مقدمه
نياز به استفاده روزافزون از رسانه‌های ارتباط‌جمعی مانند اينترنـت، علی‌رغم پيامـدهاي مثبت و تأثيرگذار فراوان در جامعة امروزي، به دليل غيربومی بودن دسـتاوردهای منفـي بسياری نيز داشته و دارد. از جمله اين پيامدهای منفی، پيدايش جرائم نوظهور سازمان‌یافته و غیر سازمان‌یافته یافته رایانه‌ای و اینترنت است.
روزانه هزاران نفر در جهان به دليل اينكه آگـاهی چنـدانی از انواع جرائم سايبري و نحوه وقوع آنها ندارند، قربـانی جـرائم در فضـای سـايبر هسـتند. در كنار جرائم سايبري در حوزة اجتماعي و سياسي، جرائم سايبري در حوزة اقتصادي پیشرفتهای قابل‌توجهی داشته است. در حـال حاضـر، بالاترين آمار پرونده‌های تشكيل شده در پليس فتا مربوط به جرائم مالي است که قربانیان خود را از میان مردم با دانش و آگاهی اندک می یابد. برای پيشـگيري از وقـوع جـرائم كلاهبرداري مالي سايبري علاوه بر سایر عواملی که وجود دارند افزايش سواد فناوري اطلاعات در ميان كاربران مهم ترین رکن است. در میان جرایم سایبری فيشينگ، اسكيمينگ، فارمينگ و تزریق، بيشترين جرم‌های صورت‌گرفته در فضای سایبری هستند.
ما در این مقاله برآنیم تا به طور اختصاصی به جرم فیشینگ و انواع آن، عوامل وقوع جرم، راههای مقابله با آن، مجازات و سایر موارد پیرامونی فیشینگ را به‌عنوان یکی از جرائم مالی بررسی کنیم.
معنای فیشینگ
فیشینگ (Phishing) یا ماحیگیری، به معنای تله‌گذاری برای به‌دست‌آوردن اطلاعاتی همچون: نام کاربری، گذرواژه، اطلاعات حساب بانکی و مانند آنها از طریق جعل یک وب‌سایت، آدرس ایمیل و … توسط فیشر (کسی که حمله فیشینگ را انجام می‌دهد) گفته می‌شود. در واقع مجرم یا فیشر با استفاده از برخی ترفندها و متدها، اقدام به شبیه‌سازی وب‌سایت‌های اصلی، برنامه و یا حتی یک سرویس نموده و با استفاده از آن، اطلاعات کاربران را به سرقت می‌برد.
فيشينگ تكنيك شناخته شده‌اي است كه با ايجاد وبسايت‌هاي جعلي طراحي شده، مشابه با سايت قانوني بانك يـا مؤسسـة مـالي و بـا اسـتفاده از روش هـاي هـرزه نگـاري سيسـتمي، تصویری موجـه و قـانوني را در نظر کاربران القا می کند. به بیانی دیگر، فیشینگ نوعی از کلاهبرداری آنلاین است که در آن مجرم یا همان فیشر از طریق ایمیل، پیام کوتاه، تماس یا روش‌های تبلیغاتی دیگر اقدام به سرقت اطلاعات محرمانه کاربران می‌کند و از طریق شبکه‌های اجتماعی و وبگاه‌های پرداخت آنلاین آنها را مورد حمله قرار می‌دهد. ایمیل‌هایی که با این هدف به کاربران ارسال می‌شوند حاوی پیوندی به یک وبگاه هستند که در بیشتر موارد حاوی بدافزار هستند.
تاریخچه و ریشه‌یابی واژه
برای نخستین‌بار در سال 1995 میلادی فیشینگ یا ماحیگیری به‌عنوان یک جرم سایبری شناخته شد. فیشینگ کوته‌نوشت گزاره “Password Harvesting Fishing” به معنای (شکار گذرواژه کاربر از طریق یک طعمه) است. استفاده از حرف «ح» به‌جای «ه» در کلمه «ماهیگیری» نیز از جایگزینی «f» با «ph» از «fishing» الگوبرداری شده است. نام فیشینگ باتوجه‌به نسل قبلی کلاهبرداری با عنوان “phone phreaking” کلاهبرداری تلفنی انتخاب شده است و به‌جای حرف f در” fishing” حروف ph را قرار داده‌اند. در واقع F برای القای مفهوم فریفتن جایگزین شده و از منظر دیگر به اصل واژه “fishing” و طعمه شدن ماهی توسط صیاد اشاره دارد.
