جرم فیشینگ چیست؟

مقدمه

نیاز به استفاده روزافزون از رسانه‌های ارتباط‌جمعی مانند اینترنـت، علی‌رغم پیامـدهای مثبت و تأثیرگذار فراوان در جامعه امروزی، به دلیل غیربومی بودن دسـتاوردهای منفـی بسیاری نیز داشته و دارد. از جمله این پیامدهای منفی، پیدایش جرائم نوظهور سازمان‌یافته و غیر سازمان‌یافته یافته رایانه‌ای و اینترنت است.
روزانه هزاران نفر در جهان به دلیل اینکه آگـاهی چنـدانی از انواع جرائم سایبری و نحوه وقوع آنها ندارند، قربـانی جـرائم در فضـای سـایبر هسـتند. در کنار جرائم سایبری در حوزه اجتماعی و سیاسی، جرائم سایبری در حوزه اقتصادی پیشرفت‌های قابل‌توجهی داشته است. در حـال حاضـر، بالاترین آمار پرونده‌های تشکیل شده در پلیس فتا مربوط به جرائم مالی است که قربانیان خود را از میان مردم با دانش و آگاهی اندک می یابد. برای پیشـگیری از وقـوع جـرائم کلاهبرداری مالی سایبری علاوه بر سایر عواملی که وجود دارند افزایش سواد فناوری اطلاعات در میان کاربران مهم ترین رکن است. در میان جرایم سایبری فیشینگ، اسکیمینگ، فارمینگ و تزریق، بیشترین جرم‌های صورت‌گرفته در فضای سایبری هستند.
ما در این مقاله برآنیم تا به طور اختصاصی به جرم فیشینگ و انواع آن، عوامل وقوع جرم، راههای مقابله با آن، مجازات و سایر موارد پیرامونی فیشینگ را به‌عنوان یکی از جرائم مالی بررسی کنیم.

معنای فیشینگ

فیشینگ (Phishing) یا ماحیگیری، به معنای تله‌گذاری برای به‌دست‌آوردن اطلاعاتی همچون: نام کاربری، گذرواژه، اطلاعات حساب بانکی و مانند آن‌ها از طریق جعل یک وب‌سایت، آدرس ایمیل و … توسط فیشر (کسی که حمله فیشینگ را انجام می‌دهد) گفته می‌شود. در واقع مجرم یا فیشر با استفاده از برخی ترفندها و متدها، اقدام به شبیه‌سازی وب‌سایت‌های اصلی، برنامه و یا حتی یک سرویس نموده و با استفاده از آن، اطلاعات کاربران را به سرقت می‌برد.
فیشینگ تکنیک شناخته شده‌ای است که با ایجاد وبسایت‌های جعلی طراحی شده، مشابه با سایت قانونی بانک یـا مؤسسـه مـالی و بـا اسـتفاده از روش هـای هـرزه نگـاری سیسـتمی، تصویری موجـه و قـانونی را در نظر کاربران القا می کند. به بیانی دیگر، فیشینگ نوعی از کلاهبرداری آنلاین است که در آن مجرم یا همان فیشر از طریق ایمیل،‌ پیام کوتاه،‌ تماس یا روش‌های تبلیغاتی دیگر اقدام به سرقت اطلاعات محرمانه کاربران می‌کند و از طریق شبکه‌های اجتماعی و وبگاه‌های پرداخت آنلاین آنها را مورد حمله قرار می‌دهد. ایمیل‌هایی که با این هدف به کاربران ارسال می‌شوند حاوی پیوندی به یک وبگاه هستند که در بیشتر موارد حاوی بدافزار هستند.

تاریخچه و ریشه‌یابی واژه

برای نخستین‌بار در سال 1995 میلادی فیشینگ یا ماحیگیری به‌عنوان یک جرم سایبری شناخته شد. فیشینگ کوته‌نوشت گزاره “Password Harvesting Fishing” به معنای (شکار گذرواژه کاربر از طریق یک طعمه) است. استفاده از حرف «ح» به‌جای «ه» در کلمه «ماهیگیری» نیز از جایگزینی «f» با «ph» از «fishing» الگوبرداری شده است. نام فیشینگ باتوجه‌به نسل قبلی کلاهبرداری با عنوان “phone phreaking” کلاهبرداری تلفنی انتخاب شده است و به‌جای حرف f در” fishing” حروف ph را قرار داده‌اند. در واقع F برای القای مفهوم فریفتن جایگزین شده‌ و از منظر دیگر به اصل واژه “fishing” و طعمه شدن ماهی توسط صیاد اشاره دارد.

