ایمیل جعلی چیست؟ روش تشخیص فرستنده تقلبی، جعل آدرس ایمیل و مقابله با فیشینگ

چگونه نام، دامنه، لینک و هدر پیام را پیش از اعتماد بررسی کنیم؟

ایمیل جعلی ممکن است نام مدیر، بانک، فروشگاه یا یکی از نزدیکان شما را نشان دهد، در حالی که پیام را فرد دیگری فرستاده است. گاهی فقط نام نمایشی تقلید می‌شود، گاهی دامنه‌ای بسیار شبیه دامنه اصلی ساخته می‌شود و در بعضی حملات، نشانی بخش From در ساختار پیام جعل می‌شود. ظاهر مرتب، لوگوی درست و لحن رسمی هیچ‌کدام به‌تنهایی اصالت پیام را ثابت نمی‌کنند.

برای تشخیص فرستنده تقلبی باید چند نشانه را کنار هم گذاشت: آدرس کامل، املای دامنه، Reply-To، مقصد واقعی لینک، سابقه مکالمه، درخواست مطرح‌شده و نتیجه‌های SPF، DKIM و DMARC. حتی عبور موفق از احراز هویت هم همیشه به معنای بی‌خطر بودن نیست؛ مهاجم می‌تواند دامنه‌ای شبیه دامنه اصلی بخرد و برای همان دامنه جعلی، تنظیمات فنی معتبر داشته باشد.

در این مقاله از تاپ ناز روش بررسی ایمیل مشکوک را از سطح ساده تا خواندن هدر توضیح می‌دهیم و مشخص می‌کنیم چه زمانی باید پیام را گزارش کنید، چگونه بدون کلیک‌کردن هویت فرستنده را بسنجید و اگر روی لینک یا فایل آلوده کلیک کردید چه اقداماتی انجام دهید.

ایمیل جعلی چیست و چه هدفی دارد؟

ایمیل جعلی پیامی است که هویت، نشانی یا هدف واقعی فرستنده را پنهان می‌کند تا گیرنده آن را معتبر تصور کند. مهاجم ممکن است از نام یک سازمان شناخته‌شده، تصویر پروفایل همکار، امضای رسمی یا قالب ظاهری یک سرویس استفاده کند. هدف می‌تواند سرقت رمز، اطلاعات بانکی، کد تأیید، نصب بدافزار، تغییر شماره حساب فاکتور یا گرفتن یک پاسخ حاوی اطلاعات محرمانه باشد.

خطر اصلی این است که بیشتر کاربران ابتدا نام نمایشی و موضوع پیام را می‌بینند، نه مسیر فنی ارسال را. مهاجم از اعتماد، عجله و ترس استفاده می‌کند: «حساب شما بسته می‌شود»، «پرداخت معوق است»، «فایل قرارداد را فوری بررسی کنید» یا «مدیر شرکت انتقال وجه را تأیید کرده است». تشخیص مؤثر بخشی از امنیت سایبری روزمره است و به ابزار پیچیده نیاز ندارد؛ مکث و بررسی مستقل اغلب کافی است.

تفاوت جعل ایمیل، جعل هویت و فیشینگ

در جعل آدرس یا Email Spoofing، اطلاعات بخش فرستنده طوری تنظیم می‌شود که پیام ظاهراً از دامنه یا نشانی دیگری آمده باشد. در جعل هویت یا Impersonation، مهاجم ممکن است اصلاً From را دست‌کاری نکند؛ او یک حساب واقعی روی دامنه‌ای شبیه دامنه اصلی می‌سازد یا فقط نام نمایشی مدیر را روی یک نشانی ناشناس می‌گذارد. دامنه جعلی می‌تواند احراز هویت خودش را با موفقیت بگذراند، چون مالک همان دامنه تقلبی است.

فیشینگ روش فریب برای گرفتن اطلاعات یا وادارکردن کاربر به عمل خطرناک است. جعل هویت یکی از ابزارهای فیشینگ محسوب می‌شود، اما هر پیام جعلی الزاماً لینک سرقت رمز ندارد. در کلاهبرداری ایمیل تجاری یا BEC، پیام ممکن است فقط درخواست تغییر حساب بانکی، خرید کارت هدیه یا ارسال سند کند. بنابراین نبودن لینک و فایل، اصالت پیام را ثابت نمی‌کند.

