جعل هویت (Spoofing) نوعی کلاهبرداری است که در آن یک مجرم آدرس ایمیل، نام نمایشی، شماره تلفن، پیام متنی یا آدرس وب‌سایت را جعل می‌کند تا هدف را متقاعد کند که با یک منبع شناخته‌شده و قابل اعتماد در ارتباط است. جعل هویت اغلب شامل تغییر تنها یک حرف، عدد یا نماد در ارتباط است تا در نگاه اول معتبر به نظر برسد. برای مثال، ممکن است ایمیلی دریافت کنید که به نظر می‌رسد از نتفلیکس باشد اما از نام دامنه جعلی مانند "netffix.com" استفاده کند.
نکات کلیدی
- جعل هویت برای فریب دادن شما به منظور افشای اطلاعات شخصی می‌تواند از طریق ایمیل، پیام‌های متنی، شناسه تماس‌گیرنده و حتی گیرنده‌های GPS انجام شود.
- نسبت به هرگونه درخواست برای اطلاعات شخصی مشکوک باشید، فایل‌ها را فقط از منابع قابل اعتماد دانلود کنید و نرم‌افزارهای ضد ویروس و ضد بدافزار معتبر نصب کنید.
- اگر فکر می‌کنید قربانی جعل هویت شده‌اید، می‌توانید شکایتی در مرکز شکایات مصرف‌کننده کمیسیون ارتباطات فدرال (FCC) ثبت کنید. اگر پولی از دست داده‌اید، با پلیس محلی تماس بگیرید.
جعل هویت چگونه کار می‌کند؟
مجرمان جعل هویت تلاش می‌کنند اعتماد شما را جلب کنند و روی این حساب می‌کنند که شما باور کنید ارتباطات جعلی معتبر هستند. اغلب استفاده از نام یک شرکت بزرگ و قابل اعتماد مانند آمازون یا پی‌پال کافی است تا هدف را به انجام اقدامی یا افشای اطلاعات ترغیب کند.
برای مثال، یک ایمیل جعلی از آمازون ممکن است نشان‌دهنده مشکلی با خرید اخیر باشد که شما را ترغیب می‌کند روی لینکی کلیک کنید تا اطلاعات بیشتری کسب کنید (نکته: روی لینک کلیک نکنید). از طریق آن لینک، ممکن است بدافزار دانلود کنید یا به یک صفحه ورود جعلی هدایت شوید که در آن به‌طور ناخواسته نام کاربری و رمز عبور خود را وارد می‌کنید.
جعل هویت می‌تواند شما را به افشای اطلاعات شخصی و مالی، ارسال پول و دانلود بدافزار سوق دهد، که می‌تواند به آلودگی رایانه‌ها، کلاهبرداری مالی و سرقت هویت منجر شود. جعل هویت می‌تواند برای انتشار بدافزار از طریق لینک‌ها و پیوست‌ها، دور زدن کنترل‌های دسترسی شبکه و محدود کردن دسترسی از طریق حملات منع سرویس (DoS) استفاده شود. در سطح شرکتی، جعل هویت می‌تواند باعث آلودگی سیستم‌ها و شبکه‌های رایانه‌ای، نقض داده‌ها و از دست دادن درآمد شود.
انواع مختلفی از جعل هویت وجود دارد، از جمله جعل ایمیل، پیام متنی، شناسه تماس‌گیرنده، آدرس وب‌سایت و GPS. به‌طور کلی، اگر نوعی ارتباط آنلاین وجود داشته باشد، جاعلان سعی می‌کنند راه خود را به آن باز کنند—و به هویت و دارایی‌های شما نفوذ کنند.
چگونه از خود در برابر جعل هویت محافظت کنیم؟
راه‌های متعددی برای محافظت از خود در برابر کلاهبرداران جعل هویت وجود دارد:
- فیلتر هرزنامه ایمیل خود را فعال کنید: این کار مانع از رسیدن بسیاری از ایمیل‌های جعلی به صندوق ورودی شما می‌شود.
