💡 مدیران «تیک‌تاک» از خطرات این پلتفرم برای کودکان آگاه بودند، اما واکنش کافی نشان ندادند

براساس اسناد رسمی دادگاه که به دست خبرگزاری‌ها رسیده، برخی کارکنان «تیک‌تاک» بارها به مدیران خود راجع به خطرات این پلتفرم برای کودکان هشدار داده بودند؛ از امکان دور زدن محدودیت‌های سنی گرفته تا دسترسی نوجوانان به محتوای جنسی پولی در بخش Live. اما مدیران شرکت با اینکه از این مسائل باخبر بودند، واکنش سریع یا کافی نشان نداده‌اند.

یکی از جدی‌ترین هشدارها مربوط به قابلیت پخش زنده بود. به گفته یکی از مدیران سابق بخش ایمنی تیک‌تاک، بعضی نوجوانان در ازای «هدیه»‌هایی که به پول واقعی تبدیل می‌شوند، محتوای جنسی تولید می‌کردند. اسناد نشان می‌دهند تیک‌تاک پیش از رسانه‌ای‌ شدن این موضوع در سال ۲۰۲۲ هم از نگرانی‌های مربوط به سوءاستفاده جنسی باخبر بوده است.

نگرانی بعدی به خودِ الگوریتم مربوط می‌شود. یکی دیگر از مدیران سابق تیک‌تاک گفته که از سال ۲۰۲۰ نسبت به «تونل‌های الگوریتمی» هشدار داده؛ یعنی موقعیتی که پیشنهادهای پی‌درپی، کاربر را برای مدتی طولانی در مواجهه با یک موضوع خاص نگه می‌دارند.

در یکی از گزارش‌های داخلی تیک‌تاک گفته شده که این الگو، نوعی «اثر سرایتی» دارد؛ برای مثال دیدن مداوم محتوای مرتبط به خودکشی می‌تواند روی کاربران اثر بگذارد و افکار و رفتارهای مشابه را در آن‌ها تقویت کند.

این شهادت‌ها تنها بخشی از صدها شکایتی‌اند که مدعی‌اند تیک‌تاک، متا، اسنپ و گوگل، از خطرات محصولات‌شان برای کودکان اطلاع داشته‌اند. البته دادگاه هنوز به جمع‌بندی نرسیده و این شهادت‌ها تمامی ادعاها را اثبات نمی‌کنند.

اما اگر اسناد صحیح باشند، مساله فقط خطرات یک پلتفرم برای کودکان نیست. مساله این است که گاهی شرکت‌های بزرگ به‌خوبی می‌دانند که رویه‌ای آسیب‌زا در پیش گرفته‌اند و آگاهانه در همان مسیر باقی می‌مانند. وقتی خودِ طراحی پلتفرم می‌تواند کودک را به سمت محتوای نامناسب هل بدهد یا دور زدن محدودیت‌ها را آسان کند، ابزارهای کنترل والدین دردی را دوا نمی‌کنند.

به همین دلیل، مراقبت از کودک در فضای آنلاین همچنان وظیفه‌ی والدین است: مثلاً از طریق شناخت پلتفرم‌هایی که استفاده می‌کند، گفت‌وگو درباره محتوایی که می‌بیند و توجه به تغییرات رفتاری او. منطقی نیست که امنیت کودک را صرفاً به تنظیماتی بسپاریم که همان پلتفرم آسیب‌زا برایمان طراحی کرده است!

✍️ شایان ضیایی

#خبر_و_تحلیل
#راهنمای_والدین

برای محافظت از فرزندان خود در جهان دیجیتال، نوشدارو را در تلگرام دنبال کنید:

💡 @NooshDaroo_web

💡 فروش امتیاز وام؛ شگردی برای خالی کردن جیب شما در زمان گرفتاری!

کلاهبرداران این روزها با وعده فروش وام بانکی، تله تازه‌ای در شبکه‌های اجتماعی پهن کرده‌اند. درحالی که سیستم بانکی برای پرداخت تسهیلات نیازمند میانگین حساب، خواب سپرده و ضامن‌های متعدد است، کانال‌ها و پیج‌های ناشناس با ادعای «وام فوری بدون ضامن» وارد میدان می‌شوند.

شاید بین آگهی‌ها وام واقعی هم پیدا شود، اما در اکثر مواقع به بهانه‌های مختلف دست به کلاهبرداری می‌زنند و بدون اینکه تسهیلاتی در کار باشد، سرمایه شما را به سرقت می‌برند.

▪️ وام امتیازی چیست و چرا بستر سودجویی شده است؟

سیستم بانکی کشور مدت‌هاست طرح‌هایی را اجرا می‌کند که در آن، میزان تسهیلات پرداختی به میانگین موجودی یا گردش حساب شما بستگی دارد.

به زبان ساده شما پول‌تان را در بانک می‌گذارید، بانک با آن کار می‌کند و در عوض پس از چند ماه و متناسب با مدت سپرده‌گذاری، امتیازی برای دریافت وام قرض‌الحسنه (کارمزد صفر تا ۴ درصد) به شما تعلق می‌گیرد.