نام نمایشی و آدرس کامل فرستنده را بررسی کنید

روی نام فرستنده بزنید یا نشانگر ماوس را روی آن نگه دارید تا آدرس کامل ظاهر شود. نام «پشتیبانی بانک» می‌تواند بالای نشانی یک سرویس رایگان نوشته شده باشد. بخش بعد از علامت @ مهم‌تر از نام قبل از آن است. اگر سازمان همیشه از دامنه رسمی خود ایمیل می‌زند، پیام یک نشانی عمومی یا دامنه ناآشنا باید با احتیاط بررسی شود.

تنها به تصویر، تیک، لوگو یا نام ذخیره‌شده در مخاطبان اعتماد نکنید. اطلاعات عمومی و اطلاعات عکس پروفایل می‌تواند برای ساخت هویتی باورپذیر استفاده شود. اگر لحن، زمان پیام یا نوع درخواست با رفتار معمول شخص هماهنگ نیست، از همان رشته ایمیل پاسخ ندهید و از شماره یا کانالی که قبلاً در اختیار داشتید هویت او را تأیید کنید.

دامنه، Reply-To و مقصد لینک را مقایسه کنید

دامنه را حرف‌به‌حرف بخوانید. مهاجم ممکن است حرف l را با عدد 1، حرف o را با صفر، خط تیره اضافی یا پسوند دیگری جایگزین کند. در نشانی طولانی، دامنه ثبت‌شده همان بخشی است که درست پیش از پسوند اصلی قرار دارد؛ وجود نام بانک در ابتدای یک زیردامنه، مالکیت بانک را ثابت نمی‌کند. دامنه را با نشانی تایپ‌شده در سایت یا برنامه رسمی مقایسه کنید.

اگر Reply-To با From تفاوت دارد، پیام لزوماً جعلی نیست؛ خبرنامه‌ها و سامانه‌های پشتیبانی گاهی مسیر پاسخ جدا دارند. بااین‌حال، این اختلاف همراه با درخواست پول، رمز یا فایل باید بررسی شود. مقصد لینک نیز ممکن است با متن روی آن فرق کند. در رایانه، بدون کلیک نشانگر را روی لینک نگه دارید. در موبایل، پیش‌نمایش امن دستگاه را ببینید و اگر مطمئن نیستید، لینک را باز نکنید.

وجود HTTPS فقط رمزگذاری ارتباط با همان سایت را نشان می‌دهد و درباره هویت یا صداقت صاحب سایت تضمین نمی‌دهد. مهاجم هم می‌تواند برای دامنه جعلی گواهی معتبر بگیرد. برای ورود به بانک، ایمیل یا پنل کاری، آدرس شناخته‌شده را خودتان تایپ کنید یا از نشانک قدیمی استفاده کنید؛ از دکمه داخل پیام غیرمنتظره وارد نشوید.

هدر کامل ایمیل چه اطلاعاتی نشان می‌دهد؟

هدر مجموعه‌ای از اطلاعات فنی پیام است: From، Reply-To، Return-Path، مسیرهای Received، شناسه پیام و نتیجه احراز هویت. برنامه ایمیل معمولاً فقط چند مورد را نشان می‌دهد. هدر می‌تواند اختلاف میان فرستنده قابل مشاهده و دامنه ارسال‌کننده را آشکار کند، اما تفسیر یک خط منفرد کافی نیست؛ بعضی واسطه‌ها، خبرنامه‌ها و فورواردها ساختار طبیعی پیام را تغییر می‌دهند.

مشاهده هدر در Gmail

در نسخه وب Gmail پیام را باز کنید، منوی سه‌نقطه کنار پاسخ را بزنید و Show original را انتخاب کنید. صفحه جدید خلاصه SPF، DKIM و DMARC و متن اصلی هدر را نمایش می‌دهد. به دامنه‌های کنار mailed-by و signed-by و نتیجه Authentication-Results توجه کنید. اگر نتیجه fail یا دامنه نامرتبط است، هیچ لینک یا ضمیمه‌ای را باز نکنید.