نکته:
- واژة سايبر که بخش‌های مختلف مقاله به کار برده شده است از نظر لغوي به معناي مجازي و غيرملمـوس اسـت. به‌عبارت‌دیگر، سايبر به مطالعة مکانیزم‌های مورداستفاده در كنترل و تنظيم سیستم‌های پيچيده اعم از انسان يا ماشين گفته می‌شود. اصطلاح فضاي سـايبر يـا دنيـاي مجـازي برخط (آنلاين)، اصطلاحي است كه نخستین‌بار توسط ويليام گيبسون در رماني با عنوان نيورومانسو در سال 1984 مورداستفاده قرار گرفت. جرائم مالي نيز جزئي از جرائم سايبري هستند كه با سوءاستفاده از اعتمـاد مردم به‌صورت فيشينگ و تزريق بدافزارها، اقدام به برداشـت غيرمجـاز از حساب بزه‌دیده‌ها می‌کنند.
حمله فیشینگ
استفاده روزافزون از فناوری‌های اطلاعات از جمله رايانه و اینترنت، در کنار فواید بی‌شمار و تأثیرگذاری که دارد شرايط لازم را براي انواع جرائم سازمان‌یافته و غیر سازمان يافتة اينترنتي هم فراهم كرده است. حمله فیشینگ یا سرقت آنلاین نیز به‌عنوان یکی از انواع جرائم اینترنتی و سایبری، در عمل با کپی دقیق رابط گرافیکی یک وبگاه معتبر مانند بانک‌های آنلاین صورت می‌پذیرد. اعمالی مانند ایجاد وب‌سایت‌های جعلي، مشابه با سايت قانوني بانك، استفاده از تلفن و ایمیل و پیامک با لینک جعلی از جمله طعمه‌هایی هستند که کاربران را به دام می‌اندازند، کاربر با ورود به صفحه جعلی و واردکردن اطلاعات کارت اعتباری، نام کاربری و رمز عبور و برخی از اطلاعات هویتی خویش تحت حمله فیشینگ قرار گرفته و اطلاعاتش به سرقت می‌رسد که در این باره و نحوه آن در ادامه مقاله توضیحات جامع‌تری در اختیارتان خواهیم گذاشت.
عوامل وقوع جرم فیشینگ
عوامل مختلفی از قبیل اجتماعی، اقتصادی، انسانی و فناورانه (تكنولوژيكي) بر مجرمان تأثیر می‌گذارد تا دست بـه جـرائم مـالي بزننـد؛ مهم‌ترین ايـن عوامـل شـامل مواردي مانند تورم، بيكاری، فقر، قابلیت گمنام ماندن در فضای مجازی و كسب هويت مجازی و دروغین، دسترسي به اينترنت، گستره جهاني اينترنت، سن مجرم، جنسیت، وضعيت خانوادگي، گروه همسالان، محيط زندگي فرد، خودنمائی در بروز استعداد و یا حتی تفریح است. علت ديگر وقوع جرائم مالي مجازي، ضعف اطلاعـاتي برخـي از خـدمات الكترونيكـي بانک‌ها است؛ مانند مجهز نبودن دستگاه‌های خودپرداز ( ATM ) بانک‌ها به سيستم آنتـي اسـكيمرکه مجرمان با سوءاستفاده از اين نقص، اقدام به هك سيستم بانكي كرده و يا نصب كردن اسكيمرها بر روي دستگاه‌های خودپرداز، مجهز نبودن سامانه‌ها به سیستم‌های ضد فیشینگ و … سبب وقوع جرائم سایبری هستند.
