سازمان فناوری اطلاعات ایران
مورد واقعی یک نفوذ
وقتی صدای همکارتان هم قابل اعتماد نیست!
مورد واقعی یک حمله سایبری با فیشینگ، جعل صدا و هوش مصنوعی
تصور کنید تلفن شما زنگ می‌خورد.
آن‌سوی خط، صدای یکی از همکارانتان را می‌شنوید؛ همان لحن، همان صدا و حتی همان شیوه صحبت‌کردن. او از یک مشکل فوری در سیستم حقوق و دستمزد کارکنان صحبت می‌کند و از شما می‌خواهد برای برطرف‌کردن مشکل، یک مرحله امنیتی را انجام دهید.
همه‌چیز کاملاً عادی به نظر می‌رسد.
اما یک مشکل وجود دارد:
فرد پشت خط، همکار شما نیست.
صدایی که می‌شنوید با استفاده از هوش مصنوعی جعل شده است.
این دیگر یک سناریوی تخیلی در فیلم‌های علمی‌تخیلی نیست؛ نمونه‌هایی از چنین حملاتی در دنیای واقعی اتفاق افتاده‌اند.
یک نفوذ واقعی؛ از یک پیامک ساده تا یک حمله پیچیده
در یکی از نمونه‌های واقعی که در یک شرکت چندملیتی رخ داد، مهاجم تلاش کرد با ترکیب چند تکنیک مختلف، به اطلاعات و حساب‌های سازمانی دسترسی پیدا کند.
ماجرا از جایی آغاز شد که تعدادی از کارکنان شرکت، پیامکی دریافت کردند که ظاهراً از طرف یکی از اعضای تیم فناوری اطلاعات ارسال شده بود.
پیام درباره مشکلی در فرآیند حقوق و مزایای کارکنان بود؛ مشکلی که ظاهراً می‌توانست باعث اختلال در دریافت خدماتی مانند بیمه درمانی شود.
مهاجم با ایجاد حس فوریت و نگرانی تلاش کرده بود کارکنان را وادار کند بدون بررسی دقیق، واکنش نشان دهند.
چند کارمند پیام را دریافت کردند؛ اما یکی از آنها روی لینک موجود در پیام کلیک کرد.
لینک، کارمند را به یک صفحه ورود جعلی هدایت کرد؛ صفحه‌ای که به شکلی طراحی شده بود که شبیه یک سامانه واقعی سازمان به نظر برسد.
کارمند اطلاعات ورود خود را وارد کرد.
حتی مرحله احراز هویت چندعاملی (MFA) نیز در این فرآیند مورد سوءاستفاده قرار گرفت.
اما ماجرا هنوز تمام نشده بود.
مرحله بعد؛ تماس تلفنی با صدای یک همکار!
مهاجم پس از به‌دست‌آوردن اطلاعات لازم، از یک تکنیک بسیار خطرناک‌تر استفاده کرد.
او با استفاده از فناوری جعل صدای مبتنی بر هوش مصنوعی (AI Voice Deepfake) با کارمند تماس گرفت.
صدایی که کارمند می‌شنید، صدای فردی آشنا بود؛ صدای یکی از همکاران یا مسئولان سازمان.
مهاجم با استفاده از این صدای جعلی تلاش کرد اعتماد قربانی را جلب کرده و او را به انجام اقدامات بیشتری متقاعد کند.
در واقع، مهاجم از یک حمله واحد استفاده نکرده بود؛ بلکه چند تکنیک را به یکدیگر متصل کرده بود:
پیامک فیشینگ → صفحه ورود جعلی → سرقت اطلاعات → سوءاستفاده از MFA → جعل صدا → مهندسی اجتماعی
این همان چیزی است که حملات سایبری مدرن را خطرناک‌تر می‌کند.
چرا این حمله تا این اندازه خطرناک است؟
در گذشته، بسیاری از حملات فیشینگ را می‌شد با مشاهده یک ایمیل مشکوک یا غلط املایی شناسایی کرد.
اما هوش مصنوعی این معادله را تغییر داده است.
