فیشینگ (Phishing) چیست؟ انواع حمله فیشینگ در ۲۰۲۴

فیشینگ (Phishing) چیست؟

فیشینگ (Phishing) نوعی حمله سایبری است که در آن از لینک‌های مخرب (شامل لینک‌های دانلود بدافزار یا لینک‌های صفحات وب ناامن) با روش‌هایی مثل ایمیل، پیامک، شبکه‌های اجتماعی و ... برای مخاطب ارسال و از روش‌های مهندسی اجتماعی (social engineering) استفاده می‌شود تا مخاطب را ترغیب به کلیک کردن روی لینک ناامن کند. البته، انواع دیگری از فیشینگ نیز مثل فیشینگ تلفنی وجود دارد که لینکی برای مخاطب ارسال نمی‌شود، بلکه هکر تلاش می‌کند تا با تماس تلفنی، مخاطب را فریب دهد تا مرتکب اشتباهی امنیتی شود.

در حملات فیشینگ، مثل همه انواع حملات مبتنی بر مهندسی اجتماعی، هکرها مستقیما به شبکه‌های کامپیوتری حمله نمی‌کنند، بلکه انسان‌ها را هدف قرار می‌دهند و تلاش می‌کنند تا با فریب دادن کاربران، آن‌ها را مرتکب اشتباه امنیتی کنند. از جمله روش‌های مهندسی اجتماعی برای اجرای حملات فیشینگ می‌توان به داستان‌های ساختگی و تاکتیک‌های فشار برای در کنترل گرفتن رفتار مخاطب اشاره کرد.

اهداف حملات فیشینگ می‌تواند بسیار متنوع باشد. در بعضی از این نوع حملات که انگیزه مهاجمان، مالی است، معمولا، حملات فیشینگ در مقیاس کلان انجام می‌شوند و از پیچیدگی چندان بالایی برخوردار نیستند. با این حال، هنوز هم قربانیانی با آگاهی سایبری بسیار پایین وجود دارند که قربانی حملات بسیار ساده‌ای مثل پیامک‌های فیشینگ سهام عدالت و موارد مشابه شوند!

بعضی دیگر از حملات فیشینگ با هدف نفوذ به سازمان‌ها، کارکنان را هدف قرار می‌دهند. این نوع حملات فیشینگ می‌توانند هدفمندتر و پیچیده‌تر باشند. هدف از نفوذ به سازمان‌ها می‌تواند مالی یا امنیتی/نظامی باشد.

اساس بسیاری از حملات فیشینگ، اعتماد است. در خیلی از این حملات، هکر هویت خودش را جعل می‌کند و خودش را جای شخص یا سازمان دیگری جا می‌زند. برای مثال، ممکن است که در این حملات، از ایمیل‌هایی مشابه با ایمیل‌های سازمان‌های معتبر و قابل اعتماد مخاطب استفاده شود یا لینک‌های ارسالی، به دامنه‌های رسمی و قابل اطمینان شباهت داشته باشند.

چرا فیشینگ نوعی تهدید سایبری بسیار جدی است؟

فیشینگ روشی بسیار محبوب در بین هکرها و مجرمین سایبری محسوب می‌شود که کارایی بسیار بالایی دارد. بر اساس گزارش IBM در رابطه با خسارت‌های نقض داده در سال ۲۰۲۴، فیشینگ با سهمی ۱۶ درصدی، رایج‌ترین وکتور حمله در موارد نقض داده در این سال بوده است. حملات فیشینگ در سال ۲۰۲۴، حدود ۴.۷۶ میلیون دلار آمریکا به سازمان‌ها خسارت وارد کرده‌اند.

دلیل خطرناک بودن فیشینگ در مقایسه با دیگر انواع حملات سایبری این است که به جای هدف قرار دادن شبکه‌های سازمان‌ها، کاربران انسانی را هدف قرار می‌دهد. به عبارت دیگر، حتی اگر هزینه‌های بسیار سنگینی برای امن سازی (hardening) سازمان خود انجام دهید، تنها یک خطای انسانی از طرف یکی از کارکنان شما برای هکرها کافی است که بسیاری از سامانه‌های امنیتی شما را دور بزنند. با استفاده از این روش، نیازی نیست که هکرها توانمندی فنی بسیار بالایی برای دور زدن سامانه‌های امنیت شبکه شما داشته باشند، بلکه کافی است تنها یکی از کارکنان شما را که به بخش‌های حساس شبکه دسترسی دارد، فریب دهند تا مرتکب اشتباهی امنیتی شود.

از آن‌جایی که حملات فیشینگ نیاز به توانمندی فنی بسیار بالایی ندارند، حتی یک کلاهبردار با کمی اطلاعات فنی نیز می‌تواند این نوع حملات را پیاده‌سازی کند. البته، در بعضی موارد، تیم‌های هکری بسیار پیشرفته نیز حملات فیشینگ بسیار پیچیده‌ای علیه شخصیت‌های دارای دسترسی‌های حساس مثل مدیران ارشد سازمان‌ها انجام می‌دهند.

با اینکه حملات فیشینگ وابسته به خطای انسانی هستند، اما بعضی از راهکارهای امنیت سایبری می‌توانند تا حدودی با این تهدیدات مقابله کنند. در هر صورت، آموزش پرسنل و افزایش آگاهی آن‌ها نسبت به حملات فیشینگ و دیگر انواع تهدیدات سایبری، باید در اولویت سازمان‌ها باشد. همچنین، باید در نظر داشت که هر چقدر هم که کارکنان آموزش‌دیده و آگاه باشند، همواره احتمال خطای انسانی وجود دارد و بنابراین، سازمان‌ها باید با داشتن طرح جامعی برای پاسخ به تهدیدات (incident response)، برای هر سناریویی آماده باشند.