تشخیص جرم فیشینگ و راههای مقابله با آن
حفاظت از این حملات نیاز به اقداماتی دارد که هم توسط کاربران شخصی و هم توسط شرکت‌ها لازم است انجام شود. یک پیام جعلی اغلب حاوی اشتباهات ظریفی است که هویت واقعی آن را نشان می‌دهد. این اشتباهات می‌توانند شامل اشتباهات املایی یا تغییر در نام دامنه باشند. همچنین یک کاربر آگاه قبل از باز کردن ایمیل باید این سؤال را از خود بپرسد که چرا اصلاً چرا چنین ایمیلی را دریافت کرده است؟
در مورد کاربران شرکت‌ها و سازمان‌ها نیز، برای کاهش حملات فیشینگ نیز اقدامات مختلفی مانند احراز هویت دو عاملی یک راه مؤثر و کارآمد برای جلوگیری از حملات فیشینگ است؛ چرا که پیش از ورود به برنامه یا سایت به‌عنوان کاربر، یک‌لایه امنیتی اضافه می‌شود که رد شدن از آن کار ساده‌ای نیست.
به‌عنوان‌مثال کارمندان باید ملزم به تغییر مکرر رمزهای عبور خود باشند و از استفاده مجدد از رمز عبور برای چندین برنامه خودداری کنند. همچنین کمپین‌های آموزشی می‌توانند با اعمال روش‌های ایمن مانند کلیک نکردن روی لینک‌های ایمیل خارجی، از خطر حملات فیشینگ بکاهند.
-
مقابله با جرم:
- ارتقای سطح دانش مجازی و آموزش و آگاهی‌بخشی به کاربران تخصصی و عامه مردم
- خرید از سایت‌های معتبر اینترنتی و افزودن این سایت‌ها به بوک‌مارک مرورگر
- تردید در تبلیغات و تخفیفات غیرقابل‌باور و اغراق‌آمیز یا نهایت تحقیق در مورد اصالت این تبلیغات
- استفاده از کارت مخصوص برای خرید اینترنتی و شارژ این کارت‌ها به‌اندازه ضرورت
- شناسایی درگاه‌های قابل‌اعتماد از طریق سایت شاپرک (یکی از مهم‌ترین قسمت‌ها، شناسایی درگاه فیشینگ و چک کردن نوار آدرس آن است. اگر سایت موردنظر دارای https یا پروتکل اس اس ال باشد و علامت قفل در کنار آن باشد، بخشی از امنیت شما در این سایت تأمین شده است. البته هم اکنون بسیاری از سارقین در جهت جلب اعتماد افراد به سایت‌های جعلی خود پروتکل ssl می‌افزایند، پس باید درگاه‌های امن را در سایت شاپرک بررسی نمایید.)
- استفاده از افزونه‌های ضد فیشینگ و تأیید اصالت درگاه: (بسیاری از مرورگرهای اینترنت دارای یک بخش بسیار جالب و مهم در تأمین امنیت کاربر و یا انجام کارهای مختلف در صفحات وب هستند. این بخش بسیار مهم افزونه‌ها هستند که می‌توان با استفاده از آنها درگاه‌های فیشینگ را شناسایی کنید.)
- ابتدا اطلاعات نادرست وارد نمایید: (درصورتی‌که به درگاه مشکوک هستید، ابتدا اطلاعات کارتی خود را به‌صورت اشتباه وارد کنید و در صورت تأیید آنها، سایت به‌طورقطع جعلی است و درصورتی‌که به دیتای شما ایراد وارد کرد و آنها را نادرست تشخیص داد، سایت واقعی است و می‌توانید خرید خود را با خیالی آسوده انجام دهید.)
- رمز پویای خود را فعال کنید: (درصورتی‌که هنوز از رمز دوم قبلی خود استفاده می‌کنید، بهتر است هر چه سریع‌تر رمز پویای کارت خود را فعال کنید. این کار امنیت پرداخت شما را چندین پله افزایش می‌دهد.)
