از کجا بفهمیم پیامک یا لینک دریافتی فیشینگ و کلاهبرداری است؟

هر پیامکی که از شما می خواهد روی لینک کلیک کنید، اطلاعات بانکی وارد کنید یا مبلغی بپردازید، لزوما معتبر نیست. کلاهبرداران با جعل نام بانک، قوه قضاییه، شرکت های پستی، اپراتورها و فروشگاه های اینترنتی تلاش می کنند شما را در چند ثانیه تحت فشار قرار دهند.

در این راهنما یاد می گیرید چگونه پیامک فیشینگ را از پیام واقعی تشخیص دهید، آدرس لینک را بررسی کنید، بدون کلیک منبع پیام را اعتبارسنجی کنید و اگر اطلاعات خود را وارد کردید، در همان دقایق اول چه اقداماتی انجام دهید.

فیشینگ دقیقا چیست؟

فیشینگ روشی برای فریب کاربر و سرقت اطلاعات حساس است. مهاجم خود را جای یک مجموعه معتبر جا می زند و شما را به انجام یکی از این کارها ترغیب می کند:

• وارد کردن شماره کارت و رمز پویا
• وارد کردن نام کاربری و رمز عبور
• پرداخت مبلغی با عنوان هزینه خدمات یا جریمه
• نصب یک برنامه ناشناس
• باز کردن فایل آلوده
• تماس با شماره ای که در پیامک درج شده است
• ارسال کد تایید پیامکی
• ارائه اطلاعات هویتی یا تصویری از کارت ملی

فیشینگ فقط از طریق پیامک انجام نمی شود. ایمیل، پیام رسان ها، شبکه های اجتماعی، تبلیغات اینترنتی، تماس تلفنی و حتی کد QR می توانند ابزار فریب باشند. در مطالب امنیت دیجیتال و فیشینگ در وبلاگ طراحان نوین نیز نمونه های مختلف این حمله و خطرهای آن بررسی شده است.

چک لیست سریع تشخیص پیامک کلاهبرداری

قبل از هر اقدامی، این هفت سوال را درباره پیامک از خودتان بپرسید:

1. آیا منتظر چنین پیامکی بودم؟
2. آیا پیامک از یک شماره یا فرستنده شناخته شده آمده است؟
3. آیا پیام از من اطلاعات محرمانه می خواهد؟
4. آیا برای کلیک یا پرداخت، زمان بسیار کوتاهی تعیین کرده است؟
5. آیا لینک به دامنه رسمی سازمان مربوطه منتهی می شود؟
6. آیا می توانم همین موضوع را از طریق اپلیکیشن یا سایت رسمی بررسی کنم؟
7. اگر روی لینک کلیک نکنم، آیا واقعا اتفاق مهمی رخ می دهد؟

اگر پاسخ چند مورد از این سوال ها مشکوک است، پیامک را معتبر فرض نکنید.

نشانه های پیامک فیشینگ و کلاهبرداری

۱. ایجاد ترس، عجله یا هیجان

مهم ترین ابزار کلاهبرداران، تصمیم گیری عجولانه است. پیامک ممکن است چنین عباراتی داشته باشد:

• حساب شما تا دو ساعت دیگر مسدود می شود.
• برای جلوگیری از شکایت، همین حالا پرداخت کنید.
• ابلاغیه جدید برای شما صادر شده است.
• بسته شما به دلیل پرداخت نکردن هزینه برگشت می خورد.
• برنده جایزه شده اید؛ برای دریافت آن کلیک کنید.
• یارانه شما قطع می شود؛ اطلاعات خود را تایید کنید.
• تراکنش مشکوکی در حساب شما ثبت شده است.
• فرصت ثبت نام فقط تا پایان امروز است.

یک سازمان معتبر ممکن است درباره اقدام مهم به شما اطلاع بدهد، اما پیامک تهدید آمیز به تنهایی دلیل اعتبار نیست. کلاهبردار می خواهد شما فرصت بررسی فرستنده و لینک را نداشته باشید.

