هکرها از اشتباهات ساده مانند کلیک کردن روی لینک‌های جعلی، اجرای اسکریپت‌ها یا افشای کدهای یک‌بار مصرف (OTP) برای نفوذ به سیستم‌ها استفاده می‌کنند. این اشتباهات تقریباً همیشه منجر به نقض امنیتی می‌شوند. اگر می‌خواهید از امنیت خود محافظت کنید، هیچ‌گاه این کارها را انجام ندهید، حتی اگر نتایج آن وسوسه‌انگیز به نظر برسد. در اینجا به ۶ اقدام مهم اشاره شده که می‌تواند شما را از خطر هک شدن دور نگه دارد.
۱. هرگز ویژگی‌های امنیتی را برای نصب یک برنامه غیرفعال نکنید
هکرها معمولاً کاربران را با نرم‌افزارهای کاربردی (اما آلوده) جذب می‌کنند که ویژگی‌هایی ارائه می‌دهند که بیش از حد خوب به نظر می‌رسند و سخت می‌توان از آنها گذشت. البته، سیستم‌های امنیتی به‌راحتی نرم‌افزارهای مخرب را شناسایی کرده و آنها را مسدود می‌کنند. اما هکرها در یک راهنما یا یک فایل README، به کاربران دستور می‌دهند که یک ویژگی امنیتی خاص را که ممکن است بدافزار را شناسایی کند، غیرفعال کنند.
البته، آنها یک دلیل کاملاً منطقی برای این درخواست ارائه می‌دهند، مانند این که: «از آنجا که نرم‌افزار ما به فایل‌های سیستمی دسترسی دارد ، توسط Windows Defender به‌عنوان یک تهدید شناسایی می‌شود.»
ویژگی‌های امنیتی رایجی که هکرها از کاربران می‌خواهند آنها را غیرفعال کنند، شامل نرم‌افزارهای آنتی‌ویروس، فایروال، کنترل حساب کاربری ویندوز (Windows UAC)، Gatekeeper مک و غیره هستند. این ویژگی‌ها یا از نصب یک بدافزار جلوگیری می‌کنند یا عملکردهای خاصی از آن را مسدود می‌کنند.
اگر شما این درخواست را بپذیرید و این ویژگی‌های امنیتی را غیرفعال کنید، ممکن است این کار منجر به نصب انواع بدافزارها مانند “کی‌لاگرها” (Keyloggers)، “تروجان‌ها” (Trojans)، “باج‌افزارها” (Ransomware) و حتی بدافزارهای سطح “کرنل” (Kernel-Level Malware) شود، مخصوصاً اگر ویژگی‌های امنیتی را به‌طور کامل غیرفعال کرده باشید.
شما باید همیشه چنین دستورالعمل‌هایی را نادیده بگیرید، حتی اگر بسیار وسوسه‌انگیز به نظر برسند. درست است که برخی از نرم‌افزارهای معتبر که به فایل‌های حساس سیستم دسترسی دارند نیز ممکن است توسط آنتی‌ویروس‌ها شناسایی شوند، اما خطر آلوده شدن سیستم بسیار بیشتر از مزایای احتمالی استفاده از این نرم‌افزارها است. اگر مجبور هستید که این ریسک را بپذیرید، بهتر است آن را ابتدا روی یک ماشین مجازی (Virtual Machine) امتحان کنید تا سیستم اصلی شما در معرض خطر قرار نگیرد.
۲. هیچ‌گاه کدهای یک‌بار مصرف (OTP) خود را فاش نکنید
رمزهای یک‌بارمصرف یکی از رایج‌ترین روش‌های احراز هویت دو مرحله‌ای هستند. هکرها می‌توانند شما را متقاعد کنند که رمز یک‌بارمصرف (OTP) ارسال‌شده به ایمیل یا پیامک‌تان را در اختیارشان بگذارید تا حساب شما را هک کنند یا اقدامات حساس دیگری را تأیید نمایند.
