راهنمای جامع محافظت در برابر فیشینگ موبایلی

فیشینگ دیگر محدود به ایمیل‌های مشکوک با غلط‌های املایی نیست. طبق گزارش‌های امنیتی سال ۲۰۲۶، حدود ۸۳ درصد از وب‌سایت‌های فیشینگ اکنون مشخصاً برای هدف‌قراردادن گوشی‌های هوشمند طراحی شده‌اند — و دلیلش ساده است: صفحه‌ی کوچک موبایل، آدرس‌های کامل لینک را پنهان می‌کند، اعلان‌های فوری فرصت تفکر را از کاربر می‌گیرند، و اپلیکیشن‌های پیام‌رسان و شبکه‌ی اجتماعی، فاقد فیلترهای امنیتی قدرتمند ایمیل سازمانی هستند. در این راهنما، انواع فیشینگ موبایلی، آمار واقعی این تهدید، و مهم‌تر از همه، راهکارهای عملی محافظت را به‌طور کامل بررسی می‌کنیم.

چرا موبایل هدف اصلی فیشینگ شده؟

چند ویژگی ساختاری گوشی‌های هوشمند، آن‌ها را به هدف ایده‌آل برای کلاه‌برداران تبدیل کرده:

• نمایش ناقص آدرس لینک: روی صفحه‌ی کوچک موبایل، آدرس کامل یک لینک به‌ندرت به‌طور کامل نمایش داده می‌شود؛ کاربر معمولاً فقط چند حرف اول دامنه را می‌بیند
• فوریت روانی اعلان‌ها: یک پیامک یا اعلان push، حس فوریت بیشتری نسبت به یک ایمیل ایجاد می‌کند و فرصت کمتری برای تفکر باقی می‌گذارد
• نبود فیلتر امنیتی قدرتمند: برخلاف ایمیل سازمانی که معمولاً پشت چند لایه فیلتر امنیتی قرار دارد، پیامک، واتس‌اپ، تلگرام و شبکه‌های اجتماعی چنین حفاظتی ندارند
• اعتماد ذاتی به شماره تلفن: بسیاری از کاربران به پیامک‌هایی که به‌ظاهر از بانک یا اپراتور مخابراتی می‌آیند، اعتماد بیشتری نسبت به ایمیل مشابه دارند

انواع اصلی فیشینگ موبایلی

۱. اسمیشینگ (Smishing) — فیشینگ پیامکی

رایج‌ترین نوع فیشینگ موبایلی؛ طبق آمار موجود، نزدیک به ۷۰ درصد از کل حملات فیشینگ موبایلی از طریق پیامک انجام می‌شود. مهاجم با جعل هویت بانک، شرکت پستی یا سازمان دولتی، پیامکی حاوی لینک مخرب یا درخواست اطلاعات حساس ارسال می‌کند. تنها در آمریکا، طی یک سال نزدیک به ۴۸۴ هزار حمله‌ی اسمیشینگ ثبت شده است.

۲. ویشینگ (Vishing) — فیشینگ تلفنی

کلاه‌برداری از طریق تماس صوتی، که با ظهور فناوری شبیه‌سازی صدا (Voice Cloning) وارد مرحله‌ی خطرناک‌تری شده. طبق گزارش‌ها، این نوع حمله در یک بازه‌ی شش‌ماهه رشدی معادل ۴۴۲ درصد داشته است. نمونه‌ی هشداردهنده‌ای که باید همه بدانند: در یک پرونده‌ی واقعی، یک کارمند مالی شرکت مهندسی Arup، طی یک تماس ویدیویی که در آن چهره و صدای مدیرعامل و چند مدیر ارشد دیگر شرکت کاملاً توسط هوش مصنوعی جعل شده بود، دستور انتقال ۲۵ میلیون دلار را اجرا کرد. طبق تحقیقات، تنها ۳ ثانیه نمونه‌ی صوتی برای شبیه‌سازی قانع‌کننده‌ی صدای یک فرد کافی است.

۳. کوییشینگ (Quishing) — فیشینگ با QR کد

نوع نسبتاً تازه‌ای از حمله که رشد آن بین سال‌های ۲۰۲۳ تا ۲۰۲۵ به ۴۰۰ درصد رسیده است. مهاجم یک QR کد مخرب را جایگزین QR کد واقعی (مثلاً روی یک فاکتور، پارکومتر، یا حتی پوستر تبلیغاتی) می‌کند. این روش به‌خصوص خطرناک است چون آدرس مخرب داخل یک تصویر پنهان شده و از فیلترهای متن‌محور امنیتی به‌سادگی عبور می‌کند. جالب توجه است که مدیران ارشد سازمان‌ها (سطح C-level) طبق آمار، ۴۰ برابر بیشتر از کارمندان عادی قربانی این نوع خاص حمله می‌شوند.