مشاهده هدر در Outlook

در Outlook جدید و نسخه وب، از More actions به View و سپس View message details بروید. در Outlook کلاسیک ویندوز، پیام را در پنجره جدا باز کنید و File سپس Properties را بزنید؛ هدر در بخش Internet headers دیده می‌شود. نام گزینه‌ها ممکن است با زبان و نسخه برنامه کمی تفاوت داشته باشد.

هدر را در سایت ناشناس تحلیل نکنید، چون ممکن است آدرس‌ها، شناسه‌ها، موضوع و اطلاعات داخلی مکاتبه را افشا کند. برای پرونده مالی، حقوقی یا سازمانی، نسخه اصلی پیام را بدون ویرایش نگه دارید و آن را در اختیار تیم فناوری اطلاعات یا کارشناس معتبر قرار دهید. حفظ هدر برای بررسی رخداد از ارسال تصویر ساده مفیدتر است.

SPF، DKIM و DMARC چگونه جعل ایمیل را محدود می‌کنند؟

این سه سازوکار به سرور گیرنده کمک می‌کنند بفهمد پیام از زیرساخت مجاز آمده، در مسیر تغییر اساسی نکرده و دامنه احرازشده با دامنه‌ای که کاربر در From می‌بیند هماهنگ است یا نه. آن‌ها احتمال جعل مستقیم دامنه را کاهش می‌دهند، اما محتوای پیام، نیت فرستنده یا شباهت یک دامنه تازه‌ثبت‌شده به برند اصلی را تضمین نمی‌کنند.

SPF چه چیزی را بررسی می‌کند؟

SPF فهرستی را در DNS دامنه منتشر می‌کند تا سرورهای مجاز برای ارسال ایمیل از آن دامنه مشخص شوند. سرور گیرنده بررسی می‌کند زیرساخت فرستنده اجازه استفاده از دامنه envelope sender یا MAIL FROM را داشته است یا نه. SPF به‌تنهایی الزاماً دامنه قابل مشاهده در From را تأیید نمی‌کند و فورواردکردن پیام می‌تواند نتیجه آن را پیچیده کند.

DKIM چه چیزی را امضا می‌کند؟

DKIM یک امضای رمزنگاری‌شده به هدر اضافه می‌کند. سرور گیرنده کلید عمومی را از DNS دامنه امضاکننده می‌گیرد و بررسی می‌کند بخش‌های امضاشده پیام از زمان ارسال تغییر نکرده باشند. نتیجه pass می‌گوید امضای آن دامنه معتبر است؛ نمی‌گوید هر ادعای داخل متن درست است یا دامنه امضاکننده همان برند مورد انتظار شماست.

DMARC چرا به هم‌ترازی دامنه توجه می‌کند؟

DMARC نتیجه SPF و DKIM را به دامنه موجود در From قابل مشاهده مرتبط می‌کند. برای عبور، دست‌کم یکی از روش‌های احراز باید هم موفق باشد و هم با دامنه From هم‌تراز شود. مالک دامنه همچنین می‌تواند سیاست none، quarantine یا reject و نشانی دریافت گزارش را منتشر کند. اجرای سخت‌گیرانه باید پس از شناسایی تمام سرویس‌های قانونی ارسال انجام شود تا پیام معتبر اشتباهی حذف نشود.

نتیجه‌های احراز هویت را چگونه تفسیر کنیم؟

نتیجه none یا fail همیشه اثبات قطعی کلاهبرداری نیست؛ سامانه قدیمی، فوروارد یا تنظیم ناقص فرستنده واقعی هم می‌تواند مشکل ایجاد کند. از طرف دیگر، pass مهر تأیید محتوایی نیست. معیار نهایی ترکیب دامنه مورد انتظار، احراز فنی، زمینه مکالمه و تأیید مستقل درخواست است.

نشانه‌های رایج ایمیل فرستنده تقلبی

نشانه مهم، ناسازگاری است: نام آشنا با دامنه ناشناس، پیام فارسی با نشانی پاسخ نامرتبط، امضای یک شرکت با شماره تلفن کشوری دیگر یا درخواست مالی خارج از روال. فشار زمانی، تهدید به بسته‌شدن حساب، پاداش غیرمنتظره، محرمانه نگه‌داشتن درخواست و اصرار بر دورزدن فرایند معمول نیز الگوهای رایج‌اند.