رمزهای یک‌بارمصرف برای تأیید ورود به حساب، انجام تراکنش‌های مالی، درخواست بازنشانی رمز عبور، تغییر اطلاعات حساب، تأیید موقعیت‌های جدید و موارد دیگر استفاده می‌شوند. این بدان معناست که هکرها می‌توانند از ترفندهای مختلفی برای فریب شما و دریافت OTP استفاده کنند، زیرا سناریوهای زیادی وجود دارد که در آن یک رمز یک‌بارمصرف ارسال می‌شود.
در اغلب موارد، آنها خود را به‌عنوان مقامات رسمی، مانند نمایندگان پشتیبانی مشتری، جا می‌زنند و از شما می‌خواهند که برای دریافت کمک رمز را را به آنها بدهید. در موارد نادر، ممکن است یک صفحه وب جعلی ایجاد کنند که برای تأیید هویت در یک سرویس دیگر، درخواست رمز یک‌بارمصرف کند.
صرف‌نظر از ترفندی که استفاده می‌کنند، شما به‌راحتی می‌توانید از این کلاهبرداری جلوگیری کنید، زیرا رمز یک‌بارمصرف فقط برای مشاهده‌ی شما طراحی شده است. هیچ‌کس نه مقامات اداری، نه خدمات مرتبط، نه دوستان شما و نه حتی نیروهای انتظامی حق ندارد این رمز را از شما بخواهد. اگر کسی از شما خواست که رمز یک‌بارمصرف ارسال‌شده به تلفن یا ایمیلتان را در اختیارش بگذارید، بدون شک این یک تلاش برای هک کردن شماست و باید آن را رد کنید.
۳. هیچ‌گاه به صفحات غیررسمی وارد نشوید
حملات فیشینگ به‌طور گسترده به فریب کاربران برای وارد کردن اطلاعات حساب خود در یک صفحه‌ی ورود جعلی تکیه دارند تا این اطلاعات را سرقت کنند. اگرچه روش‌های مختلفی برای حملات فیشینگ وجود دارد، اما در نهایت، هکر از شما می‌خواهد که اطلاعات ورود خود را در یک صفحه‌ی تقلبی وارد کنید.
آنها ممکن است شما را با تقلید از طراحی و آدرس (URL) سایت رسمی گمراه کنند یا شما را متقاعد سازند که برای احراز هویت یا اتصال حساب‌ها، اطلاعات ورود خود را وارد کنید. برای حفظ امنیت، همیشه اطلاعات حساب خود را فقط در صفحه‌ی ورود رسمی وب‌سایت وارد کنید.
اگر احساس می‌کنید به یک وب‌سایت جعلی هدایت شده‌اید، می‌توانید با مقایسه‌ی آدرس (URL) آن با آدرس رسمی صفحه‌ی ورود، یک سایت فیشینگ را شناسایی کنید. برای مثال، اگر از شما خواسته شد که با حساب گوگل خود وارد شوید، آدرس وب‌سایت باید دقیقاً “accounts.google.com” باشد. اگر این آدرس دارای اشتباه املایی یا تغییرات جزئی باشد، نباید اطلاعات حساب خود را وارد کنید.
استفاده از یک مدیر رمز عبور (Password Manager) نیز بسیار مفید خواهد بود، زیرا این ابزارها هرگز اطلاعات ورود را در صفحات جعلی وارد نمی‌کنند.
۴. هیچ‌گاه رمز عبور حساب خود را حتی به مقامات رسمی ندهید
هکرها همچنین می‌توانند از تاکتیک‌های ترساندن یا سوءاستفاده از موقعیت‌های رسمی برای متقاعد کردن شما به اشتراک‌گذاری رمز عبور حسابتان استفاده کنند، به این بهانه که می‌خواهند مشکلی را حل کنند یا هویت شما را تأیید کنند. آنها ممکن است خود را به‌عنوان نمایندگان شرکت‌ها، مقامات دولتی یا مأموران اجرای قانون جا بزنند و از شما بخواهند که برای “تأیید هویت”، اطلاعات ورود خود را ارائه دهید.
