دزدان اینترنتی هر روزه راه های تازه ای برای بدست آوردن هویت شخصی افراد و دستیابی به اطلاعات شخصی آنها بکار می برند. یکی از روشهایی که اخیرا مورد توجه آنها قرار گرفته و البته کمی هم پیچیده است فیشینگ است.

فیشینگ (به انگلیسی: Phishing) در زمینه امنیت رایانه‌ای به تلاش برای سرقت و دستیابی به اطلاعات حساس افراد مانند نام کاربری، کلمه عبور و اطلاعات کارت‌های اعتباری به‌وسیله جازدن خود به جای یک وبسایت معتبر گفته می‌شود.برخی هم در آن به معنای استعاری ماهیگیری اشاره می کنند.

کسانی که عمل فیشینگ را انجام می دهند فیشر نامیده می شوند.

اولین گزارش فیشینگ

فیشینگ یا سرقت آنلاین در عمل به صورت کپی دقیق رابط گرافیکی یک وب‌گاه معتبر مانند بانک‌های آنلاین انجام می‌شود. ابتدا کاربر از طریق ایمیل و یا آگهی‌های تبلیغاتی سایتهای دیگر، به این صفحه قلابی راهنمایی می‌شود. سپس از کاربر درخواست می‌شود تا اطلاعاتی را که می‌تواند مانند اطلاعات کارت اعتباری مهم و حساس باشد، آنجا وارد کند. در صورت گمراه شدن کاربر و وارد کردن اطلاعات خود، فیشرها به اطلاعات شخص دسترسی می‌یابند. از جمله سایت‌های هدف این کار می‌توان سایت‌های eBay، PayPal، و بانک‌های آنلاین را نام برد.

اولین مورد گزارش شده فیشینگ مربوط به دوم ژانویه سال ۱۹۹۶ است که روی گروه خبری (newsgroup) یوزنت alt.online-service.America-online انجام شد.

در گذشته کدهای مخرب برای آسیب رساندن به رایانه ها طراحی می شدند، اما امروزه تا حد بسیاری اثری از این کدهای مخرب وجود ندارد. اکنون هدف اصلی کدهای مخرب و طراحان آنها پول و مسائل مالی است.

تکنیک هایی که در فیشینگ بکار می رود

دستکاری پیوند:

در این تکنیک برای گمراه کردن کاربر از اسامی معتبری در آدرس استفاده می‌شود مانند استفاده از زیر دامنه آشنای gmail در www.gmail.phisher.com، که در واقع کاربر را به سایت phisher هدایت می‌کند و یا استفاده از حرف @، مثلاً در www.google.com@members.tripod.com که در واقع کاربر را به سایت members.tripod.com هدایت می‌کند و نه گوگل.

گریز از فیلترها:

فیشرها برای جلوگیری از شناسایی متن‌های متداول فیشینگ در ایمیل توسط فیلترهای ضد-فیشینگ از عکس به جای نوشته استفاده می‌کنند.

جعل وبسایت:

برخی از فیشرها از جاوااسکریپت برای تغییر آدرس در نوار آدرس مرورگر استفاده می‌کنند تا هیچ جای شکی برای قربانی نماند. یک مهاجم حتی می‌تواند از ایرادهای موجود در اسکریپت‌های یک سایت معتبر نیز علیه خودش استفاده کند. به این نوع حمله cross-site scripting گفته می‌شود. در این مورد از کاربر خواسته می‌شود تا در بانک خودش لاگین کند. ظاهراً همه چیز عادی است. از آدرس وب‌گاه گرفته تا گواهینامه امنیتی (security certificates). اما در واقعیت، پیوند به آن وب‌گاه دستکاری می‌شود تا با استفاده از عیب‌های موجود در اسکریپت‌های آن وب‌گاه، حمله انجام شود. با این حال این روش نیازمند دانش و آگاهی بالایی است. از این روش در سال ۲۰۰۶ برای حمله به وب‌گاه PayPal استفاده شد.

فیشینگ تلفنی:

تمام حملات فیشینگ نیازمند وبسایت قلابی نیست. پیامهایی که ظاهراً از طرف بانک فرستاده شده و از کاربر می‌خواهد تا مثلاً به دلیل وجود ایراد در حسابشان، شماره خاصی را شماره گیری کنند، نیز می‌تواند حمله فیشینگ باشد. بعد از گرفتن شماره (که متعلق به فیشر است و با سرویس صدا از طریق آی پی مهیا شده‌است)، از کاربر خواسته می‌شود تا شماره حساب و پین (PIN) خود را وارد کند.

تمرکز برروی کاربر خاص:

یکی از راه های فیشینگ تمرکز بر روی کاربر خاص یا یک حوزه خاص در یک تشکیلات است نامه ارسالی ظاهرا خالی از هر گونه اشکال است و انگار از سوی سازمان یا بانک خاصی برای پاسخگویی به یک سوال ارسال شده است.

در حالی که مهمترین هدف آن سرقت اطلاعات شماست. به این ترتیب هکر ها وارد حریم اطلاعات شما می شوند.

نرم افزار جاسوسی:

اتفاقی که برای کاربران گوگل افتاد این بود که با ترفند های مختلف برای کلیک بر روی یک لینک نرم افزاری جاسوسی بر روی سیستم فرد نصب می شد.

بعد از آن بد افزار شما را به یک ادرس ایمیل جعلی راهنمایی می کرد و از طریق ارسال یک پرسشنامه کلیه اطلاعاتتان را سرقت می کرد.

در گزارش های بعدی شما را با راهکارهای عملی مبارزه با فیشینگ و آنچه فیشر ها با اطلاعات شما انجام می دهند آشنا می کنیم.

منبع بچه مثبت :http://banki.ir