امنیت حساب در سامانه‌ها: رمز قوی، کد پیامکی و شناخت فیشینگ

حساب کاربری شما در سامانه‌های دولتی و کاری، کلید سوابق بیمه، اطلاعات مالیاتی، یارانه، پرونده‌های قضایی و گاهی حساب بانکی شماست. کسی که این کلید را به دست آورد، می‌تواند به نام شما درخواست ثبت کند، اطلاعات شما را ببیند یا از آن برای کلاهبرداری از دیگران استفاده کند. خبر خوب این است که بیشتر حمله‌ها با چند عادت ساده خنثی می‌شوند. این مقاله سه ستون امنیت حساب، یعنی رمز عبور، کد پیامکی و شناخت فیشینگ (Phishing)، را بر پایه منابع معتبر بین‌المللی و هشدارهای پلیس فتا مرور می‌کند.

ستون اول: رمز عبور

مؤسسه ملی استانداردها و فناوری آمریکا (NIST) در ویرایش چهارم رهنمود هویت دیجیتال (SP 800-63B) قواعدی برای رمز عبور تعیین کرده است که با باورهای قدیمی فرق دارد:

• طول مهم‌تر از پیچیدگی است: برای رمزی که به‌تنهایی برای ورود کافی است، حداقل ۱۵ نویسه و برای رمزی که همراه عامل دوم (مثل کد یک‌بارمصرف) استفاده می‌شود، حداقل ۸ نویسه.
• قاعده‌های ترکیب اجباری نه: این رهنمود از سامانه‌ها می‌خواهد کاربر را مجبور به ترکیب انواع نویسه‌ها نکنند.
• تغییر دوره‌ای اجباری نه: تغییر رمز فقط وقتی لازم است که نشانه‌ای از لو رفتن آن باشد.
• فهرست رمزهای ممنوع: سامانه باید رمزهای رایج، قابل حدس یا لورفته را رد کند.
• مدیر رمز عبور مجاز است: سامانه‌ها باید استفاده از مدیر رمز عبور (Password Manager) و قابلیت چسباندن رمز را بپذیرند.

معنای عملی برای شما: به جای رمز کوتاه و پیچیده‌ای که فراموش می‌کنید، یک عبارت طولانی و منحصربه‌فرد بسازید؛ مثلاً چند واژه بی‌ربط که فقط برای شما معنا دارد. مهم‌تر از همه، یک رمز را در دو سامانه تکرار نکنید؛ اگر یکی لو برود، بقیه هم در خطر است.

ستون دوم: کد یک‌بارمصرف و تأیید چندمرحله‌ای

آژانس امنیت سایبری و زیرساخت آمریکا (CISA) تأیید چندمرحله‌ای (MFA) را این‌گونه تعریف می‌کند: ورودی که دو یا چند مرحله برای اثبات هویت دارد، مانند وارد کردن کدی که به تلفن پیامک شده یا اثر انگشت. CISA سه نوع رایج را برمی‌شمارد:

بیشتر سامانه‌های دولتی ایران از کد پیامکی استفاده می‌کنند. NIST هم احراز هویت از راه شبکه تلفن را در دسته روش‌های «محدودشده» قرار داده که سامانه‌ها باید ریسک آن را بسنجند. اما برای کاربر، قاعده اصلی ساده است: کد یک‌بارمصرف مثل کلید خانه است. هیچ کارمند واقعی بانک، اپراتور یا دستگاه دولتی آن را از شما نمی‌خواهد. اگر کسی پشت تلفن گفت «کدی برایتان آمده، برای تأیید بخوانید»، تماس را قطع کنید.