۲. درخواست اطلاعات محرمانه

هیچ رمز، کد تایید یا اطلاعات بانکی را در اختیار پیامک های مشکوک قرار ندهید. اطلاعاتی که معمولا هدف حمله هستند عبارتند از:

• شماره کارت
• تاریخ انقضای کارت
• CVV2
• رمز اول
• رمز پویا
• نام کاربری و رمز عبور
• کد تایید پیامکی
• کد ملی
• تصویر کارت ملی یا کارت بانکی
• پاسخ سوال های امنیتی

به طور خاص، کد تایید پیامکی را برای هیچ فردی ارسال نکنید. این کد می تواند برای ورود به حساب، تغییر رمز یا تایید یک تراکنش استفاده شود.

طبق راهنمای FTC درباره تشخیص پیام های فیشینگ، شرکت های واقعی برای دریافت اطلاعات پرداخت، معمولا شما را از طریق یک پیام غیرمنتظره به لینک ناشناس هدایت نمی کنند. با این حال، حتی این قاعده نیز نباید جای بررسی مستقل را بگیرد.

۳. درخواست پرداخت مبلغ کم

بسیاری از کاربران تصور می کنند کلاهبرداری فقط با مبالغ بالا انجام می شود. در عمل، پیامک های فیشینگ گاهی برای مبالغ بسیار کم طراحی می شوند؛ مثلا هزینه چند هزار تومانی برای:

• مشاهده ابلاغیه
• آزادسازی مرسوله
• تکمیل ثبت نام
• تایید حساب
• فعال سازی خدمات
• پرداخت جریمه
• دریافت جایزه

هدف اصلی چنین صفحه ای ممکن است خود مبلغ نباشد، بلکه سرقت اطلاعات کارت، رمز پویا و مشخصات هویتی شما باشد.

۴. لینک کوتاه یا نامفهوم

لینک هایی مانند موارد زیر باید با احتیاط بررسی شوند:

• لینک های کوتاه شده
• لینک هایی با ترکیب تصادفی حروف و اعداد
• لینک هایی که دامنه واقعی در انتهای آن پنهان شده است
• لینک هایی با چندین علامت سوال و پارامتر طولانی
• لینک هایی که با دامنه های رایگان و ناشناس ساخته شده اند
• لینک هایی که از سرویس های اشتراک فایل یا فرم ساز ناشناس استفاده می کنند

لینک کوتاه شده لزوما مخرب نیست، اما مقصد واقعی آن را در نگاه اول نشان نمی دهد. بنابراین در پیامک های بانکی، قضایی و مالی بهتر است روی هیچ لینک کوتاه شده ای کلیک نکنید.

۵. اشتباه در نام فرستنده

فرستنده پیامک می تواند جعل شود یا نامی شبیه نام سازمان اصلی داشته باشد. برای مثال، ممکن است نامی ببینید که فقط یک حرف با نام واقعی تفاوت دارد.

به این موارد دقت کنید:

• شماره شخصی برای پیام رسمی
• نام فرستنده شبیه بانک یا سازمان، اما نه دقیقا همان نام
• تغییر ناگهانی فرستنده در ادامه یک گفتگوی قبلی
• پیامک های بانکی از شماره ای متفاوت با پیامک های قبلی بانک
• پیامکی که مدعی نمایندگی یک شرکت است اما شماره تماس شخصی دارد

شناخته شدن نام فرستنده به معنی معتبر بودن پیام نیست. پیامک های جعلی می توانند از سرشماره های مشابه یا حتی حساب های پیامکی اجاره ای ارسال شوند.

۶. لحن غیرطبیعی یا متن نامنظم

غلط املایی دیگر تنها نشانه فیشینگ نیست؛ چون مهاجمان می توانند متن های بسیار طبیعی تولید کنند. با این حال، موارد زیر همچنان هشدار محسوب می شوند:

• استفاده نادرست از نام سازمان
• جمله های ناقص و نامفهوم
• فاصله گذاری عجیب
• وعده ای که با خدمات آن سازمان ارتباط ندارد
• ترکیب لحن رسمی و عامیانه
• درخواست غیرعادی از شما
• استفاده از چند علامت تعجب برای ایجاد هیجان

حتی اگر متن کاملا حرفه ای باشد، باز هم باید لینک و منبع پیام را جداگانه بررسی کنید.

