ایمیل‌ها، تهدیدی جدی برای امنیت

فیشینگ به روشی گفته می‌شود که طی آن، حمله‌کننده با ایجاد تصویر یا وب‌سایتی که از نظر ظاهری شباهت زیادی به وب‌سایت یا برنامه مقصد دارد، کاربر را وادار به وارد‌کردن اطلاعات شخصی خود کرده و از همین طریق اطلاعاتش از دست می‌رود.

Trend Micro، فعال بازار نرم‌افزارهای امنیتی در مقاله‌ای که بتازگی منتشر کرده است، ایمیل فیشینگ را یکی از محبوب‌ترین روش‌های حمله به سیستم‌ها دانسته و اعلام کرده بیش از 91 درصد از حملات هدفمند امنیتی از این طریق انجام می‌شود. این ایمیل‌ها قربانی را وادار به باز‌کردن وب‌سایت یا فایل می‌کنند.

در این تاکتیک، ایمیلی به تعداد مشخصی افراد در سازمان هدف ارسال می‌شود. ایمیل با استفاده از مهندسی شبکه اجتماعی به افرادی فرستاده می‌شود که دریافت و ارسال ایمیل روزانه برایشان امری عادی است. این ایمیل آنها را تشویق می‌کند فایل یا وب‌سایتی را باز کنند. برای مثال، ایمیلی که به مدیر مالی ارسال می‌شود، در ظاهر مشابه تراز کاری شرکت یا چیزی مشابه آن است که فرد را به باز‌کردن فایل یا لینک ضمیمه تشویق می‌کند.

کمپین‌های APT (تهدید مصر پیشرفته) از تاکتیک‌های فیشینگ استفاده می‌کنند چرا که این روش‌ها می‌تواند قربانیان با رده بالا را ساده‌تر غافلگیر کند. اهدافی که رده سازمانی بالایی دارند، باید دوبرابر افراد عادی مواظب ایمیل‌ها و اطلاعاتی باشند که از بیرون دریافت می‌کنند تا بتوانند جلوی ایمیل‌های تاکتیکی فیشینگ را بگیرند. نفوذ به شبکه و نابودی یا دزدی اطلاعات یکی از عواقب قربانی‌شدن در برابر این تاکتیک‌هاست که می‌تواند زیان‌آور باشد.

در میان فایل‌های مخرب ارسالی، فایل‌های RTF 38 درصد، فایل‌های XLS 15 درصد و فایل‌های زیپ 13 درصد از موارد امنیتی را تشکیل داده‌اند. فایل‌های اجرایی exe به‌اندازه دیگر فایل‌ها محبوب نیستند، چرا که ابزارهای امنیتی بسرعت این فایل‌ها را کشف و منبع آن را شناسایی و از سیستم خارج می‌کنند.

صناعت چنین تاکتیک‌هایی با تحقیقات اولیه انجام می‌شود و مهاجمان برای بدست آوردن اطلاعاتی که قدم اولیه نفوذشان است، نیاز به تلاش زیادی ندارند.

اسکات گروکس، معاون مدیریت محصولات موسسه PhishMe، که امور آموزشی دفاع در برابر چنین تاکتیک‌هایی را به عهده دارد، معتقد است: «روش‌هایی که مجرمان برای جمع‌آوری اطلاعات و ساخت یک ایمیل فیشینگ استفاده می‌کنند، ساده است. میزان اطلاعات رایگان و در اختیار عمومی که می‌تواند برای جمع‌آوری و ایجاد چنین اطلاعاتی استفاده شود آنقدر زیاد است که استفاده از وب‌سایت‌هایی، چون گوگل، فیس‌بوک، لینکدین و... می‌تواند بسیاری از آنها را برملا کند و یک ایمیل فیشینگ با اطلاعاتی معتبر به دست کاربر برساند.»

برای مثال، در صفحه لینکدین یک شرکت، نام افراد مشغول به کار آورده شده است و اطلاعات در دسترس همگان یکی از آن افراد، می‌تواند ایمیل تجاری‌اش را نشان دهد. پروفایل فیس‌بوک این فرد می‌تواند اطلاعات زیادی درباره زندگی شخصی‌اش داشته باشد و از این جا به بعد ایجاد ایمیلی که بتواند بسادگی او را گول بزند تا تحت حمله قرار بگیرد، دشوار نیست.

بهترین میزان برای جلوگیری از باز‌کردن ایمیل‌های فیشینگ، آن است که برنامه‌های تمرینی (مانند مانور نظامی) برای کارمندان تعیین شود که طی آن، ایمیل‌های فیشینگ بدون ضرر از طرف آدرس‌های مختلف ارسال شود و عملکرد کارکنان در مقابل چنین ایمیل‌هایی سنجیده شود. ایمیل‌های شبیه‌سازی‌شده فیشینگ که در واقع استفاده مجدد از اطلاعات حقیقی است می‌تواند تجربه‌ای به‌یادماندنی در ذهن کاربر داشته باشد و ذهن آنها را تمرین دهد تا در مقابل ایمیل‌های فیشینگ واقعی مقاوم باشند.

جان کلی، متخصص امنیتی موسسه Trend Micro معتقد است: سازمان‌ها باید سیاست‌های شبکه اجتماعی خود را دوباره بررسی کنند تا جلوی انتشار اطلاعات حساس سازمانی در فضای مجازی عمومی را بگیرند. همچنین شیوه ارسال و دریافت فایل‌ها از طریق ایمیل باید به‌گونه‌ای تغییر پیدا کند که شباهت کمتری با ایمیل‌های فیشینگ داشته باشد. همچنین اگر ایمیلی از آدرسی ناشناس به دستشان رسید، از بازکردن آن خودداری کنند. بالابردن دانش استفاده از ایمیل به‌عنوان ابزار کار یکی از موثرترین راه‌حل‌های فعلی در مقابله با ایمیل فیشینگ است.