- روی لینک‌ها یا پیوست‌های ایمیل‌های ناشناخته کلیک نکنید: اگر احتمال می‌دهید ایمیل معتبر باشد، مستقیماً با فرستنده تماس بگیرید تا صحت آن را تأیید کنید.
- اگر ایمیل یا پیام مشکوکی شما را به ورود به حساب‌تان دعوت کرد، روی لینک ارائه‌شده کلیک نکنید: در عوض، یک تب یا پنجره جدید باز کنید (یا از برنامه اختصاصی در تلفن خود استفاده کنید) و مستقیماً به حساب خود وارد شوید.
- نمایش پسوند فایل‌ها در ویندوز: ویندوز به‌طور پیش‌فرض پسوند فایل‌ها را نمایش نمی‌دهد، اما می‌توانید این تنظیم را تغییر دهید. برای این کار، در File Explorer روی تب "View" کلیک کنید و گزینه نمایش پسوند فایل‌ها را فعال کنید. این کار از جاعلان جلوگیری نمی‌کند، اما به شما امکان می‌دهد پسوندهای جعلی را ببینید و از باز کردن فایل‌های مخرب اجتناب کنید.
- نرم‌افزار امنیتی معتبر تهیه کنید: نرم‌افزار خوب شما را از تهدیدات بالقوه آگاه می‌کند، دانلودها را متوقف می‌کند و از تسلط بدافزارها جلوگیری می‌کند. به یاد داشته باشید که نرم‌افزار تنها در صورتی کار می‌کند که به‌روز نگه داشته شود و به‌طور منظم استفاده شود.
- اگر درخواستی برای اطلاعات شخصی دریافت کردید، آن را ارائه ندهید: تماس را قطع کنید (یا از سیستم خارج شوید) و سپس شماره تلفن یا آدرس ایمیل خدمات مشتری را از نهادی که ظاهراً با شما تماس گرفته است، جستجو کنید.
- اگر فکر می‌کنید قربانی جعل هویت شده‌اید: می‌توانید شکایتی در مرکز شکایات مصرف‌کننده FCC ثبت کنید. FCC روی شکایات فردی اقدام نمی‌کند اما اطلاعات را به پایگاه داده خود اضافه می‌کند. اگر به دلیل جعل هویت پولی از دست داده‌اید، FCC توصیه می‌کند با اداره پلیس محلی تماس بگیرید.
انواع جعل هویت
- جعل ایمیل (Email Spoofing) جعل ایمیل عملی است که در آن ایمیل‌هایی با آدرس فرستنده جعلی ارسال می‌شود، معمولاً به‌عنوان بخشی از یک حمله فیشینگ برای سرقت داده‌های شما، درخواست پول یا آلوده کردن رایانه شما با بدافزار. این تاکتیک توسط تبلیغ‌کنندگان نادرست و دزدان آشکار استفاده می‌شود. جاعل ایمیلی با خط "From:" جعلی ارسال می‌کند تا قربانیان را فریب دهد که پیام از یک دوست، بانک یا منبع معتبر دیگر است. هر ایمیلی که رمز عبور، شماره تأمین اجتماعی یا سایر اطلاعات شخصی شما را درخواست کند، می‌تواند یک ترفند باشد.
این ایمیل‌ها معمولاً ترکیبی از ویژگی‌های فریبنده دارند، از جمله:
- آدرس‌های فرستنده جعلی که شبیه به شخصی که می‌شناسید و به او اعتماد دارید به نظر می‌رسند.
- آدرس فرستنده غایب یا حداقل آدرسی که برای کاربر معمولی یافتن آن دشوار است.
- برندسازی شرکتی آشنا، مانند لوگوها، رنگ‌ها، دکمه‌های فراخوان به عمل و غیره.
- غلط‌های املایی، گرامر ضعیف و ساختار غیرمعمول (مثلاً: «سلام آقا، لطفاً مطمئن شوید این داده‌ها خوب و مناسب هستند»).