- استفاده از نرم‌افزارهای ضدتبلیغ و آنتی‌ویروس: (بسیاری از این برنامه‌ها به جهت حفظ امنیت کاربر در هنگام بازدید از صفحات وب تمامی دیتای ورودی و خروجی از سیستم را بررسی می‌نمایند. البته بعضی از این نرم‌افزارها دارای ویژگی‌های تأیید اصالت سایت نیز هستند. یکی از این آنتی‌ویروس‌ها که برای موبایل و کامپیوتر قابل‌استفاده است، آنتی‌ویروس بیت دیفندر “ Bitdefender” است.)
انواع فیشینگ
1–فیشینگ فریبنده (deceptive phishing):
این نوع حمله عموماً از طریق ایمیل صورت می‌گیرد و فیشر با ارسال یک ایمیل از یک آدرس جعلی که بسیار شبیه به آدرس اصلی است، به روش‌های گوناگون از کاربر می‌خواهد تا روی لینک مورد نظرش کلیک کند. به‌عنوان‌مثال فیشر یک ایمیل با آدرسی بسیار شبیه به بانکی که کاربر در آن حساب ایجاد کرده است ارسال می‌کند. در این ایمیل از کاربر می‌خواهد که هر چه سریع‌تر نسبت به تکمیل اطلاعات خود و جلوگیری از مسدود شدن حساب بپردازد. برای این منظور کاربر باید روی لینکی که در ایمیل ضمیمه شده است کلیک کرده و سپس به صفحه تکمیل اطلاعات وارد شود. این نوع حمله جزو شایع‌ترین حملات بوده و معمولاً فیشرها از جملات دستوری و گول زننده برای ترغیب و تهییج کاربران استفاده می‌کنند.
2–جعل وب‌سایت:
یکی دیگر از حملات فیشینگ شایع، استفاده از جعل وب‌سایت است. در این حمله فیشر اقدام به ساخت یک صفحه اینترنتی مشابه صفحه اصلی نموده و از طریق اعتمادی که کاربران به آن صفحه اصلی داشته و عدم توجه دقیق به آدرس وب‌سایت، اقدام به جمع‌آوری اطلاعات کاربران می‌نماید.
3–تروجان و بدافزارها (malware):
روش دیگری که فیشرها برای به‌دست‌آوردن اطلاعات انجام می‌دهند، استفاده از برنامه‌های مخرب و بدافزارها است. این برنامه‌ها که در قالب تروجان نیز عرضه می‌شوند می‌توانند اطلاعات کارت‌های بانکی، اطلاعات لاگین و یا سایر موارد را از کاربر سرقت کرده و باعث واردآمدن خسارات مالی به وی شوند. نوع دیگری از این حملات، جعل اپلیکیشن‌ها و نرم‌افزارها هستند.
4–فیشینگ تلفنی (voice phishing):
این نوع حمله نیز همچون حمله از طریق ایمیل سعی دارد تا کاربر را مجاب کند تا اطلاعات خود را بازگو نماید. در این نوع حمله معمولاً فیشر با استفاده از یک شماره‌تلفن ناشناس با کاربر تماس گرفته و یا به وی پیام ارسال می‌کند. پس از آن فیشر خود را مسئول بانکی که کاربر در آن حساب دارد معرفی کرده و سپس از کاربر می‌خواهد تا برخی اطلاعات خود را جهت تکمیل پرونده و یا هر موضوع دیگری، بازگو نماید. اگر کاربر این اطلاعات را به فیشر بدهد، حمله با موفقیت انجام شده است.
5-فیشینگ درگاه‌های پرداخت:
در این روش فیشر یک وب‌سایت راه‌اندازی کرده و در آن اقدام به فروش اقلام و یا سرویس‌های مختلف می‌کند. معمولاً این وب‌سایت‌ها اسم‌ورسم چندانی نداشته و تنها قیمت پایین خدمات و کالاهای آنها ترغیب‌کننده است. کاربر به این وب‌سایت‌ها وارد شده، کالا یا سرویس موردنظر خود را انتخاب کرده و سپس به صفحه پرداخت ارجاع داده می‌شود. در این هنگام پس از این که کاربر اطلاعات کارت بانکی خود را وارد نمود، بسته به نظر فیشر، یا پیغام خطا در تراکنش و یا پیغام موفقیت‌آمیز بودن خرید برای کاربر ارسال می‌گردد؛ ولی اطلاعات کارت بانکی در پایگاه‌داده وب‌سایت ذخیره شده و می‌توان از آن استفاده نمود.