شرایط «انتقال» این امتیازها را ضوابط هر بانک و هر طرح تعیین می‌کند. در برخی طرح‌ها انتقال امتیاز فقط به بستگان یا مشتریان همان بانک ممکن است و در برخی اصلاً ممکن نیست؛ اما در همه موارد، انتقال امتیاز وام فقط از مسیر رسمی و با ثبت در خود بانک انجام می‌شود.

مشکل زمانی آغاز می‌شود که انتقال امتیاز وام از کانال بانکی خارج شده و سر از پلتفرم‌های بدون نظارت درمی‌آورد. این بازار سیاه بستری برای کلاهبرداران حرفه‌ای شده تا در پوشش خرید و فروش وام، کاربران گرفتار را فریب دهند.

▪️ ۴ سناریوی رایج کلاهبرداری وام در شبکه‌های اجتماعی

کلاهبرداران برای خالی کردن جیب مردم روش‌های متعددی به کار می‌بندند. اگر این شگردها را بشناسید، راحت‌تر جلوی زیان مالی را می‌گیرید.

▪️ تله بیعانه و پیش‌پرداخت

کلاهبردار یک آگهی جذاب پخش می‌کند و می‌گوید صدها میلیون تومان امتیاز وام برای واگذاری دارد. بعد از اینکه اعتماد شما را جلب کرد، می‌گوید باید مبلغی را به عنوان «کارمزد انتقال»، «هزینه ثبت‌نام» یا «حق بیمه» واریز کنید.

به محض واریز مبلغ کلاهبردار راه‌های ارتباطی را مسدود کرده و ناپدید می‌شود. مثلاً وقتی فردی از شما می‌خواهد ۲ میلیون تومان پیش‌پرداخت بدهید تا وام ۵۰ میلیونی برایتان جور کند، احتمالاً با یک کلاهبردار طرف هستید.

▪️ دفاتر و شرکت‌های صوری

در این روش کلاهبردار با تأسیس دفاتر شیک و استخدام افرادی در نقش «مشتری راضی»، ظاهری رسمی به کار خود می‌دهد. او مبالغی را بابت عناوین دهان‌پرکن مثل «هزینه اعتبارسنجی سیستم بانکی»، «استعلام سوابق» یا «کارمزد تشکیل پرونده» از شما دریافت می‌کند و قراردادی یک‌طرفه پیش روی‌تان می‌گذارد.

در نهایت اما با بهانه‌هایی مثل نقص مدارک یا رد شدن ضامن، از پرداخت وام طفره می‌روند و طبق همان قرارداد صوری، پول دریافتی را پس نمی‌دهند.

فراموش نکنید که صرف وجود دفتر، مهر، سربرگ و قرارداد ثابت نمی‌کند یک مجموعه حتماً به تسهیلات بانکی دسترسی دارد یا امکان انتقال وام را فراهم می‌کند.

▪️دریافت پی‌درپی پول با بهانه‌سازی

روش دیگر، دریافت مبالغ پی‌درپی با عنوان‌های مختلف است. ابتدا هزینه اعتبارسنجی، سپس هزینه استعلام، بعد کارمزد تشکیل پرونده و در مرحله بعد هزینه آزادسازی وام مطالبه می‌شود.

هر بار هم توضیح تازه‌ای وجود دارد: «سامانه بانک خطا داده»، «ضامن تأیید نشده»، «امتیاز در صف انتقال است« یا «برای پرداخت نهایی، باید مبلغ کوچک دیگری واریز شود».

دلیل موفقیت کلاهبردار این است که وقتی کسی در چند مرحله‌ی مختلف، چند میلیون تومان پرداخت می‌کند، گاهی برای نجات مبالغ قبلی، باز هم حاضر به پرداخت پول بیشتر می‌شود. در واقع تا هر زمان که شخص حاضر به پرداخت مبالغ بیشتر باشد، کلاهبرداری هم ادامه پیدا می‌کند.

▪️ درگاه‌های پرداخت جعلی (فیشینگ)

فیشینگ هم شکل مدرن‌تر کلاهبرداری وام است. لینک پرداختی با عنوان «پرداخت هزینه بانکی» یا «تکمیل ثبت‌نام وام» برای قربانی ارسال می‌شود. صفحه‌ای هم که باز می‌شود کاملاً شبیه درگاه بانکی است، اما اطلاعات کارت، رمز پویا و مشخصات پرداخت را برای کلاهبردار می‌فرستد.

افراد تحت فشار مالی و صاحبان کسب‌وکارهای خرد که به نقدینگی سریع و بی‌دردسر نیاز دارند، بیش از دیگران در معرض گرفتار شدن در تله این آگهی‌های وسوسه‌انگیز هستند.

▪️ پشت پرده‌ی بازار سیاه وام در شبکه‌های اجتماعی

برخی پلتفرم‌های ثبت آگهی، انتشار آگهی خرید و فروش وام را از مدتی قبل ممنوع کرده‌اند، اما این آگهی‌ها همچنان در تلگرام، اینستاگرام، پیامک‌های تبلیغاتی و حتی تراکت‌های کاغذی دیده می‌شوند. در شبکه‌های اجتماعی به‌راحتی می‌شود با سیم‌کارت‌های «اجاره‌ای» یا «ثبت‌شده به نام دیگران» هویت جعلی ساخت و بعد از سرقت پول، حساب کاربری را حذف کرد.