نکته:

واژه سایبر که بخش‌های مختلف مقاله به کار برده شده است از نظر لغوی به معنای مجازی و غیرملمـوس اسـت. به‌عبارت‌دیگر، سایبر به مطالعه مکانیزم‌های مورداستفاده در کنترل و تنظیم سیستم‌های پیچیده اعم از انسان یا ماشین گفته می‌شود. اصطلاح فضای سـایبر یـا دنیـای مجـازی برخط (آنلاین)، اصطلاحی است که نخستین‌بار توسط ویلیام گیبسون در رمانی با عنوان نیورومانسو در سال 1984 مورداستفاده قرار گرفت. جرائم مالی نیز جزئی از جرائم سایبری هستند که با سوءاستفاده از اعتمـاد مردم به‌صورت فیشینگ و تزریق بدافزارها، اقدام به برداشـت غیرمجـاز از حساب بزه‌دیده‌ها می‌کنند.

حمله فیشینگ

استفاده روزافزون از فناوری‌های اطلاعات از جمله رایانه و اینترنت، در کنار فواید بی‌شمار و تأثیرگذاری که دارد شرایط لازم را برای انواع جرائم سازمان‌یافته و غیر سازمان یافته اینترنتی هم فراهم کرده است. حمله فیشینگ یا سرقت آنلاین نیز به‌عنوان یکی از انواع جرائم اینترنتی و سایبری، در عمل با کپی دقیق رابط گرافیکی یک وبگاه معتبر مانند بانک‌های آنلاین صورت می‌پذیرد. اعمالی مانند ایجاد وب‌سایت‌های جعلی، مشابه با سایت قانونی بانک، استفاده از تلفن و ایمیل و پیامک با لینک جعلی از جمله طعمه‌هایی هستند که کاربران را به دام می‌اندازند، کاربر با ورود به صفحه جعلی و واردکردن اطلاعات کارت اعتباری، نام کاربری و رمز عبور و برخی از اطلاعات هویتی خویش تحت حمله فیشینگ قرار گرفته و اطلاعاتش به سرقت می‌رسد که در این باره و نحوه آن در ادامه مقاله توضیحات جامع‌تری در اختیارتان خواهیم گذاشت.

عوامل وقوع جرم فیشینگ

عوامل مختلفی از قبیل اجتماعی، اقتصادی، انسانی و فناورانه (تکنولوژیکی) بر مجرمان تأثیر می‌گذارد تا دست بـه جـرائم مـالی بزننـد؛ مهم‌ترین ایـن عوامـل شـامل مواردی مانند تورم، بیکاری، فقر، قابلیت گمنام ماندن در فضای مجازی و کسب هویت مجازی و دروغین، دسترسی به اینترنت، گستره جهانی اینترنت، سن مجرم، جنسیت، وضعیت خانوادگی، گروه همسالان، محیط زندگی فرد، خودنمائی در بروز استعداد و یا حتی تفریح است. علت دیگر وقوع جرائم مالی مجازی، ضعف اطلاعـاتی برخـی از خـدمات الکترونیکـی بانک‌ها است؛ مانند مجهز نبودن دستگاه‌های خودپرداز ( ATM ) بانک‌ها به سیستم آنتـی اسـکیمرکه مجرمان با سوءاستفاده از این نقص، اقدام به هک سیستم بانکی کرده و یا نصب کردن اسکیمرها بر روی دستگاه‌های خودپرداز، مجهز نبودن سامانه‌ها به سیستم‌های ضد فیشینگ و … سبب وقوع جرائم سایبری هستند.