چگونه آدرس لینک را بدون باز کردن صفحه بررسی کنیم؟

بررسی آدرس باید قبل از کلیک انجام شود. اگر پیامک روی گوشی شماست، لینک را لمس نکنید. در بسیاری از گوشی ها می توانید با لمس طولانی، گزینه کپی کردن لینک را انتخاب کنید؛ البته اگر گوشی شما با لمس طولانی لینک را باز نمی کند.

سپس آدرس را در یک ویرایشگر متن یا یادداشت موقت ببینید.

بخش های مهم یک آدرس اینترنتی

یک آدرس مانند نمونه زیر را در نظر بگیرید:

https://login.example.com/account

• https شیوه ارتباط رمزگذاری شده است.
• login زیردامنه است.
• example.com دامنه اصلی است.
• /account مسیر صفحه است.

برای تشخیص مالک واقعی سایت، مهم ترین بخش معمولا دامنه اصلی است؛ یعنی بخشی که درست قبل از اولین / قرار دارد و از سمت راست، دامنه اصلی را تشکیل می دهد.

مراقب این ترفندهای دامنه باشید

قرار گرفتن نام برند در ابتدای دامنه جعلی

https://bank-name.fake-site.com

در این نمونه، دامنه اصلی fake-site.com است، نه bank-name. وجود نام بانک در ابتدای آدرس اعتبار ایجاد نمی کند.

استفاده از خط تیره و کلمات مشابه

https://bank-login-example.com

ممکن است این دامنه هیچ ارتباطی با بانک مورد نظر نداشته باشد.

استفاده از حروف مشابه

در برخی دامنه ها، حروفی مانند o، 0، l و 1 یا حروف مشابه در زبان های مختلف جایگزین حروف اصلی می شوند. ظاهر آدرس ممکن است درست به نظر برسد، اما دامنه متعلق به سایت واقعی نباشد.

دامنه متفاوت با پسوندهای مختلف

تفاوت میان دامنه های زیر را جدی بگیرید:

example.ir
example.com
example.net
example-shop.ir

حتی اگر نام اصلی یکسان باشد، این دامنه ها لزوما متعلق به یک مجموعه نیستند.

وجود علامت @ در آدرس

https://official-site.com@fake-site.com/login

در این نمونه، بخش واقعی دامنه fake-site.com است. متن قبل از علامت @ می تواند برای فریب شما استفاده شده باشد.

آیا HTTPS یعنی سایت امن است؟

خیر. وجود قفل کنار آدرس یا شروع شدن لینک با https فقط نشان می دهد ارتباط میان مرورگر و سایت رمزگذاری شده است. سایت فیشینگ نیز می تواند گواهی SSL داشته باشد.

پس این دو تصور اشتباه است:

• قفل کنار آدرس یعنی سایت معتبر است.
• HTTPS یعنی اطلاعات را با خیال راحت وارد کنم.

برای ارزیابی، باید نام دامنه، دلیل ورود به سایت و درخواست های صفحه را نیز بررسی کنید.

چطور پیامک بانکی را بررسی کنیم؟

اگر پیامکی درباره برداشت، واریز، مسدودی کارت یا تراکنش دریافت کردید:

1. روی لینک داخل پیامک کلیک نکنید.
2. وارد اپلیکیشن رسمی بانک شوید.
3. موجودی و گردش حساب را از همان اپلیکیشن بررسی کنید.
4. اگر اپلیکیشن در دسترس نیست، آدرس سایت بانک را خودتان در مرورگر وارد کنید.
5. با شماره پشتیبانی درج شده روی کارت بانکی یا سایت رسمی تماس بگیرید.
6. هرگز با شماره ای که در پیامک مشکوک نوشته شده تماس نگیرید.

اگر پیامک ادعا می کند مبلغی به حساب شما واریز شده، فقط موجودی حساب یا گردش رسمی بانک را ملاک قرار دهید. تصویر رسید، پیامک و لینک، اثبات پرداخت نیست.

چطور پیامک ابلاغیه قضایی را بررسی کنیم؟

پیامک های مربوط به ابلاغیه، پرونده و خدمات قضایی یکی از موضوعات پرتکرار در فیشینگ هستند. اگر پیامکی با عنوان ابلاغیه دریافت کردید:

1. روی لینک پیامک کلیک نکنید.
2. مرورگر را باز کنید و آدرس رسمی قوه قضاییه را خودتان وارد کنید.
3. از سامانه رسمی ابلاغ الکترونیک قضایی در عدل ایران وارد بخش مربوط به ابلاغیه شوید.
4. وضعیت ابلاغیه را از داخل حساب خود بررسی کنید.
5. اگر پیامک درخواست پرداخت فوری یا نصب برنامه ناشناس دارد، آن را مشکوک بدانید.

