فیشینگ چیست؟ روش‌های تشخیص پیام، لینک، ایمیل و تماس جعلی

فیشینگ یکی از رایج‌ترین روش‌های کلاهبرداری اینترنتی است؛ حمله‌ای که به‌جای شکستن مستقیم رمزنگاری، تلاش می‌کند خودِ کاربر را قانع کند اطلاعات حساسش را تحویل بدهد. یک پیام درباره بسته پستی، اخطار بانکی، ورود مشکوک، جایزه، بدهی یا حتی تماس ظاهراً دوستانه می‌تواند شروع یک حمله فیشینگ باشد. ظاهر این پیام‌ها هر سال حرفه‌ای‌تر می‌شود و دیگر غلط املایی یا طراحی ضعیف، نشانه قطعی فیشینگ نیست.

در این راهنمای مگلی می‌بینیم فیشینگ چیست، لینک و دامنه جعلی چگونه ساخته می‌شوند، فیشینگ ایمیلی، پیامکی، تلفنی و QR چه تفاوتی دارند، هوش مصنوعی چگونه حملات فیشینگ را واقعی‌تر کرده و اگر روی یک لینک مشکوک کلیک کردیم دقیقاً چه کارهایی باید انجام دهیم.

فیشینگ چیست؟

فیشینگ نوعی مهندسی اجتماعی است که مهاجم در آن خودش را به‌جای یک فرد، شرکت یا سرویس قابل اعتماد جا می‌زند تا قربانی را به انجام کاری وادار کند؛ مثلاً کلیک روی لینک، بازکردن فایل، واردکردن رمز، ارائه کد یک‌بارمصرف یا انتقال پول. هدف فیشینگ ممکن است سرقت حساب، اطلاعات بانکی، داده شخصی یا نصب بدافزار باشد.

در حمله فیشینگ معمولاً یک «داستان» ساخته می‌شود: حساب شما مسدود شده، پرداخت ناموفق بوده، بسته‌ای در انتظار تحویل است، شخصی وارد حساب شده یا باید فوراً هویتتان را تأیید کنید. این داستان عمداً احساس اضطرار، ترس، کنجکاوی یا طمع ایجاد می‌کند تا فرصت بررسی منطقی کمتر شود.

FTC توضیح می‌دهد که پیام‌های فیشینگ معمولاً با داستانی قانع‌کننده کاربر را به کلیک روی لینک یا بازکردن Attachment تشویق می‌کنند و هدف آن‌ها می‌تواند سرقت Password، اطلاعات حساب یا اطلاعات مالی باشد. — منبع: FTC

فیشینگ چگونه کار می‌کند؟

یک حمله فیشینگ ساده معمولاً چهار مرحله دارد. مهاجم ابتدا طعمه‌ای می‌سازد، سپس آن را از طریق ایمیل، پیامک، شبکه اجتماعی، تماس تلفنی یا QR Code به کاربر می‌رساند. مرحله بعد هدایت کاربر به یک صفحه جعلی یا فایل آلوده است و در نهایت اطلاعات یا Session قربانی سرقت می‌شود.

1. ساخت طعمه: پیام فیشینگ شبیه بانک، فروشگاه، شبکه اجتماعی یا همکار ساخته می‌شود.
2. ایجاد فشار: مهاجم با عباراتی مثل «فوری»، «آخرین فرصت» یا «ورود مشکوک» تصمیم‌گیری را عجولانه می‌کند.
3. هدایت قربانی: لینک فیشینگ، QR، فایل یا تماس، قربانی را به مرحله بعد می‌برد.
4. سرقت یا سوءاستفاده: Credential، کد MFA، Token، اطلاعات بانکی یا کنترل دستگاه به دست مهاجم می‌افتد.

در حملات پیشرفته‌تر، صفحه فیشینگ می‌تواند اطلاعات را هم‌زمان به سرویس واقعی Relay کند و حتی کد یک‌بارمصرف یا Cookie نشست را هدف بگیرد. بنابراین فقط داشتن 2FA کافی نیست؛ نوع روش احراز هویت هم اهمیت دارد.

مهاجم در فیشینگ دنبال چه اطلاعاتی است؟

هدف همه حملات فیشینگ یکسان نیست. بعضی حملات صرفاً Username و Password را می‌خواهند و بعضی برای گرفتن اطلاعات کارت، شماره شناسایی، اطلاعات سازمانی یا دسترسی به ایمیل طراحی شده‌اند. هر داده‌ای که بتواند در مرحله بعد به پول یا دسترسی تبدیل شود برای فیشینگ ارزشمند است.

• نام کاربری و رمز عبور حساب‌های ایمیل، شبکه اجتماعی و سرویس ابری
• کد پیامکی، OTP یا تأیید Push
• شماره کارت، اطلاعات حساب و مشخصات پرداخت
• اطلاعات هویتی برای جعل هویت یا بازیابی حساب
• Cookie و Session Token در حملات فیشینگ پیشرفته
• اطلاعات داخلی شرکت برای حمله بعدی یا Business Email Compromise

به همین دلیل یک پیام فیشینگ ممکن است در ظاهر فقط یک فرم ساده داشته باشد، اما اطلاعات واردشده بعداً برای تصاحب چند حساب دیگر استفاده شود؛ مخصوصاً اگر یک Password را در چند سرویس تکرار کرده باشید.

