پایگاه خبری راه پرداخت دارای مجوز به شماره ۷۴۵۷۲ از وزارت فرهنگ و ارشاد اسلامی و بخشی از «شبکه عصر تراکنش» است. راه پرداخت فعالیت خود را از دوم اردیبهشت‌ماه ۱۳۹۰ شروع کرده و اکنون پرمخاطب‌ترین رسانه ایران در زمینه فناوری‌های مالی، بانکداری و پرداخت و استارت‌آپ‌های فین‌تک است.
کاهش فیشینگ با رمز دوم پویا / آیا هکرها خسته می‌شوند؟
اجرایی شدن رمز دوم پویا تاثیر بسیاری بر کاهش آمار فیشینگ ازطریق رمز دوم کارت گذاشته است اما به مرور سارقان راه‌های جدیدتری برای انجام فعالیت‌های مجرمانه خود پیدا کرده‌اند
از نیمه دی‌ماه ۱۳۹۸ بود که استفاده از رمز دوم پویا اجباری شد و مهم‌ترین دلیل برای اجرایی‌شدن آن هم افزایش نگران‌کننده آمار فیشینگ بیان شده بود. با افزایش میزان استفاده از بستر الکترونیک برای انجام امور بانکی و خریدهای روزانه، آمار کسانی که در طول روز از طریق تلفن همراه خود وارد درگاه‌های بانکی یا سایت‌های پرداخت آنلاین می‌شوند، افزایش پیدا کرده و این موضوع فرصت مناسبی را در اختیار فیشرها قرار می‌دهد تا قربانیان خود را به دام بیندازند. قربانیان این کلاهبرداری‌ها اغلب افرادی هستند که بر اثر یک بی‌احتیاطی اطلاعات حساب بانکی خود را ناخواسته در اختیار فیشرها قرار داده و زمینه را برای سوءاستفاده مهیا کرده‌اند. طبق آمارهای بانک مرکزی، بعد از اجرایی شدن رمز دوم پویا، فیشینگ در اسفندماه ۱۳۹۸ نزدیک به ۸۵ درصد کاهش پیدا کرده؛ اما تجربه نشان داده مهارت افرادی که اقدام به فیشینگ می‌کنند، مدام در حال به‌روز شدن است و این موضوع را می‌توان از تغییر روند فیشینگ و رفتن آنها به سمت اینترنت‌بانک‌ها، موبایل‌بانک‌ها، وب‌سایت‌های قمار، تشویق کاربران به نصب اپلیکیشن‌های نامعتبر و ارسال پیامک‌های جعلی حاوی لینک‌های فیشینگ متوجه شد.
در این گزارش در گفت‌وگو با سرهنگ داوود معظمی گودرزی رئیس پلیس فتا تهران بزرگ، مهرداد حداد رئیس اداره نرم‌افزار بانک پاسارگاد، محمدعلی بخشی‌زاده معاون فناوری اطلاعات بانک دی، فرهاد اینالویی معاون فناوری اطلاعات بانک ایران زمین و محمدمهدی باریده هم‌بنیان‌گذار پی‌پینگ به این سوال پاسخ دادیم که آیا با اجرایی شدن رمز دوم پویا آمار فیشینگ کاهش پیدا کرده است یا خیر و همچنین به تغییر روند فیشینگ بعد از اجرایی شدن رمز دوم پویا پرداخته‌ایم.
کاهش ۵۰ درصدی پرونده‌های مرتبط با فیشینگ
طبق صحبت‌های سرهنگ داوود معظمی گودرزی رئیس پلیس فتا تهران بزرگ، اجرایی شدن پروژه رمز دوم پویا حاصل رایزنی‌های متعدد مجموعه پلیس فتا، بانک مرکزی و دادستانی بوده است و بلافاصله پس از اجرا شدن تاثیرات چشمگیری در کاهش ورودی پرونده‌های مرتبط با برداشت غیرمجاز از حساب شهروندان داشته است به‌گونه‌ای که فقط در پرونده‌های واصله مرتبط با فیشینگ در پلیس فتا تهران بزرگ باعث کاهش بیش از ۵۰ درصدی شده است.