پلیس فتا و بانک مرکزی بارها هشدار داده‌اند که هیچ کارگزاری رسمی، شعبه بانکی یا واسطه‌ای برای ارائه تسهیلات در شبکه‌های اجتماعی وجود ندارد.

وام بدون ضامن یا وام سریع هم اگر وجود داشته باشد، صرفا محدود به مبالغ خرد است و فقط از راه شعبه یا اپلیکیشن خود بانک و پس از اعتبارسنجی داده می‌شود. ادعاهایی مثل «وام یک‌روزه از طریق واسطه»، «انتقال سهمیه فقط با کارت ملی» یا «دور زدن اعتبارسنجی» با ساختار شبکه بانکی جور درنمی‌آیند.

▪️ حساب‌کتاب ساده: چرا خرید امتیاز وام منطقی نیست؟

جدا از ریسک کلاهبرداری، خرید این وام‌ها اغلب توجیه اقتصادی ندارد. در برخی آگهی‌های بازار سیاه، گاهی تا نیمی از مبلغ وام به عنوان هزینه خرید امتیاز مطالبه می‌شود.

فرض کنید برای خرید امتیاز یک وام ۱۰۰ میلیون تومانی، مجبورید از همان ابتدا ۵۰ میلیون تومان به فروشنده بپردازید؛ و این جدا از اقساط و کارمزدی است که باید به بانک بازگردانید.

• مبلغ وام: ۱۰۰ میلیون تومان
• هزینه خرید امتیاز: ۵۰ میلیون تومان
• نقدینگی خالص باقی‌مانده برای شما: ۵۰ میلیون تومان
• تعهد بازپرداخت شما به بانک: ۱۰۰ میلیون تومان + کارمزد

با یک حساب سرانگشتی، شما باید بیش از دو برابر مبلغ دریافتی را به بانک برگردانید. چنین هزینه‌ای، حتی اگر بازپرداخت دو ساله باشد، از نرخ‌های رسمی بانکی بالاتر است و منطقی نیست.

▪️ راهنمای عملی تصمیم‌گیری: چه باید بکنیم؟

با تمام این تفاسیر، در زمان نیاز مالی چه تصمیمی باید بگیریم؟

• از میانبرهای پرخطر شبکه‌های اجتماعی صرف‌نظر کنید. به جای جست‌وجو در کانال‌های تلگرامی بی‌هویت، به مسیرهای شفاف بانکی رجوع کنید یا از گزینه‌های سنتی اما قابل اعتمادتر مانند صندوق‌های وام خانوادگی بهره ببرید.

• اگر قصد واگذاری امتیاز وام دارید، پیش از هرگونه توافق با شخص دیگر، دریافت وجه یا امضای تعهدنامه، به شعبه بانک مراجعه کنید. وضعیت انتقال امتیاز و از آن مهم‌تر، مسئولیت بازپرداخت اقساط را دقیق روشن کنید.

• تا زمانی که بانک، امکان و روش رسمی انتقال را برای همان تسهیلات خاص تأیید نکرده، به هیچ‌وجه پولی رد و بدل نکنید، مدرکی تحویل ندهید و امتیازی را منتقل نکنید.

• تصاویر کارت ملی، شناسنامه، کارت بانکی و سایر اطلاعات هویتی خود را برای افراد ناشناس ارسال نکنید. کلاهبرداران از این مدارک برای افتتاح حساب اجاره‌ای، پول‌شویی یا کلاهبرداری از افراد دیگر سوءاستفاده می‌کنند.

▪️اگر گرفتار شدیم، اولین اقدام چیست؟

اگر پولی واریز کرده‌اید و به کلاهبرداری مشکوک شده‌اید:

۱. بلافاصله با بانک تماس بگیرید و درباره امکان مسدودسازی تراکنش یا حساب مقصد راهنمایی بخواهید؛

۲. با مرکز تماس پلیس فتا به شماره ۰۹۶۳۸۰ تماس بگیرید یا در سامانه fata.gov.ir گزارش دهید؛

۳. تصویر آگهی، نام کاربری، شماره تلفن، شماره کارت، رسیدهای واریز، متن قرارداد، فایل‌های صوتی و اسکرین‌شات گفت‌وگوها را مستندسازی کنید.

مراقب افرادی باشید که به بهانه بازگشت وجه تماس می‌گیرند و برای زنده کردن پولتان دوباره درخواست واریز وجه می‌کنند. این تماس‌ها روشی شایع برای کلاهبرداری مجدد از مالباختگان است.

⛓ لینک مطالعه‌ی مقاله در سایت نوشدارو

✍️ یونس مرادی

#انواع_کلاهبرداری

برای پیشگیری از انواع کلاهبرداری‌ها، نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web

💡 آیا انسان‌ها گاو‌های آینده‌اند؟!

یووال نوح هراری، استاد، تاریخ‌دان و نویسنده کتاب «انسان خردمند» اعتقاد دارد که بله! و دلیلش هوش مصنوعی است...

💡 @NooshDaroo_web

💡 نقص امنیتی در هوش مصنوعی «Muse» متا؛ افشای اطلاعات حساس کاربران با یک جست‌وجوی ساده

قابلیت «اشتراک‌گذاری چت‌ها» در سرویس‌های هوش مصنوعی روشی متداول برای ارسال سریع خروجی‌ها به دیگران است.

