حمله هکرها به گوشی‌های هوشمند؛ چطور قربانی نشویم؟

این روزها که تلفن همراه بیش از هر زمان دیگری به ما نزدیک شده و بخش بزرگی از اطلاعات شخصی و محرمانه‌مان را در خود جای داده است، تهدیدهای سایبری از جمله کلاهبرداری‌های اینترنتی، هک گوشی با هدف سرقت اطلاعات بانکی، جاسوسی، انتقام‌جویی یا هر نیت دیگری، خطری جدی به شمار می‌آید. در چنین شرایطی، مهم‌ترین راه مقابله، آموزش مداوم و همگانی به زبانی ساده است تا سطح آگاهی مردم درباره امنیت دستگاه‌های الکترونیکی و تلفن همراه افزایش یابد. تنها از این طریق می‌توان از خسارت‌های مالی، استرس‌های ناشی از نقض حریم خصوصی و حتی سوءاستفاده‌های کلاهبرداران سایبری جلوگیری کرد.

در بخش نخست این سلسله گزارش، روایت یک قربانی هک را از زبان خودش مرور کردیم. در بخش دوم، به سراغ پلیس فتا رفتیم تا از اقدامات و توصیه‌های این نهاد تخصصی که مسئولیت پیشگیری از جرایم سایبری و کمک به جبران خسارت مالباختگان را بر عهده دارد، باخبر شویم. اکنون، در سومین بخش این گزارش، پژوهشگر ایران اکونومیست با «فرهاد خانلری»، کارشناس و مدرس امنیت سایبری، گفت‌وگویی انجام داده است که متن آن را در ادامه می‌خوانید.

عمده حملات هک گوشی به روش‌های فیشینگ انجام می‌شود

فرهاد خانلری می‌گوید: مساله امنیت تلفن همراه مشکلی است که امروزه خیلی‌ها را گرفتار کرده است، سن و سال و تحصیلات هم نمی‌شناسد. یکسری دانش و بایدها و نبایدها وجود دارد که برای حفظ امنیت گوشی تلفن باید آنها را یاد بگیریم و به کار ببندیم تا بتوانیم از هک گوشی تلفن جلوگیری کنیم. یکسری روش‌های حمله وجود دارد که هکرها از آنها برای نفوذ به تلفن‌های همراه استفاده می‌کنند و در مقابل یکسری اقداماتی هست که مردم می‌توانند با انجام آن تا حد خیلی زیادی در مقابل هکرها امنیت داشته باشند.

این کارشناس امنیت سایبری توضیح می‌دهد: عمده حملات هک گوشی به روش‌های فیشینگ انجام می‌شود، فیش به معنای ماهی است و فیشینگ عملی است مانند ماهیگیری که هکر با فرستادن یک طعمه به دنبال فریب صاحب تلفن است. این طعمه ممکن است به صورت ارسال یک ویس (فایل صوتی)، SMS (پیامک) یا تماس تلفنی انجام شود. هر کدام از این روش‌های فیشینگ نام مخصوص خود را دارد به عنوان مثال «ویشینگ» زمانی است که هکر با ارسال یک فایل voice به دنبال نفوذ به تلفن همراه فرد است یا «اسپیر فیشینگ» زمانی است که هکر یک عده افراد خاص را در یک سازمان مورد حمله قرار می‌دهد و ممکن است هدف او کسب پول یا دسترسی به اطلاعات محرمانه یک فرد یا سازمان خاص باشد.

وی ادامه می‌دهد: یکی از راه‌های هک تلفن‌های همراه این است که هکر به صورت تصادفی به شماره‌ها و تلفن‌های افراد حمله می‌کنند. این یکی از روش‌هاست اما روش‌های دیگری هم وجود دارد که از طریق وب سایت‌های «دارک» شماره تلفن و اطلاعات افراد را خریداری می‌کنند و با در اختیار داشتن اطلاعات افراد، نام و نام خانوادگی، آدرس، کد ملی یا دیگر اطلاعات مربوط به افراد یا نزدیکان آنها برای جلب اعتماد افراد و نفوذ به تلفن همراه آنها اقدام می‌کنند. یک نمونه آن هک یا دسترسی به اطلاعات اسنپ فود بود. وقتی این نوع اطلاعات به دست هکرها بیفتد، هکر به اطلاعات زیادی از جمله تلفن همراه، آدرس، نام و حتی سلیقه غذای افراد دسترسی پیدا می‌کند. بنابراین می‌تواند با این اطلاعات افراد را مجاب کند که به او اعتماد و روی لینک یا فایلی که فرستاده است کلیک کنند.