خوشبختانه، مشابه رمز یک‌بارمصرف (OTP)، رمزهای عبور حساب نیز فقط باید توسط مالک آنها شناخته شوند. هیچ مقام رسمی از نظر قانونی اجازه ندارد رمز عبور شما را درخواست کند (مگر اینکه یک حکم قضایی معتبر داشته باشد) و آنها روش‌های دیگری برای تأیید هویت شما در اختیار دارند. بنابراین، همیشه هرگونه درخواست برای به اشتراک گذاشتن رمز عبور خود را رد کنید.
۵. هیچ‌گاه به درخواست‌های سیستم در مرورگر خود توجه نکنید
یکی از تاکتیک‌های رایج دیگر که هکرها استفاده می‌کنند، ایجاد تبلیغات و پنجره‌های پاپ‌آپ جعلی برای ترساندن افراد و ترغیب آنها به دانلود بدافزار است که معمولاً به آن Scareware گفته می‌شود. این پیام‌ها معمولاً به‌صورت یک تبلیغ یا پاپ‌آپ در یک وب‌سایت مخرب ظاهر می‌شوند و به شما هشدار می‌دهند که مشکلی در رایانه شما وجود دارد و برای رفع آن، نرم‌افزاری را پیشنهاد می‌کنند.
این نرم‌افزار ممکن است یکی از موارد زیر باشد:
- بدافزار (Malware) که اطلاعات شما را سرقت می‌کند.
- تبلیغ‌افزار (Adware) که تبلیغات مزاحم نمایش می‌دهد.
- نرم‌افزار جعلی که با وعده ارتقای “نسخه پریمیوم” شما را فریب می‌دهد.
برخی از پیام‌های رایجی که ممکن است مشاهده کنید:
- هشدار! پنج ویروس در رایانه شما شناسایی شده است! برای حذف آنها روی “اسکن کن” کلیک کنید.
- رایانه شما کند کار می‌کند! هم‌اکنون بهینه‌سازی کنید.
- نصب ویندوز شما خراب شده است! برای تعمیر، اینجا کلیک کنید.
چیزی که این پیام‌ها را جالب و البته خطرناک می‌کند این است که از ابتدا دروغ هستند!
وب‌سایت‌های مرورگر نمی‌توانند به‌طور مستقیم با سیستم‌عامل شما تعامل داشته باشند، آن را اسکن کنند یا به اطلاعات شخصی‌تان دسترسی پیدا کنند. بنابراین، هر ادعایی مبنی بر شناسایی مشکل در رایانه شما، از نظر فنی غیرممکن است.
اگر با چنین پیامی مواجه شدید، همیشه یک کلاهبرداری یا تبلیغ برای نرم‌افزار مخرب است. آن را نادیده بگیرید، و اگر به‌اشتباه چنین فایلی را دانلود کردید، بدون اجرای آن، فوراً حذفش کنید.
۶. هیچ‌گاه اسکریپت‌های ناشناس را اجرا نکنید
اسکریپت‌های مخرب یکی دیگر از مشکلات بزرگ امنیتی هستند، زیرا هکرها می‌توانند از آنها برای وارد کردن آسیب‌های جدی به سیستم شما، بدون نیاز به دانلود بدافزار استفاده کنند. متأسفانه، اینترنت پر از دستورات و اسکریپت‌های امن در وب‌سایت‌های معتبر است، و این باعث می‌شود که بسیاری از افراد فراموش کنند اسکریپت‌های مخرب نیز وجود دارند.