با این حال پژوهشگران امنیتی متوجه شده‌اند که لینک‌های اشتراک‌گذاری در دستیار هوش مصنوعی «میوز» (Muse) متا، برخلاف تصور کاربران پنهان نمی‌مانند و غریبه‌ها می‌توانند با یک جست‌وجوی ساده به محتوای آن‌ها دسترسی پیدا کنند. به دنبال انتشار این خبر، شرکت متا قابلیت مذکور را موقتاً غیرفعال کرده است.

▪️ لینک‌ها چگونه فاش می‌شوند؟

در بیشتر سرویس‌های آنلاین، لینک‌های اشتراک‌گذاری حاوی کدهای طولانی و درهم‌ریخته در انتهای آدرس هستند تا قابل حدس زدن نباشند، اما طراحان میوز تصمیم عجیبی گرفتند؛ آن‌ها عنوان گفت‌وگو و کد اختصاصی را در بخش «زیردامنه»، یعنی ابتدای آدرس اینترنتی قرار دادند.

به محض کلیک گیرنده روی این لینک، نام زیردامنه در سامانه‌های ثبت ترافیک اینترنت موسوم به «دی‌ان‌اس غیرفعال» ثبت می‌شد.

پژوهشگران امنیتی دریافتند که با یک جست‌وجوی ساده در این پایگاه‌های داده می‌توان تمام این آدرس‌ها را بدون داشتن لینک اولیه پیدا کرد.

آن‌ها تنها با یک جست‌وجوی ساده توانستند ۶٬۸۰۰ لینک اشتراک‌گذاری‌شده را شناسایی کنند. بررسی چند صد مورد از این لینک‌ها، منجر به افشای داده‌های بسیار حساسی شد، برای مثال:

• گزارش درآمد داخلی یک شرکت بازاریابی
• درخواست وام یک کسب‌وکار کوچک به همراه رقم آن
• تقویم سالانه مرخصی کارکنان یک مجموعه
• گزارش مالی یک سرمایه‌گذار املاک با آدرس ملک و ارقام وام
• یادداشت‌های هشدار کلاهبرداری بانکی به همراه شماره حساب و مبالغ

▪️ واکنش متا و سابقه مشکلات امنیتی

یکی از پژوهشگران می‌گوید این مشکل را ۸ اکتبر و از طریق برنامه گزارش باگ و همچنین لینکدین به متا اطلاع داده، اما پاسخی دریافت نکرده بود تا اینکه موضوع رسانه‌ای شد و متا اکنون این قابلیت را به حالت تعلیق درآورده است.

این نخستین بار نیست که امنیت میوز زیر ذره‌بین می‌رود. در حالی که مارک زاکربرگ ادعا کرده بود این ابزار «از پایه برای حفظ حریم خصوصی و امنیت ساخته شده»، تنها سه هفته پس از عرضه، یک آسیب‌پذیری روز صفر در آن پیدا شد که به برنامه‌های دیگر اجازه می‌داد کنترل کامل حساب میوز را به دست بگیرند.

همچنین بررسی فایل‌ها نشان می‌دهد که میوز پرونده‌هایی بسیار دقیق درباره اطرافیان، دوستان و خانواده کاربران می‌سازد.

برای جلوگیری از لو رفتن اطلاعات در ابزارهای هوش مصنوعی، به‌جای ساخت لینک اشتراک‌گذاری عمومی، متن پاسخ چت‌بات را کپی کرده و از طریق پیام‌رسان‌های امن ارسال کنید.

اگر پیش‌تر گفت‌وگوی حساسی را از طریق لینک به اشتراک گذاشته‌اید، در حساب کاربری خود دسترسی آن پیوندها را لغو یا حذف کنید.

✍️ یونس مرادی

#خبر_و_تحلیل

نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web

💡 دو آسیب‌پذیری بحرانی در PHP با امکان تصرف سرور سایت؛ وصله‌های امنیتی امروز منتشر می‌شوند

دو آسیب‌پذیری بسیار جدی در PHP شناسایی شده‌اند که تیم PHP هر دو را با شدت خطر ۹.۲ از ۱۰، «بحرانی» ارزیابی کرده و قرار است امروز ۲۹ مهر، ساعت ۱۷:۳۰ به وقت ایران، وصله‌های اضطراری را منتشر کند.

گزارش‌ها می‌گویند این نقص‌ها می‌توانند به اجرای کد از راه دور و در نهایت تصرف سرور منجر شوند، اما تیم PHP هنوز جزییات فنی آن‌ها را به‌طور رسمی منتشر نکرده است. ضمناً این آسیب‌پذیری‌ها نسخه‌های PHP از نسخه ۵ به بعد را تحت تاثیر قرار می‌دهند.

اهمیت ماجرا بالاست، چون حدود ۶۹.۷ درصد وب‌سایت‌هایی که زبان سمت‌سرورشان مشخص است از PHP استفاده می‌کنند؛ از جمله بسیاری از سایت‌هایی که با سیستم‌های مدیریت محتوا یا پلتفرم‌های فروشگاه اینترنتی ساخته شده‌اند. به همین دلیل، نهادهای امنیت سایبری از مدیران سرورها خواسته‌اند به‌محض انتشار نسخه اصلاح‌شده، PHP را به‌روزرسانی کنند.

