جرم فیشینگ چیست و نحوه عملکرد آن چگونه است؟
فیشینگ یکی از پیچیده‌ترین و در عین حال شایع‌ترین انواع جرایم سایبری در بستر فضای مجازی است. در این فرآیند، کلاهبرداران با بهره‌گیری از تکنیک‌های مهندسی اجتماعی و شبیه‌سازی دقیق بسترهای الکترونیکی معتبر، کاربران را فریب داده و اطلاعات محرمانه آن‌ها نظیر شماره کارت بانکی، رمز دوم، کد CVV2، تاریخ انقضا و حتی اطلاعات ورود به حساب‌های کاربری را به سرقت می‌برند. الگوی اجرایی این جرم بر پایه ایجاد اعتماد کاذب در قربانی شکل می‌گیرد تا شخص با دست خود، حساس‌ترین داده‌های مالی یا شخصی را در اختیار مهاجم قرار دهد.
مکانیسم فنی این اقدام غیرقانونی معمولاً با طراحی یک صفحه وب سفارشی‌سازی‌شده (Phishing Page) آغاز می‌شود که از نظر ظاهر گرافیکی، فونت‌ها، لوگوها و چیدمان عناصر، تفاوت محسوسی با وب‌سایت اصلی یا درگاه رسمی پرداخت ندارد. کلاهبردار با ارسال لینک این صفحه از طریق پیامک، ایمیل یا پیام‌رسان‌ها، حس فوریت، ترس یا طمع را در کاربر ایجاد می‌کند. به عنوان مثال، پیامک‌هایی با عناوین شکوائیه علیه شما در سامانه ثنا، قطع یارانه نقدی، برنده شدن در قرعه‌کشی یا تخفیف ویژه خرید اینترنت، نمونه‌هایی از طعمه‌های روانی محسوب می‌شوند.
پس از آنکه کاربر بر روی لینک کلیک کرده و اطلاعات حساب خود را در درگاه جعلی وارد می‌سازد، این داده‌ها به‌جای ارسال به شبکه بانکی رسمی، مستقیماً در دیتابیس کلاهبردار ذخیره می‌شود. در بسیاری از موارد، مهاجمان با ابزارهای خودکار، بلافاصله درگاه واقعی را فراخوانی کرده و درخواست رمز پویا می‌دهند. به محض اینکه قربانی رمز پویای دریافتی را نیز در صفحه جعلی وارد کند، کلاهبردار در چند ثانیه موجودی حساب را به حساب‌های واسط منتقل می‌کند.
مطلب مرتبط: معامله با محجورین
اصلی‌ترین علت موفقیت این جرم، عدم بررسی دقیق نشانی اینترنتی (URL) در مرورگر و شتاب‌زدگی کاربران هنگام مواجهه با پیام‌های هشداردهنده است. بررسی دقیق دامنه اصلی سایت‌ها و اطمینان از وجود گواهی امنیتی معتبر، مهم‌ترین مانع در برابر وقوع این خسارت مالی به شمار می‌رود.
شیوه‌ها و ابزارهای رایج کلاهبرداران در فیشینگ
روش‌های نفوذ و سرقت اطلاعات در فضای دیجیتال همواره در حال تغییر است و مجرمان سایبری از ابزارها و بسترهای متنوعی برای پیاده‌سازی نقشه‌های خود استفاده می‌کنند. شناخت دقیق این روش‌ها امکان شناسایی به موقع تهدیدات را فراهم می‌سازد:
مطلب مرتبط: نحوه برگشت زدن چک صیادی
- فیشینگ پیامکی (Smishing): ارسال پیامک حاوی لینک آلوده از طریق شماره‌های شخصی یا سرشماره‌های تبلیغاتی. موضوعاتی چون سامانه ثنا، ثبت‌نام سهام عدالت، سهوار، و جریمه‌های راهنمایی و رانندگی از متداول‌ترین بسترهای این شیوه هستند.