رئیس پلیس فتا تهران درباره تغییر در نحوه فیشینگ بعد از اجرایی شدن رمز دوم پویا توضیح داد: «سابقا فیشینگ‌کار می‌توانست از روش‌های مختلف اطلاعات بانکی اشخاص زیادی را جمع‌آوری و هر زمان که می‌خواهد اقدام به برداشت غیرمجاز از حسابشان کند ولی پس از اجرا شدن رمز دوم پویا حداکثر 2 دقیقه زمان برای انجام این کار دارد لذا طبیعی است که با اجرا این پروژه، هزینه جرم برای مجرمان بالا رفته، انجام سرقت پیچیده‌تر شده و تعداد مالباختگان کمتر می‌شود؛ اما هنوز به نقطه مطلوب نرسیده‌ایم که جلسات کارشناسی همچنان بین متخصصان بانکی و پلیسی در حال برگزاری است و تا چند وقت دیگر انشاالله شاهد هدفمند شدن ارسال رمزهای یکبار مصرف با جزئیات بیشتر هستیم که قطعا باعث کاهش بیشتر پرونده‌ها در این زمینه خواهد شد ضمن اینکه لازم است تا آموزش‌های لازم به شهروندان در خصوص جلوگیری از به دام افتادن آنها در تور فیشینگ کار به‌صورت مرتب داده شود.»
او ادامه داد: «همچنین شبکه بانکی می‌بایست امنیت در انجام تراکنش‌ها را از وضعیت فعلی به شرایط بهینه‌تری ارتقاء دهد تا شاهد کمتر شدن سرقت از حساب‌های بانکی باشیم به طور مثال چرا یک شماره تلفن همراه که متعلق به شما نیست در حال حاضر می‌تواند با استفاده از اپلیکیشن‌ها از کارت شما تراکنش مالی انجام دهد؟ یا به چه دلیل جهت ورود به اینترنت بانک برخی از بانک‌ها و انجام همه تراکنش‌ها ازطریق آن الزاما از رمز یکبار مصرف استفاده نمی‌شود؟ همین موارد است که علت روی آوردن مجرمین به این شیوه شده، اما پلیس به جهت رفع این مشکلات مکاتباتی را با بانک‌های مختلف به جهت بالاتر رفتن ضریب امنیتی داشته است.»
پیامک‌های حاوی لینک فیشینگ و مذاکرات پلیس فتا با اپراتورها
سرهنگ گودرزی در خصوص پیامک‌های حاوی لینک فیشینگ گفت: «پلیس فتا تاکنون جلسات متعددی با اپراتورها و شرکت‌های ارائه دهنده پنل‌های پیامکی داشته است، انتظار ما از این شرکت‌ها این است که فرآیند احراز هویت دقیق‌تری را انجام دهند؛ به طور مثال در قسمت محتوا چرا باید پیامکی که حاوی لینک فیشینگ تحت عناوین مختلف نظیر تایید آگهی در سایت‌های تبلیغاتی، ثبت‌نام سبد کالا، کارت سوخت، هدفمندی یارانه‌ها، ثبت مشخصات گوشی تلفن همراه در سامانه همتا و …. است، بدون بررسی توسط شرکت اصلی برای چند ده و در مواردی چند صد هزار شهروند ارسال می‌شود و بدین صورت زمینه برای پهن شدن تور فیشینگ کار فراهم می‌شود؟ بدیهی است که با یکسری از هماهنگی‌ها و اقدامات می‌توان تا حد زیادی مانع از ادامه‌دار شدن این روند شد.»
او ادامه داد: «نکته دیگری که در این زمینه مطرح می‌شود این است که ما شاهد آن هستیم که شهروندان به دلایل مختلف ازطریق تکنیک‌های مهندسی اجتماعی فریب خورده و سیم کارت و یا پنل‌های خود را در اختیار مجرمان قرار می‌دهند که بایستی این نکته را بدانند که مسئولیت هرگونه سوء استفاده از سیم کارت و یا پنل پیامک مستقیما بر عهده مالک و ثبت‌کننده آن است؛ به طور مثال مجرمان معمولا با قرار دادن آگهی در سایت‌های تبلیغاتی تحت عنوان اشتغال به کار و … اشخاص ناآگاه را ترغیب به ثبت پنل، اخذ کارت بانکی، ثبت‌نام سیم کارت، احراز هویت در درگاه‌های واسط و … می‌کنند و سپس از شخص می‌خواهند که اطلاعات آنها را در قبال دریافت مبلغ ناچیزی واگذار کنند.»