6–فیشینگ از طریق پیام کوتاه: (SMS phishing)
در فیشینگ پیام کوتاه، برای کاربر پیامی ارسال می‌شود که غالباً حاوی متن اخطار برای حساب بانکی، دریافت جایزه و … است تا کاربر ترغیب شود و روی لینک کلیک کنید.
7–کلاهبرداری از طریق شبکه‌های اجتماعی: ( Social media phishing)
در شبکه‌های اجتماعی کلاهبردار پست‌ها یا پیام‌هایی را به اکانت شخصی‌مان ارسال می‌کند. ممکن است اکانت دوستانمان را جعل کند و مدتی را با ما در تماس بوده و سپس اقدام به کلاهبرداری کند.
مثلاً در دایرکت اینستاگرام از طرف یکی از دوستانمان پیامی ارسال می‌شود که به بیماری نادری مبتلا شده و برای هزینه بیمارستان و جراحی نیاز به مبلغی پول دارد.
–فارمینگ (PHARMING):
فیشینگ فارمینگ (Pharming) که به DNS نیز معروف است، نوع پیشرفتهای از فیشینگ است که سعی در تغییر IP و دامنه سایت دارد و کاربر را به صفحه‌ای اشتباه راهنمایی می‌کند و اطلاعات کاربر را می‌گیرد.
به‌عنوان‌مثال در واردکردن آدرس اینترنتی سایت Amazon اگر حرف o را اشتباه یا دو بار تایپ کنیم ممکن است به صفحه موردنظر کلاهبردار وارد شویم.
9–نیزه (malware):
در فیشینگ (Malware) کلاهبردار هدف بزرگ‌تری دارد و روی گروهی از مدیران، اشخاص یا شرکت‌های بزرگ برنامه‌ریزی می‌کند و اطلاعات مربوط به شرکت را جمع‌آوری می‌کند.
10– ایمیل‌ها و پیوست‌های آن و هم چنین لینک‌های مربوط به پیامک‌ها می‌توانند خطرناک و آسیب‌رسان باشند:
برای مثال پیامی دریافت کردید که ادعا می‌نمود از سوی یک مرجع و نهاد قانونی است و در ازای گرفتن اطلاعات شخصی یا مالی، انواع پیشنهادهای اغواکننده و وسوسه‌انگیز مثل تخفیف مالیاتی را به شما پیشنهاد می‌داد، هرگز لینک موجود در این پیام را باز نکنید.
12– تماس‌های تلفنی و صوتی خودکار جعلی:
از کلاهبرداری تماس‌های تلفنی خودکار که ادعا می‌کنند علیه شما پرونده تشکیل شده و شما را وادار به کلیک کردن بر روی اعداد و نمادهای خاص می‌کنند تا مثلاً با یک کارگزار صحبت نمایید، حذر نموده و بلافاصله آن را قطع کنید.
مجازات فیشینگ
این جرم جز رواج بی‌اعتمادی بین مردم، کسب مال ناصحیح و اختلال و بی‌نظمی در ساختار اقتصادی و اجتماعی جامعه اثری ندارد؛ فیشینگ اصولاً عملی مجرمانه محسوب می‌شود. بااین‌حال ممکن است گستره جرم‌انگاری آن در نظام‌های حقوقی مختلف متفاوت باشد و البته در هر مورد، نوع و عنوان عمل مجرمانه کاملاً بستگی به نحوه و شیوه اقدام مرتکب دارد. در قوانین موجود ایران مواد ۷۴۰ و ۷۴۱ بخش جرایم رایانه‌ای قانون مجازات اسلامی جدید و نیز در مواد ۱۲ و ۱۳ قانون جرایم رایانه‌ای مصوب سال ۱۳۸۹ قانون‌گذار فیشینگ را جرم‌انگاری کرده است.