اگر سایت دارید، بررسی کنید سرور شما از چه نسخه‌ای از PHP استفاده می‌کند و پس انتشار وصله، آن را به نسخه امن ارتقا دهید. اگر به تنظیمات سرور دسترسی ندارید، این موضوع را از شرکت هاستینگ یا پشتیبان فنی سایت پیگیری کنید.

✍️ شایان ضیایی

#کسب_و_کار_آنلاین
#خبر_و_تحلیل

برای دریافت اخبار بیشتر در زمینه‌ی امنیت سایبری، نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web

💡 دو حفره‌ی امنیتی PHP آنقدر مهم هستند که نخست‌وزیر ژاپن هم در مورد آنها در ایکس هشدار صادر کرده!

امروز صبح در نوشدارو در موردش نوشتیم: فورا آپدیت کنید….

اگر سایت دارید:
- نسخه پی‌اچ‌پی را به یکی از نسخه‌های اصلاح‌شده برسانید: ۸.۵.۱۲، ۸.۴.۲۷، ۸.۳.۳۶ یا ۸.۲.۳۵

- اگر سایت‌تان روی هاست اشتراکی است، همین امروز از شرکت میزبانی بپرسید سرورها را به‌روز کرده یا نه.

- نسخه ۸.۱ و قدیمی‌تر دیگر به‌روزرسانی رسمی نمی‌گیرند و بهتر است سایت را به نسخه جدیدتر منتقل کنید.

- اگر فعلاً نمی‌توانید به‌روزرسانی کنید، موقتا سرور را خاموش کنید!

💡 @NooshDaroo_web

💡 راهنمای «گوگل فایند هاب» برای پیدا کردن گوشی اندرویدی گمشده و پاکسازی اطلاعات از راه دور

گوگل «فایند هاب» (Find Hub) یک ابزار ردیابی قدرتمند برای پیدا کردن گوشی گم‌شده است که به‌صورت پیش‌فرض در دل تنظیمات دستگاه قرار دارد. در صورت گم شدن گوشی و تحت شرایطی خاص، این ابزار موقعیت دقیق دستگاه را روی نقشه نشان می‌دهد و پاکسازی اطلاعات را از راه دور ممکن می‌کند.

در ادامه مراحل فعال‌سازی و ترفندهای استفاده از گوگل فایند هاب را مرور می‌کنیم تا امنیت داده‌های موبایل خود را در صورت سرقت یا گم شدن تضمین کنید.

▪️فعال‌سازی «فایند هاب» در اندروید

سرویس فایند هاب در قالب اپلیکیشن اندرویدی و یا تحت وب در دسترس است و موقعیت مکانی تمام دستگاه‌های متصل به حساب گوگل را (از جمله گوشی‌ها، تبلت‌ها و ساعت‌های هوشمند) روی نقشه نشان می‌دهد.

قابلیت ردیابی فایند هاب در اندروید به صورت پیش‌فرض فعال است و تا زمانی که مکان‌یابی گوشی روشن باشد، بدون نیاز به اقدام پیچیده‌ای کار می‌کند. برای اطمینان بیشتر این مراحل را بررسی کنید:

۱. در تنظیمات گوشی وارد حساب گوگل شوید؛
۲. تب «همه‌ی خدمات» (All services) را باز کنید و به ۳. بخش «ایمنی شخصی و دستگاه» (Personal & device safety) بروید؛
۴. روی گزینه‌ی «فایند هاب» (Find Hub) بزنید؛
۵. اگر تیک «اجازه به مکان‌یابی دستگاه‌ها» (Allow devices to be located) خاموش بود، آن را فعال کنید.

▪️ اقدامات پس از سرقت: پیدا کردن گوشی گم‌شده

اگر گوشی اندروید خود را گم کردید، در اولین فرصت مراحل پایین را دنبال کنید.

۱. در مرورگر یک دستگاه امن آدرس google.com/android/find را باز کنید؛
۲. وارد حساب کاربری گوگل خود شوید (همان حسابی که روی گوشی گم‌شده فعال است)؛
۳. از لیست باز شده دستگاهی را انتخاب کنید که قصد ردیابی‌اش را دارید؛
۴. سیستم تلاش می‌کند دستگاه شما را پیدا کند. در صورت موفقیت، موقعیت آن را روی نقشه مشاهده خواهید کرد.

در این مرحله، سه ابزار حیاتی در اختیار شماست:

• پخش صدا (Play sound): حتی اگر گوشی روی حالت بی‌صدا یا «مزاحم نشوید» (Do Not Disturb) باشد، دستگاه به مدت ۵ دقیقه با حداکثر میزان صدا زنگ می‌خورد.

• ایمن‌سازی دستگاه (Secure device): اگر گوشی گم شده یا دزدیده شده، با این گزینه می‌توانید آن را از راه دور قفل کنید. این کار باعث خروج شما از حساب گوگل روی آن دستگاه می‌شود، اما فرایند ردیابی را قطع نمی‌کند و دستگاه همچنان در فایند هاب قابل پیگیری است. حتی می‌توانید یک پیام و شماره تماس روی صفحه قفل بگذارید تا یابنده با شما تماس بگیرد.