۴. فیشینگ از طریق شبکه‌های اجتماعی و پیام‌رسان‌ها

جعل هویت پشتیبانی مشتری برندها (Angler Phishing)، پیام‌های خصوصی حاوی لینک‌های جعلی، یا حساب‌های تقلبی که خود را نماینده‌ی رسمی یک شرکت معرفی می‌کنند. طبق آمار، اکنون حدود ۳۵ درصد از کل حملات فیشینگ از طریق پیامک و اپلیکیشن‌های پیام‌رسان انجام می‌شوند، نه ایمیل سنتی.

۵. اپلیکیشن‌های جعلی

نصب یک اپلیکیشن ظاهراً معتبر (اغلب از منابع غیررسمی خارج از فروشگاه‌های رسمی) که در پس‌زمینه اطلاعات حساس را سرقت می‌کند یا دسترسی‌های خطرناکی به سیستم‌عامل درخواست می‌کند.

نقش هوش مصنوعی در تشدید این تهدید

هوش مصنوعی، هزینه و مهارت لازم برای اجرای یک حمله‌ی فیشینگ قانع‌کننده را تقریباً به صفر رسانده است. طبق گزارش‌های امنیتی، اکنون حدود ۸۲.۶ درصد از ایمیل‌های فیشینگ شناسایی‌شده با هوش مصنوعی تولید می‌شوند و نرخ کلیک روی پیام‌های فیشینگ نوشته‌شده با هوش مصنوعی، به همان اندازه‌ی پیام‌های ساخته‌شده توسط یک کلاه‌بردار انسانی باتجربه است — اما با ۹۵ درصد هزینه‌ی کمتر. این یعنی مهاجمانی که پیش‌تر توانایی نوشتن یک متن قانع‌کننده و بدون غلط را نداشتند، اکنون می‌توانند با چند دلار هزینه، کمپین‌های فیشینگ حرفه‌ای و شخصی‌سازی‌شده بسازند.

سرقت رمز یک‌بارمصرف (OTP)؛ ترکیب مرگبار پیامک و تماس

یکی از خطرناک‌ترین ترکیب‌های فیشینگ موبایلی، سرقت کد تأیید پیامکی (OTP) است: مهاجم ابتدا با یک پیامک یا ایمیل جعلی قربانی را نگران می‌کند (مثلاً «ورود مشکوک به حسابتان شناسایی شد»)، سپس با یک تماس صوتی، از او می‌خواهد کد تأییدی که همان لحظه دریافت کرده را با صدای بلند بخواند. مهاجم بلافاصله از این کد برای ورود به حساب واقعی قربانی یا حتی افزودن یک روش تأیید هویت تازه (که کنترل کامل حساب را به دستش می‌دهد) استفاده می‌کند.

چطور یک پیامک یا تماس مشکوک را تشخیص دهیم؟

• درخواست فوری و اضطراری: هر پیامی که شما را وادار به «اقدام فوری» می‌کند (مسدودشدن حساب، جریمه‌ی معوق، بسته‌ی در انتظار تحویل) باید مشکوک تلقی شود
• لینک‌های کوتاه‌شده یا دامنه‌های عجیب: به‌جای کلیک مستقیم، نشانگر ماوس (یا در موبایل، لمس طولانی) را روی لینک نگه دارید تا آدرس واقعی مقصد نمایش داده شود
• درخواست خواندن کد تأیید با صدای بلند: هیچ بانک یا سازمان معتبری هرگز از طریق تماس تلفنی از شما نمی‌خواهد کد پیامکی‌تان را بخوانید
• شماره‌های ناشناس یا بین‌المللی عجیب: به‌خصوص وقتی ادعا می‌کنند از یک سازمان داخلی تماس می‌گیرند
• غلط‌های ظریف در نام دامنه: مثلاً استفاده از حرف «ل» به‌جای «I» یا اضافه‌کردن یک کلمه‌ی اضافه به نام برند اصلی

راهکارهای عملی محافظت

۱. هرگز روی لینک پیامک‌های غیرمنتظره کلیک نکنید

به‌جای این کار، مستقیماً شماره‌ی رسمی پشت کارت بانکی خود را بگیرید یا آدرس رسمی سازمان را دستی در مرورگر تایپ کنید.

۲. پیامک‌های مشکوک را گزارش دهید

در بسیاری از کشورها، امکان فوروارد پیامک مشکوک به یک شماره‌ی گزارش تقلب اپراتور وجود دارد؛ این کار به شناسایی و مسدودسازی سریع‌تر کمپین‌های فیشینگ کمک می‌کند.

