books social responses

تتمثل إحدى إستراتيجيات مكافحة التصيد الاحتيالي في تدريب الأشخاص على التعرف على محاولات الخداع والتصدي لها. يمكن أن يكون التعليم فعالا ، لا سيما عندما يركز التدريب على المعرفة المفاهيمية ويقدم تغذية راجعة مباشرة. تم استخدام أحد أساليب التصيد الاحتيالي الجديدة ، والتي تستخدم رسائل البريد الإلكتروني التصيدية التي تستهدف شركة معينة ، والمعروفة باسم التصيد الاحتيالي ، لتدريب الأفراد في مواقع مختلفة ، بما في ذلك أكاديمية الولايات المتحدة العسكرية في ويست بوينت ، نيويورك. في تجربة في يونيو 2004 مع التصيد الاحتيالي ، تم إرسال 80٪ من 500 من طلاب وست بوينت إلى بريد إلكتروني مزيف من العقيد غير الموجود.تم خداع روبرت ميلفيل في ويست بوينت للنقر على رابط من المفترض أن يأخذهم إلى صفحة يدخلون فيها معلومات شخصية. (أخبرتهم الصفحة أنهم قد تم إغراءهم ) .

يمكن للأشخاص اتخاذ خطوات لتجنب محاولات الخداع عن طريق تعديل عاداتهم في التصفح بشكل طفيف. عند الاتصال بحساب يحتاج إلى "التحقق" (أو أي موضوع آخر يستخدمه المحتالون) ، فمن الحيطة الاحتياطية الاتصال بالشركة التي تنشأ منها الرسالة الإلكترونية على ما يبدو للتحقق من شرعية البريد الإلكتروني. بدلاً من ذلك ، يمكن كتابة العنوان الذي يعرفه الشخص هو موقع الويب الأصلي للشركة في شريط عنوان المتصفح ، بدلاً من الوثوق بأي ارتباطات تشعبية في رسالة الاحتيال الاحتيالي المشتبه بها.

تحتوي جميع رسائل البريد الإلكتروني الشرعية تقريباً من الشركات إلى عملائها على عنصر من المعلومات ليس متاحًا بسهولة للمخادعين. بعض الشركات ، على سبيل المثال ، PayPal ، تخاطب عملاءها دائمًا عن طريق اسم المستخدم في رسائل البريد الإلكتروني ، لذلك إذا كان البريد الإلكتروني يعالج المستلم بطريقة عامة (" عزيزي عميل PayPal ") فمن المحتمل أن يكون محاولة للتصيد الاحتيالي. علاوة على ذلك ، يقدم PayPal طرقًا مختلفة لتحديد رسائل البريد الإلكتروني المزعجة وينصح المستخدمين بإعادة توجيه رسائل البريد الإلكتروني المشبوهة إلى نطاق [email protected] للتحقيق وتحذير العملاء الآخرين. غالبًا ما تتضمن رسائل البريد الإلكتروني من البنوك وشركات بطاقات الائتمان أرقام حسابات جزئية. ومع ذلك ، البحوث الأخيرة أظهرت أن الجمهور لا يميز عادة بين الأرقام القليلة الأولى والأرقام القليلة الأخيرة من رقم الحساب - مشكلة كبيرة لأن الأرقام القليلة الأولى غالباً ما تكون هي نفسها لجميع عملاء المؤسسة المالية. يمكن تدريب الأشخاص على إثارة شكوكهم إذا لم تتضمن الرسالة أي معلومات شخصية محددة. ومع ذلك ، استخدمت محاولات التصيد في أوائل عام 2006 ، معلومات شخصية ، مما يجعل من غير الآمن افتراض أن وجود المعلومات الشخصية وحدها يضمن أن الرسالة مشروعة. وعلاوة على ذلك ، خلصت دراسة حديثة إلى أن وجود المعلومات الشخصية لا يؤثر بشكل كبير على معدل نجاح هجمات التصيد الاحتيالي ، مما يوحي بأن معظم الناس لا يهتمون بهذه التفاصيل.