- فیشینگ تلفنی (Vishing): در این روش کلاهبردار طی تماس تلفنی و با سوءاستفاده از عناوین رسمی نظیر مجریان رادیو و تلویزیون یا اپراتورهای بانکی، فرد را متقاعد می‌کند تا رمزهای یک‌بارمصرف یا کد تایید دریافتی خود را قرائت کند یا به پای دستگاه خودپرداز برود.
- فارمینگ یا هدایت دامنه (Pharming): در این تکنیک پیشرفته، کلاهبرداران با دستکاری تنظیمات DNS یا آلوده کردن سیستم کاربر به بدافزار، حتی در صورت وارد کردن آدرس درست سایت در مرورگر، کاربر را به صورت خودکار به یک سرور و صفحه جعلی هدایت می‌کنند.
- فیشینگ هدایت‌شده یا هدفمند (Spear Phishing): در این حالت، کلاهبردار یک شخص یا سازمان مشخص را هدف قرار می‌دهد و با جمع‌آوری اطلاعات قبلی از قربانی، ایمیل یا پیامی کاملاً تخصصی و باورپذیر ارسال می‌کند تا دسترسی‌های سازمانی یا بانکی را به دست آورد.
- فیشینگ در شبکه‌های اجتماعی: ساخت صفحات دستکاری‌شده برای ورود به حساب‌های کاربری اینستاگرام، تلگرام یا واتس‌اپ با هدف نفوذ به حساب شخصی و سپس پیام دادن به مخاطبان قربانی برای درخواست وجوه فوری.
تصور کنید پیامکی دریافت می‌کنید مبنی بر اینکه «حساب کاربری شما در سامانه مالیاتی مسدود شد، جهت رفع مسدودی مبلغ ۲ هزار تومان از لینک زیر پرداخت کنید». شخص با مشاهده مبلغ ناچیز ۲ هزار تومان، گمان می‌کند خطر مالی او را تهدید نمی‌کند و وارد لینک می‌شود؛ اما همین مبلغ اندک، طعمه‌ای برای هدایت او به درگاه جعلی و خالی کردن کل موجودی حساب چند صد میلیونی او در چند دقیقه است.
بررسی ارکان جرم فیشینگ در حقوق کیفری ایران
تحقق هر جرم در سیستم قضایی مستلزم احراز سه رکن اساسی یعنی رکن قانونی، رکن مادی و رکن معنوی است. بررسی این سه عنصر در جرم فیشینگ برای ارائه شکوائیه درست و پیگیری حقوقی در دادسرا از اهمیت زیادی برخوردار است.
رکن قانونی: قانون‌گذار در قوانین ایران واژه لاتین «فیشینگ» را به صورت مستقیم به کار نبرده است، اما رفتارهای موصوف در قانون جرایم رایانه‌ای مصوب ۱۳۸۸ (بخش سوم قانون مجازات اسلامی) به روشنی جرم‌انگاری شده‌اند. مواد ۱، ۱۲ و به ویژه ماده ۱۳ این قانون که مربوط به کلاهبرداری مرتبط با رایانه است، مستند قانونی اصلی برای تعقیب مجرمان این حوزه محسوب می‌شوند.
مطلب مرتبط: تغییر کاربری ملک تجاری
رکن مادی: شامل تمام رفتارهای ظاهری و بیرونی مرتکب است. طراحی درگاه‌های پرداخت شبیه‌سازی‌شده، ایجاد وب‌سایت‌های جعلی، ارسال پیامک‌ها و ایمیل‌های فریبنده، وارد کردن داده‌های ربوده شده به سامانه‌های بانکی و در نهایت انتقال وجه از حساب قربانی به حساب‌های دیگر یا خرید شارژ و رمزارز، مجموعه رفتارهایی است که رکن مادی جرم فیشینگ را تشکیل می‌دهند.
رکن معنوی (سوءنیت): برای محکومیت متهم، وجود قصد مجرمانه ضروری است. رکن معنوی شامل سوءنیت عام (عمد و قصد در طراحی صفحه جعلی و فریب دادن دیگران) و سوءنیت خاص (قصد کسب مال و منفعت غیرقانونی و ورود خسارت مالی به صاحبان حساب) است. اگر شخصی بدون آگاهی و بر اثر آلوده شدن سیستمش به بدافزار، ناخواسته بستر انتقال داده را فراهم کرده باشد، فاقد رکن معنوی بوده و مجرم شناخته نمی‌شود.