فرایندهای جدید فیشینگ
طبق صحبت‌های مهرداد حداد، رئیس اداره نرم‌افزار بانک پاسارگاد، اجرایی شدن رمز دوم پویا تاثیر بسیاری بر کاهش آمار فیشینگ ازطریق رمز دوم کارت گذاشته است و پس از عملیاتی شدن ان، بیش از ۷۰ درصد از شکایات در این زمینه کاسته شد اما به مرور سارقان راه‌های جدیدتری برای انجام فعالیت‌های مجرمانه خود پیدا کرده‌اند. حداد درباره روش‌های جدیدی که اخیرا در این حوزه رواج یافته است، توضیح داد: «ازجمله آنها وب‌سایت‌های قمار است که از کاربران جهت انجام فعالیت در این سایت‌ها کد کاربری و رمز ورود به اینترنت بانک‌شان را درخواست می‌کنند. روش دیگر تماس‌های جعلی مبنی بر برنده شدن در قرعه‌کشی است اما این بار بدون تلاش برای کشاندن کاربر پای دستگاه خودپرداز! سارق از قربانی درخواست کد ملی می‌کند و او با اعلام آن به سارق و همچنین بازخوانی کد تایید پیامکی نصب نرم‌افزار پرداختی، موجبات سواستفاده از کارت خود را فراهم می آورد. همچنین روش‌هایی مانند تشویق کاربران به نصب برنامک‌های نامعتبر، کلیک روی لینک‌های فیشینگ ازطریق ارسال پیامک‌های جعلی و به دنبال آن سواستفاده از رمز کاربران توسط سارقان منتظر حتی در زمان کمتر از ۲ دقیقه نیز انجام می‌شود.»
رئیس اداره نرم‌افزار بانک پاسارگاد درباره اقداماتی که بانک‌ها باید در راستای جلوگیری از فیشینگ انجام دهند، گفت: «با توجه به استفاده بیشتر کاربران از تلفن‌های همراه، بانک‌ها می‌بایست به ارزیابی‌های فنی و امنیتی دوره‌ای در اپلیکیشن‌های بانکی اقدام کرده و آسیب‌پذیری‌های یافت شده را برطرف کنند. ضمن آنکه اجبار کاربران به استفاده از روش‌های احراز هویت دو یا چند عاملی در اینترنت بانک، احراز اصالت دوطرفه کاربر و بانک، محدودسازی آی‌پی‌های ورود به اینترنت بانک، آگاهی‌رسانی به کاربران نسبت به حفظ محرمانگی رمزها و کدهای پیامکی از سوی بانک، متناسب‌سازی سقف تراکنش‌های بانکی با میزان امنیت روش احراز هویت مورد استفاده کاربران و تقویت سامانه‌های fraud detection در بانک‌ها توصیه می‌شود.»
رفتن فیشینگ به سمت اینترنت‌بانک‌ها
به گفته محمدعلی بخشی‌زاده معاون فناوری اطلاعات بانک دی، بعد از اجرای رمز دوم پویا میزان فیشینگ به کمتر از ۵۰ درصد کاهش یافته است اما فیشینگ به سمت اینترنت‌بانک تغییر یافته که هکرها صفحاتی مشابه اینترنت بانک بانک‌ها طراحی می‌کنند و با هدایت مشتری اطلاعات نام کاربری و رمز عبور کاربران را بدست می‌آورند و سپس اقدام به فیشینگ می‌کنند.
بخشی‌زاده درباره اقدامات بانک‌ها برای جلوگیری از فیشینگ از اینترنت‌بانک‌ها گفت: «برای جلوگیری از فیشینگ، بانک‌ها رمز یکبار مصرف را برای ورود و همچنین انجام تراکنش بانکی اعم از انتقال وجه داخلی، پایا و ساتنا عملیاتی کرده‌اند.»
راهکارهای سیستم بانکی برای جلوگیری از فیشینگ
فرهاد اینالویی معاون فناوری اطلاعات بانک ایران زمین با بیان اینکه با اجرایی شدن رمز دوم پویا فیشینگ کاهش پیدا کرده است، گفت: «با این حال آمار فیشینگ در هر بانک متفاوت است. آماری که از پلیس فتا دارم این است که حداقل به میزان ۵۰ درصد از فیشینگ کم شده است. البته در بانک ایران زمین نیز قبلا خیلی فیشینگ نداشتیم و در حال حاضر نیز بعد از اجرایی شدن رمز دوم پویا در دو ماه اخیر موردی در بانک ایران زمین گزارش نشده است.»
طبق صحبت‌های اینالویی، این صحبت که بعد از عملیاتی شدن رمز دوم پویا فیشینگ به سمت و سوی اینترنت‌بانک و موبایل‌بانک بانک‌ها و در نهایت به کانال‌های دیگر رفته، صحبت درستی است. هکرها این کانال‌ها را مورد هدف قرار دادند که باعث شد بانک‌ها موضوع رمز دوم پویا را برای ورود به این کانال‌ها مدنظر قرار دهند؛ بانک ایران زمین نیز برای انتقال وجه و برای ورود به کانال‌های اینترنت و موبایل از رمز دوم پویا استفاده کرده است.