وجود کلمه «قوه قضاییه» یا «ثنا» در متن پیامک به معنی رسمی بودن آن نیست. دامنه سایت را باید جداگانه بررسی کنید.

چطور لینک فروشگاه، مرسوله یا تخفیف را بررسی کنیم؟

پیامک های مربوط به بسته پستی، خرید اینترنتی و تخفیف معمولا از الگوی زیر استفاده می کنند:

• مرسوله شما در انتظار پرداخت هزینه است.
• برای تکمیل نشانی روی لینک کلیک کنید.
• سفارش شما لغو می شود.
• کد تخفیف شما فقط تا چند دقیقه معتبر است.
• برای دریافت جایزه یا هدیه، اطلاعات خود را ثبت کنید.

برای بررسی:

• سفارش های خود را از داخل اپلیکیشن یا سایت رسمی فروشگاه ببینید.
• کد رهگیری را در سامانه رسمی شرکت حمل و نقل وارد کنید.
• نشانی فروشگاه را از تاریخچه مرورگر یا اپلیکیشن رسمی باز کنید، نه از لینک پیامک.
• به مبلغ های کم برای «هزینه ارسال» اعتماد نکنید.
• اگر اصلا سفارشی نداشته اید، پیامک را حذف کنید.

اگر لینک از طرف دوست یا همکار ارسال شده باشد چه؟

حساب دوست شما نیز ممکن است هک شده باشد. بنابراین شناخته شدن فرستنده، اعتبار لینک را تضمین نمی کند.

اگر پیام غیرعادی است:

• از طریق تماس تلفنی یا یک کانال دیگر از فرستنده سوال کنید.
• درباره دلیل ارسال لینک بپرسید.
• اگر پاسخ او مبهم است، لینک را باز نکنید.
• اگر پیام حاوی فایل برنامه، فایل فشرده یا فایل ناشناس است، آن را دانلود نکنید.
• از فرستنده بخواهید لینک کامل و توضیح دقیق ارسال کند.

هک شدن حساب های شبکه های اجتماعی یکی از روش های رایج انتشار لینک های فیشینگ است.

QR کد هم می تواند ابزار فیشینگ باشد

کد QR فقط یک تصویر بی خطر نیست. ممکن است شما را به صفحه جعلی، لینک دانلود برنامه یا درگاه پرداخت تقلبی هدایت کند.

قبل از باز کردن مقصد QR:

• پیش نمایش آدرس را بخوانید.
• نام دامنه را بررسی کنید.
• اگر QR روی برچسب یا پوستر چسبانده شده، به احتمال دستکاری فیزیکی توجه کنید.
• برای پرداخت، از داخل اپلیکیشن رسمی بانک یا فروشگاه اقدام کنید.
• اگر QR از شما نصب برنامه یا ورود به حساب می خواهد، ابتدا منبع آن را بررسی کنید.

چه چیزهایی را نباید در صفحه مشکوک وارد کنیم؟

در یک صفحه ناشناس یا صفحه ای که از طریق پیامک باز شده است، این اطلاعات را وارد نکنید:

• شماره کارت
• رمز پویا
• رمز عبور ایمیل
• رمز عبور شبکه اجتماعی
• کد تایید پیامکی
• کد ملی
• شماره تلفن
• تصویر مدارک
• اطلاعات حساب بانکی
• عبارت بازیابی کیف پول دیجیتال
• کلید خصوصی یا کدهای دسترسی

اگر صفحه ای از شما می خواهد همزمان شماره کارت، رمز پویا و کد تایید را وارد کنید، باید آن را بسیار مشکوک بدانید؛ به ویژه اگر از طریق یک پیامک غیرمنتظره به آن رسیده اید.

اگر فقط روی لینک کلیک کردیم چه کنیم؟

کلیک کردن به تنهایی همیشه به معنی هک شدن نیست، اما باید سریع بررسی کنید که چه اتفاقی افتاده است.