هکر گاهی از طریق وب سایت‌های خاصی به عنوان مثال اطلاعات ۱۰۰ نفر افراد خاص را می‌خرد. ممکن است این اطلاعات مربوط به افراد یک ساختمان باشد به این ترتیب در پیامک ارسال شده نام همسایه طبقه دوم ساختمان را ذکر می‌کند که از شما شکایت کرده است در این صورت فرد از روی ترس، کنجکاوی یا وسوسه ممکن است روی لینک یا فایل ارسال شده کلیک کند.

برای جلوگیری از هک گوشی چه باید کرد؟

خانلری معتقد است: اولین نکته‌ای که هر فرد برای جلوگیری از هک گوشی باید به آن توجه کند، سر شماره‌ای است که از آن پیامک ارسال شده است. نخستین خطا ندیدن سرشماره است، برای نمونه قوه قضاییه، پلیس فتا، مخابرات یا هر سازمان دیگری اگر بخواهد پیامک ارسال کند حتماً از سرشماره‌های سازمانی استفاده می‌کند اما هکرها از شماره شخصی پیامک ارسال می‌کنند. بنابراین اگر پیش شماره پیامک ۰۹۲۱ باشد معلوم است که پیامک ارسال شده متعلق به هکرهاست و حتماً شخص باید مراقب باشد و روی آن لینک کلیک نکند.

این کارشناس امنیت تلفن همراه توضیح می‌دهد: نکته دوم دقت در آدرس لینک ارسالی است. باید دقت کرد که لینک ارسالی پروتکل https را داشته باشد و حتماً آدرس درست همان سایت مربوطه باشد، برای مثال اگر سایت بانک یا وزارتخانه است به صورت دقیق همان حروف سایت اصلی را داشته باشد در حالی که گاهی هکرها با تغییر یک حرف از آدرس سایت اصلی یا حتی تغییر پسوند آن، فرد را به سایت دیگری هدایت می‌کنند که شبیه سایت اصلی طراحی شده است. به عنوان مثال ممکن است پسوند سایت به جای IR چیز دیگری باشد. بنابراین دومین اشتباه کلیک کردن روی آدرس سایت اشتباه است.

سومین اشتباه این است که بعد از وارد شدن به سایت اشتباه، فرد اطلاعات خودرا وارد می‌کند. ممکن است سایت جعلی از فرد اطلاعات خاصی بخواهد. برای نمونه از فرد می‌خواهد کد ملی، شماره حساب یا کدی که برای او پیامک می‌شود یا رمز پویای بانک را وارد کند. بهترین دفاع در این مواقع این است که این اطلاعات را وارد نکنیم اما اگر چنین اشتباهی مرتکب شدیم بهترین کار این است که از طریق موبایل بانک یا اینترنت بانک قبل از اینکه پول بیشتری از حسابمان کسر شود، سریع کارت بانکی را مسدود کنیم و صبر نکنیم تا فردا صبح یا در وقت اداری به شعبه بانک مراجعه کنیم.

وی تصریح می‌کند: راهکار مهم در این زمینه آموزش و دادن آگاهی به عموم مردم از طریق تلویزیون و رسانه‌های پر مخاطب است، پلیس فتا هم در این زمینه طی سال‌های اخیر فعال شده است و مرتب به مردم پیامک می‌دهد که روی هر لینکی که ارسال می‌شود کلیک نکنید و هر نرم افزاری را از هر جایی دانلود نکنید.

