نجات دهد.

مراقب باش. پیوندها را دنبال نکنید یا پیوست‌ها را در نامه‌های افراد ناشناس باز نکنید. لطفا اطلاعات تماس فرستندگان و آدرس سایت هایی که بازدید می کنید را به دقت بررسی کنید. به درخواست های اطلاعات شخصی پاسخ ندهید، حتی زمانی که پیام باورپذیر به نظر می رسد. اگر نماینده ای از شرکت از شما اطلاعاتی خواست، بهتر است با مرکز تماس آنها تماس بگیرید و وضعیت را گزارش دهید. روی پاپ آپ ها کلیک نکنید.

از رمزهای عبور هوشمندانه استفاده کنید. برای هر حساب کاربری از یک رمز عبور منحصر به فرد و قوی استفاده کنید. در سرویس‌هایی مشترک شوید که به کاربران در صورت ظاهر شدن رمزهای عبور حساب‌هایشان در وب هشدار می‌دهند و در صورت به خطر افتادن کد دسترسی، فوراً آن را تغییر دهید.

احراز هویت چند عاملی را تنظیم کنید. این عملکرد علاوه بر این از حساب محافظت می کند، به عنوان مثال، با استفاده از رمزهای عبور یک بار مصرف. در این صورت، هر بار که از یک دستگاه جدید وارد حساب کاربری خود می شوید، علاوه بر رمز عبور، باید یک کد چهار یا شش کاراکتری که از طریق پیامک برای شما ارسال شده یا در یک اپلیکیشن خاص تولید شده است، وارد کنید. شاید خیلی راحت به نظر نرسد، اما این رویکرد شما را در برابر 99 درصد حملات رایج محافظت می کند. از این گذشته، اگر کلاهبرداران رمز عبور را بدزدند، باز هم نمی توانند بدون کد تأیید وارد شوند.

از امکانات ورود بدون رمز عبور استفاده کنید. در آن سرویس‌ها، در صورت امکان، باید استفاده از رمزهای عبور را کاملاً کنار بگذارید و کلیدهای امنیتی سخت‌افزاری یا احراز هویت را از طریق یک برنامه کاربردی در تلفن هوشمند جایگزین کنید.

از نرم افزار آنتی ویروس استفاده کنید. آنتی ویروس به‌روز تا حدی به محافظت از رایانه شما در برابر بدافزارهایی که به سایت‌های فیشینگ هدایت می‌شوند یا لاگین‌ها و گذرواژه‌ها را می‌دزدند، کمک می‌کند. اما به یاد داشته باشید که حفاظت اصلی شما همچنان پایبندی به قوانین بهداشت دیجیتال و رعایت توصیه های امنیت سایبری است.

اگر کسب و کاری دارید

نکات زیر برای صاحبان مشاغل و مدیران شرکت نیز مفید خواهد بود.

کارمندان را آموزش دهید. به زیردستان توضیح دهید که از چه پیام هایی اجتناب کنند و چه اطلاعاتی نباید از طریق ایمیل و سایر کانال های ارتباطی ارسال شوند. کارمندان را از استفاده از نامه های شرکتی برای مقاصد شخصی منع کنید. نحوه کار با رمزهای عبور را به آنها آموزش دهید. همچنین ارزش در نظر گرفتن یک خط مشی حفظ پیام را دارد: به عنوان مثال، برای اهداف امنیتی، می توانید پیام های قدیمی تر از یک دوره خاص را حذف کنید.

آموزش حملات فیشینگ را انجام دهید. اگر می خواهید واکنش کارکنان خود را به فیشینگ آزمایش کنید، سعی کنید یک حمله را جعل کنید. به عنوان مثال، یک آدرس پستی مشابه آدرس خود ثبت کنید، و نامه هایی از آن به زیردستان ارسال کنید و از آنها بخواهید که داده های محرمانه را در اختیار شما قرار دهند.

یک سرویس پستی قابل اعتماد انتخاب کنید. ارائه دهندگان ایمیل رایگان در برابر ارتباطات تجاری بسیار آسیب پذیر هستند. شرکت ها باید فقط خدمات شرکتی ایمن را انتخاب کنند. به عنوان مثال، کاربران سرویس پست الکترونیکی Microsoft Exchange که بخشی از مجموعه Microsoft 365 است، از محافظت کامل در برابر فیشینگ و سایر تهدیدات برخوردار هستند. برای مقابله با کلاهبرداران، مایکروسافت صدها میلیارد ایمیل را هر ماه تجزیه و تحلیل می کند.

یک کارشناس امنیت سایبری استخدام کنید. اگر بودجه شما اجازه می دهد، یک متخصص واجد شرایط را پیدا کنید که محافظت مداوم در برابر فیشینگ و سایر تهدیدات سایبری را ارائه دهد.

اگر قربانی فیشینگ شدید چه باید کرد؟

اگر دلیلی برای این باور وجود دارد که داده های شما به دست اشتباه افتاده است، فوراً اقدام کنید. دستگاه های خود را از نظر ویروس بررسی کنید و رمز عبور حساب را تغییر دهید. به کارکنان بانک اطلاع دهید که ممکن است جزئیات پرداخت شما به سرقت رفته باشد. در صورت لزوم، مشتریان را از نشت احتمالی مطلع کنید.

برای جلوگیری از تکرار چنین شرایطی، خدمات همکاری قابل اعتماد و مدرن را انتخاب کنید. محصولات با مکانیسم‌های حفاظتی داخلی مناسب‌تر هستند: تا حد امکان راحت کار می‌کند و مجبور نیستید امنیت دیجیتال را به خطر بیندازید.

به عنوان مثال، مایکروسافت 365 شامل طیف وسیعی از ویژگی‌های امنیتی هوشمند، از جمله محافظت از حساب‌ها و ورود به سیستم در برابر به خطر افتادن با یک مدل ارزیابی ریسک داخلی، احراز هویت بدون رمز عبور یا چند عاملی است که به مجوزهای اضافی نیاز ندارد.

علاوه بر این، این سرویس کنترل دسترسی پویا را با ارزیابی ریسک و در نظر گرفتن طیف وسیعی از شرایط فراهم می کند. همچنین، مایکروسافت 365 شامل اتوماسیون داخلی و تجزیه و تحلیل داده ها است و همچنین به شما امکان می دهد دستگاه ها را کنترل کنید و از اطلاعات در برابر نشت محافظت کنید.