اگر صفحه فقط باز شد

• صفحه را ببندید.
• هیچ اطلاعاتی وارد نکنید.
• هیچ فایلی دانلود نکنید.
• اجازه اعلان، مکان، دوربین یا میکروفن را تایید نکنید.
• اگر مرورگر هشدار امنیتی داد، آن را نادیده نگیرید.
• پیامک را گزارش و حذف کنید.

اگر فایل دانلود شد اما باز نشد

• فایل را باز نکنید.
• آن را حذف کنید.
• پوشه دانلود و سطل زباله را نیز بررسی کنید.
• برنامه امنیتی گوشی یا رایانه را به روز کنید و اسکن کامل انجام دهید.
• اگر فایل APK یا برنامه ناشناس است، به هیچ وجه نصب نکنید.

اگر برنامه نصب کردید

• اینترنت گوشی را موقتا قطع کنید.
• برنامه مشکوک را حذف کنید.
• دسترسی های برنامه ها را بررسی کنید.
• برنامه های دارای دسترسی پیامک، دسترسی پذیری، مدیریت دستگاه یا نمایش روی سایر برنامه ها را جدی بگیرید.
• رمز حساب های مهم را از یک دستگاه مطمئن تغییر دهید.
• برای حساب های مهم، تایید دو مرحله ای را فعال کنید.
• اگر برنامه حذف نمی شود، از یک متخصص معتبر کمک بگیرید و در صورت نیاز گوشی را به تنظیمات کارخانه برگردانید.

اگر اطلاعات کارت بانکی را وارد کردیم چه کنیم؟

در این وضعیت زمان اهمیت زیادی دارد:

1. فورا با بانک تماس بگیرید.
2. درخواست مسدودی کارت یا مسدودی تراکنش های مشکوک را مطرح کنید.
3. از اپلیکیشن رسمی بانک، کارت را موقتا مسدود کنید؛ اگر این امکان وجود دارد.
4. رمزهای بانکی را تغییر دهید.
5. گردش حساب و پیامک های بانکی را بررسی کنید.
6. از صفحه جعلی، پیامک، شماره فرستنده، رسیدها و زمان اتفاق اسکرین شات بگیرید.
7. موضوع را از طریق مرکز فوریت های سایبری پلیس فتا گزارش کنید.
8. اگر برداشت غیرمجاز اتفاق افتاده است، گزارش را به تعویق نیندازید و با شماره اعلام شده توسط پلیس فتا برای پیگیری فوری تماس بگیرید.

در صورت سرقت رمز ایمیل یا شبکه اجتماعی نیز از یک دستگاه مطمئن وارد حساب شوید، رمز را تغییر دهید، نشست های فعال را ببندید و شماره یا ایمیل بازیابی را بررسی کنید.

اگر فقط کد تایید را برای کلاهبردار فرستادیم چه کنیم؟

کد تایید می تواند برای ورود به حساب یا تغییر تنظیمات امنیتی استفاده شود. بنابراین:

• رمز حساب مربوطه را فورا تغییر دهید.
• همه نشست ها و دستگاه های ناشناس را خارج کنید.
• تایید دو مرحله ای را دوباره فعال کنید.
• ایمیل و شماره بازیابی را بررسی کنید.
• با پشتیبانی رسمی سرویس تماس بگیرید.
• اگر کد مربوط به بانک یا پرداخت است، با بانک تماس بگیرید.
• اگر کد مربوط به پیام رسان است، از بخش دستگاه های متصل، نشست های ناشناس را ببندید.

هیچ پشتیبانی واقعی نباید از شما بخواهد کد تایید را برای او بخوانید.

روش امن بررسی هر پیامک در پنج دقیقه

برای اینکه در شرایط اضطراب تصمیم اشتباه نگیرید، این روند را همیشه اجرا کنید:

مرحله اول: مکث کنید

روی لینک کلیک نکنید و به پیام پاسخ ندهید. عجله، بخشی از سناریوی فیشینگ است.

مرحله دوم: ادعای پیام را جدا کنید

از خودتان بپرسید پیام درباره چیست:

• حساب بانکی؟
• مرسوله؟
• ابلاغیه؟
• جایزه؟
• خرید؟
• استخدام؟
• خدمات دولتی؟

مرحله سوم: منبع مستقل را باز کنید

اپلیکیشن رسمی، سایت رسمی یا شماره تماس روی کارت و قرارداد را پیدا کنید. از لینک و شماره داخل پیام استفاده نکنید.