فریب کاربران موبایل از طریق مهندسی اجتماعی

خانلری در مورد راهکار مهم دیگر برای جلوگیری از هک گوشی می‌گوید: نصب نرم افزارهای امنیتی روی گوشی موبایل راهکار دیگری است. یادمان باشد امنیت هیچ وقت صد درصد نیست حتی کمپانی‌های بزرگ دنیا با داشتن تیم‌های مجرب امنیتی هم هک می‌شوند اما با پیشرفت تلفن‌های همراه و تولید نرم افزارهای معتبر امنیتی می‌توانیم تا حد زیادی سطح امنیتی تلفن همراه خودمان را بالا ببریم. اکنون که سطح امنیت تلفن‌های همراه جدید و نرم افزارهای امنیتی بالا رفته است، هکرها به روش‌های جدید از جمله روش‌های مهندسی اجتماعی (Social Engineering) روآورده‌اند. مثلاً گول زدن و فریب دادن مردم از طریق پیام‌های برنامه‌ریزی شده؛ گاهی یک پیامک ارسال می‌کنند که در فلان شهرستان این مقدار طلا پیدا کرده‌ام، بیا اینها را برای من بفروش و در سود آن شریک باش. گاهی هم این افراد به صورت یک زن یا مرد خیلی شیک پوش و متخصص جلوی عابربانک به سراغ افراد می‌روند و از افراد کمک می‌خواهند که پولی را برای آنها جا به جا کنند و با ترفندهای خاص خود کاری می‌کنند که افراد دو دستی با دست خودشان پولشان را تقدیم آنها می‌کنند.

امنیت هیچ وقت صد درصد نیست حتی کمپانی‌های بزرگ دنیا با داشتن تیم‌های مجرب امنیتی هم هک می‌شوند اما با پیشرفت تلفن‌های همراه و تولید نرم افزارهای معتبر امنیتی می‌توانیم تا حد زیادی سطح امنیتی تلفن همراه خودمان را بالا ببریم.

این کارشناس امنیت سایبری در ادامه توضیح می‌دهد: گاهی این افراد تلفنی به شما زنگ می‌زنند و آن قدر خوب و تمیز با شما صحبت می‌کنند که اصلاً شک نمی‌کنید دزد باشد. برای نمونه می‌گویند ۲۰ میلیون تومان جایزه سفر به عتبات عالیات یا سفر حج در فلان مسابقه برنده شده‌اید و شما را مجاب می‌کنند که مبلغی را به حساب آنها واریز کنید. ممکن است این مبلغ خیلی هم کم باشد که شک نکنید یا برایتان مهم نباشد. آدم‌های زیادی به این روش فریب خورده‌اند و حسابشان خالی شده است. خیلی شیک و تمیز هم از شما خداحافظی می‌کنند طوری که اصلا شک نمی‌کنید. بعد که به خودتان می‌آیید می‌بینید شما برای عتبات یا سفر حج یا آن مسابقه ثبت نام نکرده بودید و بعدا متوجه کلاهبرداری می‌شوید.

وی تصریح می‌کند: نرم افزارهای مختلفی برای تامین امنیت گوشی موبایل وجود دارد. برای دانلود برنامه باید از منابع معتبر استفاده شود. گوگل پلی یا اپ استور کمپانی‌های معتبری برای دانلود نرم افزار هستند. من نرم افزارهای مشابه دیگر را توصیه نمی‌کنیم، فقط در سال ۲۰۲۵ گوگل پلی بیش از ۲ میلیون برنامه مخرب را از سایت خودش حذف کرد. بنابراین برای دانلود نرم افزار خیلی باید دقت کرد، بی‌دقتی در این زمینه و اولین اشتباه می‌تواند آخرین اشتباه شما باشد. وقتی وارد یک سایت می‌شویم باید دقت کنیم که سایت مجوزهای لازم را داشته باشد، معمولاً مجوز سایت‌ها در قسمت پایین و فوتر سایت قرار می‌گیرد و با کلیک روی آن قسمت می‌توانیم مجوز آن را مشاهده کنیم.

