فیشینگ در ایران: شناسایی، پیشگیری و واکنش
پاییز سال قبل، یک چهارشنبه معمولی بود که مدیر مالی یکی از شرکتهای وارداتی تماس گرفت؛ شرکتی که شبکهاش را سالها قبل خودم راهاندازی کرده بودم. صدایش کاملا عوض شده بود: «حواله ۹۵۰ میلیونی را انجام دادم. الان مدیرعامل میگوید هیچ ایمیلی نفرستاده.»
خلاصه ماجرا این بود: ایمیلی از طرف مدیرعامل به واحد مالی رسیده بود، با نام و سمت و امضای خودش. موضوع: «معامله محرمانه؛ تا پایان امروز اقدام شود.» متن کوتاه بود: «در جلسه هستم، روی این ایمیل ریپلای نده چون موضوع حساس است. فایل پیوست را بخوان و حواله را انجام بده.» آدرس فرستنده دامنه خود شرکت نبود، اما چون در اوتلوک فقط نام نمایشی فرستنده دیده میشد و نام نمایشی همان مدیرعامل بود، کسی متوجه نشده بود. پول به حساب شرکتی تازه ثبتشده واریز شده بود و تا ظهر همان روز خالی شده بود.
این حادثه هیچ هکری نداشت. هیچ آسیبپذیری نرمافزاری، هیچ نفوذ فنی به شبکه. فقط یک ایمیل و یک انسانی که میخواست کارش را خوب انجام دهد. به همین سادگی، و متأسفانه به همین رایجی.
فیشینگ دقیقا همین است: حملهای که به جای نرمافزار، اعتماد انسان را هدف میگیرد. تجربههایی که اینجا تعریف میکنم حاصل سالها کار میدانی است؛ از پروژههایی که در کنار تیمهای امنیتی مختلف، از جمله گروه آتنا نماینده رسمی کسپرسکی، اجرا کردهام. قرار نیست تعریف کتابی از تهدیدها داشته باشیم؛ میخواهم از تجربه بگویم: این حمله چه شکلی دارد، چطور تشخیصش بدهیم و وقتی دیر شد چه باید کرد.
چرا فیشینگ در ایران اینقدر خوب جواب میدهد
اول از همه بپذیریم که این روش محبوب مهاجمان، بیدلیل محبوب نیست.
جذابترین ویژگیاش برای مهاجم ارزان بودن است. برای حمله فیشینگ لازم نیست آسیبپذیری روز صفر پیدا کنید یا تیم نفوذ داشته باشید. یک پنل پیامک، یک دامنه شبیه دامنه اصلی، یک صفحه قلابی که در چند ساعت ساخته میشود، و تمام. هزینه تقریبا صفر، سود بالقوه میلیاردی.
دوم، ما در ایران به پیامک اعتماد دادهایم. پیامک بانک بخشی جدیناپذیر از زندگی روزمره شده: کد یکبارمصرف، پیام تراکنش، اطلاع موجودی. مغز ما یاد گرفته «پیامک بانک یعنی رسمی». مهاجم هم دقیقا از همین اعتماد استفاده میکند. وقتی پیامکی با نام بانک میآید، زنگ خطر گوشمان بیدار نمیشود.
سوم، مقاطع ملی. هر بار که موضوعی کلان مطرح میشود، واریز یارانهها، ثبتنامهای کشوری، قرعهکشیها، موج پیامکهای جعلی چند برابر میشود. مهاجمها تقویم ما را بهتر از خودمان بلدند.
و چهارم، استرس. «کارت شما مسدود شده»، «مرسوله شما برگشت خورده»، «حساب شما تا ۲۴ ساعت آینده بسته میشود». این جملهها تصادفی نیستند. مهاجم میداند آدم زیر فشار و عجله فکر نمیکند؛ کلیک میکند.
شش نوعی که بیشتر از همه با آنها سروکار داریم
فیشینگ فقط ایمیل جعلی نیست. فهرست زیر را از تجربههای واقعی همین چند سال اخیر نوشتهام، به ترتیب فراوانی:
۱. پیامکی (Smishing). کلاسیکترین نمونه: «مرسوله پستی شما به دلیل مشخصات ناقص در انبار متوقف شده است. برای تکمیل اطلاعات کلیک کنید.» انواع دیگرش: کارت ملی منقضیشده، یارانه، حتی پیامک جعلی از پلیس با لینک «شکایت ثبت شده علیه شما». الگوی همه یکی است: فوریت، لینک، درخواست اطلاعات.