او درباره راهکارهای جلوگیری از فیشینگ نیز توضیح داد: «فیشینگ به‌طور کلی راهکار خاصی ندارد و جلوگیری از فیشینگ به‌سادگی امکان‌پذیر نیست ولی بهترین کار برای جلوگیری از فیشینگ آگاه کردن مشتریان است و قاعدتاً این موضوع باید در دستور کار همه بانک‌ها و همه نهادها قرار گیرد و به مشتریان در مورد فیشینگ اخطارهای مناسب و راهنمایی‌های درست انجام شود. سیستم بانکی علاوه بر استفاده از سامانه هریم، برای ورود به کانال‌های اینترنت و موبایل نیز از رمز دوم پویا استفاده می‌کنند.»
به گفته اینالویی، قرار است در نسخه جدید هریم تغییراتی ایجاد شود و اینکه در هنگام خرید و قبل از پرداخت و ورود رمز پویا اطلاعات فروشنده در اختیار مشتری قرار گیرد و خریدار (مشتری) قبل از دستور پرداخت و وارد کردن رمز مطمئن شود که از کدام پذیرنده یا فروشنده دارد خرید می‌کنند که این هم کمک نسبتا خوبی خواهد بود تا مشکلاتی که در این زمینه بود نیز تا حد زیادی مرتفع شود.
نامه‌های مربوط به فیشینگ برای پی‌پینگ به یک‌سوم کاهش پیدا کرده
طبق صحبت‌های محمدمهدی باریده هم‌بنیان‌گذار پی‌پینگ، در ابتدای اجرایی‌شدن رمز دوم پویا چون بسیاری از افراد از نحوه عملکرد رمز دوم پویا اطلاعات نداشتند، عملا از میزان پرداخت‌ها کاسته شد و با توجه به اینکه پرداخت مبالغ بالا نیازمند استفاده از رمز دوم پویا بودند و قاعدتا این اعداد و ارقام بالا جذابیت بیشتری برای افراد فیشینگ ایجاد می‌کرد، از این بابت میزان فیشینگی که مد نظر بود به علت کاهش تراکنش و انجام نشدن مبالغ بالا کاهش پیدا کرد. اما رفته رفته افراد بیشتری نسبت به استفاده از رمز دوم پویا آگاه شدند و فیشینگ با توجه به اجباری که بانک مرکزی گذاشته بود، به مرور به حالت قبلی برگشت ولی نرخ رشد قبلی را نداشت.
او توضیح داد: «طی شش ماه قبل از اجباری شدن استفاده از رمز دوم پویا اگر در نظر بگیریم که x بار برای ما نامه در روز فرستاده می‌شد، در ابتدای اجرایی‌شدن رمز دوم پویا تعداد پایین‌تری نامه برایمان می‌امد ولی به‌طور میانگین بعد از اجرایی شدن رمز دوم پویا میزان نامه‌هایی که از بابت فیشینگ برای شرکت ما ارسال شده، عددش نزدیک به یک دوم و حتی یک سوم نسبت به گذشته کاهش پیدا کرده است.»
باریده درباره تغییراتی که در روند فیشینگ بعد از اجرایی‌شدن رمز دوم پویا اتفاق افتاده نیز صحبت کرد و گفت: «روند فیشینگ یک تغییر عمده و اساسی داشته. در مرحله اول اکثر فیشینگ‌ها برای افرادی انجام می‌شود که رمز دوم پویا خود را نه ازطریق پیامک بلکه ازطریق سامانه‌های نرم‌افزاری دریافت می‌کنند. روند به این صورت شده که افراد به یک صفحه جعلی فرستاده می‌شوند و اطلاعات کارت خود را وارد نرم‌افزار رمزساز می‌کنند. سپس کسی که فیشینگ انجام می‌دهد، مبالغ را به یک شماره کارت مشخصی کارت به کارت می‌کند. این کارت‌ها، کارت‌های اجاره‌ای هستند که آنها را در سایت‌های گوناگونی در حوزه رمزارز رجیستر و احراز هویت می‌کنند. در یک روز نیز بعد از کارت‌به‌کارت مبالغی که فیشینگ کرده‌اند، ازطریق آن کارت اجاره‌ای و به طرق مختلف مانند خرید وب‌مانی، بیت‌کوین و هر رمزارز دیگری امکان ردیابی را از بین می‌برند.»