فیشینگ پیامی است که وانمود می‌کند از طرف کسی آمده که به او اعتماد دارید، مثلاً بانک، شرکت پست و ارسال، کارفرما یا یک دوست، تا شما روی پیوندی کلیک کنید، فایلی را باز کنید یا گذرواژه‌تان را بدهید. این پیام‌ها از راه ایمیل، پیامک، برنامه‌های پیام‌رسان و تماس تلفنی می‌رسند. اغلب قانع‌کننده به نظر می‌رسند، اما چند ویژگی مشترک دارند.
پیام فیشینگ معمولاً چه می‌خواهد؟
تقریباً هر پیام فیشینگ یکی از این سه چیز را می‌خواهد: اینکه در صفحه‌ای که زیر کنترل فرستنده است وارد شوید، پیوستی را باز کنید که چیز مضری نصب می‌کند، یا به دلیل مشکلی ساختگی پول یا اطلاعات بفرستید. داستانِ دور درخواست عوض می‌شود، اما هدف همان می‌ماند.
داستان‌های رایج شامل حساب قفل‌شده، بسته‌ای که تحویل نشده، صورت‌حساب پرداخت‌نشده، بازپرداخت غیرمنتظره، جایزه، یا یکی از بستگان است که در مشکل افتاده و فوراً کمک لازم دارد. هر پیامی را که گذرواژه، کد تأیید، پرداخت یا نسخه‌ای از مدرک هویتی می‌خواهد، پیش از اقدام باید راستی‌آزمایی کرد.
کدام نشانه‌ها پیام فیشینگ را لو می‌دهند؟
هیچ نشانه‌ای به‌تنهایی ثابت نمی‌کند پیام جعلی است و جعل‌های خوب می‌توانند از همه‌ی آن‌ها دوری کنند. با این حال، بررسی این موارد هر بار ارزش دارد:
فشار. پیام می‌گوید فقط چند ساعت وقت دارید، حسابتان بسته می‌شود یا اگر صبر کنید اتفاق بدی می‌افتد.
نشانی فرستنده‌ای که شبیه است اما درست نیست، مثلاً حرفی جابه‌جا شده یا کلمه‌ای اضافه در دامنه آمده است.
پیوندی که متن نمایان آن با مقصدش نمی‌خواند. در رایانه می‌توانید نشانگر را روی آن ببرید و در تلفن می‌توانید روی آن فشار طولانی دهید تا نشانی را ببینید.
پیوست غیرمنتظره، به‌ویژه فایل zip، صورت‌حسابی که درخواست نکرده‌اید یا فایلی که از شما می‌خواهد ماکروها را فعال کنید.
درخواست پرداخت با کارت هدیه، ارز دیجیتال یا انتقال بانکی به حسابی تازه.
پیش از کلیک چه باید کرد؟
بایستید و آرام شوید. فرستنده به فشار تکیه دارد، پس چند دقیقه وقت گذاشتن بخش بزرگی از برتری او را از بین می‌برد. پاسخ ندهید، با شماره‌ی داخل پیام تماس نگیرید و پیوند یا پیوست را باز نکنید.
سپس ادعا را از راهی که از قبل به آن اعتماد دارید بررسی کنید. برنامه‌ی شرکت را باز کنید یا نشانی آن را خودتان در مرورگر بنویسید و ببینید همان اعلان در حسابتان هست یا نه. با شماره‌ای که روی کارت شما یا وب‌سایت رسمی شرکت چاپ شده تماس بگیرید. اگر پیام ظاهراً از همکار یا یکی از بستگان است، از راه دیگری مثل تماس تلفنی با او ارتباط بگیرید و بپرسید آیا واقعاً آن را فرستاده است.
چرا پیامک و تماس هم بخشی از فیشینگ هستند؟
فیشینگ فقط به ایمیل محدود نیست. پیامک درباره‌ی بسته‌ها، عوارض جاده یا هشدارهای بانکی رایج است، و تماس از کسانی که می‌گویند در بانک یا تیم پشتیبانی کار می‌کنند هم همین‌طور. تماس‌گیرنده می‌تواند شماره‌ی روی صفحه‌ی شما را شبیه تقریباً هر چیزی نشان دهد، پس شماره‌ی نمایش‌داده‌شده چیزی را ثابت نمی‌کند.