مطلب مرتبط: حکم رشد چیست
مجازات قانونی جرم فیشینگ و برداشت غیرمجاز از حساب
قوانین کیفری ایران برای برخورد با جرم فیشینگ و جرایم سایبری وابسته به آن، مجازات‌های حبس، جزای نقدی و الزام به رد مال را پیش‌بینی کرده است. قضاوت درباره شدت مجازات بستگی به شیوه ارتکاب، میزان مال برده‌شده و عناوین مجرمانه منتسب به متهم دارد.
بر اساس ماده ۱۳ قانون جرایم رایانه‌ای، هر کس به طور غیرمجاز از سامانه‌های رایانه‌ای یا مخابراتی با ارتکاب اعمالی از قبیل وارد کردن، تغییر، محو، ایجاد یا متوقف کردن داده‌ها یا مختل کردن سامانه، وجه یا مال یا منفعت یا خدمات یا امتیازات مالی برای خود یا دیگری تحصیل کند، علاوه بر رد مال به صاحب آن، به حبس از یک تا پنج سال یا جزای نقدی یا هر دو مجازات محکوم خواهد شد.
| عنوان مجرمانه در قانون | ماده قانونی مربوطه | مجازات‌های قانونی پیش‌بینی‌شده |
|---|---|---|
| کلاهبرداری مرتبط با رایانه | ماده ۱۳ قانون جرایم رایانه‌ای | ۱ تا ۵ سال حبس، رد مال به شاکی، جزای نقدی |
| دسترسی غیرمجاز به داده‌ها | ماده ۱ قانون جرایم رایانه‌ای | ۹۱ روز تا ۱ سال حبس یا جزای نقدی یا هر دو |
| سرقت اینترنتی داده‌ها | ماده ۱۲ قانون جرایم رایانه‌ای | ۹۱ روز تا ۱ سال حبس یا جزای نقدی یا هر دو |
| جعل رایانه‌ای (ساخت درگاه جعلی) | ماده ۶ قانون جرایم رایانه‌ای | ۱ تا ۵ سال حبس یا جزای نقدی یا هر دو |
چنانچه کلاهبردار اقدام به تشکیل شبکه، باند یا سازمان مجرمانه برای اجرای فیشینگ کرده باشد، بر اساس مقررات عمومی قانون مجازات اسلامی، دادگاه می‌تواند مجازات‌های اشد و تکمیلی نظیر ممنوعیت از فعالیت در فضای مجازی یا محرومیت از حقوق اجتماعی را برای اعضای اصلی باند صادر کند.
مطلب مرتبط: اعتراض به نظر پزشکی قانونی
مسئولیت حقوقی و کیفری دارندگان حساب‌های اجاره‌ای
یکی از چالش‌های اصلی در پرونده‌های جرم فیشینگ، استفاده کلاهبرداران از «حساب‌های اجاره‌ای» یا «کارت‌های مولی» (Money Mule) است. مجرمان سایبری برای پنهان کردن هویت واقعی خود، با انتشار آگهی‌های استخدام منشی آنلاین، کار در منزل، صرافی خانگی یا خرید و فروش رمزارز، کارت‌های بانکی و مدارک هویتی افراد کم‌اطلاع را در ازای پرداخت اجاره‌بهای ماهانه در اختیار می‌گیرند.
وجوه سرقت‌شده از قربانیان فیشینگ ابتدا به این حساب‌های اجاره‌ای واریز شده و سپس از طریق خرید طلا، دلار یا رمزارز پولشویی می‌شود. از نظر قانونی و طبق رویه قضایی دادسراهای جرایم رایانه‌ای، ادعای ناآگاهی دارنده حساب در اکثر موارد مانع از مسئولیت قانونی او نخواهد بود.