مهم‌ترین انواع فیشینگ

فیشینگ فقط ایمیل جعلی نیست. کانال ارتباطی و میزان هدف‌گیری باعث شده اصطلاح‌های مختلفی برای انواع فیشینگ به‌وجود بیاید. شناخت این تفاوت‌ها کمک می‌کند حمله را فقط در Inbox جست‌وجو نکنیم.

فیشینگ ایمیلی یا Email Phishing

رایج‌ترین تصویر ذهنی از فیشینگ همان Email Phishing است. پیام ممکن است شبیه صورتحساب، اشتراک سرویس، هشدار امنیتی، فایل کاری یا اعلان بانکی باشد. مهاجم معمولاً لینک یا Attachment را مرکز حمله قرار می‌دهد.

در سال ۲۰۲۶ همچنان ایمیل یکی از مسیرهای اصلی فیشینگ است. Microsoft در بررسی تهدیدهای ایمیلی سه‌ماهه اول ۲۰۲۶ گزارش کرده که بخش عمده تهدیدهای ایمیلی مشاهده‌شده Link-based بوده‌اند و QR Code Phishing نیز در همان دوره رشد سریعی داشته است. این آمار مربوط به دید Microsoft از ترافیک تهدید است و نباید آن را آمار کل اینترنت دانست.

Microsoft Threat Intelligence در گزارش Q1 2026 خود از حدود ۸.۳ میلیارد تهدید فیشینگ مبتنی بر ایمیل در سامانه‌های تحت مشاهده خود خبر می‌دهد و می‌گوید QR Code Phishing طی آن فصل بیش از دو برابر شده است. — منبع: Microsoft Security

Smishing یا فیشینگ پیامکی

Smishing همان فیشینگ از طریق SMS یا پیام‌رسان است. پیام‌هایی مثل «بسته شما برگشت می‌خورد»، «یارانه شما نیاز به تأیید دارد»، «قبض پرداخت نشده» یا «حساب شما محدود شده» نمونه طعمه‌های رایج‌اند. کوتاه بودن پیام باعث می‌شود URL کامل کمتر دیده شود و همین موضوع به فیشینگ کمک می‌کند.

Vishing یا فیشینگ تلفنی

در Vishing، فیشینگ با تماس صوتی انجام می‌شود. مهاجم ممکن است خودش را کارمند بانک، پشتیبانی، همکار شرکت یا حتی یکی از اعضای خانواده معرفی کند. هدف تماس می‌تواند گرفتن OTP، وادارکردن قربانی به نصب برنامه Remote Access یا تأیید یک درخواست امنیتی باشد.

Spear Phishing

Spear Phishing یک حمله فیشینگ هدفمند است. مهاجم قبل از ارسال پیام درباره قربانی تحقیق می‌کند و از نام شرکت، سمت شغلی، پروژه، همکار یا سرویس مورد استفاده او در متن استفاده می‌کند. چون پیام شخصی‌تر است، تشخیص این نوع فیشینگ از Spam عمومی دشوارتر می‌شود.

Whaling

Whaling به نوعی فیشینگ هدفمند علیه مدیران، صاحبان کسب‌وکار یا افراد دارای دسترسی حساس گفته می‌شود. مبلغ یا ارزش داده در این حملات معمولاً بیشتر است و پیام می‌تواند درباره قرارداد، پرداخت، پرونده حقوقی یا دستور مدیریتی باشد.

Clone Phishing

در Clone Phishing، مهاجم یک پیام واقعی قبلی را کپی می‌کند و فقط لینک یا فایل را تغییر می‌دهد. چون قالب و متن آشناست، قربانی ممکن است تفاوت را نبیند. بررسی Sender و مقصد لینک در این نوع فیشینگ اهمیت زیادی دارد.

Quishing یا QR Code Phishing

در Quishing، لینک فیشینگ داخل QR Code پنهان می‌شود. کاربر مقصد را قبل از اسکن به‌سادگی نمی‌بیند و معمولاً صفحه روی گوشی باز می‌شود؛ جایی که Address Bar هم کوچک‌تر است. QR جعلی می‌تواند در ایمیل، پوستر، فاکتور یا حتی روی یک QR واقعی چسبانده شود.

FTC در سپتامبر ۲۰۲۶ درباره گزارش‌هایی هشدار داده که کلاهبرداران QRهای واقعی پارکومترها را با QR جعلی پوشانده‌اند. توصیه ساده این است که قبل از بازکردن مقصد، Preview URL را ببینید و حروف جابه‌جا یا دامنه غیرمنتظره را بررسی کنید. این نمونه نشان می‌دهد فیشینگ فقط یک مسئله داخل ایمیل نیست.