فایل غیرمنتظره، به‌ویژه فایل اجرایی، آرشیو رمزدار، سندی که فعال‌کردن ماکرو می‌خواهد یا صفحه ورود داخل ضمیمه، خطر بالایی دارد. غلط املایی هنوز یک نشانه است، اما ایمیل حرفه‌ای و بدون غلط هم می‌تواند جعلی باشد. ابزارهای ترجمه و تولید متن، تقلید از لحن رسمی را آسان کرده‌اند؛ کیفیت نگارش دیگر معیار مطمئنی نیست.

مهاجم از ردپای دیجیتال برای شخصی‌سازی پیام استفاده می‌کند: نام همکار، سفر اخیر، پروژه یا علاقه شما را می‌داند و اعتماد می‌سازد. حذف اطلاعات مخفی عکس پیش از انتشار و محدودکردن جزئیات عمومی، مواد اولیه چنین حملاتی را کمتر می‌کند، هرچند جای بررسی ایمیل را نمی‌گیرد.

چند سناریوی واقعی و قابل تشخیص

در سناریوی بانکی، پیام از «واحد امنیت» می‌خواهد برای رفع مسدودی وارد لینک شوید. کار درست، بستن ایمیل و بررسی حساب در برنامه رسمی است. در سناریوی سازمانی، پیام ظاهراً از مدیر می‌خواهد فاکتور جدید فوراً پرداخت شود. تغییر شماره حساب باید با تماس مستقیم و طبق روال مالی تأیید شود، حتی اگر پیام داخل یک رشته مکاتبه واقعی دیده شود.

موضوع حمله ممکن است دقیقاً با علایق شما هماهنگ باشد: تلگرام پرمیوم رایگان، نصب اپلیکیشن‌های ایرانی روی آیفون، خطرات فیلترشکن اینستاگرام یا تنظیمات مودم. حتی ایمیلی درباره تشخیص اپل واچ اصل و فیک یا خطرات امنیتی شارژ گوشی می‌تواند پوششی برای لینک دانلود باشد. مرتبط‌بودن موضوع با نیاز شما نشانه اصالت فرستنده نیست.

صاحبان کسب‌وکار و تولیدکنندگان محتوا بیشتر با پیشنهاد همکاری، فایل قرارداد و هشدار نقض حق نشر هدف قرار می‌گیرند. اگر درگیر راه‌اندازی فروشگاه اینترنتی یا پرسونال برندینگ هستید، فایل برنددیل، فاکتور و درخواست ورود به شبکه اجتماعی را فقط از مسیر تأییدشده دریافت کنید.

چگونه بدون پاسخ‌دادن اصالت پیام را بررسی کنیم؟

از اطلاعات تماس داخل پیام استفاده نکنید. وب‌سایت رسمی را با تایپ دستی باز کنید، شماره پشت کارت یا قرارداد قبلی را بگیرید یا در برنامه اصلی وضعیت حساب را ببینید. برای همکار، تماس تلفنی یا پیام در کانالی که از قبل می‌شناسید بفرستید. سؤال باید مشخص باشد: «آیا شما همین درخواست پرداخت یا فایل را امروز ارسال کرده‌اید؟»

درخواست را با سابقه مقایسه کنید. آیا فرستنده معمولاً از این دامنه می‌نویسد؟ آیا مبلغ، گیرنده، لحن و ساعت ارسال طبیعی است؟ آیا پاسخ‌دادن به پیام، آدرس متفاوتی را باز می‌کند؟ برای تغییر اطلاعات بانکی، یک تأیید دوم از فرد مجاز و ثبت آن در سامانه داخلی ضروری است. اعتماد به یک ایمیل، حتی ایمیل واقعیِ حساب تصاحب‌شده، کنترل مالی کافی نیست.

پیام مشکوک را با گزینه Report phishing یا گزارش فیشینگ در سرویس ایمیل علامت بزنید. اگر سازمانی هستید، آن را طبق دستورالعمل داخلی برای تیم امنیت بفرستید و هدر اصلی را حفظ کنید. پیام را برای همکاران عادی فوروارد نکنید، چون ممکن است لینک قابل کلیک و ضمیمه خطرناک در صندوق‌های بیشتری پخش شود.