- جعل پیام متنی (Text Message Spoofing) که گاهی به‌عنوان smishing شناخته می‌شود، شبیه جعل ایمیل است. پیام متنی به نظر می‌رسد از منبعی معتبر مانند بانک یا مطب پزشک شما آمده است. ممکن است از شما بخواهد با شماره تلفن خاصی تماس بگیرید یا روی لینکی در پیام کلیک کنید تا اطلاعات شخصی خود را افشا کنید.
- جعل شناسه تماس‌گیرنده (Caller ID Spoofing) در اینجا، جاعل شماره تلفنی که از آن تماس می‌گیرد را جعل می‌کند به امید اینکه شما تماس او را پاسخ دهید. در شناسه تماس‌گیرنده شما، ممکن است به نظر برسد که تماس از یک کسب‌وکار یا نهاد دولتی معتبر مانند اداره مالیات (IRS) است. توجه داشته باشید که IRS اعلام کرده است که بدون ارسال قبض از طریق پست، با مودیان تماس نمی‌گیرد تا بگوید مالیات بدهکار هستند.
نکته مهم:
جعل هویت به اشکال مختلفی وجود دارد، اما هدف معمولاً فریب دادن افراد برای افشای اطلاعات شخصی است که مجرمان می‌توانند از آن استفاده کنند.
- جعل همسایگی (Neighbor Spoofing)
این نوع جعل شناسه تماس‌گیرنده است که در آن تماس به نظر می‌رسد از شخصی که می‌شناسید یا فردی که در نزدیکی شما زندگی می‌کند آمده است. FCC می‌گوید که قانون حقیقت در شناسه تماس‌گیرنده «هرگونه انتقال اطلاعات نادرست یا گمراه‌کننده شناسه تماس‌گیرنده با قصد کلاهبرداری، ایجاد آسیب یا به‌دست آوردن چیزی با ارزش به‌طور غیرقانونی» را ممنوع می‌کند. اگر جاعلان گرفتار شوند (که احتمال آن کم است)، ممکن است با جریمه‌هایی تا 10,000 دلار برای هر تخلف مواجه شوند. - جعل آدرس وب‌سایت یا URL (URL or Website Spoofing)
جعل URL زمانی رخ می‌دهد که کلاهبرداران وب‌سایتی جعلی راه‌اندازی می‌کنند تا اطلاعات قربانیان را به دست آورند یا بدافزار روی رایانه‌های آن‌ها نصب کنند. برای مثال، قربانیان ممکن است به سایتی هدایت شوند که شبیه وب‌سایت بانک یا شرکت کارت اعتباری آن‌ها به نظر می‌رسد و از آن‌ها خواسته شود با استفاده از شناسه کاربری و رمز عبور خود وارد شوند. اگر فرد فریب بخورد و وارد شود، کلاهبردار می‌تواند از اطلاعاتی که قربانی وارد کرده برای ورود به سایت واقعی و دسترسی به حساب‌های او استفاده کند. - جعل GPS (GPS Spoofing)
جعل GPS هدف متفاوتی دارد. این تلاش برای فریب دادن گیرنده GPS است تا باور کند در مکان متفاوتی قرار دارد یا در جهت متفاوتی حرکت می‌کند، با پخش سیگنال‌های GPS جعلی یا روش‌های دیگر. در حال حاضر، جعل GPS بیشتر در جنگ یا توسط گیمرها (مانند بازیکنان Pokémon GO) استفاده می‌شود تا مصرف‌کنندگان فردی را هدف قرار دهد، اگرچه فناوری برای آسیب‌پذیر کردن هر کسی وجود دارد. - حملات مرد میانی (Man-in-the-Middle Attacks)
این حملات جعل هویت شامل سه بازیگر هستند: قربانی، نهادی که قربانی سعی در ارتباط با آن دارد و «مرد میانی» که ارتباطات را رهگیری می‌کند. جاعل تلاش می‌کند تا مکالمات را استراق سمع کند یا یکی از طرف‌ها را جعل کند. هدف، رهگیری اطلاعات مفید، حساس یا بالقوه سودآور (مانند اعتبار ورود و اطلاعات کارت اعتباری) است. اطلاعات دزدیده‌شده می‌تواند برای تأیید تراکنش‌های مالی، سرقت هویت یا فروش به شخص ثالث استفاده شود. - جعل IP (IP Spoofing)