Pharming چیست و چه تفاوتی با فیشینگ دارد؟

Pharming می‌تواند کاربر را حتی با واردکردن آدرس درست به مقصد جعلی هدایت کند؛ برای مثال از طریق دست‌کاری DNS یا سیستم آلوده. در فیشینگ معمولاً خود کاربر با یک طعمه به لینک اشتباه هدایت می‌شود. هر دو می‌توانند در نهایت Credential را سرقت کنند، اما مسیر رسیدن به صفحه جعلی متفاوت است.

لینک فیشینگ را چگونه تشخیص دهیم؟

بررسی URL یکی از مهم‌ترین مهارت‌ها برای تشخیص فیشینگ است. مهاجم تلاش می‌کند دامنه‌ای بسازد که در نگاه سریع شبیه سرویس واقعی باشد. تفاوت ممکن است فقط یک حرف، خط تیره، Subdomain یا پسوند متفاوت باشد.

قبل از کلیک روی لینک فیشینگ مشکوک، نام دامنه اصلی را پیدا کنید. در مرورگر، بخش مهم همان Domain ثبت‌شده قبل از پسوند است. وجود نام برند در ابتدای URL تضمین نمی‌کند سایت متعلق به همان برند باشد.

مثلاً ساختاری شبیه bank.example-login.com متعلق به example-login.com است، نه به «bank». همین تکنیک در فیشینگ باعث می‌شود کاربر روی اولین کلمه تمرکز کند و دامنه واقعی را نبیند.

دامنه جعلی چه نشانه‌هایی دارد؟

• حرف مشابه: مهاجم در فیشینگ ممکن است یک حرف را حذف، اضافه یا با کاراکتر مشابه جایگزین کند.
• Subdomain گمراه‌کننده: نام برند در سمت چپ URL دیده می‌شود اما Domain اصلی چیز دیگری است.
• پسوند غیرمنتظره: سرویس همیشگی ناگهان روی TLD دیگری باز می‌شود.
• URL کوتاه‌شده: مقصد واقعی لینک فیشینگ تا زمان بازشدن دیده نمی‌شود.
• دامنه بسیار طولانی: بخش مهم URL میان تعداد زیادی کلمه و پارامتر پنهان شده است.

اگر پیام ادعا می‌کند از بانک، شبکه اجتماعی یا شرکت مشخصی است، امن‌ترین کار این است که لینک داخل پیام فیشینگ را نزنید و آدرس رسمی را خودتان تایپ کنید یا از اپ رسمی وارد شوید.

آیا HTTPS یعنی سایت فیشینگ نیست؟

خیر. قفل HTTPS فقط می‌گوید ارتباط مرورگر شما با همان دامنه رمزگذاری شده است. یک سایت فیشینگ هم می‌تواند گواهی TLS معتبر داشته باشد. بنابراین قفل مرورگر، اصالت کسب‌وکار یا واقعی بودن صفحه Login را تضمین نمی‌کند.

HTTPS برای جلوگیری از شنود مسیر مهم است، اما تشخیص فیشینگ همچنان نیازمند بررسی Domain و Context درخواست است. اگر سایت جعلی باشد، اتصال رمزگذاری‌شده فقط اطلاعات شما را به‌صورت امن به همان مهاجم تحویل می‌دهد.

ایمیل فیشینگ چه نشانه‌هایی دارد؟

در گذشته غلط املایی و طراحی ضعیف نشانه رایج فیشینگ بود، اما امروز نباید به آن تکیه کرد. ایمیل‌های حرفه‌ای می‌توانند لوگو، رنگ و لحن رسمی را تقریباً بی‌نقص تقلید کنند. بهتر است مجموعه‌ای از نشانه‌ها را کنار هم ببینید.

• Sender Display Name درست است اما Email Address با دامنه رسمی تطابق ندارد.
• پیام فیشینگ شما را به اقدام فوری، ترسناک یا غیرمعمول وادار می‌کند.
• لینک روی متن آشنا قرار گرفته اما مقصد واقعی متفاوت است.
• Attachment غیرمنتظره، مخصوصاً فایل اجرایی، HTML، ZIP یا Document مشکوک وجود دارد.
• برای Password، OTP، اطلاعات کارت یا اطلاعات محرمانه درخواست مستقیم شده است.
• پیام فیشینگ خارج از فرایند معمول سازمان یا سرویس رسیده است.

CISA نشانه‌هایی مثل زبان فوری یا احساسی، درخواست اطلاعات شخصی یا مالی، آدرس فرستنده مشکوک، لینک ناهماهنگ و Attachment غیرمنتظره را از نشانه‌های مهم فیشینگ معرفی می‌کند.

چگونه فرستنده واقعی ایمیل را بررسی کنیم؟

نام نمایشی ایمیل به‌تنهایی قابل اعتماد نیست. در یک حمله فیشینگ ممکن است Display Name دقیقاً نام بانک یا مدیر شرکت باشد، اما آدرس واقعی فرستنده دامنه دیگری داشته باشد. روی نام Sender بزنید یا Header را باز کنید تا Address کامل دیده شود.