مشکل اصلی اینجاست که درک اسکریپت‌های پیچیده برای همه آسان نیست، بنابراین افراد به‌راحتی ممکن است فریب بخورند و یک اسکریپت مخرب را اجرا کنند، به این دلیل که به آنها گفته شده این اسکریپت عملکرد مفیدی دارد. برخی از اقدامات خطرناکی که یک اسکریپت یا دستور مخرب می‌تواند انجام دهد عبارتند از:
- دانلود و نصب مخفیانه نرم‌افزار (معمولاً بدافزار)
- استخراج اطلاعات حساس، مانند رمزهای عبور ذخیره‌شده در مرورگر
- غیرفعال کردن برنامه‌های امنیتی، مانند آنتی‌ویروس یا فایروال
- ایجاد یک حساب کاربری مخفی با دسترسی مدیر (Admin)
- رمزگذاری فایل‌ها برای اجرای یک حمله باج‌افزار (Ransomware)
- ایجاد تنظیماتی برای کنترل از راه دور سیستم شما
مثلاً یک آموزش برای حل یک مشکل یا اجرای یک برنامه ممکن است شامل اسکریپت‌هایی باشد که هکرها ادعا می‌کنند برای اجرای صحیح برنامه ضروری هستند. حتی یک برنامه مخرب می‌تواند دستوراتی برای اجرای اسکریپت‌هایی داشته باشد که در واقع سیستم‌های امنیتی را غیرفعال می‌کنند.
اجرای دستورات در Command Prompt یا اسکریپت‌های .bat و .vbs در بسیاری از آموزش‌های آنلاین رایج است، بنابراین نمی‌توان به‌طور کامل از آنها اجتناب کرد. اگر نمی‌توانید محتوای اسکریپت را ببینید و متوجه شوید که چه کاری انجام می‌دهد، یک راه حل ساده این است که آن را در یک چت‌بات هوش مصنوعی، مانند ChatGPT یا Gemini کپی و جای‌گذاری کنید. این ابزارها می‌توانند به‌طور کامل اسکریپت را تحلیل کنند و به شما بگویند که دقیقاً چه کاری انجام خواهد داد.
نکته تکمیلی: هرگز یک فلش USB ناشناس را به سیستم خود وصل نکنید!
فلش‌های USB ناشناس می‌توانند بسیار خطرناک باشند، زیرا ممکن است به‌صورت خودکار دستورات مخرب اجرا کرده یا بدافزار نصب کنند. هکرها اغلب فلش‌های آلوده را در مکان‌های عمومی قرار می‌دهند یا آنها را به افراد خاصی، مانند کارمندان یک شرکت، ارسال می‌کنند تا سیستم آنها را آلوده کنند.
اگر قابلیت اجرای خودکار (Autoplay) در رایانه شما فعال باشد، فلش می‌تواند به‌طور خودکار بدافزار را اجرا کند و اطلاعات شما را سرقت کرده یا کنترل سیستم را به دست بگیرد.
حتی اگر Autoplay غیرفعال باشد، باز هم ممکن است با باز کردن یک فایل آلوده داخل فلش، بدافزار روی سیستم شما اجرا شود.
نکته مهم: ممکن است فلش USB معمولی به نظر برسد، اما در واقع یک ابزار هک به نام USB Rubber Ducky باشد. این ابزار ظاهری شبیه فلش دارد، اما در واقع یک کیبورد مخفی است که هنگام اتصال، دستورات و اسکریپت‌های مخرب را اجرا می‌کند.
اگر منبع فلش را نمی‌شناسید یا به آن اعتماد ندارید، هرگز آن را به سیستم خود متصل نکنید!
با رعایت این نکات، می‌توانید از بسیاری از حملات هکری جلوگیری کنید. البته، هکرها همچنان راه‌های دیگری برای نفوذ به حساب‌های شما دارند. حتی کامپیوترهای بدون اتصال به اینترنت (Air-Gapped) نیز کاملاً ایمن نیستند. بنابراین، همیشه از تمامی اقدامات امنیتی در دسترس استفاده کنید تا از اطلاعات خود محافظت کنید.
بیشتر بخوانید:
هکرها چگونه رمز عبور شما را هک می کنند؟ چگونه از رمز عبور محافظت کنیم؟
چگونه یک جمله را به صورت رمزی بنویسیم؟
رمزگذاری پوشه و فایل در ویندوز با BitLocker