ستون سوم: شناخت فیشینگ

فیشینگ یعنی فریب کاربر با پیام یا سایت جعلی برای گرفتن اطلاعات یا نصب بدافزار. CISA این نشانه‌ها را برمی‌شمارد:

• لحن فوری یا احساسی: به‌ویژه پیام‌هایی که برای پاسخ ندادن فوری، پیامد سنگین وعده می‌دهند.
• درخواست اطلاعات شخصی یا مالی.
• لینک کوتاه‌شده ناشناس و نشانی‌هایی با املای کمی متفاوت از نشانی اصلی.
• متن بی‌غلط هم نشانه سلامت نیست: به گفته CISA، در دوران هوش مصنوعی برخی پیام‌های فیشینگ دستور زبان و املای کاملاً درستی دارند.

در ایران، پلیس فتا بارها درباره پیامک‌های جعلی با عنوان «ابلاغیه قضایی» یا «سامانه ثنا» که لینک آلوده دارند هشدار داده است. الگوی رایج این است که پیامک شما را به نصب یک برنامه یا ورود به صفحه‌ای جعلی می‌کشاند و سپس پیامک‌های بانکی یا اطلاعات حساب شما سرقت می‌شود.

چک‌لیست ده‌دقیقه‌ای امنیت حساب

1. برای سامانه‌های مهم، مانند تأمین اجتماعی، دولت من و ایمیل کاری، رمزهای طولانی و متفاوت بسازید.
2. از یک مدیر رمز عبور معتبر استفاده کنید یا رمزها را در جای امن و غیرآنلاین نگه دارید.
3. هر جا امکان تأیید دومرحله‌ای هست، آن را فعال کنید.
4. سیم‌کارت را به نام خودتان نگه دارید و در صورت گم شدن گوشی، فوراً خط را از اپراتور مسدود کنید.
5. سیستم‌عامل و مرورگر گوشی و رایانه را به‌روز نگه دارید.
6. برنامه‌ها را فقط از فروشگاه‌های معتبر یا لینک سایت رسمی نصب کنید.
7. روی رایانه‌های مشترک، پس از کار از حساب خارج شوید و رمز را ذخیره نکنید.
8. اگر احتمال می‌دهید رمزی لو رفته، همان رمز را در همه سامانه‌هایی که با آن وارد می‌شدید تغییر دهید.

برای مدیران و واحدهای فناوری

کارکنان اولین خط دفاع سازمان‌اند. CISA تأکید می‌کند که بسیاری از افراد هنوز نمی‌دانند تأیید چندمرحله‌ای چیست یا چرا اهمیت دارد، و توصیه می‌کند حفاظت از حساب‌های پرخطر، مانند حساب‌های مدیریتی، ایمیل، فضای ذخیره فایل و دسترسی از راه دور، در اولویت باشد. آموزش کوتاه و تکرارشونده، تمرین شناخت پیام جعلی و یک مسیر ساده برای گزارش پیام مشکوک، از هزینه‌های یک نشت اطلاعات بسیار کمتر است.

اگر فریب خوردید

• رمز حساب آسیب‌دیده و هر حسابی را که همان رمز را داشت، فوراً تغییر دهید.
• اگر اطلاعات بانکی وارد کرده‌اید، بی‌درنگ با بانک خود تماس بگیرید.
• برنامه مشکوک نصب‌شده را حذف و در صورت نیاز از متخصص کمک بگیرید.
• موضوع را به پلیس فتا گزارش دهید.

جمع‌بندی

امنیت حساب به فناوری پیچیده نیاز ندارد؛ به چند عادت ثابت نیاز دارد: رمز طولانی و منحصربه‌فرد، حفاظت از کد یک‌بارمصرف و کلیک نکردن روی لینک‌های ناشناس. همین سه عادت بخش بزرگی از حمله‌های رایج را بی‌اثر می‌کند.

پرسش‌های متداول

منابع

• NIST SP 800-63B-4: Digital Identity Guidelines – Authentication and Authenticator Management
• Require Multifactor Authentication – CISA Secure Our World
• Recognize and Report Phishing – CISA Secure Our World
• هشدار پلیس فتا درباره ارسال ابلاغیه قضایی جعلی با لینک آلوده – خبرگزاری مهر
• پیامک سامانه ثنا همراه با لینک کلاهبرداری است؛ کاربران مراقب باشند – ایرنا