۲. تماس تلفنی (Vishing). کسی خودش را پشتیبان بانک معرفی میکند، میگوید «یک خرید مشکوک از حساب شما ثبت شده» و برای لغو آن، کد یکبارمصرف را که همین الان برایتان فرستاده میخواهد. قانون سادهای که باید همه بدانند: هیچ بانکی، هیچ سرویس معتبری، هیچوقت کد یکبارمصرف را نمیخواهد. کد یعنی دسترسی؛ تمام.
۳. ایمیل با پیوست مخرب. فاکتور، ارجاع دادگاه، صورتجلسه. مورد جالبی که کمتر کسی به آن توجه میکند رزومههای جعلی است. واحد منابع انسانی بهطور طبیعی رزومه باز میکند و مهاجم هم دقیقا از همین عادت استفاده میکند. فایل پیوست میتواند بدافزار بگیرد یا به صفحه ورود قلابی برساند.
۴. کلاهبرداری مدیران (BEC). همان داستان ابتدای مقاله. گاهی هم برعکسش را دیدهایم: ایمیل جعلی از «تامینکننده» که فقط یک جمله دارد: «شماره حساب ما تغییر کرده، از این پس به این حساب واریز کنید.» واحد مالی واریز میکند، تامینکننده واقعی هم بعد از دو ماه زنگ میزند که چرا فاکتور پرداخت نشده.
۵. صفحه ورود جعلی سازمانی. نسخه قلابی صفحه ورود ایمیل شرکت یا VPN سازمانی. وقتی کارمندی بعدازظهر از کافهای به شبکه وصل میشود و صفحهای شبیه صفحه همیشگی باز میشود، رمز را وارد میکند بدون اینکه به آدرس نوار مرورگر نگاه کند. این مدل درِ ورودی حملات جدیتر به سازمانهاست؛ مهاجم با رمز یکی از کارمندان، کل شبکه را زیر پا میگذارد.
۶. QR کد جعلی. تازهتر و به همین دلیل خطرناکتر، چون ذهن ما هنوز به QR مشکوک نیست. فیش رستوران، تابلوی پارکینگ، برچسب روی دستگاه خودپرداز: «برای پرداخت اسکن کنید». QR ذاتا آدرس مقصد را پنهان میکند و همین مشکل است.
چطور فیشینگ را تشخیص بدهیم؟
به جای حفظ کردن چکلیستهای ده مادگی، چند عادت ساده را جایگزین کنید:
به نام نمایشی اعتماد نکنید؛ آدرس را باز کنید. در اوتلوک و جیمیل با یک کلیک، آدرس واقعی فرستنده دیده میشود. نیم ثانیه نگاه کردن به آن آدرس، همان نیم ثانیهای است که در داستان ابتدای مقاله ۹۵۰ میلیون تومان ارزش داشت.
به دامنه دقت کنید، نه به شکل کلی صفحه. صفحه قلابی را میشود تا حد لوگو و رنگها ساخت. دامنههای تقلبی معمولا بازی با املاست: حروفی که شبیه هماند، اضافه یا کم کردن یک نقطه یا خط تیره، یا پسوند عوضشده. اگر شک دارید، بهجای کلیک روی لینک، خودتان آدرس را تایپ کنید یا از بوکمارک استفاده کنید.
فوریت را علامت سوال تلقی کنید. «تا ۲۴ ساعت»، «فورا»، «آخرین اخطار». سازمانهای واقعی به ندرت با تهدید و ضربالاجل کوتاه کار میکنند؛ مهاجمها همیشه.
لینک را هاور کنید، نه کلیک. با نگه داشتن ماوس روی لینک، آدرس مقصد پایین مرورگر نشان داده میشود. در موبایل هم نگه داشتن انگشت روی لینک همین کار را میکند.