تشخیص جرم فیشینگ و راه‌های مقابله با آن

حفاظت از این حملات نیاز به اقداماتی دارد که هم توسط کاربران شخصی و هم توسط شرکت‌ها لازم است انجام شود. یک پیام جعلی اغلب حاوی اشتباهات ظریفی است که هویت واقعی آن را نشان می‌دهد. این اشتباهات می‌توانند شامل اشتباهات املایی یا تغییر در نام دامنه باشند. همچنین یک کاربر آگاه قبل از باز کردن ایمیل باید این سؤال را از خود بپرسد که چرا اصلاً چرا چنین ایمیلی را دریافت کرده است؟

در مورد کاربران شرکت‌ها و سازمان‌ها نیز، برای کاهش حملات فیشینگ نیز اقدامات مختلفی مانند احراز هویت دو عاملی یک راه مؤثر و کارآمد برای جلوگیری از حملات فیشینگ است؛ چرا که پیش از ورود به برنامه یا سایت به‌عنوان کاربر، یک‌لایه امنیتی اضافه می‌شود که رد شدن از آن کار ساده‌ای نیست.

به‌عنوان‌مثال کارمندان باید ملزم به تغییر مکرر رمزهای عبور خود باشند و از استفاده مجدد از رمز عبور برای چندین برنامه خودداری کنند. همچنین کمپین‌های آموزشی می‌توانند با اعمال روش‌های ایمن مانند کلیک نکردن روی لینک‌های ایمیل خارجی، از خطر حملات فیشینگ بکاهند.

مقابله با جرم:

ارتقای سطح دانش مجازی و آموزش و آگاهی‌بخشی به کاربران تخصصی و عامه مردم
خرید از سایت‌های معتبر اینترنتی و افزودن این سایت‌ها به بوک‌مارک مرورگر
تردید در تبلیغات و تخفیفات غیرقابل‌باور و اغراق‌آمیز یا نهایت تحقیق در مورد اصالت این تبلیغات
استفاده از کارت مخصوص برای خرید اینترنتی و شارژ این کارت‌ها به‌اندازه ضرورت
شناسایی درگاه‌های قابل‌اعتماد از طریق سایت شاپرک (یکی از مهم‌ترین قسمت‌ها، شناسایی درگاه فیشینگ و چک کردن نوار آدرس آن است. اگر سایت موردنظر دارای https یا پروتکل اس اس ال باشد و علامت قفل در کنار آن باشد، بخشی از امنیت شما در این سایت تأمین شده است. البته هم اکنون بسیاری از سارقین در جهت جلب اعتماد افراد به سایت‌های جعلی خود پروتکل ssl می‌افزایند، پس باید درگاه‌های امن را در سایت شاپرک بررسی نمایید.)
استفاده از افزونه‌های ضد فیشینگ و تأیید اصالت درگاه: (بسیاری از مرورگرهای اینترنت دارای یک بخش بسیار جالب و مهم در تأمین امنیت کاربر و یا انجام کارهای مختلف در صفحات وب هستند. این بخش بسیار مهم افزونه‌ها هستند که می‌توان با استفاده از آن‌ها درگاه‌های فیشینگ را شناسایی کنید.)
ابتدا اطلاعات نادرست وارد نمایید: (درصورتی‌که به درگاه مشکوک هستید، ابتدا اطلاعات کارتی خود را به‌صورت اشتباه وارد کنید و در صورت تأیید آن‌ها، سایت به‌طورقطع جعلی است و درصورتی‌که به دیتای شما ایراد وارد کرد و آن‌ها را نادرست تشخیص داد، سایت واقعی است و می‌توانید خرید خود را با خیالی آسوده انجام دهید.)
رمز پویای خود را فعال کنید: (درصورتی‌که هنوز از رمز دوم قبلی خود استفاده می‌کنید، بهتر است هر چه سریع‌تر رمز پویای کارت خود را فعال کنید. این کار امنیت پرداخت شما را چندین پله افزایش می‌دهد.)
استفاده از نرم‌افزارهای ضدتبلیغ و آنتی‌ویروس: (بسیاری از این برنامه‌ها به جهت حفظ امنیت کاربر در هنگام بازدید از صفحات وب تمامی دیتای ورودی و خروجی از سیستم را بررسی می‌نمایند. البته بعضی از این نرم‌افزارها دارای ویژگی‌های تأیید اصالت سایت نیز هستند. یکی از این آنتی‌ویروس‌ها که برای موبایل و کامپیوتر قابل‌استفاده است، آنتی‌ویروس بیت دیفندر “ Bitdefender” است.)