امروزه مهاجم می‌تواند:
- صدای افراد را با نمونه‌های صوتی نسبتاً کوتاه شبیه‌سازی کند؛
- پیام‌های فیشینگ بسیار طبیعی و شخصی‌سازی‌شده تولید کند؛
- صفحات جعلی بسیار شبیه سامانه‌های واقعی ایجاد کند؛
- هویت مدیران، کارشناسان یا همکاران را جعل کند؛
- از اطلاعات منتشرشده در شبکه‌های اجتماعی برای شناخت بهتر قربانی استفاده کند؛
- و چند روش حمله را به‌صورت زنجیره‌ای اجرا کند.
به همین دلیل، اعتماد به صدا، تصویر، نام کاربری یا حتی یک تماس تلفنی به‌تنهایی دیگر برای احراز هویت کافی نیست.
آیا MFA دیگر امن نیست؟
احراز هویت چندعاملی همچنان یکی از مهم‌ترین لایه‌های دفاعی در برابر سرقت حساب‌هاست؛ اما یک نکته بسیار مهم وجود دارد:
MFA به‌تنهایی معادل امنیت کامل نیست.
مهاجم ممکن است با روش‌هایی مانند مهندسی اجتماعی، فیشینگ یا حملات واسط، کاربر را فریب دهد تا درخواست احراز هویت مهاجم را تأیید کند.
به همین دلیل، سازمان‌ها باید در کنار MFA از روش‌های مقاوم‌تر در برابر فیشینگ، مانندPasskey و استانداردهای FIDO2/WebAuthn، استفاده کنند؛ به‌ویژه برای حساب‌های حساس و دارای دسترسی بالا.
چگونه قربانی چنین حمله‌ای نشویم؟
۱. هر پیام فوری را جدی بررسی کنید
اگر پیامک، ایمیل یا پیام سازمانی درباره موضوعی حساس مانند:
- حقوق و دستمزد
- حساب بانکی
- بیمه
- رمز عبور
- دسترسی سازمانی
- حساب کاربری
- یا یک مشکل فوری امنیتی
دریافت کردید، قبل از کلیک‌کردن روی لینک، صحت پیام را از یک مسیر مستقل بررسی کنید.
۲. به صدای آشنا اعتماد مطلق نکنید
اگر فردی تلفنی درخواست انتقال وجه، ارائه رمز، تغییر دسترسی، ارسال اطلاعات محرمانه یا تأیید یک درخواست امنیتی را مطرح کرد، صرفاً به دلیل اینکه صدای او آشناست، درخواست را معتبر فرض نکنید.
تماس را قطع کنید و خودتان از طریق شماره‌ای که قبلاً در اختیار داشتید با آن فرد تماس بگیرید.
این یک اصل ساده اما بسیار مؤثر است:
«اعتماد را از مسیر دیگری تأیید کن».
۳. درخواست‌های غیرعادی را دوباره بررسی کنید
اگر مدیر، همکار یا واحد فناوری اطلاعات از شما خواست کاری انجام دهید که معمولاً انجام نمی‌دهید، حتی اگر درخواست کاملاً معتبر به نظر برسد، آن را از یک کانال مستقل تأیید کنید.
برای مثال:
«آیا واقعاً شما بودید که این درخواست را مطرح کردید؟»
یک تماس مجدد یا پیام از کانال رسمی می‌تواند جلوی یک نفوذ بزرگ را بگیرد.
۴. به MFA Push بدون بررسی پاسخ ندهید
اگر ناگهان یک درخواست تأیید ورود روی تلفن شما ظاهر شد، در حالی که خودتان وارد سامانه نشده‌اید:
آن را تأیید نکنید.
ممکن است مهاجم در حال تلاش برای ورود به حساب شما باشد.
در صورت دریافت چندین درخواست غیرمنتظره، موضوع را فوراً به واحد فناوری اطلاعات یا امنیت سازمان اطلاع دهید.
سازمان‌ها چه اقداماتی باید انجام دهند؟
مقابله با این تهدید فقط وظیفه کاربر نیست. سازمان‌ها نیز باید لایه‌های دفاعی خود را تقویت کنند.
اقدامات مهم عبارت‌اند از:
🔹 استفاده از MFA مقاوم در برابر فیشینگ
ترجیحاً برای حساب‌های حساس از FIDO2، Passkey یا راهکارهای مشابه استفاده شود.