و یک نکته مهم: غلط املایی دیگر معیار تشخیص نیست. نسل جدید فیشینگ بینقص نوشته میشود؛ حتی شخصیسازیشده با نام و سمت و شرکت شما. روزهایی که پیامک قلابی از بانک با املاای غلط میآمد، آسان بود. حالا مهاجم میداند شما با کدام بانک کار میکنید و فاکتورتان چند است.
ابزارها کجای این ماجرا مینشینند؟
تشخیص و آموزش شرط لازم است، اما کافی نیست. کاربری خسته، عجول یا زیر فشار، روزی کلیک میکند. لایه فنی قرار است همان لحظه را پوشش دهد: پیوست مخرب را قبل از باز شدن بگیرد، صفحه قلابی را قبل از نمایش مسدود کند، و اگر کاربر رمزش را جایی وارد کرد، دست مهاجم را خالی نگه دارد.
برای کسبوکارهای کوچک و متوسط، معمولا یک راهکار امنیتی پایه و مقرونبهصرفه که محافظت از تجهیزات در برابر بدافزار و وب و ایمیل مخرب را یکجا داشته باشد، کفایت میکند؛ یعنی چیزی در حد کسپرسکی برای امنیت پایه کسبوکار که برای سازمانهای ایرانی در دسترس است. مهم این است که این حفاظت روی همه دستگاهها باشد، از سرور تا لپتاپ کارشناسی که با آن فاکتور باز میکند.
سازمانهای بزرگتر داستان دیگری دارند: کاربران پرشمار، سرویسهای متنوع، سطح حمله وسیعتر. اینجا به تشخیص و پاسخ پیشرفته نیاز است؛ ابزارهایی که حتی بعد از کلیک کاربر هم رفتار مشکوک را در شبکه ردیابی میکنند و میتوانند اثر حادثه را محدود کنند. چنین قابلیتی معمولا در محصولات کسپرسکی و راهکارهای امنیت سایبری سازمانی تعریف میشود و برای شرکتهایی که موضوع امنیت را جدی گرفتهاند، تفاوت میان «یک سیستم آلوده» و «یک هفته تعطیلی» است.
یک نکته که در بحث فیشینگ کمتر گفته میشود: قابلیتهای مدرن ضد فیشینگ، از فیلترهای یادگیری ماشین تا فهرستهای تهدید ابری، فقط وقتی واقعا کار میکنند که نرمافزار اورجینال باشد و موتور و بانک اطلاعاتیاش هر روز بهروز شود. نسخهای که آپدیتش قطع شده در برابر فیشینگ عملا کور است، هر چقدر هم روی جعبهاش بزرگ نوشته شده باشد. تهیه لایسنس از مسیر رسمی یک انتخاب سلیقهای نیست؛ شرط بهنتیجه رسیدن همان قابلیتهایی است که بابتشان هزینه کردهاید.
اگر دیر شد: واکنش گامبهگام
باور کنیم که روزی یکی از کاربران ما کلیک میکند. مهم نیست چقدر آموزش دادهایم؛ مهاجم فقط به یک لحظه بیحوصلگی نیاز دارد. آن روز چه کنیم:
اگر رمز را در صفحه قلابی وارد کردید: بلافاصله از یک دستگاه سالم رمز را عوض کنید، ورود دومرحلهای را فعال کنید، و اگر از آن رمز در سرویسهای دیگر هم استفاده میکردید، آنجا را هم اصلاح کنید. آدمها رمزها را بازیافت میکنند؛ این را مهاجمها بهتر از همه میدانند.
اگر فایل پیوست را باز کردید: سیستم را از شبکه جدا کنید، کابل یا وایفای، اما خاموش نکنید؛ اطلاعات حافظه ممکن است بعدا برای تحلیل لازم شود. فورا به واحد فناوری اطلاعات اطلاع بدهید، حتی اگر مطمئن نیستید اتفاقی افتاده باشد.
اگر پول واریز شده: دقیقهها اهمیت دارند. اولین تماس با بانک برای درخواست مسدودسازی حساب مقصد و پیگیری برگشت تراکنش، بعد شکایت در پلیس فتا و حفظ همه مدارک: ایمیل، اسکرینشات، فیش واریزی. مدارکی که فردا جمع کنید، امروز به درد نمیخورند.