و المجموعة العاملة لمكافحة الاحتيال ، واقترحت، وهي صناعة وتكوين الجمعيات إنفاذ القانون أن تقنيات التصيد التقليدية يمكن أن عفا عليها الزمن في المستقبل من الناس يدركون على نحو متزايد من تقنيات الهندسة الاجتماعية المستخدمة من قبل المخادعين. يتنبأون بأن المزاحمة واستخدامات أخرى للبرامج الضارة ستصبح أدوات أكثر شيوعًا لسرقة المعلومات.

يمكن للجميع المساعدة في تثقيف الجمهور من خلال تشجيع الممارسات الآمنة ، وتجنب الممارسات الخطيرة. لسوء الحظ ، يُعرف حتى اللاعبين المعروفين بتحريض المستخدمين على سلوك خطير ، على سبيل المثال من خلال مطالبة المستخدمين بالكشف عن كلمات المرور الخاصة بهم لخدمات الطرف الثالث ، مثل البريد الإلكتروني.

المتصفحات تنبيه المستخدمين إلى مواقع احتيالية

ومن الأساليب الشائعة الأخرى لمكافحة التصيّد الاحتيالي الحفاظ على قائمة بمواقع التصيد المعروفة والتحقق من مواقع الويب في مقابل القائمة. إحدى هذه الخدمات هي خدمة التصفح الآمن . تحتوي متصفحات الويب مثل Google Chrome و Internet Explorer 7 و Mozilla Firefox 2.0 و Safari 3.2 و Opera على هذا النوع من إجراءات مكافحة التصيد الاحتيالي. استخدم فايرفوكس 2برنامج Google لمكافحة الخداع. يستخدم Opera 9.1 القوائم السوداء المباشرة من Phishtank و cyscon و GeoTrust بالإضافة إلى البث المباشر البيضاءمن GeoTrust.ترسل بعض عمليات تنفيذ هذا الأسلوب عناوين URL التي تمت زيارتها إلى خدمة مركزية يتم التحقق منها ، مما أثار مخاوف بشأن الخصوصية. وفقًا لتقرير صدر عن Mozilla في أواخر عام 2006 ، وجد أن Firefox 2 أكثر فعالية من Internet Explorer 7 عند اكتشاف المواقع الاحتيالية في دراسة أجرتها شركة مستقلة لاختبار البرمجيات.

يتضمن النهج الذي تم تطبيقه في منتصف عام 2006 التبديل إلى خدمة DNS خاصة تعمل على تصفية نطاقات التصيد المعروفة: سيعمل هذا مع أي متصفح ، وهو يشبه من حيث المبدأ استخدام ملف مضيف لمنع إعلانات ويب.

للتخفيف من مشكلة مواقع التصيد الاحتيالي التي تنتحل موقع ضحية من خلال تضمين صورها (مثل الشعارات) ، قام العديد من مالكي المواقع بتعديل الصور لإرسال رسالة إلى الزائر بأن أحد المواقع قد يكون مخادعًا. قد يتم نقل الصورة إلى اسم ملف جديد ويتم استبدال النسخة الأصلية نهائيًا ، أو يمكن أن يكشف الخادم عن عدم طلب الصورة كجزء من التصفح العادي ، وبدلاً من ذلك أرسل صورة تحذير.

زيادة عمليات تسجيل الدخول بكلمة مرور

و بنك أوف أميركا موقع الصورة هي واحدة من عدة التي تطلب من المستخدمين لتحديد صورة شخصية (تسويقه باعتباره SiteKey )، وعرض هذه الصورة المحددة من قبل المستخدم مع أي النماذج التي طلب كلمة مرور. يُطلب من مستخدمي الخدمات المصرفية عبر الإنترنت إدخال كلمة مرور فقط عندما يرون الصورة التي اختاروها. ومع ذلك ، تشير العديد من الدراسات إلى أن عددًا قليلاً من المستخدمين يمتنعون عن إدخال كلمات المرور الخاصة بهم عند غياب الصور. وبالإضافة إلى ذلك، هذه الميزة (مثل غيرها من أشكال المصادقة اثنين عامل ) عرضة لهجمات أخرى، مثل تلك التي تعرض لها البنك الاسكندنافي نورديا في أواخر عام 2005، و سيتي بنك في عام 2006.