این نوع کلاهبرداری زمانی رخ می‌دهد که شخصی بخواهد مکان ارسال یا درخواست داده را مخفی یا پنهان کند، بنابراین آدرس پروتکل اینترنت (IP) منبع را با یک آدرس جعلی جایگزین می‌کند. آدرس IP جعلی به نظر می‌رسد از یک منبع قابل اعتماد (آدرس IP اصلی) آمده است در حالی که هویت واقعی خود را پنهان می‌کند: یک شخص ثالث ناشناخته. خدمات شبکه خصوصی مجازی (VPN) به کاربران اجازه می‌دهند تا IP و مکان خود را مخفی کنند، که می‌تواند برای دلایل قانونی مانند حفظ حریم خصوصی یا پخش محتوا در هنگام سفر به خارج از کشور نیز استفاده شود. - جعل چهره (Facial Spoofing)
این جدیدترین شکل جعل هویت است. در جعل چهره، یک مجرم از چهره یک فرد استفاده می‌کند و بیومتریک‌های چهره او را با استفاده از یک عکس یا ویدئو برای جایگزینی هویت او شبیه‌سازی می‌کند. جعل چهره بیشتر برای ارتکاب کلاهبرداری هویتی بانکی استفاده می‌شود. با این حال، در پولشویی نیز استفاده می‌شود.
جعل هویت در مقابل فیشینگ
جعل هویت شامل جعل هویت یک فرد است و می‌تواند برای حملات مختلفی مانند سرقت هویت استفاده شود.
فیشینگ یکی از کاربردهای جعل هویت است که تلاش می‌کند اطلاعات شخصی یا اعتبار فرد را با فریب دادن او برای داوطلبانه ارائه دادن این اطلاعات از یک منبع نادرست که به نظر معتبر می‌رسد، بدزدد. برای مثال، یک ایمیل فیشینگ ممکن است به نظر برسد که از بانک شما آمده است، اما لینک داخل آن شما را به نسخه جعلی وب‌سایت بانک هدایت می‌کند. اگر اعتبار خود را وارد کنید، این اطلاعات به مهاجم تحویل داده می‌شود.
چگونه جعل هویت را تشخیص دهیم؟
جعل هویت می‌تواند پیچیده باشد، بنابراین کلید در توجه به جزئیات و اعتماد به غریزه است. مراقب وب‌سایت‌هایی باشید که نماد قفل یا نوار سبز ندارند، یا آدرس‌های URL که با HTTP به جای HTTPS (نسخه رمزگذاری‌شده HTTP) شروع می‌شوند. راه دیگر برای شناسایی وب‌سایت جعلی این است که مدیر رمز عبور شما اطلاعات ورود را به‌طور خودکار پر نکند—نشانه‌ای که وب‌سایت را نمی‌شناسد.
در مورد ایمیل‌ها، آدرس فرستنده را با دقت بررسی کنید، با در نظر گرفتن این که کلاهبرداران از دامنه‌های جعلی استفاده می‌کنند که بسیار شبیه به دامنه‌های معتبر هستند. البته، غلط‌های املایی، گرامر ضعیف و ساختار غیرمعمول در ایمیل نیز نشانه‌های خطر هستند. اگر هنوز مطمئن نیستید، محتوای ایمیل را کپی و در گوگل جای‌گذاری کنید، جایی که جستجوی سریع می‌تواند نشان دهد آیا کلاهبرداری شناخته‌شده‌ای در حال گردش است. در نهایت، همیشه قبل از کلیک روی لینک‌های تعبیه‌شده، ماوس را روی آن‌ها نگه دارید تا URL نمایش داده شود. اگر URL مشکوک به نظر برسد، احتمالاً کلاهبرداری است.