در محیط سازمانی، SPF، DKIM و DMARC می‌توانند جعل برخی پیام‌ها را سخت‌تر کنند، اما وجود یک پیام «Authenticated» به‌تنهایی فیشینگ را رد نمی‌کند؛ مهاجم می‌تواند دامنه خودش را کاملاً درست پیکربندی کند یا از حساب واقعیِ قبلاً هک‌شده پیام بفرستد.

پیامک فیشینگ را چگونه تشخیص دهیم؟

فیشینگ پیامکی معمولاً روی موضوعاتی کار می‌کند که کاربر انتظارشان را دارد: بسته پستی، خرید اینترنتی، قبض، بانک یا حساب شبکه اجتماعی. مهاجم می‌داند روی صفحه کوچک موبایل، بررسی دامنه سخت‌تر است.

اگر پیامک فیشینگ درباره سفارشی است که احتمال می‌دهید واقعی باشد، از لینک پیام وارد نشوید. اپ رسمی فروشگاه یا شرکت حمل‌ونقل را باز کنید و وضعیت را از داخل همان حساب بررسی کنید. اگر موضوع بانکی است، از شماره و اپ رسمی استفاده کنید.

تماس تلفنی فیشینگ یا Vishing چگونه انجام می‌شود؟

در Vishing، مهاجم از گفت‌وگو برای ساخت اعتماد استفاده می‌کند. ممکن است بگوید «از بانک تماس می‌گیرم»، «حساب شما در خطر است» یا «کدی برایتان ارسال شد؛ آن را بخوانید». این تماس عملاً همان منطق فیشینگ را بدون صفحه جعلی اجرا می‌کند.

Caller ID هم دلیل کافی برای اعتماد نیست، چون شماره نمایش‌داده‌شده می‌تواند Spoof شود. اگر تماس درباره مسئله حساس است، مکالمه را قطع کنید و خودتان با شماره‌ای که از وب‌سایت، کارت بانکی یا اپ رسمی می‌شناسید تماس بگیرید. این کار زنجیره فیشینگ را می‌شکند.

هوش مصنوعی چگونه فیشینگ را تغییر داده است؟

هوش مصنوعی ساخت متن روان، ترجمه، شخصی‌سازی و تقلید لحن را آسان‌تر کرده است. به همین دلیل نبود غلط نگارشی دیگر معیار خوبی برای رد فیشینگ نیست. مهاجم می‌تواند از اطلاعات عمومی شبکه‌های اجتماعی برای ساخت پیام دقیق‌تر استفاده کند.

در ۲۰۲۶ Microsoft یک کمپین Device Code فیشینگ را شرح داده که در آن از Generative AI برای ساخت طعمه‌های متناسب با نقش قربانی و از Automation برای مقیاس‌دادن حمله استفاده شده بود. این نمونه نشان می‌دهد AI می‌تواند کیفیت و شخصی‌سازی فیشینگ را بالا ببرد، هرچند اصل حمله همچنان مهندسی اجتماعی است.

Voice Cloning نیز می‌تواند Vishing را قانع‌کننده‌تر کند. صدایی که شبیه مدیر، دوست یا عضو خانواده است نباید به‌تنهایی مدرک هویت محسوب شود. در درخواست پول یا اطلاعات حساس، از یک کانال از قبل شناخته‌شده هویت فرد را دوباره تأیید کنید.

صفحه Login جعلی چگونه رمز را می‌دزدد؟

ساده‌ترین صفحه فیشینگ فقط فرم Username و Password را کپی می‌کند. وقتی کاربر اطلاعات را وارد می‌کند، داده برای مهاجم ارسال می‌شود و سپس ممکن است صفحه خطا یا حتی سایت اصلی نمایش داده شود تا قربانی متوجه سرقت نشود.

نسخه‌های پیشرفته‌تر فیشینگ می‌توانند مرحله دوم ورود را هم تقلید کنند. کاربر Password و بعد OTP را وارد می‌کند و مهاجم داده را تقریباً هم‌زمان در سرویس واقعی مصرف می‌کند. به همین دلیل NIST روش‌هایی که نیازمند واردکردن دستی OTP هستند را ذاتاً Phishing-resistant محسوب نمی‌کند.

NIST در Digital Identity Guidelines می‌گوید احراز هویت مقاوم در برابر فیشینگ باید با پروتکل‌های رمزنگاری‌شده به Verifier واقعی Bind شود؛ روش‌هایی که کاربر خروجی Authenticator مثل OTP را دستی وارد می‌کند، ذاتاً Phishing-resistant محسوب نمی‌شوند. — منبع: NIST SP 800-63B

آیا تایید دو مرحله‌ای جلوی فیشینگ را می‌گیرد؟

MFA خطر تصاحب حساب را به‌شدت کاهش می‌دهد، اما همه روش‌ها در برابر فیشینگ قدرت یکسان ندارند. اگر مهاجم Password را داشته باشد، وجود عامل دوم مانع مهمی است؛ ولی OTP پیامکی یا کد Authenticator در یک صفحه فیشینگ پیشرفته قابل درخواست و Relay است.