بانک واقعی از شما نمی‌خواهد پول را به «حساب امن» منتقل کنید و تیم پشتیبانی واقعی کدی را که همین حالا به تلفنتان آمده نمی‌خواهد. اگر تماس‌گیرنده عجله ایجاد کرد، قطع کنید و با شماره‌ای که خودتان پیدا کرده‌اید دوباره تماس بگیرید. همین در مورد پیام‌های صوتی و پیام‌هایی که از حساب هک‌شده‌ی یک دوست برای درخواست پول می‌آید هم صدق می‌کند.
اگر قبلاً کلیک کرده یا گذرواژه وارد کرده‌اید چه؟
این برای آدم‌های محتاط هم پیش می‌آید و اقدام سریع واقعاً فرق می‌کند. این مراحل را به ترتیب انجام دهید:
از مشکل جدا شوید. اگر فایلی را باز کرده‌اید و فکر می‌کنید چیزی را اجرا کرده، اتصال شبکه‌ی آن دستگاه را قطع کنید و تا زمان بررسی قطع نگه دارید.
گذرواژه‌ی حساب مربوطه را تغییر دهید، اگر می‌توانید با دستگاه دیگری. اگر همان گذرواژه را جای دیگری هم به کار برده‌اید، آنجا هم عوض کنید.
تأیید دومرحله‌ای را روشن کنید، ترجیحاً با گذرکلید یا یک برنامه‌ی احراز هویت، و در تنظیمات حساب از نشست‌های دیگر خارج شوید.
اگر اطلاعات کارت یا حساب بانکی را داده‌اید، فوراً با بانک تماس بگیرید. بخواهید کارت را مسدود کنند یا فعالیت غیرعادی را زیر نظر بگیرند.
به دنبال تغییراتی بگردید که خودتان نداده‌اید، مثل قانون‌های جدید ارسال خودکار در ایمیل، نشانی‌های بازیابی تازه یا ورودهای ناآشنا.
پیام را به سرویسی که جعل شده گزارش دهید و اگر حساب به نام شما پیام فرستاده، به مخاطبانتان هم بگویید.
چگونه می‌توان از همان ابتدا آسیب فیشینگ را کم کرد؟
نمی‌توانید جلوی رسیدن همه‌ی پیام‌ها را بگیرید، پس هدف این است که وقتی یکی رد شد، آسیب محدود بماند. برای هر حساب گذرواژه‌ی جداگانه به کار ببرید و آن‌ها را در یک مدیر گذرواژه نگه دارید؛ این هم کمک می‌کند چون در سایتی با نشانی نادرست گذرواژه را پر نمی‌کند. گذرکلیدها از این هم فراتر می‌روند، چون اصلاً نمی‌توان آن‌ها را در صفحه‌ی جعلی تایپ کرد.
تلفن و برنامه‌هایتان را به‌روز نگه دارید و درباره‌ی برنامه‌ها و فایل‌هایی که از فروشگاه‌های رسمی نیستند محتاط باشید. آنچه را در جاهایی نگه می‌دارید که یک گذرواژه‌ی دزدیده‌شده می‌تواند بازشان کند محدود کنید. نسخه‌ی گذرنامه، مدارک مالیاتی یا قراردادها لازم نیست در صندوق ایمیلتان باشد، جایی که یک پیام فیشینگ موفق می‌تواند همه‌ی آن‌ها را افشا کند.
اینجا Revault می‌تواند کمک کند. عکس‌ها، سندها و فایل‌ها را در یک گاوصندوق رمزگذاری‌شده روی دستگاه شما نگه می‌دارد و حساب Revaultای وجود ندارد که فیشینگ شود. این کار جلوی فرستاده شدن پیام جعلی به شما را نمی‌گیرد، اما حساس‌ترین فایل‌هایتان را از صندوق ایمیل و حساب‌های ابری دور نگه می‌دارد. هیچ ابزاری جای قضاوت را نمی‌گیرد، پس عادتی که بیش از همه از شما محافظت می‌کند ساده است: وقتی پیامی چیز فوری می‌خواهد، اول از راه دیگری راستی‌آزمایی کنید.