Phishing از جمله واژه هائي است كه توسط مهاجمان در عرصه ادبيات اينترنت مطرح و به ترغيب توام با نيرنگ كاربران به افشاي اطلاعات حساس و شخصي آنان ، اشاره دارد . مهاجمان به منظور نيل به اهداف مخرب خود در اولين مرحله درخواست موجه خود را براي افراد بيشماري ارسال مي نمايند و در انتظار پاسخ مي مانند . آنان اميدوارند كه حتي اگر بتوانند تعداد اندكي از افراد را ترغيب به افشاي اطلاعات حساس و شخصي خود نمايند در رسالت خود موفق بوده اند . اميدواري آنان چندان هم بي دليل نخواهد بود چراكه با توجه به گستردگي تعداد قربانيان اوليه احتمالي ، شانس موفيقت نهائي آنان از لحاظ آماري نيز افزايش مي يابد .
مهاجمان به منظور افزايش ضريب موفقيت حملات سعي مي نمايند خود را بگونه اي عرضه نمايند كه مردم به آنان اعتماد نموده و آنان را به عنوان نمايندگان قانوني مراكز معتبري نظير بانك ها قبول نمايند . ماهيت و يا بهتر بگوئيم رمز موفقيت اين نوع از حملات بر قدرت جلب اعتماد مردم استوار است و بديهي است كه مهاجمان از هر چيزي كه بتواند آنان را موجه تر جلوه نمايد ، استقبال خواهند كرد . مهاجمان پس از جلب رضايت و اعتماد كاربران از آنان درخواست اطلاعات حساس و مهمي نظير شماره كارت اعتباري را مي نمايند .
اكثر عمليات اشاره شده به صورت اتوماتيك انجام و با توجه به اين كه كاربران گسترده اي هدف اوليه قرار مي گيرند و درصد بسيار زيادي از آنان داراي آگاهي لازم جهت تشخيص و مقابله با اين نوع حملات نمي باشند ، شانس موفقيت مهاجمان به منظور سرقت هويت كاربران افزايش مي يابد .

سرقت هويت چيست ؟

سرقت هويت ، استفاده از هويت شخص ديگر ( اطلاعات حساس و يا شخصي ) براي سوء استفاده مالي و يا ساير اهدف مخرب است . سوء استفاده يا كلاهبرداري با استفاده از كارت اعتباري ديگران ، يك نمونه از سرقت هويت است . در واقع Phishing ، روشي است كه مهاجمان از آن به منظور سرقت هويت استفاده مي نمايند .
آيا سرقت هويت صرفا" گريبانگير افرادي مي گردد كه اقدام به ارسال اطلاعات online مي نمايند ؟
در صورتي كه هرگز از كامپيوتر استفاده نكرده باشيد ، ممكن است از جمله قربانيان سرقت هويت باشيد . مهاجمان مي توانند با بكارگيري روش هاي متعدد به اطلاعات شخصي شما نظير شماره كارت اعتباري ، شماره تلفن ، آدرس و ... دستيابي پيدا نمايند . اكثر شركت ها و موسسات ، اطلاعات مربوط به مشتريان خود را در بانك هاي اطلاعاتي ذخيره مي نمايند و در صورت دستيابي سارقين به بانك هاي اطلاعاتي ، اطلاعات شخصي تعداد زيادي از افراد افشاء مي گردد .اينترنت فضاي لازم براي سارقين را فراهم نموده است تا بتوانند در زماني مطلوب و در گستره اي وسيع تر به اطلاعات شخصي و مالي كاربران دستيابي نمايند .اينترنت ، همچنين امكانات مناسبي به منظور فروش و مبادلات تجاري اطلاعات سرقت شده را در اختيار مهاجمان قرار مي دهد .

چرا مي بايست از خود در مقابل حملات phishing حفاظت نمود؟

در يك سازمان ، افراد متفاوت اطلاعاتي را نزد خود نگهداري مي نمايند كه ممكن است حساس و يا براي ساير افراد و يا سازمان ها حائز اهميت باشد . در حملات phishing ، مهاجمان عموما" از روش هاي غيرفني ( نظير مهندسي اجتماعي ) براي دستيابي به اطلاعات حساس و مهم اشخاص و يا سازمان ها استفاده نموده و موارد زير را هدف قرار مي دهند :
• اطلاعات بانكي نظير كارت هاي اعتباري و يا حساب هائي نظير paypal
• اطلاعات مربوط به نام و رمز عبور
• اطلاعات بيمه همگاني
• و ...
مهاجمان پس از دستيابي به اطلاعات فوق از آنان به منظور نيل به اهداف زير استفاده مي نمايند :
• برداشت از حساب بانكي
• سرويس هاي online متفاوتي نظير eBay و يا Amazon

يك نمونه از حملات phishing

تعداد زيادي از حملات phishing از طريق email انجام مي شود. مهاجمان email موجه خود را براي ميليون ها قرباني احتمالي ارسال مي نمايند . اين نوع نامه هاي الكترونيكي بسيار مشابه وب سايت شركتي مي باشند كه email ادعا مي نمايد ، نامه از آنجا براي كاربران ارسال شده است
مهاجمان به منظور فريب كاربران از روش هاي متعددي استفاده مي نمايند :
• استفاده از logo وساير علائم تجاري شناخته شده و معتبر
• ساختار و طراحي email تقلبي مشابه وب سايت واقعي است ، بگونه اي كه در اولين مرحله تشخيص جعلي بودن آن براي بسياري از كاربران غيرممكن است .
• بخش from نامه الكترونكيي ارسالي ، مشابه ارسال يك email معتبر از شركت مربوطه است .
• در متن email ممكن است فرمي تعبيه شده باشد كه از كاربران خواسته شود به دلايل خاصي( مثلا" account شما در معرض تهديد است و ممكن است مورد سوء استفاده قرار گيرد و يا به دليل بروز اشكالات فني ) ، مجددا" اطلاعات خود را در فرم درج و آن را ارسال نمايند .
• در برخي موارد ، مهاجمان به منظور افزايش اعتماد كاربران و معتبر نشان دادن email ارسالي از روش هائي فني تري استفاده مي نمايند. مثلا" ممكن است آنان از روشي موسوم به URL spoofing استفاده نمايند و با ايجاد يك لينك در متن email از كاربران بخواهند كه جهت ادامه عمليات بر روي آن كليك نمايند . با كليك كاربران بر روي لينك فوق ، آنان در مقابل هدايت به يك سايت معتبر كه انتظار آن را دارند به وب سايتي هدايت مي گردند كه مهاجمان آن را مديريت مي نمايند . شكل ظاهري وب سايت بگونه اي طراحي مي گردد كه كاربران نتوانند جعلي بودن آن را تشخيص دهند .