انواع فیشینگ

1–فیشینگ فریبنده (deceptive phishing):

این نوع حمله عموماً از طریق ایمیل صورت می‌گیرد و فیشر با ارسال یک ایمیل از یک آدرس جعلی که بسیار شبیه به آدرس اصلی است، به روش‌های گوناگون از کاربر می‌خواهد تا روی لینک مورد نظرش کلیک کند. به‌عنوان‌مثال فیشر یک ایمیل با آدرسی بسیار شبیه به بانکی که کاربر در آن حساب ایجاد کرده است ارسال می‌کند. در این ایمیل از کاربر می‌خواهد که هر چه سریع‌تر نسبت به تکمیل اطلاعات خود و جلوگیری از مسدود شدن حساب بپردازد. برای این منظور کاربر باید روی لینکی که در ایمیل ضمیمه شده است کلیک کرده و سپس به صفحه تکمیل اطلاعات وارد شود. این نوع حمله جزو شایع‌ترین حملات بوده و معمولاً فیشرها از جملات دستوری و گول زننده برای ترغیب و تهییج کاربران استفاده می‌کنند.

2–جعل وب‌سایت:

یکی دیگر از حملات فیشینگ شایع، استفاده از جعل وب‌سایت است. در این حمله فیشر اقدام به ساخت یک صفحه اینترنتی مشابه صفحه اصلی نموده و از طریق اعتمادی که کاربران به آن صفحه اصلی داشته و عدم توجه دقیق به آدرس وب‌سایت، اقدام به جمع‌آوری اطلاعات کاربران می‌نماید.

3–تروجان و بدافزارها (malware):

روش دیگری که فیشرها برای به‌دست‌آوردن اطلاعات انجام می‌دهند، استفاده از برنامه‌های مخرب و بدافزارها است. این برنامه‌ها که در قالب تروجان نیز عرضه می‌شوند می‌توانند اطلاعات کارت‌های بانکی، اطلاعات لاگین و یا سایر موارد را از کاربر سرقت کرده و باعث واردآمدن خسارات مالی به وی شوند. نوع دیگری از این حملات، جعل اپلیکیشن‌ها و نرم‌افزارها هستند.

4–فیشینگ تلفنی (voice phishing):

این نوع حمله نیز همچون حمله از طریق ایمیل سعی دارد تا کاربر را مجاب کند تا اطلاعات خود را بازگو نماید. در این نوع حمله معمولاً فیشر با استفاده از یک شماره‌تلفن ناشناس با کاربر تماس گرفته و یا به وی پیام ارسال می‌کند. پس از آن فیشر خود را مسئول بانکی که کاربر در آن حساب دارد معرفی کرده و سپس از کاربر می‌خواهد تا برخی اطلاعات خود را جهت تکمیل پرونده و یا هر موضوع دیگری، بازگو نماید. اگر کاربر این اطلاعات را به فیشر بدهد، حمله با موفقیت انجام شده است.

5-فیشینگ درگاه‌های پرداخت:

در این روش فیشر یک وب‌سایت راه‌اندازی کرده و در آن اقدام به فروش اقلام و یا سرویس‌های مختلف می‌کند. معمولاً این وب‌سایت‌ها اسم‌ورسم چندانی نداشته و تنها قیمت پایین خدمات و کالاهای آن‌ها ترغیب‌کننده است. کاربر به این وب‌سایت‌ها وارد شده، کالا یا سرویس موردنظر خود را انتخاب کرده و سپس به صفحه پرداخت ارجاع داده می‌شود. در این هنگام پس از این که کاربر اطلاعات کارت بانکی خود را وارد نمود، بسته به نظر فیشر، یا پیغام خطا در تراکنش و یا پیغام موفقیت‌آمیز بودن خرید برای کاربر ارسال می‌گردد؛ ولی اطلاعات کارت بانکی در پایگاه‌داده وب‌سایت ذخیره شده و می‌توان از آن استفاده نمود.

