فیشینگ چیست؟ راهنمای شناسایی و مقابله برای خریداران آنلاین

پیامکی دریافت می‌کنید که ظاهراً از طرف یک سامانه رسمی است: «پرونده‌ای علیه شما ثبت شده، برای مشاهده روی لینک بزنید.» لینک را باز می‌کنید، صفحه‌ای کاملاً شبیه درگاه بانکی ظاهر می‌شود، اطلاعات کارت را وارد می‌کنید و چند دقیقه بعد، پیامک برداشت از حساب می‌رسد. این سناریو هر روز برای کاربران ایرانی تکرار می‌شود و نامش فیشینگ است؛ قدیمی‌ترین و همچنان موفق‌ترین ترفند سرقت آنلاین. خبر خوب اینکه شناختن الگوهای آن، تقریباً همیشه برای در امان ماندن کافی است.

فیشینگ چیست؟

فیشینگ یعنی جا زدن خود به‌جای یک منبع معتبر (بانک، فروشگاه، سامانه دولتی یا پشتیبانی یک سرویس) برای فریب شما به وارد کردن اطلاعات حساس: شماره کارت و رمز دوم، رمز ایمیل یا کد تأیید پیامکی. مهاجم سیستم شما را هک نمی‌کند؛ کاری می‌کند که خودتان اطلاعات را دو دستی تقدیم کنید. به همین دلیل هیچ آنتی‌ویروسی جای هوشیاری شما را نمی‌گیرد.

الگوهای رایج فیشینگ برای کاربران ایرانی

• درگاه بانکی جعلی: صفحه‌ای با ظاهر درگاه پرداخت که از طریق پیامک جعلی (ابلاغیه، جریمه، قطع یارانه) یا سایت‌های فروش ارزان به شما می‌رسد و اطلاعات کارت را می‌دزدد.
• پشتیبان قلابی: فردی در تلگرام یا واتساپ خود را پشتیبان فروشگاه یا صرافی معرفی می‌کند و رمز، کد تأیید یا عبارت بازیابی می‌خواهد. پشتیبانی واقعی هرگز رمز و کد شما را نمی‌پرسد.
• کانال‌ها و آگهی‌های تلگرامی: فروش اکانت و گیفت کارت با قیمت‌های وسوسه‌کننده و اصرار به پرداخت کارت‌به‌کارت فوری؛ سناریوهای این کلاهبرداری‌ها را در راهنمای جلوگیری از کلاهبرداری اکانت کامل شرح داده‌ایم.
• ایمیل جعلی سرویس‌های خارجی: پیام‌هایی با موضوع «اکانت شما مسدود شد» که شما را به صفحه ورود تقلبی می‌برند تا رمز اکانت‌های ارزشمندتان را بگیرند.

درگاه بانکی واقعی را چطور تشخیص بدهیم؟

در ایران، همه درگاه‌های پرداخت اینترنتی مجاز زیر نظر شبکه شاپرک کار می‌کنند و نشانی صفحه پرداخت آن‌ها همیشه به shaparak.ir ختم می‌شود؛ مثلاً زیردامنه‌ای مانند sep.shaparak.ir یا asan.shaparak.ir. البته پرداخت‌یارهایی مانند زرین‌پال ابتدا صفحه واسط خودشان را نشان می‌دهند و سپس شما را به صفحه ورود اطلاعات کارت هدایت می‌کنند؛ همان صفحه نهایی است که باید به shaparak.ir ختم شود. پس در لحظه پرداخت، فقط یک کار حیاتی دارید: نوار آدرس مرورگر را بخوانید. اگر دامنه به shaparak.ir ختم نمی‌شود یا حروف آن دست‌کاری شده (مثلاً عددی جای حرف نشسته)، اطلاعات کارت را وارد نکنید. ظاهر صفحه هیچ اعتباری ندارد؛ کپی کردن ظاهر درگاه برای مهاجم چند دقیقه کار است، اما دامنه واقعی قابل جعل نیست.

چک‌لیست قبل از هر پرداخت و ورود

1. نشانی سایت را خودتان تایپ کنید یا از میان‌بر ذخیره‌شده خودتان وارد شوید؛ نه از لینک داخل پیامک و ایمیل.
2. در صفحه پرداخت، دامنه shaparak.ir را با چشم خودتان ببینید.
3. به فوریت‌سازی شک کنید؛ «همین حالا، وگرنه مسدود می‌شود» امضای ثابت فیشینگ است.
4. کد تأیید پیامکی و رمز پویا را تحت هیچ شرایطی به هیچ شخصی ندهید؛ حتی اگر خود را پشتیبان معرفی کند.
5. برای اکانت‌های مهم، تأیید دو مرحله‌ای را فعال کنید تا رمز لورفته به‌تنهایی به درد مهاجم نخورد؛ راهنمای آن در مطلب تأیید دو مرحله‌ای چیست؟ آمده است.
6. از پسورد منیجر استفاده کنید؛ همان‌طور که در راهنمای پسورد منیجر گفته‌ایم، پر نشدن خودکار رمز در یک صفحه، خودش هشدار جعلی بودن آن است.

فیشینگ قربانی می‌گیرد چون به عجله و اعتماد ما تکیه می‌کند؛ چند ثانیه مکث و نگاه به نوار آدرس، تقریباً همه این حملات را بی‌اثر می‌کند. خرید آنلاین قرار نیست ترسناک باشد: از فروشگاه‌های شناسنامه‌دار خرید کنید، پرداخت را فقط در درگاه‌های رسمی انجام دهید و اگر درباره امنیت خرید اکانت و گیفت کارت سؤالی داشتید، پشتیبانی نِت اَرز و مطالب همین ویکی کنار شما هستند.