ماده ۷۴۰ ـ هر کس به طور غیرمجاز داده‌های متعلق به دیگری را برباید، چنانچه عین داده‌ها در اختیار صاحب آن باشد، به جزای نقدی از یک تا ۲۰ میلیون ریال و در غیر این صورت به حبس از ۹۱ روز تا یک سال یا جزای نقدی از پنج تا ۲۰ میلیون ریال یا هر دو مجازات محکوم خواهد شد.
ماده ۷۴۱ ـ هر کس به طور غیرمجاز از سیستم‌های رایانه‌ای یا مخابراتی با ارتکاب اعمالی از قبیل واردکردن، تغییر، محو، ایجاد یا متوقف کردن داده‌ها یا مختل کردن سیستم وجه یا مال یا منفعت یا خدمات یا امتیازات مالی برای خود یا دیگری تحصیل کند، علاوه بر رد مال به صاحب آن به حبس از یک تا پنج سال یا جزای نقدی از ۲۰ تا یک‌صد میلیون ریال یا هر دو مجازات محکوم خواهد شد.
قانون‌گذار در ماده 12 قانون جرایم رایانه‌ای بیان می‌کند: ” هرکس به طور غیرمجاز داده‌های متعلق به دیگری را برباید، چنانچه عین داده‌ها در اختیار صاحب آن باشد، به جزای نقدی از یک میلیون ریال تا بیست میلیون ریال و در غیر این صورت به حبس از نود و یک روز تا یک سال یا جزای نقدی از پنج میلیون ریال تا بیست میلیون ریال یا هر دو مجازات محکوم خواهد شد.”
همچنین در ماده 13 همین قانون آورده شده، ” هرکس به طور غیرمجاز از سامانه‌های رایانه‌ای یا مخابراتی با ارتکاب اعمالی از قبیل واردکردن، تغییر، محو، ایجاد یا متوقف کردن داده‌ها یا مختل کردن سامانه، وجه یا مال یا منفعت یا خدمات یا امتیازات مالی برای خود یا دیگری تحصیل کند، علاوه بر رد مال به صاحب آن به حبس از یک تا پنج سال یا جزای نقدی از بیست میلیون ریال تا یک‌صد میلیون ریال یا هر دو مجازات محکوم خواهد شد.”
نتیجه‌گیری
در موضوعاتي كـه جنبه‌های فرهنگـي نقش مهمي ايفا می‌کند، استفاده از یافته‌های پژوهش‌های خـارجي چنـدان مفيـد واقـع نمی‌شود و باید به دنبال ریشه و علل جرم در بطن و بستر خود جامعه باشیم ما در این مقاله سعی کردیم تا حدی جزئی بر ابعاد مختلف فیشینگ بپردازیم.
باتوجه‌به مجازی و غیرملموس بودن فضای سایبری و تغییر متدهای سارقین این عرصه، ارتقای آگاهی و تصحیح و تغییر متدهای آموزش برای جامعه ما ضروری است تا همگی افراد را حداقل با کلیات جرائم آشنا کند. در واقع فقط با ارتقا ظرفیت‌های آموزشی است که قادر به شناسایی کلاهبرداران سایبری می‌توان بود. بسیاری از کلاهبرداران افراد بسیار ماهری هستند که غفلت هر یک از ما می‌تواند به نفع آنان تمام شود و به طور خلاصه اشتیاق برای یادگیری و مطالعه شرط اساسی آگاهی است.
جهت مشاوره اقتصادی و سرمایه‌گذاری، تشکیل سبد سرمایه‌گذاری پرسود و همچنین آموزش نحوه درست ورود و سرمایه‌گذاری مطمئن در بازارهای مالی با ما از طریق سایت https://moshaverr.com و یا شماره‌تلفن: 88721921-021 در تماس باشید.
چرا مرکز مشاوره اقتصادی ایرانیان؟
تیم این مرکز متشکل از کارشناسان امور مشاوره اقتصادی، مشاوره مالی و مشاوره سرمایه‌گذاری ، علوم سیاسی، ژئوپلیتیک، دیپلمات‌های سابق و کارشناسان منطقه‌ای هستند که در تلاش‌اند با شناسایی و ارزیابی ریسک‌ها، فرصت‌های اقتصادی و سرمایه‌گذاری مناسب برای مشتریان خود فراهم آورند.