برای تلفن‌ها، شناسه تماس‌گیرنده به راحتی جعل می‌شود. کلاهبرداران اغلب از جعل همسایگی استفاده می‌کنند، بنابراین به نظر می‌رسد تماس‌ها از شماره‌ای محلی می‌آیند. آن‌ها همچنین ممکن است شماره‌ای از یک نهاد دولتی یا کسب‌وکاری که می‌شناسید و به آن اعتماد دارید را جعل کنند. FCC توصیه می‌کند که به تماس‌هایی از شماره‌های ناشناخته پاسخ ندهید—و اگر پاسخ دادید، فوراً تماس را قطع کنید.
نکته
برای نگه داشتن ماوس روی لینکی که در گوشی هوشمند شما است، انگشت خود را چند ثانیه روی لینک نگه دارید. پنجره‌ای ظاهر می‌شود که URL کامل لینک را نشان می‌دهد. این می‌تواند به شما کمک کند تا تشخیص دهید لینک قابل اعتماد است یا مشکوک.
آیا جعل هویت غیرقانونی است؟
جعل هویت بسته به نوع جعل، نیت و حوزه قضایی می‌تواند غیرقانونی باشد. اگر شماره تلفن خود را مخفی کنید اما هیچ آسیبی وارد نشود، جعل هویت قانونی است. اما در ایالات متحده، FCC هرگونه انتقال اطلاعات نادرست یا گمراه‌کننده شناسه تماس‌گیرنده با قصد کلاهبرداری را ممنوع کرده است، با جریمه‌هایی تا 10,000 دلار برای هر مورد.
نمونه‌ای از جعل هویت چیست؟
یک سناریوی رایج جعل هویت زمانی رخ می‌دهد که ایمیلی از آدرس فرستنده جعلی ارسال می‌شود و از گیرنده می‌خواهد داده‌های حساس را ارائه دهد. معمولاً گیرنده تشویق می‌شود روی لینکی کلیک کند تا به حساب خود وارد شود و جزئیات شخصی و مالی را به‌روزرسانی کند. لینک‌های موجود در ایمیل‌های جعلی همچنین می‌توانند رایانه گیرنده را با بدافزار آلوده کنند.
تفاوت بین جعل هویت و فیشینگ چیست؟
اصطلاحات "جعل هویت" و "فیشینگ" اغلب به جای یکدیگر استفاده می‌شوند، اما معانی متفاوتی دارند. جعل هویت از آدرس ایمیل جعلی، نام نمایشی، شماره تلفن یا آدرس وب برای فریب دادن افراد استفاده می‌کند تا باور کنند با یک منبع شناخته‌شده و قابل اعتماد در تعامل هستند. فیشینگ شما را فریب می‌دهد تا اطلاعات شخصی را ارائه دهید که می‌تواند برای سرقت هویت استفاده شود. بسیاری از فیشرها از تاکتیک‌های جعل هویت استفاده می‌کنند تا قربانیان خود را فریب دهند که اطلاعات شخصی را به منبعی معتبر و قابل اعتماد ارائه می‌دهند.
نتیجه‌گیری
از گذشته‌های دور، افراد وانمود کرده‌اند که شخص دیگری یا نماینده سازمان‌های دیگر هستند. با این حال، با ظهور اینترنت و ارتباطات آنلاین، "جعل هویت" بسیار آسان‌تر و گسترده‌تر شده است. وب‌سایت‌ها، ایمیل‌ها، موقعیت‌های جغرافیایی و شماره‌های تلفن امروزه همگی می‌توانند توسط افراد بدخواه برای ارتکاب جرم، سرقت هویت یا انجام کلاهبرداری جعل شوند. دانستن چگونگی شناسایی و محافظت در برابر جعل هویت در عصر دیجیتال مهم است. در عین حال، جعل هویت می‌تواند برای کاربران اینترنت برای اهداف قانونی حفظ حریم خصوصی، ناشناسی فراهم کند. برای مثال، استفاده از VPNها می‌تواند مکان و هویت شما را هنگام گشت‌وگذار در وب مخفی کند.
نظرات کاربران