برای سرویس‌های حساس، Passkey و Security Keyهای مبتنی بر FIDO مزیت مهمی دارند چون احراز هویت را به دامنه واقعی Bind می‌کنند. مقاله راهنمای Passkey در مگلی این تفاوت را کامل توضیح می‌دهد.

اگر سرویسی فقط 2FA معمولی دارد، آن را خاموش نکنید. حتی MFA غیرمقاوم در برابر فیشینگ هم از Password تنها بهتر است. برای مثال می‌توانید راهنمای فعال کردن تایید دو مرحله‌ای واتساپ را ببینید.

Password Manager چطور به تشخیص فیشینگ کمک می‌کند؟

Password Manager فقط برای حفظ رمز نیست. اگر Credential یک سایت را برای Domain واقعی ذخیره کرده باشید، ابزار معمولاً روی دامنه متفاوت آن را Auto-fill نمی‌کند. این رفتار می‌تواند یک علامت هشدار در برابر فیشینگ باشد.

البته اگر خودتان Password را Copy کنید و در سایت فیشینگ Paste کنید، این مزیت از بین می‌رود. نبود Auto-fill را جدی بگیرید و قبل از واردکردن دستی Credential، Domain را دوباره بررسی کنید.

اگر روی لینک فیشینگ کلیک کردیم چه کنیم؟

کلیک روی لینک فیشینگ لزوماً به معنی هک‌شدن نیست. مهم این است که بعد از کلیک چه اتفاقی افتاده: آیا فقط صفحه را دیدید، Password وارد کردید، فایل دانلود شد، برنامه نصب کردید یا دسترسی خاصی دادید؟ پاسخ شما اقدام بعدی را مشخص می‌کند.

1. اگر فقط صفحه فیشینگ باز شد، بدون واردکردن اطلاعات آن را ببندید و Browser/OS را به‌روز نگه دارید.
2. اگر فایل دانلود یا اجرا شد، اتصال را در صورت لزوم قطع و دستگاه را با ابزار امنیتی معتبر بررسی کنید.
3. اگر Password وارد شد، فوراً از یک دستگاه امن رمز آن حساب را عوض کنید.
4. اگر همان Password جای دیگری هم استفاده شده، آن حساب‌ها را هم تغییر دهید.
5. Sessionهای فعال و Devices ناشناس را Sign out کنید.
6. MFA یا Passkey را فعال کنید تا اثر فیشینگ محدودتر شود.

FTC نیز توصیه می‌کند اگر احتمال می‌دهید لینک یا Attachment فیشینگ بدافزار نصب کرده، نرم‌افزار امنیتی را به‌روز و Scan اجرا کنید. مهم‌ترین نکته این است که بعد از اشتباه، زمان را از دست ندهید.

اگر رمز عبور را در سایت فیشینگ وارد کردیم چه کنیم؟

در این سناریو باید فرض کنید Password لو رفته است. منتظر پیام ورود مشکوک نمانید. از آدرس رسمی سرویس وارد شوید، Password را تغییر دهید و همه Sessionهای فعال را بررسی کنید. اگر حمله فیشینگ علیه ایمیل اصلی شما بوده، اولویت با همان Email است چون بازیابی بسیاری از حساب‌های دیگر به آن وابسته است.

اگر حساب اینستاگرام شما بعد از فیشینگ از دسترس خارج شده، راهنمای بازیابی اکانت اینستاگرام مسیرهای رسمی Recovery را توضیح می‌دهد. از افرادی که در ازای پول وعده «برگرداندن تضمینی حساب» می‌دهند دوری کنید؛ این می‌تواند لایه دوم فیشینگ باشد.

اگر کد تایید یا OTP را در فیشینگ وارد کردیم چه کنیم؟

اگر OTP را به صفحه فیشینگ داده‌اید، احتمال ورود لحظه‌ای مهاجم وجود دارد. سریع وارد حساب شوید، Sessionهای دیگر را ببندید، Password را تغییر دهید و روش MFA را بازبینی کنید. اگر سرویس Passkey یا Security Key دارد، مهاجرت به روش مقاوم‌تر در برابر فیشینگ منطقی است.

اگر پیام Push تأیید ورود دریافت کردید که خودتان شروع نکرده‌اید، آن را رد کنید. حملات MFA Fatigue تلاش می‌کنند با ارسال درخواست‌های متعدد شما را خسته کنند تا یکی را اشتباه تأیید کنید.

اگر اطلاعات کارت یا حساب بانکی را وارد کردیم چه کنیم؟

در فیشینگ مالی، سرعت اهمیت زیادی دارد. از کانال رسمی بانک کارت یا دسترسی آسیب‌دیده را مسدود کنید، رمزها را تغییر دهید و تراکنش‌های اخیر را بررسی کنید. اگر اطلاعاتی فراتر از کارت، مثل اطلاعات هویتی هم داده‌اید، خطر جعل هویت را نیز در نظر بگیرید.

برای تماس با بانک از شماره داخل پیام فیشینگ استفاده نکنید. شماره را از کارت، اپ رسمی یا وب‌سایت رسمی پیدا کنید. همین اصل ساده در بسیاری از سناریوهای فیشینگ جلوی ادامه حمله را می‌گیرد.

