راه تازه هکرها برای سرقت حساب کاربران چیست؟
به گزارش خبرگزاری آنا، به نقل از «The Hacker News»؛ هوش مصنوعی مولد ساخت صفحات جعلی ورود را برای مهاجمان ساده‌تر کرده است. این صفحات می‌توانند ظاهر درگاه‌های احراز هویت شرکت‌ها و سرویس‌های شناخته‌شده را بازسازی کنند و با پیام‌های متناسب با سازمان یا کاربر هدف، قربانی را به واردکردن اطلاعات حساب خود ترغیب کنند.
در این روش، مهاجمان با تقلید از برندهای معتبر و طراحی صفحات ورود مشابه نمونه اصلی، تلاش می‌کنند نام کاربری، رمز عبور و اطلاعات تکمیلی کاربران را به دست آورند. هوش مصنوعی نیز امکان تولید و شخصی‌سازی این صفحات را در مقیاس گسترده‌تری فراهم می‌کند؛ به‌طوری‌که ساخت یک صفحه جعلی دیگر به مهارت فنی بالا یا صرف زمان طولانی نیاز ندارد.
سرقت فراتر از رمز عبور رفت
برخی صفحات جعلی فقط به دریافت نام کاربری و رمز عبور بسنده نمی‌کنند و کدهای احراز هویت چندمرحله‌ای را نیز هدف قرار می‌دهند. مهاجمان با تقلید از فرایند ورود واقعی، از کاربر می‌خواهند کد پیامکی یا اپلیکیشن احراز هویت را وارد کند و سپس از آن برای ورود غیرمجاز به حساب استفاده می‌کنند.
در حملات پیچیده‌تر، مهاجم از روشی به نام «مرد میانی» استفاده می‌کند؛ در این شیوه، صفحه جعلی میان کاربر و سرویس اصلی قرار می‌گیرد و درخواست‌های ورود را به‌صورت زنده منتقل می‌کند. در نتیجه، پس از ورود موفق کاربر، مهاجم می‌تواند کوکی نشست یا توکن احراز هویت را به دست آورد و از آن برای دسترسی به حساب استفاده کند.
این روش که با عنوان ربایش نشست شناخته می‌شود، خطرناک است؛ زیرا مهاجم ممکن است بدون واردکردن دوباره رمز عبور یا گذراندن مرحله احراز هویت چندمرحله‌ای، از نشست فعال کاربر سوءاستفاده کند.
چرا احراز هویت چندمرحله‌ای کافی نیست؟
احراز هویت چندمرحله‌ای یکی از راهکارهای مهم برای افزایش امنیت حساب‌هاست؛ اما همه روش‌های آن در برابر صفحات جعلی مقاوم نیستند. اگر کاربر کد یک‌بارمصرف خود را در صفحه‌ای وارد کند که تحت کنترل مهاجم است، امکان سرقت و استفاده فوری از آن وجود دارد.
در حملات مبتنی بر ربایش نشست نیز مهاجم به جای دور زدن مستقیم سازوکار احراز هویت، از نشست کاربری که قبلاً تأیید شده است، سوءاستفاده می‌کند. به همین دلیل، فعال‌بودن احراز هویت چندمرحله‌ای به‌تنهایی تضمین نمی‌کند که حساب در برابر تمام روش‌های فیشینگ ایمن باشد.
چگونه از سرقت حساب جلوگیری کنیم؟
کاربران برای کاهش خطر فیشینگ باید پیش از واردکردن اطلاعات ورود، نشانی واقعی وب‌سایت را در نوار آدرس مرورگر بررسی کنند. وجود قفل یا اتصال HTTPS به‌تنهایی نشان نمی‌دهد که سایت معتبر است؛ زیرا صفحات جعلی نیز می‌توانند از اتصال امن استفاده کنند.
همچنین استفاده از کلیدهای امنیتی و گذرکلیدها (Passkeys) که به دامنه اصلی سرویس وابسته‌اند، در برابر صفحات جعلی مقاوم‌تر است. این روش‌ها برخلاف رمز عبور و کدهای یک‌بارمصرف، برای دامنه‌ای غیر از سرویس معتبر قابل استفاده نیستند.
سازمان‌ها نیز باید فعالیت‌های ورود غیرعادی، دستگاه‌های ناشناس، تغییرات مشکوک در حساب‌ها و دسترسی‌های مدیریتی را بررسی کنند و برای گزارش صفحات فیشینگ و لغو نشست‌های مشکوک، سازوکار مشخصی داشته باشند.
احراز هویت چندمرحله‌ای کافی است؟
علی رضایی، استاد دانشگاه و عضو هیئت علمی گروه مهندسی کامپیوتر دانشگاه علوم و تحقیقات، در گفت‌وگو با آناتک درباره روش‌های احراز هویت دیجیتال، تاکید می‌کند که استفاده از رمز عبور قوی به تنهایی برای محافظت از حساب‌های مهم کافی نیست. به گفته او، ممکن است کاربر فریب بخورد و رمز خود را در یک صفحه جعلی وارد کند یا اطلاعات ورود او از راه دیگری افشا شود؛ در چنین شرایطی، وجود یک لایه امنیتی مکمل اهمیت پیدا می‌کند.
احراز هویت دومرحله‌ای یا چندمرحله‌ای با افزودن عامل دیگری به فرایند ورود، می‌تواند در برابر برخی حملات از جمله استفاده غیرمجاز از رمز افشاشده مانع ایجاد کند. با این حال، روش‌های مختلف احراز هویت مرحله دوم از نظر امنیت یکسان نیستند و انتخاب روش مناسب باید با توجه به حساسیت حساب انجام شود.
رضایی همچنین توصیه می‌کند کاربران برای حساب‌های مهم خود رمزهای منحصربه‌فرد انتخاب کنند، احراز هویت دومرحله‌ای را فعال نگه دارند و از واردکردن اطلاعات ورود در صفحات مشکوک خودداری کنند؛ اقداماتی که در کنار هم، احتمال دسترسی غیرمجاز به حساب‌ها را کاهش می‌دهند.
ظاهر معتبر، امنیت را تضمین نمی‌کند
هوش مصنوعی تشخیص صفحات جعلی را دشوارتر کرده است؛ زیرا مهاجمان می‌توانند ظاهر سایت‌های معتبر را با دقت بیشتری تقلید کنند و پیام‌های فیشینگ را متناسب با کاربران هدف بسازند. در چنین شرایطی، آشنایی با نشانه‌های ظاهری فیشینگ کافی نیست و امنیت ورود باید به روش‌های مقاوم‌تر در برابر جعل وابسته شود. فیشینگ دیگر فقط یک صفحه جعلی نیست؛ حمله‌ای است که می‌تواند هم‌زمان رمز عبور، کد احراز هویت و نشست فعال کاربر را هدف بگیرد.
انتهای پیام/