• بازگشت به تنظیمات کارخانه (Factory reset device): اگر هیچ امیدی به یافتن گوشی ندارید، این گزینه را انتخاب کنید. پس از ریست، اطلاعات شما برای همیشه پاک می‌شود، دستگاه از فایند هاب حذف شده و دیگر قابل ردیابی نیست. اگر گوشی به اینترنت متصل نباشد، عملیات پاک‌سازی به محض اولین اتصال انجام می‌شود. البته طبق اعلام گوگل، اطلاعات کارت حافظه‌ی SD ممکن است پاک نشود.

هر بار که از فایند هاب برای ردیابی استفاده می‌کنید، یک پیام هشدار روی دستگاه مقصد فرستاده می‌شود. اگر این اعلان را زمانی که گوشی در دست‌تان است دریافت کردید، ممکن است فردی در حال تلاش برای دسترسی غیرمجاز به حساب شما باشد. در این صورت رمز عبور گوگل خود را تغییر دهید و تایید دومرحله‌ای را فعال کنید.

▪️ قابلیت‌های جانبی فایند هاب

فایند هاب صرفاً ابزاری برای پیدا کردن گوشی نیست. این برنامه ویژگی‌های جانبی کارآمدی دارد که امنیت و ارتباطات روزمره را بهبود می‌بخشد.

▪️ اشتراک‌گذاری موقعیت مکانی با دیگران

می‌توانید موقعیت مکانی خود را به طور زنده با اعضای خانواده یا دوستان مورد اعتمادتان به اشتراک بگذارید:

۱. وارد برنامه فایند هاب شوید و تب «افراد» (People) را در پایین صفحه انتخاب کنید؛
۲. روی علامت «+» ضربه بزنید؛
۳. مدت‌زمان مورد نظر برای اشتراک‌گذاری را تعیین کرده و مخاطب را انتخاب کنید؛
۴. گزینه «اشتراک‌گذاری» (Share) را لمس کنید.

برای لغو دسترسی کافیست روی نام فرد ضربه زده و گزینه «توقف اشتراک‌گذاری» (Stop sharing) را انتخاب کنید.

▪️ پیدا کردن اشیاء مختلف

همان‌طور که در نوشدارو خبر دادیم، گوگل قابلیت ثبت مکان اشیاء با هوش مصنوعی جمنای را به نسخه‌ی جدید فایند هاب، اضافه کرده است. کاربر می‌تواند با فرمان صوتی از جمنای بخواهد محل قرار دادن وسایل شخصی (مانند پاسپورت یا کیف) را ثبت کند و بعداً آن را در تب Remembered ببیند.

در بررسی من، ثبت مکان از طریق فرمان صوتی در ایران هنوز به‌درستی کار نمی‌کند. با این حال از طریق گزینه‌ی «ورود دستی» (Manual entry) می‌توانید نام وسیله، موقعیت دقیق آن در خانه، تصویر و یادداشت‌های دلخواه را در اپلیکیشن ذخیره کنید.

▪️در آخر؛ چک‌لیست امنیت در شرایط اضطراری

فناوری‌های ردیابی تلفن همراه هر سال پیشرفته‌تر می‌شوند، اما کارایی آن‌ها وابسته به اقداماتی است که «قبل از حادثه» انجام می‌دهید. برای محافظت از اطلاعات و دارایی خود، همین امروز سه کار انجام دهید:

• بررسی فعال‌سازی: مطمئن شوید که در تنظیمات گوشی قابلیت ردیابی Find Hub به همراه گزینه‌های موقعیت مکانی آفلاین و ارسال آخرین لوکیشن فعال باشند.
• حفظ اطلاعات حساب: ایمیل و رمز عبور حساب گوگل را به همراه کدهای پشتیبان در جایی امن خارج از گوشی نگهداری کنید تا پشت سد تأیید هویت دومرحله‌ای نمانید.
• سرعت عمل در زمان بحران: در دقایق اولیه پس از مفقودی، اولویت را قفل کردن دستگاه بگذارید تا دسترسی سارق به سیستم‌عامل مسدود شود.

و در نهایت فراموش نکنید که همیشه سیستم‌عامل و اپلیکیشن‌های خود را به‌روز نگه دارید.

🔗 لینک مطالعه‌ی مقاله با راهنمای کامل تصویری در سایت نوشدارو

✍️ یونس مرادی

#امنیت_در_تلفن_هوشمند

برای استفاده از راهنماهای کاربردی جهت بهینه‌سازی امنیتی گوشی‌های هوشمند، نوشدارو را دنبال کنید:
💡 @NooshDaroo_web

💡 آسیب‌پذیری ۱۰ از ۱۰ در گیت‌لب: اگر گیت‌لب را روی سرور خودتان نصب کرده‌اید همین امروز به‌روزرسانی کنید

گیت‌لب ساعاتی قبل، برای یک آسیب‌پذیری با شدیدترین نمره ممکن، یعنی ۱۰ از ۱۰ در مقیاس CVSS، وصله امنیتی منتشر کرد. این نقص به مهاجم اجازه می‌دهد بدون داشتن حساب کاربری و بدون نیاز به کلیک کسی، روی سرور گیت‌لب کد دلخواه خود را اجرا کند. اگر گیت‌لب را روی سرور خودتان نصب کرده‌اید، این خبر مستقیماً به شما مربوط است.