در سطح سازمان: وقتی یک کاربر هدف قرار گرفته، معمولا دهها نفر دیگر هم همان پیام را دریافت کردهاند. اطلاعرسانی سریع داخلی، «چنین پیامی در گردش است، باز نکنید»، موج دوم قربانیها را کم میکند.
آنچه در سازمانها واقعا جواب داده
سالها آزمونوخطا در شرکتهای مختلف، چند اقدام را بهعنوان «مؤثر واقعی» از «شعار خوب» جدا کرده است:
علامتگذاری ایمیلهای بیرونی. یک هشدار سرراست بالای هر ایمیلی که از خارج سازمان آمده: «این ایمیل از خارج شرکت ارسال شده». هزینهاش تقریبا صفر است و دقیقا در سناریوهایی مثل داستان ابتدای مقاله نجاتبخش است، چون ایمیل جعلی مدیرعامل همان لحظه برچسب میخورد.
ورود دومرحلهای، روی همه چیز. مخصوصا ایمیل، VPN و سامانههای مالی. حتی اگر رمز لو برود، بدون عامل دوم مهاجم راه به جایی نمیبرد. اگر فقط یک قدم از این مقاله اجرا کنید، همین باشد.
قاعده دو امضا در واحد مالی. هیچ حوالهای فقط با یک ایمیل انجام نشود. تایید تلفنی الزامی است، اما با شمارهای که قبلا در دفترچه سازمان ثبت شده، نه شمارهای که داخل همان ایمیل مشکوک آمده.
شبیهسازی فیشینگ داخلی. یک بار در هر فصل، یک ایمیل آزمایشی بفرستید و ببینید چند نفر کلیک میکنند. عدد بار اول همیشه همه را تکان میدهد، حتی خود ما که این کار را انجام میدهیم. مهم عدد بار اول نیست، روند نزولی آن در طول سال است.
مسیر گزارش بدون سرزنش. کاربری که کلیک کرده باید در یک دقیقه بتواند به IT خبر بدهد و مطمئن باشد تنبیه نمیشود. هر جا فضای سرزنش باشد، حوادث پنهان میشوند و مشکل کوچک، بزرگ میشود.
سه باور که هزینهسازند
«من که گول نمیخورم.» قربانیان کلاهبرداری مدیران، مثل داستان ابتدای مقاله، مدیران مالی باتجربهاند، نه کاربران مبتدی. مهاجمها تخصص قربانی را هدف میگیرند، نه ناآگاهیاش را. هرچه کسی خودش را مصونتر بداند، در دام آسانتر میافتد چون گوشبهزنگیاش را از دست داده.
«فقط کاربران عادی خطر دارند.» برعکس است. مدیرعامل و اعضای هیئتمدیره هدفهای طلاییاند: دسترسیشان بالاست و وقت نمیکنند به جزئیات دقت کنند. آموزشهای امنیتی باید از اتاق هیئتمدیره شروع شود، نه تمام شود.
«آنتیویروس داریم، امنیم.» آنتیویروس برای فایل مخرب است؛ فیشینگ فایل نیست، فریب است. دفاع اصلی در برابر فیشینگ، آگاهی و فرایند است؛ ابزار فقط لایه کمکی است.
جمعبندی
فیشینگ را نمیشود ریشهکن کرد. تا وقتی انسانها پشت سیستمها نشستهاند، مهاجم هم به سراغ همان نقطه میرود؛ چون ارزانترین مسیر نفوذ است. اما میتوان قیمت حمله را برای مهاجم بالا برد: آدرس فرستنده را باز کنیم، ورود دومرحلهای را فعال کنیم، حوالهها دو امضا شوند و کاربر بداند گزارش دادنش سرزنش ندارد.
آن شرکت وارداتی امروز وضع بهتری است: تایید دومرحلهای حواله، هشدار ایمیلهای بیرونی، شبیهسازیهای دورهای. مدیر مالیشان هم که آن چهارشنبه بدترین روز کاری عمرش را گذراند، حالا سختگیرترین مبلغ آموزش امنیتی سازمان است. گاهی یک حادثه، ارزش صد جلسه آموزشی را دارد، البته اگر بخواهیم از آن درس بگیریم. امیدوارم شما این درس را ارزانتر از او یاد بگیرید.
نظرات(0)