۳. فیلترهای اسپم و مسدودسازی تماس را فعال کنید

هر دو سیستم‌عامل اندروید و iOS اکنون قابلیت‌های بومی برای شناسایی و مسدودسازی تماس‌های مشکوک/اسپم دارند؛ فعال‌کردن این قابلیت‌ها یک لایه‌ی دفاعی ساده و مؤثر است.

۴. از احراز هویت مقاوم در برابر فیشینگ استفاده کنید

طبق تحلیل کارشناسان، مؤثرترین دفاع در برابر سرقت اطلاعات ورود، استفاده از پس‌کی‌ها (Passkeys) یا کلیدهای امنیتی سازگار با استاندارد FIDO2 است؛ برخلاف کد پیامکی که قابل‌سرقت است، این روش‌ها حتی اگر قربانی فریب بخورد و روی لینک جعلی کلیک کند، باز هم قابل‌دور‌زدن نیستند.

۵. مراقب PIN پورت‌اوت شماره‌ی خود باشید

یکی از روش‌های پیشرفته‌ی مهاجمان، انتقال شماره‌ی تلفن قربانی به یک سیم‌کارت دیگر (SIM Swapping) است تا کدهای تأیید پیامکی را رهگیری کنند. تنظیم یک PIN اختصاصی برای پورت‌اوت شماره نزد اپراتور مخابراتی، از این نوع حمله جلوگیری می‌کند.

۶. QR کدها را با احتیاط اسکن کنید

پیش از باز کردن هر لینکی که از طریق QR کد دریافت می‌کنید، از اپلیکیشنی استفاده کنید که آدرس مقصد را پیش از باز‌کردن نمایش دهد؛ به QR کدهایی که روی کد دیگری چسبانده شده‌اند یا در پیامک/ایمیل ناخواسته دریافت می‌کنید، به‌طور خاص مشکوک باشید.

۷. اپلیکیشن‌ها را فقط از منابع رسمی نصب کنید

نصب اپلیکیشن از خارج از Google Play یا App Store، بزرگ‌ترین ریسک ورود بدافزار به گوشی محسوب می‌شود؛ حتی درون فروشگاه‌های رسمی هم قبل از نصب، مجوزهای درخواستی اپلیکیشن (دسترسی به پیامک، مخاطبین، دوربین) را بررسی کنید.

۸. برای تماس‌های مالی حساس، همیشه شخصاً تأیید بگیرید

اگر تماس یا پیامی درخواست انتقال وجه یا اطلاعات حساس دارد — حتی اگر صدا یا تصویر آشنا به‌نظر برسد — از طریق یک کانال کاملاً مستقل (مثلاً تماس مستقیم با شماره‌ی شناخته‌شده‌ی همان فرد) موضوع را تأیید کنید؛ همان‌طور که ماجرای Arup نشان داد، حتی دیدن چهره و شنیدن صدای یک فرد در تماس ویدیویی هم دیگر تضمین‌کننده‌ی هویت واقعی او نیست.

چک‌لیست نهایی

• هرگز روی لینک پیامک یا ایمیل غیرمنتظره کلیک نکنید — مستقیم به سایت رسمی بروید
• کد تأیید پیامکی را با هیچ‌کس، حتی از طریق تماس تلفنی، به اشتراک نگذارید
• پس‌کی یا احراز هویت دومرحله‌ای مقاوم در برابر فیشینگ را برای حساب‌های حساس فعال کنید
• برای شماره‌ی موبایل خود PIN پورت‌اوت تنظیم کنید
• پیش از اسکن هر QR کد، مقصد لینک را بررسی کنید
• اپلیکیشن‌ها را فقط از فروشگاه‌های رسمی نصب کنید
• درخواست‌های مالی یا اطلاعاتی حساس را همیشه از کانال مستقل تأیید کنید، حتی اگر صدا یا تصویر طرف مقابل کاملاً آشنا باشد

جمع‌بندی

فیشینگ موبایلی دیگر یک تهدید ساده و قابل‌تشخیص با غلط‌های املایی نیست؛ با ورود هوش مصنوعی به این معادله، از تولید متن قانع‌کننده گرفته تا شبیه‌سازی کامل صدا و چهره‌ی یک فرد واقعی در یک تماس ویدیویی، خط میان یک ارتباط واقعی و یک کلاه‌برداری هوشمند هرروز کم‌رنگ‌تر می‌شود. بهترین دفاع در برابر این تهدید، ترکیبی از ابزارهای فنی (پس‌کی، فیلتر اسپم، PIN پورت‌اوت) و یک عادت ذهنی ساده اما حیاتی است: هر درخواست فوری، غیرمنتظره یا احساسی — هرچقدر هم قانع‌کننده به‌نظر برسد — پیش از هر اقدامی، از یک کانال کاملاً مستقل تأیید شود.