نظام مماثل ، يتم فيه عرض "كود تعريف الهوية" الذي يتم إنشاؤه آليًا ويتألف من كلمة ملونة داخل مربع ملون لكل مستخدم موقع ويب ، يتم استخدامه في المؤسسات المالية الأخرى.

تمثل جلود الأمان أسلوبًا مرتبطًا يتضمن تركيب صورة مختارة من المستخدم في نموذج تسجيل الدخول كإشارة مرئية يكون النموذج شرعيًا. على خلاف مخططات الصور المستندة إلى موقع الويب ، ومع ذلك ، فإن الصورة نفسها تتم مشاركتها فقط بين المستخدم والمتصفح ، وليس بين المستخدم وموقع الويب. يعتمد المخطط أيضًا على بروتوكول المصادقة المتبادلة ، مما يجعله أقل عرضة للهجمات التي تؤثر على مخططات الاستيقان الخاصة بالمستخدم فقط.

لا تزال تقنية أخرى تعتمد على شبكة ديناميكية من الصور المختلفة لكل محاولة تسجيل دخول. يجب على المستخدم تحديد الصور التي تناسب فئاته المختارة مسبقًا (مثل الكلاب والسيارات والزهور). فقط بعد تحديدهم للصور التي تناسب فئاتهم بشكل صحيح ، يُسمح لهم بإدخال كلمة المرور الأبجدية الرقمية لإكمال تسجيل الدخول. على عكس الصور الثابتة المستخدمة في موقع بنك أوف أميركا ، تنشئ طريقة مصادقة ديناميكية تستند إلى الصور رمز مرور لمرة واحدة لتسجيل الدخول ، وتتطلب مشاركة نشطة من المستخدم ، ويصعب جدًا على موقع التصيد الإلكتروني أن يتكرر بشكل صحيح لأنه تحتاج إلى عرض شبكة مختلفة من الصور التي يتم إنشاؤها عشوائيًا والتي تتضمن الفئات السرية للمستخدم.

القضاء على البريد التصيد

يمكن أن تساعد عوامل تصفية الرسائل غير المرغوب فيها المتخصصة على تقليل عدد رسائل البريد الإلكتروني التصيدية التي تصل إلى صناديق البريد الوارد الخاصة بالعناوين الخاصة بهم ، أو توفير إصلاح ما بعد التسليم ، وتحليل وإزالة هجمات التصيد بالرمح عند التسليم من خلال تكامل مستوى مزود البريد الإلكتروني. هذه الطرق تعتمد على التعلم الآلي و معالجة اللغة الطبيعية النهج لتصنيف رسائل البريد الإلكتروني والتصيد. مصادقة عنوان البريد الإلكتروني هي طريقة جديدة أخرى.

المراقبة والإزالة

تقدم العديد من الشركات البنوك والمؤسسات الأخرى التي من المحتمل أن تعاني من خدمات التصيد الاحتيالي على مدار الساعة لمراقبة وتحليل ومساعدة في إغلاق مواقع التصيّد. يمكن للأفراد المساهمة من خلال الإبلاغ عن التصيد على كل من مجموعات المتطوعين والصناعة، مثل cyscon أو PhishTank . يمكن للأفراد أيضًا المساهمة عن طريق الإبلاغ عن محاولات الخداع عبر الهاتف إلى Phishing Phone ، وهي هيئة التجارة الفيدرالية. يمكن إبلاغ Google عن صفحات التصيّد الاحتيالي ورسائل البريد الإلكتروني. في مركز شكاوى جرائم الإنترنت افتة تحمل التصيد و انتزاع الفدية التنبيهات.

التحقق من المعاملة والتوقيع

كما ظهرت حلول باستخدام الهاتف المحمول ( الهاتف الذكي) كقناة ثانية للتحقق من المعاملات المصرفية والتصريح بها.

حدود الاستجابات الفنية

يقول مقال في مجلة فوربس في أغسطس 2014 إن السبب وراء استمرار مشاكل التصيّد حتى بعد عقد من تقنيات مكافحة الخداع التي يتم بيعها هو أن التصيّد الاحتيالي هو "وسيلة تكنولوجية لاستغلال نقاط الضعف البشرية" وأن التكنولوجيا لا يمكنها التعويض الكامل عن نقاط الضعف البشرية.