مرحله چهارم: دامنه را بررسی کنید

نام دامنه را از سمت راست بخوانید و ببینید مالک واقعی سایت چه مجموعه ای است. وجود لوگو، رنگ سازمانی یا HTTPS کافی نیست.

مرحله پنجم: پیام را گزارش کنید

پیام را به عنوان اسپم گزارش دهید، سپس حذف کنید. اگر اطلاعاتی وارد شده یا برداشت انجام شده است، موضوع را فوری به بانک و پلیس فتا اطلاع دهید.

تفاوت پیام واقعی و پیام فیشینگ

اشتباه های رایج کاربران

اعتماد به لوگو و ظاهر صفحه

کپی کردن لوگو، رنگ و ظاهر سایت برای کلاهبردار کار دشواری نیست. دامنه و مسیر ورود مهم تر از ظاهر صفحه هستند.

اعتماد به HTTPS

HTTPS فقط ارتباط را رمزگذاری می کند. اعتبار صاحب سایت را تضمین نمی کند.

تماس با شماره داخل پیامک

اگر پیامک جعلی باشد، شماره تماس نیز در اختیار کلاهبردار است. شماره پشتیبانی را از کارت بانکی، اپلیکیشن یا سایت رسمی پیدا کنید.

جستجوی عجولانه نام سازمان

ممکن است تبلیغ جعلی یا سایت مشابه در نتایج جستجو نمایش داده شود. بهتر است نشانی رسمی را از منبع معتبر یا اپلیکیشن اصلی پیدا کنید.

ارسال تصویر کارت یا کد تایید

پشتیبانی، بانک، فروشگاه و سازمان های رسمی نباید از شما بخواهند رمز پویا یا کد تایید را برایشان ارسال کنید.

چگونه احتمال فیشینگ را کمتر کنیم؟

• برای هر حساب، رمز عبور متفاوت داشته باشید.
• تایید دو مرحله ای را فعال کنید.
• سیستم عامل و مرورگر را به روز نگه دارید.
• برنامه ها را فقط از فروشگاه های معتبر نصب کنید.
• اعلان تراکنش های بانکی را فعال کنید.
• سقف برداشت و پرداخت کارت های غیرضروری را کاهش دهید.
• اطلاعات بانکی را در مرورگر یا پیام رسان ذخیره نکنید.
• پیش از پرداخت، نام پذیرنده و مبلغ را بررسی کنید.
• به سالمندان و اعضای خانواده درباره پیامک های جعلی آموزش دهید.
• از باز کردن فایل های ناشناس در رایانه کاری خودداری کنید.
• برای کسب و کار، دسترسی کاربران و مدیران سایت را محدود و ثبت ورودها را فعال کنید.

برای کسب و کارهایی که اطلاعات مشتریان را دریافت می کنند، امنیت فقط به نصب افزونه یا داشتن گواهی SSL محدود نیست. طراحی درست فرم ها، مدیریت دسترسی ها، به روز رسانی منظم، پشتیبان گیری و ایمن سازی سرور نیز اهمیت دارد.

جمع بندی

برای تشخیص پیامک یا لینک فیشینگ، به یک نشانه اکتفا نکنید. ترکیب چند علامت مانند درخواست اطلاعات محرمانه، ایجاد عجله، لینک ناشناس، شماره غیرمعمول و ادعای غیرمنتظره، احتمال کلاهبرداری را بسیار بالا می برد.

قاعده اصلی این است:

از داخل پیامک وارد حساب خود نشوید؛ خودتان اپلیکیشن یا سایت رسمی را باز کنید.

اگر روی لینک کلیک کرده اید، اطلاعاتی وارد کرده اید یا برداشت غیرمجاز رخ داده است، موضوع را به بانک و مرکز فوریت های سایبری پلیس فتا گزارش دهید و مستندات را نگه دارید.

اگر برای کسب و کارتان به طراحی سایت امن، فرم های مطمئن، اتصال به درگاه پرداخت و بهبود امنیت وبسایت نیاز دارید، برای مشاوره و دریافت خدمات طراحی سایت از طراحان نوین با ما در ارتباط باشید.