نرم افزار بانک را هم حتماً باید از سایت اصلی خود بانک دانلود کنیم، اینکه نرم‌افزار بانک را در گوگل جستجو کنیم، احتمال اینکه به یک سایت نامعتبر هدایت شویم و یک نرم افزار جعلی و بدافزار دانلود کنیم وجود دارد. نرم افزاری به نام fing وجود دارد که می‌تواند تمام دستگاه‌ها و ابزارهای متصل به شبکه اینترنت شما را شناسایی کند و مشخص می‌کند که آیا همسایه شما از اینترنت شما استفاده می‌کند یا خیر. حتی وقتی روی گوشی تلفن نصب شود اگر تلفن همراه سرقت شود، سطح امنیت اطلاعات را بالا می‌برد و سارق نمی‌تواند اطلاعات شما را سرقت کند.

خانلری می‌گوید: پسوردهایی (رمزهایی) که برای برنامه‌های تلفن همراه استفاده می‌کنیم هم خیلی مهم است، پسورد باید مجموعی از حروف کوچک و بزرگ، اعداد و نشانه‌ها باشد. یک «پسورد» امن رمزی است که از یک الگوریتم خاص و مخصوص شما پیروی می‌کند، طوری که کسی نتواند آن را حدس بزند، در این صورت برای حفظ کردن آن هرچقدر هم که پیچیده باشد، مشکلی نخواهید داشت. بسیاری از مردم به این نکته بسیار مهم توجه نمی‌کنند. اگر از ۱۰ نفر به صورت تصادفی رمز عابر بانکشان را بپرسید بیشترشان شما سال تولد خودشان یا فرزندشان یا همسرشان را به عنوان رمز انتخاب کرده‌اند. فرد سارق فقط کافی است به اطلاعات شخصی شما و خانواده‌تان دست پیدا کند، به راحتی می‌تواند رمزهای عبور شما را پیدا کند.

این مدرس امیت سایبری اظهار می‌دارد: این درست نیست که همه کارت‌های بانکی شما یک رمز داشته باشند باید یک الگوریتم برای رمزهای خود داشته باشید، برای نمونه از روی شماره ۱۶ رقمی کارت که روی آن است می‌توانید با یک الگوریتم که در ذهن خودتان دارید، استفاده کنید. برای مثال رقم اول چهاررقم اول، رقم دوم چهار رقم دوم، رقم سوم چهار رقم سوم و رقم چهارم چهار رقم چهارم را به عنوان رمز چهار رقمی کارت خود انتخاب کنید یا هر الگوریتم دیگری که حدس زدن آن برای سارق مشکل باشد یا می‌توانید هر فصل این الگوریتم را تغییر دهید.

دسترسی RAT به میکروفن، دوربین، مکان، مخاطبان و گالری تلفن

خانلری می‌گوید: گاهی یک نرم افزار بدون دلیل از شما دسترسی به گالری، دوربین، میکروفن یا شبکه‌های اجتماعی را می‌خواهد، در حالی که ممکن است هیچ نیازی به این دسترسی‌ها نباشد. البته نرم افزارهای امن و استاندارد مثل گوگل هم ممکن است جاسوسی کنند. چون همه اطلاعات ما را دارند می‌گویند گوگل از پدر و مادرمان بهتر ما رو می‌‎شناسد، می‌داند چه علاقه‌مندی‌هایی داریم و همه اطلاعات مهم ما را دارد. نرم افزارهای خطرناکی به روش RAT وجود دارند که اگر آنها را روی گوشی فعال کنیم به همه ابزارهای تلفن ما از جمله میکروفن، دوربین، لوکیشن (مکان)، گالری، مخاطبان و... دسترسی پیدا می‌کند. من خودم برای آزمایش یک نرم افزار apk درست کردم و این کد مخرب را برای دوستم ارسال کردم. دوست من هم بر اساس اعتمادی که به من داشت نرم افزار را نصب کرد و من بلافاصله به همه بخش‌های گوشی او دسترسی پیدا کردم.

وی در ادامه می‌افزاید: RAT یک روش ساخت برنامه است، برای مثال نرم‌افزار سوپرماریو از این نوع است یا برنامه رات اندروید دروید جک (Droid jack) یکی از معروفترین این نوع برنامه‌هاست. این برنامه اگر در گوشی کسی فعال شود، فرد هکر می‌تواند به دوربین جلو، گالری و همه فایل‌ها و برنامه‌های روی گوشی او دسترسی داشته باشد و امکان حذف و کپی همه آنها را خواهد داشت. همین طور به دفترچه تلفن و پیامک‌ها دسترسی پیدا می کند و حتی امکان تماس با گوشی فرد را هم خواهد داشت.