انواع حملات فیشینگ کدامند؟

همانطور که گفتیم، منظور از فیشینگ در امنیت سایبری، استفاده از تکنیک‌هایی برای فریب دادن کاربران و ترغیب آن‌ها به ارتکاب اشتباهات امنیتی است. این تکنیک‌ها بسیار متنوع هستند، با انگیزه‌های مختلفی انجام می‌شوند و می‌توانند کاملا فله‌ای یا هدفمند انجام شوند. بر اساس این متغییرها، می‌توان حملات فیشینگ را به انواع زیر تقسیم‌بندی کرد:

۱- فیشینگ فله‌ای با ارسال ایمیل یا پیامک

در یکی از رایج‌ترین انواع فیشینگ، هکرها یک حمله غیرهدفمند را روی توده مردم پیاده می‌کنند که شامل ارسال ایمیل یا پیامک حاوی دانلود بدافزار یا لینک هدایت به صفحه فیشینگ است. معمولا، این نوع حمله فیشینگ پیچیدگی بالایی ندارد و با این امید طراحی می‌شود که درصدی از مردم (هر چند اندک) که آگاهی کمتری نسبت به تهدیدات سایبری دارند، روی لینک ارسالی کلیک کنند.

با اینکه این نوع حمله شخص خاصی را هدف نمی‌گیرد و اما معمولا، با توجه به ویژگی‌های یک جامعه هدف طراحی و مهندسی اجتماعی می‌شود. برای مثال، اکثر کمپین‌های فیشینگ فله‌ای که در ایران رخ می‌دهند، به زبان فارسی هستند و با هدف گرفتن قشر آسیب‌پذیر جامعه، عمدتا به موضوعاتی مثل سهام عدالت می‌پردازند.

۲- اسپیر فیشینگ

اسپیر فیشینگ (spear phishing) نوعی حمله فیشینگ کاملا هدفمند است که فقط یک فرد خاص را هدف می‌گیرد. معمولا، شخص مورد هدف، فردی با دسترسی بالا در یک سازمان (مثل مدیر شبکه) محسوب می‌شود.

هکرهایی که به دنبال اجرای اسپیر فیشینگ هستند، شخص هدف خود را به دقت مورد مطالعه قرار می‌دهند تا با نیازمندی‌ها، علاقه‌مندی‌ها و نقطه‌ضعف‌های او آشنا شوند و از تکنیک‌های مهندسی اجتماعی برای فریب او به منظور ارتکاب اشتباهات امنیتی استفاده می‌کنند.

۳- نفوذ به ایمیل سازمانی (BEC)

از دیگر انواع حملات فیشینگ می‌توان به حمله نفوذ به ایمیل سازمانی (Business Email Compromise) اشاره کرد که یکی از خطرناک‌ترین انواع حملات فیشینگ برای سازمان‌ها محسوب می‌شود و در صورتی که کارمند هدف حمله، فریب بخورد، سازمان را در معرض تهدید امنیتی بسیار بزرگی قرار می‌دهد.

برای مقابله با این نوع حمله هکری بسیار خطرناک به سازمان خود می‌توانید از راهکار امنیت ایمیل سایبرنو، که ایمیل‌های ورودی را بیش از ۳۰ موتور آنتی ویروس، اسکن می‌کند، نرخ تشخیص بسیار بالایی دارد و از قابلیت‌های سفارشی‌سازی بسیار کاملی برخوردار است، کمک بگیرید.

۴- دیگر تکنیک‌های فیشینگ

در بالا انواع اصلی فیشینگ را مرور کردیم. انواع دیگری از روش‌های فیشینگ نیز وجود دارند که کمتر مورد استفاده قرار می‌گیرد، می‌توان آن‌ها را در یکی از دسته‌های بالا نیز قرار داد یا تهدید کوچک‌تری محسوب می‌شوند. از دیگر انواع روش‌های فیشینگ می‌توان به موارد زیر اشاره کرد:

• اسمیشینگ (smishing): به اجرای حملات فیشینگ از طریق پیامک (SMS) اسمیشینگ یا فیشینگ پیامکی (SMS phishing) گفته می‌شود که می‌تواند به صورت فله‌ای یا هدفمند باشد.
• ویشینگ (vishing): در فیشینگ صوتی (voice vishing) که ویشینگ نامیده می‌شود، هکر یا کلاهبردار، با مخاطب هدف تماس می‌گیرد و تلاش می‌کند تا با روش‌هایی مثل ترساندن، ایجاد احساس اضطراب، ایجاد حس طمع و ... مخاطب را فریب دهد که منجر به اشتباهی امنیتی شود و برای مثال، گذرواژه‌ای مثل رمز دوم بانکی را در اختیارش قرار دهد.
• کت فیشینگ (cat phishing): در این نوع حمله فیشینگ، هکر یا کلاهبردار تلاش می‌کند تا با ایجاد رابطه عاطفی با هدف (که معمولا به صورت مجازی است اما در موارد خیلی پیچیده و حساس، احتمال اجرای حضوری نیز دارد) هدف را فریب دهد تا از او کلاهبرداری کند یا اطلاعات حساسی را از هدفش استخراج کند.