حمله های phishing یا سرقت هویت چیزی فراتر از هرزنامه های ناخواسته و مزاحم هستند. آنها می توانند منجر به دزدیده شدن شماره های اعتباری، كلمات عبور، اطلاعات حساب یا سایر اطلاعات شخصی كاربر شوند. این حمله ها در واقع نوعی از حملات مهندسی اجتماعی هستند كه با استفاده از فریب كاربران سعی در به دست آوردن اطلاعات محرمانه از آنها دارند.
یك حمله مهندسی اجتماعی چیست؟
برای انجام یك حمله مهندسی اجتماعی، مهاجم به تعامل با كاربر برای به دست آوردن اطلاعات در مورد سازمانها و یا سیستم های كامپیوتری نیاز دارد. فرد مهاجم معمولاً بسیار ساده و قابل احترام به نظر می رسد و ممكن است ادعا كند كارمند جدید، تعمیركار و یا محقق است. حتی گاهی اوقات تاییدیه ای را به فرد قربانی نشان می دهد و ادعا می كند كه برای پشتیبانی از وی فرستاده شده است. به هر حال با پرسیدن سؤالات، فرد مهاجم می تواند اطلاعات خرد به دست آمده را كنار هم گذاشته و به اطلاعات كافی برای شكستن سد دفاعی شبكه یك سازمان دست پیدا كند. این افراد معمولاً با به دست آوردن اطلاعات كمی از فردی در سازمان مورد نظر، بنا بر اطلاعات به دست آمده سعی می كنند تا با پرسیدن سؤالات تخصصی تر از افراد دیگر در همان سازمان، دامنه اطلاعات خود را گسترش دهند.
منظور از حمله سرقت هویت چیست؟
همان طور كه گفته شد، حملات سرقت هویت نوعی از حملات مهندسی اجتماعی هستند. حملات سرقت هویت از ایمیلها یا وب سایتهای خرابكاری كه ظاهرا به یك سازمان قابل اطمینان تعلق دارند، برای به دست آوردن اطلاعات از افراد سوءاستفاده می كنند. برای مثال، فرد مهاجم یك ایمیل را برای فرد قربانی ارسال می كند كه به نظر می رسد از یك شركت صاحب كارت اعتباری و یا از یك مؤسسه مالی ارسال شده است و در آن از كاربر خواسته می شود اطلاعات حساب كاربری خود را به علت به وجود آمدن یك مشكل وارد كند. زمانی كه كاربر اطلاعات خواسته شده را به خیال معتبر بودن ایمیل برای فرستنده ارسال می كند، مهاجم قادر است با استفاده از اطلاعات مذكور به حساب كاربری فرد قربانی دسترسی پیدا كند. حملات سرقت هویت می توانند از طریق دیگر مؤسسات نیز انجام شوند كه اغلب مؤسسات خیریه می باشند و از وقایع روز یا مناسبتهای موجود در سال برای فریب كاربران استفاده می كنند. برای مثال می توان به مصائب طبیعی (سونامی اندونزی)، ترس از اپیدمی بیماریها (H1N1)، مسائل اقتصادی، انتخابات ها و تعطیلات اشاره كرد.
در زیر چندین راهكار برای اجتناب از قربانی شدن در حملات سرقت هویت آورده شده است:
تغییر منظم رمز عبور
متخصصان امنیتی پیشنهاد می كنند، كاربران هر سه ماه یك بار رمز عبور حسابهای كاربری خویش را تغییر دهند. در ضمن بهتر است كه از رمز عبورهای یكسان در وب سایتهای مختلف استفاده نشود. تغییر منظم رمزهای عبور مختلف بر روی وب سایتهای گوناگون و به خاطر سپردن همه آنها كار چندان ساده ای نیست. برای این منظور بهتر است از نرم افزارهای مدیریت رمز عبور مانند LastPass یا RoboForm استفاده كرد كه رمزهای عبور قوی را تولید و مدیریت می كنند.