▪️ چه اتفاقی افتاده است؟
این نقص که با شناسه CVE-2026-110264 ثبت شده. به گفته گیت‌لب، در شرایط خاص یک کاربر احراز هویت‌نشده می‌تواند با ارسال یک عبارت منظم دستکاری‌شده، روی سرور کد اجرا کند؛ یعنی نه رمز عبور لازم است، نه حساب کاربری و نه همکاری قربانی.

نکته نگران‌کننده، دامنه نسخه‌های آسیب‌پذیر است: همه نسخه‌های رایگان (Community Edition) و سازمانی (Enterprise Edition) گیت‌لب از نسخه ۷.۰ که سال ۲۰۱۴ منتشر شد تا پیش از وصله‌های دیروز، این نقص را دارند. به عبارت دیگر، این کد دوازده سال روی سرورها بوده است.

این نقص را یک پژوهشگر امنیتی از طریق برنامه باگ‌بانتی گیت‌لب گزارش کرده است. گیت‌لب فعلاً از سوءاستفاده فعال از آن خبر نداده و طبق روال معمول خود، جزئیات فنی کامل را حدود ۹۰ روز بعد منتشر می‌کند؛ اما تجربه نقص‌های مشابه نشان می‌دهد که معمولاً پس از انتشار وصله، مهاجمان با مقایسه کد قدیم و جدید راه سوءاستفاده را پیدا می‌کنند و فرصت زیادی برای تعلل نیست.

▪️ چرا این خبر برای ما مهم است؟
کاربران سرویس ابری GitLab.com نیازی به انجام کاری ندارند؛ گیت‌لب می‌گوید سرویس ابری و سرویس GitLab Dedicated از قبل وصله شده‌اند. مشکل اصلی نسخه‌های «خودمیزبان» (Self-Managed) است، یعنی جایی که یک شرکت یا تیم، گیت‌لب را روی سرور خودش نصب کرده است.

این دقیقاً وضعیت بسیاری از شرکت‌ها، استارتاپ‌ها و تیم‌های نرم‌افزاری ایرانی است که به‌دلیل محدودیت‌های تحریمی به GitLab.com دسترسی ندارند و نسخه رایگان گیت‌لب را روی سرور داخلی یا سرور اجاره‌ای خود راه‌اندازی کرده‌اند. روی این سرورها معمولاً کد منبع محصولات، کلیدها و رمزهای دسترسی، توکن‌های CI/CD و گاهی راه دسترسی به سرورهای اصلی شرکت نگهداری می‌شود. اجرای کد روی چنین سروری می‌تواند به معنی سرقت کد، نشت اطلاعات مشتریان یا نفوذ به بقیه زیرساخت شرکت باشد.

اگر سرورتان را ۲۰ مهر (۱۲ اکتبر) برای نقص قبلی گیت‌لب با شناسه CVE-2026-97229 به‌روزرسانی کرده‌اید، همچنان آسیب‌پذیر هستید؛ آن وصله این نقص را برطرف نمی‌کند.

▪️ چه باید کرد؟
گیت‌لب توصیه کرده نصب‌های خودمیزبان هرچه سریع‌تر به یکی از این نسخه‌های اصلاح‌شده ارتقا پیدا کنند:

• ۱۹.۵.۱

• ۱۹.۴.۳

• ۱۹.۳.۶

• ۱۹.۲.۹

• ۱۹.۱.۹

• ۱۹.۰.۱۰

• ۱۸.۱۱.۱۳

اگر نسخه شما قدیمی‌تر از ۱۸.۱۱ است، گیت‌لب برای آن وصله‌ای منتشر نکرده و باید ابتدا به یکی از شاخه‌های پشتیبانی‌شده ارتقا دهید. پیش از ارتقا این موارد را در نظر بگیرید:

• نسخه فعلی را بررسی کنید: شماره نسخه در بخش Help (راهنما) پنل گیت‌لب دیده می‌شود

• پیش از ارتقا نسخه پشتیبان کامل بگیرید: این به‌روزرسانی شامل تغییر در پایگاه داده است و در نصب‌های تک‌سروری، سرویس چند دقیقه از دسترس خارج می‌شود

• بعد از ارتقا لاگ‌ها را بررسی کنید: گیت‌لب دو راهنمای تشخیص با نام‌های «Onigmo native worker crash» و «Org mode render error burst» برای شناسایی تلاش‌های نفوذ منتشر کرده است

• در صورت مشاهده نشانه نفوذ، سرور را آلوده فرض کنید: همه توکن‌ها، کلیدهای SSH و رمزهای ذخیره‌شده روی سرور را تغییر دهید

این دومین هشدار بزرگ این هفته برای مدیران سرور است. روز گذشته هم تیم PHP برای دو آسیب‌پذیری بحرانی در PHP وصله منتشر کرد؛ نقص‌هایی با نمره ۹.۲ که به گفته کاشفان آن‌ها با کمک مدل‌های هوش مصنوعی پیدا شده‌اند و گزارش‌ها نشان می‌دهد سوءاستفاده از آن‌ها در دنیای واقعی آغاز شده است. اگر مسئول سروری هستید، این هفته وقت به‌روزرسانی است.