اگر Apple Account یا حساب اصلی ایمیل هدف فیشینگ شد چه کنیم؟

حساب‌های مرکزی مثل Email و Apple Account برای Recovery سرویس‌های دیگر اهمیت دارند. اگر احتمال می‌دهید فیشینگ به چنین حسابی دسترسی داده، ابتدا Password، دستگاه‌های متصل، شماره‌های مورد اعتماد و روش‌های بازیابی را بررسی کنید.

برای Apple Account می‌توانید از راهنمای بازیابی رمز اپل آیدی استفاده کنید. Recovery را فقط از مسیر رسمی انجام دهید؛ صفحه‌ای که بعد از فیشینگ دوباره از شما اطلاعات حساس می‌خواهد ممکن است بخشی از همان زنجیره باشد.

آیا وای‌فای امن یا دیتای موبایل جلوی فیشینگ را می‌گیرد؟

خیر. شبکه امن و HTTPS برای محافظت از مسیر ارتباط ضروری‌اند، اما فیشینگ روی تصمیم کاربر تمرکز دارد. حتی روی یک Wi-Fi خانگی کاملاً امن هم می‌توانید داوطلبانه Password را در سایت جعلی وارد کنید.

در مقاله مقایسه امنیت وای‌فای و دیتای موبایل توضیح داده‌ایم که امنیت شبکه، امنیت اینترنت و امنیت حساب سه لایه جدا هستند. فیشینگ معمولاً لایه حساب و مهندسی اجتماعی را هدف می‌گیرد.

چگونه از فیشینگ جلوگیری کنیم؟

هیچ تکنیک واحدی همه فیشینگ را متوقف نمی‌کند. بهترین دفاع ترکیبی از عادت رفتاری، تنظیمات حساب و ابزارهای امنیتی است. هدف این است که حتی اگر یک پیام فیشینگ از فیلتر عبور کرد، یک اشتباه به تصاحب کامل حساب تبدیل نشود.

• برای درخواست غیرمنتظره روی لینک پیام کلیک نکنید؛ سرویس را مستقیم باز کنید.
• Domain را قبل از Login بررسی کنید و فقط به ظاهر صفحه اعتماد نکنید.
• برای هر حساب Password یکتا و طولانی داشته باشید و Password Manager استفاده کنید.
• MFA را فعال کنید و برای حساب‌های حساس از Passkey یا Security Key مقاوم در برابر فیشینگ استفاده کنید.
• سیستم‌عامل، Browser و برنامه‌ها را به‌روز نگه دارید.
• OTP، Recovery Code و Password را تلفنی یا در پاسخ به پیام ارسال نکنید.
• درخواست پول یا تغییر حساب بانکی را از کانال دوم تأیید کنید.
• پیام فیشینگ را Report کنید تا فیلترها و تیم‌های امنیتی بتوانند آن را مسدود کنند.

CISA در برنامه Secure Our World چهار رفتار پایه را توصیه می‌کند: تشخیص و گزارش فیشینگ، استفاده از Password قوی، فعال‌کردن MFA و به‌روزرسانی نرم‌افزار. — منبع: CISA

چرا «فقط دقت کن» دفاع کافی در برابر فیشینگ نیست؟

کاربر همیشه خسته، عجول یا آماده تحلیل امنیتی نیست. ضمن اینکه فیشینگ مدرن می‌تواند بسیار قانع‌کننده باشد. به همین دلیل سیستم امن نباید فقط به هوشیاری انسان وابسته باشد. Password Manager، Passkey، MFA، فیلتر Email و محدودکردن دسترسی‌ها لایه‌هایی هستند که خطای انسانی را جبران می‌کنند.

NIST مفهوم Phishing Resistance را دقیقاً با همین نگاه تعریف می‌کند: روش احراز هویت باید تا حد ممکن جلوی ارائه Secret به Verifier جعلی را بدون اتکا به تشخیص لحظه‌ای کاربر بگیرد. این نگاه برای آینده مقابله با فیشینگ مهم‌تر از آموزش صرف است.

فیشینگ سازمانی و Business Email Compromise

در شرکت‌ها، فیشینگ فقط سرقت Password نیست. مهاجم ممکن است ایمیل یک کارمند را تصاحب کند و بعد از داخل یک حساب واقعی برای امور مالی، منابع انسانی یا مدیران پیام بفرستد. این سناریو زمینه Business Email Compromise یا BEC را فراهم می‌کند.

در BEC ممکن است درخواست تغییر شماره حساب تأمین‌کننده، پرداخت فاکتور یا ارسال فایل حساس مطرح شود. چون پیام از حساب واقعی می‌آید، نشانه‌های سنتی فیشینگ مثل دامنه غلط ممکن است وجود نداشته باشد. برای پرداخت و تغییر اطلاعات مالی، فرایند تأیید مستقل و تماس از شماره شناخته‌شده ضروری است.