كلیك با احتیاط
در صورتی كه كاربر ایمیلی را ظاهراً از یك وب سایت معتبر دریافت كند و در آن به هر دلیلی از وی خواسته شود تا بر روی لینكی كلیك كند، لازم است قبل از كلیك كردن لحظه ای تأمل كند. لینك مذكور ممكن است وی را به یك وب سایت تقلبی ارجاع دهد كه قصد جمع آوری اطلاعات برای سرقت هویت یا دیگر جرائم اینترنتی را دارد. روش مطمئن تر تایپ URL صحیح در نوار آدرس است. در مورد وب سایتهایی كه شماره ملی و یا شماره كارت اعتباری را درخواست می كنند باید بسیار مراقب بود و با احتیاط عمل كرد. همچنین كاربر باید از تطابق آدرس وب سایت با سایتی كه در حال مشاهده آن است، اطمینان حاصل كند.
استفاده از وب سایتهای امن
در صورتی كه كاربر در حال ارسال اطلاعات كارت اعتباری و یا دیگر اطلاعات حساس به وب سایتی است، لازم است دقت كند كه حتماً آدرس وب سایت مذكور با https شروع شود كه s در اینجا نماینده security یا امنیت است. همچنین باید علامت قفل كه معمولاً در قسمت پایین و سمت راست مرورگر مشاهده می شود، در وب سایت مذكور موجود باشد.
این نشانه دلالت بر استفاده وب سایت از رمزنگاری برای كمك به محافظت از اطلاعات حساس دارد. (شماره كارت اعتباری، شماره كارت ملی و جزئیات پرداخت كه كاربر وارد می كند.) اگر كاربر بر روی این علامت دوبار كلیك كند، گواهی امنیتی سایت نشان داده می شود. نام بعد از Issued to باید با سایتی كه كاربر در آن حضور دارد، مطابقت كند و در صورتی كه نام متفاوت است، احتمالاً در سایت جعلی قرار دارد.
مرور منظم اعلامیه های كارت اعتباری و بانك
حتی اگر كاربر سه مرحله قبل را به درستی انجام دهد، هنوز ممكن است قربانی دزدی هویت شود. در صورتی كه كاربر اعلامیه های بانك و كارت اعتباری را حداقل ماهانه مرور كند، ممكن است بتواند یك جاعل را شناسایی و از وارد آمدن خسارات قابل توجه جلوگیری كند
استفاده از فیلترهای ضد سرقت و نرم افزارهای مطمئن ضد بدافزار
خوشبختانه امروزه در مرورگرهای جدید امكانات فیلتر كردن سایتهای سرقت هویت وجود دارد و بسته های نرم افزاری آنتی ویروس معروف نیز امكاناتی مشابه را ارائه می كنند. فایده دیگر نرم افزارهای ضد بدافزار مراقبت از كاربر در برابر سرقت ضربات صفحه كلید است. لازم است كاربران برای مقابله با حملات خرابكارانه آنتی ویروس خود را همواره به روز نگه دارند.
تفكر منتقدانه
در صورتی كه چیزی خوبتر از آن به نظر می رسد كه حقیقت داشته باشد، در اغلب موارد واقعاً خوبتر از آن است كه حقیقت داشته باشد. لازم است كاربران در مشاهده وب سایتهایی كه وعده های باورنكردنی به آنها می دهند دقت لازم را به عمل آورند.
گزارش سو ءاستفاده های مشكوك از اطلاعات شخصی به مراكز مناسب
قربانیان حملات سرقت هویت باید:
فوراً جعل را به شركتی كه جعل در مورد آن صورت گرفته است، گزارش كنند. اگر مطمئن نیستند كه چگونه با شركت تماس بگیرند، بهتر است وب سایت شركت را برای گرفتن اطلاعات صحیح تماس، نگاه كنند. شركت ممكن است یك آدرس ایمیل مخصوص برای گزارش چنین سو ءاستفاده ای داشته باشد. لازم است جزئیات جعل مانند ایمیل های دریافت شده، به مراكز ذیصلاح قانونی همچون مركز ماهر نیز گزارش شود.
منبع: مرکز ماهر