6–فیشینگ از طریق پیام کوتاه: (SMS phishing)

در فیشینگ پیام کوتاه، برای کاربر پیامی ارسال می‌شود که غالباً حاوی متن اخطار برای حساب بانکی، دریافت جایزه و … است تا کاربر ترغیب شود و روی لینک کلیک کنید.

7–کلاهبرداری از طریق شبکه‌های اجتماعی: ( Social media phishing)

در شبکه‌های اجتماعی کلاهبردار پست‌ها یا پیام‌هایی را به اکانت شخصی‌مان ارسال می‌کند. ممکن است اکانت دوستانمان را جعل کند و مدتی را با ما در تماس بوده و سپس اقدام به کلاهبرداری کند.

مثلاً در دایرکت اینستاگرام از طرف یکی از دوستانمان پیامی ارسال می‌شود که به بیماری نادری مبتلا شده و برای هزینه بیمارستان و جراحی نیاز به مبلغی پول دارد.

–فارمینگ (PHARMING):

فیشینگ فارمینگ (Pharming) که به DNS نیز معروف است، نوع پیشرفته‌ای از فیشینگ است که سعی در تغییر IP و دامنه سایت دارد و کاربر را به صفحه‌ای اشتباه راهنمایی می‌کند و اطلاعات کاربر را می‌گیرد.

به‌عنوان‌مثال در واردکردن آدرس اینترنتی سایت Amazon اگر حرف o را اشتباه یا دو بار تایپ کنیم ممکن است به صفحه موردنظر کلاهبردار وارد شویم.

9–نیزه (malware):

در فیشینگ (Malware) کلاهبردار هدف بزرگ‌تری دارد و روی گروهی از مدیران، اشخاص یا شرکت‌های بزرگ برنامه‌ریزی می‌کند و اطلاعات مربوط به شرکت را جمع‌آوری می‌کند.

10– ایمیل‌ها و پیوست‌های آن و هم چنین لینک‌های مربوط به پیامک‌ها می‌توانند خطرناک و آسیب‌رسان باشند:

برای مثال پیامی دریافت کردید که ادعا می‌نمود از سوی یک مرجع و نهاد قانونی است و در ازای گرفتن اطلاعات شخصی یا مالی، انواع پیشنهادهای اغواکننده و وسوسه‌انگیز مثل تخفیف مالیاتی را به شما پیشنهاد می‌داد، هرگز لینک موجود در این پیام را باز نکنید.

12– تماس‌های تلفنی و صوتی خودکار جعلی:

از کلاهبرداری تماس‌های تلفنی خودکار که ادعا می‌کنند علیه شما پرونده تشکیل شده و شما را وادار به کلیک کردن بر روی اعداد و نمادهای خاص می‌کنند تا مثلاً با یک کارگزار صحبت نمایید، حذر نموده و بلافاصله آن را قطع کنید.

مجازات فیشینگ

این جرم جز رواج بی‌اعتمادی بین مردم، کسب مال ناصحیح و اختلال و بی‌نظمی در ساختار اقتصادی و اجتماعی جامعه اثری ندارد؛ فیشینگ اصولاً عملی مجرمانه محسوب می‌شود. بااین‌حال ممکن است گستره‌ جرم‌انگاری آن در نظام‌های حقوقی مختلف متفاوت باشد و البته در هر مورد، نوع و عنوان عمل مجرمانه کاملاً بستگی به نحوه و شیوه‌ اقدام مرتکب دارد. در قوانین موجود ایران مواد ۷۴۰ و ۷۴۱ بخش جرایم رایانه‌ای قانون مجازات اسلامی جدید و نیز در مواد ۱۲ و ۱۳ قانون جرایم رایانه‌ای مصوب سال ۱۳۸۹ قانون‌گذار فیشینگ را جرم‌انگاری کرده است.