مطلب مرتبط: جرم آدم ربایی
بر اساس قانون مبارزه با پولشویی و مقررات بانک مرکزی، دارنده حساب بانکی مسئول مستقیم تمام تراکنش‌هایی است که از طریق کارت یا حساب او انجام می‌شود. در صورت وقوع فیشینگ، دارنده کارت اجاره‌ای به عنوان شریک یا معاون در جرم تحت تعقیب قرار گرفته، تمامی حساب‌های بانکی او مسدود می‌شود و دادگاه او را ملزم به جبران کامل خسارات مالی و رد مال به شاکیان پرونده خواهد کرد.
مراحل دقیق ثبت شکایت و استرداد وجه در پرونده‌های فیشینگ
در صورت مواجهه با جرم فیشینگ و برداشت غیرمجاز از حساب، زمان نقشی تعیین‌کننده در شانس بازیابی وجوه دارد. برای پیگیری حقوقی و قضایی باید سلسله مراحل زیر به دقت طی شود:
مطلب مرتبط: تفاوت قتل عمد و غیرعمد
- اقدام فوری برای مسدودسازی کارت و حساب: نخستین قدم، مسدود کردن سریع کارت بانکی از طریق اینترنت‌بانک، همراه‌بانک، تماس با مرکز پشتیبانی بانک یا سه بار وارد کردن اشتباه رمز دوم در دستگاه خودپرداز است تا از برداشت‌های بعدی جلوگیری شود.
- دریافت صورت‌حساب رسمی بانک: با مراجعه به یکی از شعب بانک مبدأ، گردش حساب دقیق (صورت‌حساب مهرشده) شامل شماره حساب و شماره کارت مقصد، شماره مرجع تراکنش و زمان دقیق وقوع برداشت را دریافت کنید.
- ثبت شکوائیه در دفاتر خدمات الکترونیک قضایی: با همراه داشتن مدارک شناسایی، صورت‌حساب بانکی، نمونه پیامک یا آدرس سایت جعلی و مستندات متنی، نسبت به ثبت شکوائیه با موضوع «کلاهبرداری رایانه‌ای» یا «برداشت غیرمجاز» اقدام کنید.
- ارجاع پرونده به دادسرای جرایم رایانه‌ای و پلیس فتا: پس از ارجاع پرونده از سوی مقام قضایی، کارشناسان پلیس فتا اقدام به ردیابی فنی تراکنش‌ها، شناسایی حساب‌های مقصد و صدور دستور مسدودی حساب‌های متهم یا حساب‌های واسط می‌کنند.
- حضور در شعبه بازپرسی و صدور کیفرخواست: پس از استعلامات پلیس فتا، صاحب حساب مقصد احضار شده و در صورت جلب دادرس، پرونده جهت صدور حکم رد مال و مجازات به دادگاه کیفری دو ارسال می‌شود.
مسئولیت بانک‌ها در جبران خسارت مال‌باختگان فیشینگ
یکی از موضوعات مهم در حقوق بانکی و سایبری، تعیین میزان مسئولیت نظام بانکی در قبال پرونده‌های فیشینگ است. با ابلاغ دستورالعمل‌های بانک مرکزی در خصوص الزامی شدن استفاده از رمز دوم پویا (یک‌بارمصرف) و پیاده‌سازی سامانه‌های هوانگار، الزامات مشخصی برای بانک‌ها تعیین شده است.
چنانچه بانکی الزامات امنیتی مصوب بانک مرکزی را رعایت نکرده باشد؛ برای مثال بدون فعال‌سازی رمز پویا تراکنش اینترنتی بالای سقف مجاز را پردازش کند یا پیامک رمز پویا را بدون درج نام پذیرنده و مبلغ تراکنش ارسال نماید، در صورت بروز جرم فیشینگ، مسئولیت مدنی داشته و طبق رویه قضایی، محکوم به جبران خسارت وارده به مشتری خواهد شد.
اما اگر بانک تمام استانداردهای امنیتی ابلاغی را به طور کامل رعایت کرده باشد و کاربر بر اثر غفلت شخصاً رمز پویای دریافتی حاوی اطلاعات درست تراکنش را در درگاه جعلی وارد کرده باشد، مسئولیت حقوقی مستقیم متوجه خود کاربر و کلاهبردار بوده و مسئولیت مدنی متوجه بانک نخواهد بود.