اگر روی لینک یا فایل ایمیل جعلی کلیک کردیم چه کنیم؟

اگر فقط لینک را باز کرده‌اید ولی چیزی وارد یا دانلود نکرده‌اید، صفحه را ببندید، مرورگر و سیستم را به‌روز کنید و هشدارهای حساب را بررسی کنید. اگر رمز وارد کرده‌اید، از دستگاه مطمئن رمز را فوراً تغییر دهید، نشست‌های فعال و روش‌های بازیابی را کنترل کنید و احراز هویت چندمرحله‌ای را روشن کنید. رمز تکراری را در تمام حساب‌های دیگر نیز عوض کنید.

اگر فایل را اجرا کرده‌اید، اتصال دستگاه را از شبکه قطع کنید و برای اسکن یا بررسی حرفه‌ای اقدام کنید؛ در محیط کاری فوراً تیم فناوری اطلاعات را مطلع سازید. پاک کردن حافظه پنهان گوشی یا مرورگر، بدافزار را تضمینی حذف نمی‌کند. حساب بانکی و تراکنش‌ها را کنترل کنید و اگر اطلاعات مالی داده‌اید با بانک تماس بگیرید.

اگر پیام برای مخاطبان شما ارسال شده یا صندوق پستی تصاحب شده است، قوانین انتقال خودکار، Reply-To، برنامه‌های متصل و پوشه Sent را بازبینی کنید. به مخاطبان از کانال دیگری هشدار دهید. مدیریت زمان در شبکه‌های اجتماعی یا استفاده از مکالمه صوتی و ویدیویی در اینستاگرام موضوع امنیت ایمیل را حل نمی‌کند؛ برای هر حساب باید نشست‌ها و دسترسی‌های خودش جداگانه بررسی شود.

برای بازگشت امن‌تر به کارهای روزمره گوشی، راهنمای کد وارد کردن شارژ برای اپراتورهای مختلف قابل مطالعه‌اند.

کسب‌وکارها چگونه از دامنه خود محافظت کنند؟

همه منابع قانونی ارسال را فهرست کنید: سرویس اصلی ایمیل، سامانه خبرنامه، پشتیبانی، فاکتور، CRM و میزبان وب. سپس SPF را بدون رکوردهای تکراری تنظیم کنید، DKIM را برای هر سرویس فعال سازید و DMARC را ابتدا با گزارش‌گیری و سیاست کنترل‌شده راه‌اندازی کنید. پس از رفع خطاهای قانونی، سیاست را مرحله‌ای به quarantine و در نهایت reject برسانید.

گزارش DMARC برای دیدن منابعی است که از دامنه شما استفاده می‌کنند؛ خواندن و نگهداری آن باید مسئول مشخص داشته باشد. دامنه‌های مشابه برند و تغییرات DNS را پایش کنید. حساب مدیران، مالی و پشتیبانی با ورود چندمرحله‌ای مقاوم و دسترسی حداقلی محافظت شوند. آموزش کاربر باید با دکمه گزارش ساده و پاسخ بدون سرزنش همراه باشد تا پیام مشکوک پنهان نماند.

کنترل فرایندی به‌اندازه تنظیم فنی مهم است. تغییر شماره حساب، خرید فوری، ارسال فهرست مشتریان یا تغییر رمز نباید با تأیید یک ایمیل انجام شود. پرداخت‌های حساس به تأیید دوم، تماس با شماره ثبت‌شده و ثبت سابقه نیاز دارند. SPF، DKIM و DMARC جعل مستقیم را سخت‌تر می‌کنند، اما جلوی پیام از حساب واقعیِ هک‌شده یا دامنه شبیه را به‌تنهایی نمی‌گیرند.

چک‌لیست یک‌دقیقه‌ای تشخیص ایمیل جعلی

پیش از کلیک یا پاسخ، آدرس کامل فرستنده را باز کنید؛ دامنه را حرف‌به‌حرف با سایت رسمی تطبیق دهید؛ Reply-To و مقصد لینک را ببینید؛ درخواست، لحن و زمان را با سابقه بسنجید؛ هشدار سرویس ایمیل و نتیجه احراز را نادیده نگیرید؛ و هر درخواست مالی یا امنیتی را از کانالی مستقل تأیید کنید.