چگونه یک درخواست مشکوک را بدون کلیک بررسی کنیم؟

وقتی پیام فیشینگ محتمل است، هدف شما این نیست که با کنجکاوی «امتحانش کنید». از کانال جداگانه بررسی کنید. اگر پیام از بانک است اپ بانک را باز کنید؛ اگر از همکار است با شماره‌ای که از قبل دارید تماس بگیرید؛ اگر درباره سفارش است وارد حساب فروشگاه شوید.

این روش Out-of-band Verification یکی از ساده‌ترین راه‌های شکستن سناریوی فیشینگ است. مهاجم کنترل پیامی را دارد که برایتان فرستاده، اما معمولاً کنترل همه کانال‌های مستقل شما با سازمان یا فرد واقعی را ندارد.

آیا آنتی‌ویروس می‌تواند فیشینگ را متوقف کند؟

مرورگر، Email Provider و نرم‌افزار امنیتی می‌توانند بسیاری از دامنه‌ها و فایل‌های فیشینگ شناخته‌شده را مسدود کنند، اما هیچ فیلتر کاملی وجود ندارد. دامنه تازه، حساب هک‌شده یا پیام بسیار هدفمند ممکن است هنوز شناسایی نشده باشد.

بنابراین ابزار امنیتی یک لایه دفاعی است، نه مجوز کلیک روی هر لینک. اگر Browser هشدار فیشینگ نمایش داد، آن را دور نزنید مگر اینکه دلیل فنی روشن و قابل تأیید داشته باشید.

تفاوت Spam، Scam و Phishing چیست؟

این سه اصطلاح گاهی به‌جای هم استفاده می‌شوند، اما دقیقاً یک معنا ندارند. Spam به پیام ناخواسته و انبوه گفته می‌شود؛ ممکن است فقط تبلیغاتی و آزاردهنده باشد و الزاماً قصد سرقت نداشته باشد. Scam مفهوم گسترده‌تری از کلاهبرداری است و می‌تواند آنلاین یا آفلاین انجام شود. فیشینگ زیرمجموعه‌ای از مهندسی اجتماعی و کلاهبرداری آنلاین است که معمولاً با جعل هویت یا ساخت یک موقعیت قابل‌اعتماد، قربانی را به ارائه اطلاعات یا انجام Action مشخص هدایت می‌کند.

برای مثال یک ایمیل تبلیغاتی نامرتبط می‌تواند Spam باشد؛ پیامی که وعده سرمایه‌گذاری غیرواقعی می‌دهد Scam است؛ و صفحه‌ای که خودش را Login بانک جا می‌زند و Password می‌گیرد نمونه روشن فیشینگ است. مرز این دسته‌ها همیشه کاملاً جدا نیست و یک کمپین می‌تواند هم Spam باشد، هم Scam و هم از تکنیک‌های سرقت Credential استفاده کند.

یک سناریوی واقعی را چگونه قدم‌به‌قدم بررسی کنیم؟

فرض کنید پیامکی دریافت می‌کنید که نوشته بسته شما به‌دلیل نقص آدرس تحویل نشده و باید مبلغ کوچکی پرداخت کنید. چون واقعاً منتظر یک سفارش هستید، پیام منطقی به نظر می‌رسد. به‌جای کلیک، ابتدا اپ یا وب‌سایت فروشگاهی را که خرید از آن انجام شده باز کنید. اگر شماره مرسوله دارید، آن را در سایت رسمی شرکت حمل‌ونقل بررسی کنید. سپس Sender، زمان پیام و مقصد URL را با اطلاعات رسمی تطبیق دهید.

اگر صفحه مقصد از شما اطلاعات کارت، Password یا OTP می‌خواهد، در حالی که فرایند معمول شرکت چنین چیزی نیست، درخواست را متوقف کنید. نکته کلیدی این است که تشخیص حمله همیشه با «دیدن یک نشانه عجیب» انجام نمی‌شود؛ گاهی همه چیز ظاهراً طبیعی است و فقط کانال مستقل تأیید نشان می‌دهد پیام واقعی نبوده است. همین عادت ساده برای پیام‌های بانکی، شبکه‌های اجتماعی، خرید اینترنتی و درخواست‌های کاری هم قابل استفاده است.

آیا لینک کوتاه همیشه نشانه خطر است؟

خیر. سرویس‌های معتبر هم از URL Shortener استفاده می‌کنند، اما لینک کوتاه مقصد واقعی را پنهان می‌کند و به همین دلیل بررسی اولیه را سخت‌تر می‌سازد. اگر لینک کوتاه در یک پیام غیرمنتظره آمده، بهتر است به‌جای بازکردن آن از اپ یا سایت رسمی سرویس وارد شوید. در محیط دسکتاپ بعضی ابزارها مقصد لینک را قبل از بازکردن Preview می‌کنند، اما باز هم اعتماد نهایی باید بر اساس Domain و Context باشد، نه صرفاً شکل لینک.