ماده ۷۴۰ ـ هر کس به طور غیرمجاز داده‎های متعلق به دیگری را برباید، چنانچه عین داده‌ها در اختیار صاحب آن باشد، به جزای نقدی از یک تا ۲۰ میلیون ریال و در غیر این صورت به حبس از ۹۱ روز تا یک سال یا جزای نقدی از پنج تا ۲۰ میلیون ریال یا هر دو مجازات محکوم خواهد شد.

ماده ۷۴۱ ـ هر کس به طور غیرمجاز از سیستم‌های رایانه‌ای یا مخابراتی با ارتکاب اعمالی از قبیل واردکردن، تغییر، محو، ایجاد یا متوقف کردن داده‎ها یا مختل کردن سیستم وجه یا مال یا منفعت یا خدمات یا امتیازات مالی برای خود یا دیگری تحصیل کند، علاوه بر رد مال به صاحب آن‌ به حبس از یک تا پنج سال یا جزای نقدی از ۲۰ تا یک‌صد میلیون ریال یا هر دو مجازات محکوم خواهد شد.

قانون‌گذار در ماده 12 قانون جرایم رایانه‌ای بیان می‌کند: ” هرکس به طور غیرمجاز داده‌های متعلق به دیگری را برباید، چنانچه عین داده‌ها در اختیار صاحب آن باشد، به جزای نقدی از یک میلیون ریال تا بیست میلیون ریال و در غیر این صورت به حبس از نود و یک روز تا یک سال یا جزای نقدی از پنج میلیون ریال تا بیست میلیون ریال یا هر دو مجازات محکوم خواهد شد.”

همچنین در ماده 13 همین قانون آورده شده، ” هرکس به طور غیرمجاز از سامانه‌های رایانه‌ای یا مخابراتی با ارتکاب اعمالی از قبیل واردکردن، تغییر، محو، ایجاد یا متوقف کردن داده‌ها یا مختل کردن سامانه، وجه یا مال یا منفعت یا خدمات یا امتیازات مالی برای خود یا دیگری تحصیل کند، علاوه بر رد مال به صاحب آن به حبس از یک تا پنج سال یا جزای نقدی از بیست میلیون ریال تا یک‌صد میلیون ریال یا هر دو مجازات محکوم خواهد شد.”

نتیجه‌گیری

در موضوعاتی کـه جنبه‌های فرهنگـی نقش مهمی ایفا می‌کند، استفاده از یافته‌های پژوهش‌های خـارجی چنـدان مفیـد واقـع نمی‌شود و باید به دنبال ریشه‌ و علل جرم در بطن و بستر خود جامعه باشیم ما در این مقاله سعی کردیم تا حدی جزئی بر ابعاد مختلف فیشینگ بپردازیم.

باتوجه‌به مجازی و غیرملموس بودن فضای سایبری و تغییر متدهای سارقین این عرصه، ارتقای آگاهی و تصحیح و تغییر متدهای آموزش برای جامعه ما ضروری است تا همگی افراد را حداقل با کلیات جرائم آشنا کند. در واقع فقط با ارتقا ظرفیت‌های آموزشی است که قادر به شناسایی کلاهبرداران سایبری می‌توان بود. بسیاری از کلاهبرداران افراد بسیار ماهری هستند که غفلت هر یک از ما می‌تواند به نفع آنان تمام شود و به طور خلاصه اشتیاق برای یادگیری و مطالعه شرط اساسی آگاهی است.

جهت مشاوره اقتصادی و سرمایه‌گذاری، تشکیل سبد سرمایه‌گذاری پرسود و همچنین آموزش نحوه درست ورود و سرمایه‌گذاری مطمئن در بازارهای مالی با ما از طریق سایت https://moshaverr.com و یا شماره‌تلفن: 88721921-021 در تماس باشید.

چرا مرکز مشاوره اقتصادی ایرانیان؟

تیم این مرکز متشکل از کارشناسان امور مشاوره اقتصادی، مشاوره مالی و مشاوره سرمایه‌گذاری ، علوم سیاسی، ژئوپلیتیک، دیپلمات‌های سابق و کارشناسان منطقه‌ای هستند که در تلاش‌اند با شناسایی و ارزیابی ریسک‌ها، فرصت‌های اقتصادی و سرمایه‌گذاری مناسب برای مشتریان خود فراهم آورند.