اگر فقط یکی از این موارد مشکوک است، سرعت را کم کنید. از لینک پیام برای ورود استفاده نکنید، فایل غیرمنتظره را باز نکنید، کد تأیید و رمز نفرستید و برای «حل مشکل» نرم‌افزار کنترل از راه دور نصب نکنید. یک فرستنده واقعی از بررسی دوباره ناراحت نمی‌شود؛ اصرار بر محرمانگی و اقدام فوری نشانه خطر است.

در کنار ایمیل، سایر مسیرهای فریب را هم مدیریت کنید. تلگرام پرمیوم رایگان، لینک‌های دانلود ناشناس و برنامه‌های خارج از منبع معتبر می‌توانند دسترسی حساب را تهدید کنند. انتشار کمتر اطلاعات عمومی و استفاده درست از تنظیمات حریم خصوصی، فرصت ساخت پیام هدفمند را کاهش می‌دهد.

پرسش‌های متداول درباره ایمیل جعلی

جمع‌بندی

تشخیص ایمیل جعلی با یک نشانه قطعی انجام نمی‌شود. نام نمایشی، آدرس کامل، املای دامنه، Reply-To، مقصد واقعی لینک، زمینه درخواست و هدر پیام باید کنار هم قرار گیرند. SPF مجازبودن زیرساخت ارسال را می‌سنجد، DKIM امضای دامنه و تغییرنکردن بخش‌های امضاشده را بررسی می‌کند و DMARC نتیجه احراز را با دامنه From هم‌تراز می‌سازد. بااین‌حال، مهاجم می‌تواند دامنه‌ای شبیه دامنه اصلی بخرد و برای همان دامنه تقلبی نتیجه pass بگیرد؛ پس احراز فنی جای خواندن دقیق دامنه را نمی‌گیرد.

درخواست‌های مالی، تغییر حساب بانکی، فایل غیرمنتظره، ورود فوری و ارسال اطلاعات محرمانه را از کانالی مستقل تأیید کنید. اگر روی لینک کلیک کرده یا رمز داده‌اید، سرعت عمل لازم است: رمز را از دستگاه مطمئن تغییر دهید، نشست‌ها و روش‌های بازیابی را کنترل کنید، ورود چندمرحله‌ای را فعال سازید و در صورت افشای اطلاعات مالی با بانک تماس بگیرید. فایل اجراشده یا رخداد سازمانی باید سریع به تیم فنی گزارش شود.

قاعده عملی تاپ ناز ساده است: ظاهر پیام را مدرک هویت ندانید. پیش از هر کلیک، نام را باز کنید، دامنه را بخوانید و درخواست را خارج از همان ایمیل تأیید کنید. این مکث کوتاه، بخش بزرگی از حملاتی را که بر عجله، ترس و اعتماد خودکار متکی‌اند بی‌اثر می‌کند.

نویسنده مطلب

علی گنج

علی گنج، نویسنده ارشد تیم تحریریه. من در سایت تاپ ناز تلاش می‌کنم محتوایی کاربردی، خواندنی و منظم برای مخاطبان آماده کنم؛ محتوایی که هم از نظر نگارشی روان باشد و هم بتواند به نیاز واقعی کاربران پاسخ بدهد. تمرکز من بیشتر روی موضوعاتی مانند تکنولوژی، سبک زندگی، دانستنی‌های روز، آموزش، سرگرمی، مد، زیبایی، خانه و خانواده، سفر، فرهنگ عمومی و مطالب کاربردی اینترنتی است.نگاه من در نویسندگی بر پایه دقت، سادگی و کاربردی بودن است. تلاش می‌کنم موضوعات مختلف را با زبانی قابل فهم، اما حرفه‌ای توضیح بدهم تا محتوای منتشرشده در تاپ ناز برای طیف گسترده‌ای از مخاطبان قابل استفاده باشد. هدف من این است که هر نوشته بتواند تجربه‌ای بهتر، سریع‌تر و مفیدتر برای کاربر ایجاد کند.