حسابدار شرکت پیام صوتی‌ای دریافت می‌کند که صدای مدیرعامل است: «جلسه دارم، فوراً این مبلغ را به این حساب واریز کن، بعداً توضیح می‌دهم.» صدا، لحن و حتی تکیه‌کلام‌ها آشناست. سال‌ها به کارکنان گفته‌ایم ایمیل جعلی را از غلط‌های املایی و متن ناشیانه‌اش بشناسند، اما هوش مصنوعی این نشانه‌ها را از بین برده است. امروز متن، صدا و حتی تصویر را می‌شود با هزینه کم جعل کرد؛ پس محافظت باید بر فرایند تکیه کند، نه فقط بر تشخیص چشمی.
فیشینگ و دیپ‌فیک چه هستند؟
فیشینگ یعنی فریب دادن فرد با پیامی جعلی تا روی لینکی کلیک کند، رمز عبورش را وارد کند، فایلی را باز کند یا پولی پرداخت کند. دیپ‌فیک به صدا، تصویر یا ویدئویی گفته می‌شود که با هوش مصنوعی ساخته یا دست‌کاری شده تا شبیه یک فرد واقعی باشد. مهاجم برای ساختن صدای جعلی گاهی فقط به چند نمونه کوتاه از صدای واقعی نیاز دارد؛ مثلاً از ویدئوهای عمومی یا پیام‌های صوتی قبلی.
هوش مصنوعی چه چیزی را عوض کرده است؟
- متن ایمیل و پیام بی‌غلط، رسمی و متناسب با نقش گیرنده نوشته می‌شود.
- مهاجم می‌تواند با اطلاعات عمومی شرکت، پیامی شخصی‌سازی‌شده بسازد که به یک پروژه یا فرد واقعی اشاره دارد.
- پیام صوتی یا تماس با صدای جعلی یک مدیر یا مشتری ممکن شده است.
- تولید انبوه پیام‌های متفاوت، کار فیلترهای ساده را سخت‌تر کرده است.
نشانه‌هایی که هنوز کار می‌کنند
- فوریت و فشار: «همین الان»، «به کسی نگو»، «جلسه‌ام، زنگ نزن».
- درخواست غیرعادی: پرداخت به حساب جدید، تغییر شماره حساب یک تأمین‌کننده، ارسال رمز یا کد تأیید.
- کانال غیرمعمول: مدیری که همیشه ایمیل می‌زند، این بار از یک شماره ناشناس پیام می‌دهد.
- آدرس فرستنده یا لینک مشکوک: دامنه‌ای شبیه دامنه واقعی با یک حرف متفاوت.
- ایرادهای ریز در صدا و تصویر: مکث‌های غیرطبیعی، لحن یکنواخت، حرکت ناهماهنگ لب‌ها؛ هرچند این نشانه‌ها رو به کاهش است و نباید فقط به آن‌ها اعتماد کرد.
قانون طلایی: درخواست پول، رمز یا اطلاعات حساس را همیشه از یک کانال دوم و مستقل تأیید کنید؛ با شماره‌ای که از قبل دارید تماس بگیرید، نه با شماره‌ای که در همان پیام آمده است.
چطور از شرکت محافظت کنیم؟
- فرایند پرداخت دونفره: هر پرداخت یا تغییر شماره حساب، تأیید فرد دوم و تماس برگشتی با شماره ثبت‌شده را لازم داشته باشد.
- کلمه رمز داخلی: برای درخواست‌های فوری مدیران، یک عبارت توافقی داشته باشید که فقط افراد مجاز می‌دانند.
- ورود دومرحله‌ای: حتی اگر رمز کسی لو برود، ورود دومرحله‌ای جلوی بسیاری از سوءاستفاده‌ها را می‌گیرد. هرگز کد تأیید را برای کسی نفرستید.
- تنظیمات احراز هویت ایمیل: رکوردهای
SPF،DKIMوDMARCدامنه شرکت را درست تنظیم کنید تا جعل نام دامنه شما سخت‌تر شود و ایمیل‌های جعلی کمتر به صندوق‌ها برسند. - آموزش با مثال‌های تازه: به کارکنان نشان دهید فریب‌های جدید چه شکلی دارند و تمرین شبیه‌سازی‌شده انجام دهید.
- گزارش بدون سرزنش: کارمندی که روی لینک کلیک کرده باید بدون ترس فوراً گزارش دهد؛ دقایق اول مهم‌ترین زمان برای مهار حادثه است.
چک‌لیست
- هیچ پرداختی فقط با یک پیام یا تماس انجام نمی‌شود.
- تأیید از کانال دوم با شماره ثبت‌شده، روال ثابت شرکت است.
- ورود دومرحله‌ای برای ایمیل و سیستم‌های مهم فعال است.
- رکوردهای SPF، DKIM و DMARC دامنه بررسی شده‌اند.
- کارکنان نشانه‌های فیشینگ و دیپ‌فیک را می‌شناسند.
- مسیر روشن و سریع برای گزارش پیام مشکوک وجود دارد.
فریب‌های هوشمند با فرایندهای ساده و منظم شکست می‌خورند. کارشناسان ITPlus724 می‌توانند امنیت ایمیل سازمانی، رکوردهای احراز هویت دامنه و ورود دومرحله‌ای سیستم‌های شرکت شما را بررسی و تنظیم کنند.