🔹 آموزش مستمر کارکنان
آموزش نباید فقط درباره «ایمیل‌های مشکوک» باشد؛ کارکنان باید با تهدیدهای جدید مانند Deepfake، جعل صدا، فیشینگ مبتنی بر هوش مصنوعی و مهندسی اجتماعی چندمرحله‌ای نیز آشنا شوند.
🔹 تعریف فرآیند تأیید درخواست‌های حساس
برای تغییر رمز، ایجاد حساب، انتقال وجه، اعطای دسترسی یا تغییر تنظیمات امنیتی، یک فرآیند تأیید دومرحله‌ای و مستقل تعریف شود.
🔹 کاهش سطح دسترسی کاربران
اصل Least Privilege باعث می‌شود حتی اگر حساب یک کارمند به خطر افتاد، دامنه خسارت محدودتر شود.
🔹 ثبت و پایش رویدادهای امنیتی
ورودهای غیرعادی، تغییرات دسترسی، درخواست‌های MFA و فعالیت‌های مشکوک باید ثبت و پایش شوند.
🔹 ایجاد فرآیند مشخص برای گزارش حادثه
کارمند باید بداند در صورت کلیک روی یک لینک مشکوک یا افشای اطلاعات، دقیقاً با چه فرد یا واحدی تماس بگیرد.
اگر احساس کردید قربانی شده‌اید، چه کار کنید؟
مهم‌ترین اشتباه این است که از ترس، حادثه را پنهان کنید.
اگر روی لینک مشکوک کلیک کرده‌اید، اطلاعات ورود خود را وارد کرده‌اید یا یک درخواست MFA را اشتباهاً تأیید کرده‌اید:
فوراً اقدام کنید:
- موضوع را به واحد امنیت یا فناوری اطلاعات اطلاع دهید.
- در صورت امکان، رمز عبور را از یک دستگاه امن تغییر دهید.
- نشست‌ها و دستگاه‌های فعال حساب را بررسی و نشست‌های مشکوک را خارج کنید.
- هرگونه درخواست MFA غیرعادی را گزارش کنید.
- اگر اطلاعات حساس افشا شده، موضوع را سریعاً به مسئول امنیت اطلاع دهید.
- زمان، شماره تلفن، پیامک، لینک و سایر شواهد را حفظ کنید.
- در صورت نیاز، فرآیند رسمی پاسخ به حادثه سازمان را فعال کنید.
سرعت واکنش می‌تواند تفاوت بین یک تلاش ناموفق و یک نفوذ گسترده باشد.
قبل، حین و بعد از حمله؛ سه مرحله حیاتی
امنیت سایبری فقط به معنای جلوگیری از حمله نیست.
🛡️ قبل از حمله
آمادگی و پیشگیری
آموزش کارکنان، MFA مقاوم در برابر فیشینگ، کنترل دسترسی، پشتیبان‌گیری، پایش امنیتی و تدوین برنامه پاسخ به حادثه.
🚨 هنگام حمله
تشخیص و مهار
قطع دسترسی مهاجم، مسدودکردن حساب‌های مشکوک، بررسی نشست‌ها، ایزوله‌کردن سیستم‌های آلوده و اطلاع‌رسانی سریع.
🔎 بعد از حمله
بازیابی و یادگیری
تحلیل علت حادثه، بررسی دامنه نفوذ، اصلاح آسیب‌پذیری‌ها، بازنگری فرآیندها و آموزش مجدد کارکنان.
یک قانون طلایی را به خاطر بسپارید
در دنیایی که هوش مصنوعی می‌تواند متن، تصویر، ویدئو و صدا را جعل کند، دیگر نمی‌توان فقط با ظاهر یک پیام یا صدای یک فرد درباره معتبر بودن یک درخواست تصمیم گرفت.
هرچه درخواست حساس‌تر است، سطح راستی‌آزمایی باید بالاتر باشد.
پس اگر یک «همکار»، «مدیر» یا «کارشناس فناوری اطلاعات» از شما درخواست غیرعادی و فوری داشت:
مکث کنید.
بررسی کنید.
از یک مسیر مستقل تأیید کنید.
سپس اقدام کنید.
گاهی فقط ۳۰ ثانیه مکث می‌تواند از ساعت‌ها، روزها یا حتی ماه‌ها خسارت جلوگیری کند.
امنیت سایبری از فناوری شروع نمی‌شود؛ از یک تصمیم درست شروع می‌شود.