مطلب مرتبط: سیاهه جهیزیه
راهکارهای عملی و چک‌لیست تشخیص صفحات و پیام‌های فیشینگ
برای ایمن ماندن در برابر مخاطرات فیشینگ، رعایت یک چک‌لیست ساده و کاربردی در هنگام انجام تراکنش‌های مالی و مواجهه با پیام‌های مشکوک ضروری است:
- بررسی دقیق آدرس بار (URL) مرورگر: تمام درگاه‌های پرداخت معتبر و رسمی کشور زیرمجموعه دامنه اصلی shaparak.ir هستند. وجود هرگونه کلمه اضافی، پسوند متفاوت یا غلط املایی در آدرس دامنه (مانند shaparack یا shaparak-payment) نشان‌دهنده یک صفحه جعلی است.
- چک کردن متن پیامک رمز پویا: هنگام درخواست رمز دوم پویا، پیامک ارسالی از سوی بانک را با دقت بخوانید. مبلغ تراکنش و نام فروشنده یا پذیرنده درج‌شده در پیامک باید دقیقاً با خریدی که انجام می‌دهید مطابقت داشته باشد.
- توجه به سرشماره ارسال‌کننده پیامک: پیام‌های رسمی ارگان‌های دولتی و قضایی (مانند سامانه ثنا) هرگز از شماره‌های شخصی و ۱۱ رقمی ارسال نمی‌شوند و فاقد لینک مستقیم پرداخت هستند.
- استفاده از ابزارهای کد کاپچا (کد امنیتی): در صفحات اصلی پرداخت، کد تصویری امنیتی پویا است و با رفرش تغییر می‌کند. در بسیاری از صفحات فیشینگ، این کد صوری یا ثابت است.
- نصب افزونه‌های ضد فیشینگ معتبر: بهره‌گیری از افزونه‌های شناسایی درگاه‌های جعلی بر روی مرورگرهای دسکتاپ و تلفن همراه می‌تواند دامنه‌های مشکوک را به صورت خودکار مسدود کند.
سوالات متداول درباره جرم فیشینگ
آیا امکان بازگشت پول سرقت شده در جرم فیشینگ وجود دارد؟
بله، در صورت اقدام سریع و گزارش فوری به پلیس فتا، امکان مسدودسازی حساب‌های مقصد و توقیف وجوه وجود دارد. در صورت عدم وصول سریع، متهم پس از دستگیری و طی مراحل دادگاه ملزم به رد کامل مال برده‌شده به همراه پرداخت جریمه خواهد بود.
مطلب مرتبط: جرم تهدید به پخش عکس
اگر فیشینگ از طریق حساب شخص ثالث انجام شود، مسئولیت با کیست؟
دارنده حسابی که پول به آن منتقل شده است (حساب واسط یا اجاره‌ای)، از نظر قانونی مسئول پاسخگویی به مراجع قضایی است و تا زمان اثبات بی‌گناهی و شناسایی کلاهبردار اصلی، مکلف به جبران خسارت شاکی است.
تفاوت جرم کلاهبرداری سنتی با کلاهبرداری رایانه‌ای (فیشینگ) چیست؟
در کلاهبرداری سنتی، مانور فریبکارانه به صورت حضوری و مستقیم روی مال‌باخته صورت می‌گیرد؛ اما در کلاهبرداری رایانه‌ای، فریب از طریق سامانه و سامانه‌های رایانه‌ای و دستکاری داده‌ها انجام شده و نیازی به ارتباط مستقیم چهره به چهره نیست.
آیا کلیک کردن روی لینک فیشینگ به تنهایی موجب سرقت حساب می‌شود؟
در اغلب موارد، صرف کلیک روی لینک منجر به برداشت از حساب نمی‌شود مگر اینکه بدافزاری روی گوشی نصب گردد یا اطلاعات کارت در درگاه وارد شود. با این حال، برخی لینک‌ها ممکن است حاوی بدافزارهای جاسوسی باشند که توصیه می‌شود در صورت کلیک اشتباه، دستگاه سریعاً ویروس‌یابی یا بازنشانی کارخانه‌ای شود.