امنیت تلفن همراه هیچ وقت صددرصد نمی‌شود اما برای تامین نسبی امنیت باید از کلیک کردن روی لینک‌های ارسالی یا دانلود برنامه از منابع مشکوک و ناشناس خودداری و از رمزهای قوی و نرم افزارهای امنیتی قابل اطمینان استفاده کنیم.

هکرها به محض دسترسی به گوشی افراد اول سراغ مخاطبان، بخش تماس‌ها، بخش لوکیشن (مکان) و GPS، بعد گالری و بعد به پیامک‌ها و دوربین جلو و عقب دسترسی پیدا می‌کنند. نرم افزارهایی نیز وجود دارد که این دسترسی را به افراد دیگری می‌دهد. کاربرد این نرم افزارها برای مراقبت از افرادی است که برای مثال به علت کهولت و فراموشی باید همواره از آنان مراقبت کرد و لازم است هر لحظه بدانیم که فرد کجاست یا برای کنترل فرزندمان برای اینکه بدانیم با چه کسی صحبت می‌کند یا کجا می‌رود.

یکی از روش‌های متداول هک کردن تلفن این است که یک نفر اطلاعات شما را می‌دزد و آن را به خود شما می‌فروشد یا به ایمیل افراد یک سازمان خاص پیام می‌فرستند تا بتوانند افراد آن سازمان را فریب بدهند. وقتی هکر اعتماد شما را جلب کرد شروع می‌کند به جاسوسی و سوء استفاده از شما. برای نمونه هکر می‌گوید زمان رمز شما در حال اتمام است روی این لینک کلیک کنید تا بتوانید از گوشی یا نرم افزار خود استفاده کنید. برخی حملات فیشینگ کورکورانه است یعنی به صورت تصادفی برای هزار نفر لینک می‌فرستند اگر از این تعداد پنج نفر هم هک شود برای آنها کفایت می‌کند، بدافزار را ارسال می‌کنند تا بتواند به گوشی یک نفر دسترسی پیدا کنند بعد با هک دوربین موبایل یا وب کم از او فیلم می‌گیرند سپس او را تهدید می‌کنند که اگر این مقدار بیت‌کوین ندهی شما را لو می‌دهیم و با این کار بار خودشان را می‌بندند.

بازگشت به تنظیم کارخانه جواب می‌دهد!

توصیه اکید خانلری به همه مردم این است که برای ورود به همه نرم افزارها به خصوص تلگرام و شبکه‌های ارتباطی رمز ۲ مرحله‌ای بگذارند، این کار ممکن است برای خود کاربر هم سختی‌هایی داشته باشد اما باید برای امنیت بیشتر اقدام کرد. در بسیاری از موارد بعد از هک گوشی با پاک کردن بد افزار، امنیت گوشی بر نمی‌گردد و باید کل گوشی را به تنظیم کارخانه برگرداند.

این کارشناس امنیت سایبری توضیح می‌دهد: برای اینکه افراد به این دردسرها نیفتند باید حواسشان باشد که روی هر لینکی کلیک نکنند. نرم افزارها را از جاهای معتبر دریافت کنند. گاهی بدافزارهای نصب شده در سطح روت‌کیت تلفن نصب می‌شوند، در واقع روی خود اندروید قرار می‌گیرند و فرد ممکن است در حالت معمولی نتواند آن را پاک یا حذف کند، در مواردی ممکن است از طریق ورود به safe mode امکان حذف نرم افزار باشد. البته نرم افزارهایی هم هستند که اپلیکیشن را حذف می‌کنند.

خانلری در پایان یادآور می‌شود: در مجموع هر زمان ممکن است به علت هک گوشی به جایی برسیم که هیچکدام از اقدامات امنیتی کارساز نباشد و مجبور شویم گوشی را به تنظیم کارخانه برگردانیم. بنابراین بهتر است همیشه از اطلاعات، فایل‌ها و عکس‌های مهم نسخه پشتیبان بگیریم تا اطلاعات مهم را از دست ندهیم.