چطور فیشینگ را گزارش کنیم؟

در سرویس ایمیل یا پیام‌رسان از گزینه Report Phishing یا Report Spam استفاده کنید. این گزارش‌ها می‌توانند به مسدودشدن سریع‌تر کمپین فیشینگ کمک کنند. در محیط کاری، پیام را طبق فرایند تیم IT/Security گزارش دهید و آن را برای همکاران Forward نکنید مگر مطابق دستورالعمل سازمان.

اگر حمله فیشینگ مربوط به یک برند یا سرویس مشخص است، بسیاری از شرکت‌ها صفحه رسمی گزارش Abuse دارند. در گزارش، URL، Screenshot و Header ایمیل می‌تواند مفید باشد؛ اما اطلاعات حساس خودتان را دوباره برای افراد ناشناس ارسال نکنید.

چک‌لیست ۳۰ ثانیه‌ای تشخیص فیشینگ

جمع‌بندی

فیشینگ بیش از آنکه حمله‌ای علیه فناوری باشد، حمله‌ای علیه اعتماد و تصمیم‌گیری انسان است. ایمیل، SMS، QR Code، تماس صوتی و حتی پیام کاملاً شخصی‌سازی‌شده با AI می‌توانند فقط کانال‌های متفاوت یک هدف باشند: وادارکردن شما به انجام کاری که مهاجم می‌خواهد.

بهترین دفاع در برابر فیشینگ این است که درخواست غیرمنتظره را از کانال مستقل تأیید کنید، Domain را بررسی کنید، Password یکتا داشته باشید و برای حساب‌های مهم MFA و در صورت امکان Passkey استفاده کنید. اگر هم اشتباهی رخ داد، سرعت در تغییر Credential، بستن Sessionها و بررسی تراکنش‌ها می‌تواند اثر فیشینگ را محدود کند.

در مگلی راهنماهای امنیتی را با تمرکز بر اقدام عملی منتشر می‌کنیم؛ هدف این است که وقتی با یک پیام مشکوک روبه‌رو می‌شوید، به‌جای حدس‌زدن دقیقاً بدانید چه چیزی را بررسی کنید.

سوالات متداول درباره فیشینگ

آیا باز کردن پیام فیشینگ به‌تنهایی خطرناک است؟

در بیشتر سناریوهای معمول، صرف دیدن متن پیام فیشینگ به معنی هک‌شدن نیست. خطر اصلی معمولاً از کلیک روی لینک، بازکردن فایل، اجرای محتوا یا واردکردن اطلاعات شروع می‌شود. با این حال نرم‌افزارها را به‌روز نگه دارید چون آسیب‌پذیری‌های نرم‌افزاری می‌توانند شرایط را تغییر دهند.

اگر لینک فیشینگ را باز کردم ولی چیزی وارد نکردم باید رمز را عوض کنم؟

اگر فقط صفحه فیشینگ را باز کرده‌اید و هیچ فایل، Credential یا مجوزی نداده‌اید، تغییر Password همیشه لازم نیست. اما اگر مرورگر فایل دانلود کرده، Extension نصب شده یا رفتار غیرعادی دیده‌اید، بررسی امنیتی دستگاه منطقی است.

چطور بفهمم یک پیام از بانک واقعاً فیشینگ است؟

از لینک پیام وارد نشوید. اپ رسمی یا وب‌سایتی را که خودتان می‌شناسید باز کنید و وضعیت را بررسی کنید. اگر هنوز ابهام دارید با شماره رسمی بانک تماس بگیرید. این روش از تحلیل ظاهری پیام فیشینگ مطمئن‌تر است.

آیا کد یک‌بارمصرف جلوی فیشینگ را می‌گیرد؟

OTP امنیت را بیشتر می‌کند، اما در برابر فیشینگ Real-time و AiTM کاملاً مقاوم نیست. اگر سرویس پشتیبانی می‌کند، Passkey یا FIDO Security Key دفاع قوی‌تری در برابر صفحه Login جعلی ارائه می‌دهد.

آیا QR Code می‌تواند فیشینگ باشد؟

بله. QR فقط روشی برای Encode کردن مقصد است و می‌تواند کاربر را به سایت فیشینگ ببرد. قبل از بازکردن، Preview URL را بررسی کنید و QRهای فیزیکی دست‌کاری‌شده یا غیرمنتظره را با احتیاط ببینید.

آیا هوش مصنوعی تشخیص فیشینگ را سخت‌تر کرده است؟

بله، AI می‌تواند متن روان‌تر، ترجمه بهتر و پیام‌های شخصی‌سازی‌شده تولید کند و Voice Cloning نیز Vishing را قانع‌کننده‌تر کند. بنابراین تشخیص فیشینگ باید بیشتر بر هویت فرستنده، Domain، Context و Verification مستقل تکیه کند تا غلط املایی.

اگر حسابم بعد از فیشینگ هک شد، اول چه چیزی را امن کنم؟

اول حسابی را امن کنید که Recovery بقیه حساب‌ها به آن وابسته است؛ معمولاً Email اصلی. سپس Password را تغییر دهید، Sessionهای ناشناس را ببندید، MFA را بازبینی کنید و سایر حساب‌هایی را که Password مشترک داشته‌اند بررسی کنید.