#خبر_و_تحلیل

برای اطلاع از آسیب‌پذیری‌های مهم، نوشدارو را در تلگرام دنبال کنید.
💡 @NooshDaroo_web

💡 حکم تاریخی ۲۵ میلیارد دلاری علیه متا؛ تاوانِ سنگین وعده‌های غیرواقعی درباره امنیت اطلاعات کاربران

یک دادگاه ایالتی در نیومکزیکو، شرکت متا، مالک فیسبوک و اینستاگرام، را به پرداخت ۲۵ میلیارد دلار جریمه محکوم کرده است. این حکم که بزرگ‌ترین جریمه صادرشده علیه متا محسوب می‌شود، به اظهارات گمراه‌کننده فیسبوک درباره حریم خصوصی، کنترل کاربران بر داده‌ها، دسترسی شرکت‌های ثالث و همچنین بعضی ادعاهای آن درباره مقابله با اطلاعات نادرست و نفرت‌پراکنی مربوط است.

این نخستین پرونده میلیاردی متا نیست. در نوشدارو هم پیش‌تر درباره توافق ۱۷ میلیارد دلاری متا بر سر طراحی اعتیادآور اینستاگرام و آسیب به کودکان پرداخته بودیم. تفاوت پرونده تازه این است که موضوع اصلی آن سلامت روان کودکان نیست، بلکه وعده‌هایی است که فیسبوک درباره حفاظت از اطلاعات و امکان کنترل داده‌ها به کاربران داده بود.

ریشه این پرونده به رسوایی «کمبریج آنالیتیکا» بازمی‌گردد؛ شرکت بریتانیایی تحلیل داده‌ای که برای کارزارهای سیاسی، از جمله کارزار انتخاباتی دونالد ترامپ در سال ۲۰۱۶، فعالیت می‌کرد. اطلاعات حداکثر ۸۷ میلیون کاربر فیسبوک عمدتاً در سال ۲۰۱۴ از طریق یک برنامه شخصیت‌شناسی جمع‌آوری شد و برای ساخت پروفایل رأی‌دهندگان و تبلیغات سیاسی هدفمند در اختیار این شرکت قرار گرفت. بسیاری از افراد متأثر اصلاً از آن برنامه استفاده نکرده و از جمع‌آوری اطلاعاتشان خبر نداشتند. افشای عمومی این ماجرا در سال ۲۰۱۸، آن را به یکی از بزرگ‌ترین رسوایی‌های حریم خصوصی فیسبوک تبدیل کرد.

پس از آشکارشدن این ماجرا، فیسبوک بارها به کاربران اطمینان داد که بر اطلاعات خود کنترل دارند و شرکت با سوءاستفاده از داده‌ها مقابله می‌کند. همین وعده‌ها در دادگاه نیومکزیکو زیر سؤال رفت. در نهایت هیئت منصفه در ۳ مهر ۱۴۰۵ متا را مسئول بیش از ۴۳ میلیون مورد نقض عمدی قانون حمایت از مصرف‌کنندگان شناخت و قاضی نیز نتیجه گرفت که فیسبوک آگاهانه کاربران را گمراه کرده است. حداکثر جریمه قانونی این تخلفات حدود ۲۱۹ میلیارد دلار محاسبه شد، اما دادگاه مبلغ تعیین‌شده در حکم را به ۲۵ میلیارد دلار کاهش داد.

البته عدد به معنی وقوع ۴۳ میلیون نشت اطلاعات جداگانه نیست؛ دادگاه تعداد مخاطبان احتمالی ۲۶ اظهارنظر گمراه‌کننده فیسبوک را در شمار تخلفات محاسبه کرده است.

پرونده نیومکزیکو بخشی از فشار حقوقی گسترده‌تری است که متا در سال‌های اخیر با آن روبه‌رو شده است؛ از حضور مارک زاکربرگ در دادگاه به‌دلیل طراحی اعتیادآور اینستاگرام تا شکایت دادستان تگزاس درباره ادعاهای این شرکت پیرامون رمزنگاری واتس‌اپ. البته این پرونده‌ها موضوعات و وضعیت حقوقی متفاوتی دارند و مطرح‌شدن یک ادعا در شکایت به معنی اثبات آن نیست.

متا این پرونده را نوعی «مالیات بر آزادی بیان» توصیف کرده و گفته است در دادگاه تجدیدنظر با آن مقابله خواهد کرد. در نتیجه ممکن است مبلغ جریمه کاهش پیدا کند یا اجرای آن چند سال طول بکشد. همچنین این مبلغ غرامتی نیست که مستقیماً میان کاربران فیسبوک تقسیم شود؛ جریمه به ایالت نیومکزیکو پرداخت خواهد شد. براساس حکم، تا زمان پرداخت کامل هم سالانه ۱۵ درصد بهره به آن تعلق می‌گیرد.

فارغ از نتیجه تجدیدنظر، این پرونده یادآوری می‌کند که وعده شرکت‌های فناوری به‌تنهایی برای حفاظت از اطلاعات کاربران کافی نیست. در دنیای امروز، تنها کسی که می‌تواند از حریم خصوصی شما محافظت کند، خود شما هستید که تصمیم می‌گیرید چه اطلاعاتی را در این شبکه‌ها به اشتراک بگذارید.

✍️ دانیال طبایی

#خبر_و_تحلیل
#حریم_خصوصی

برای محافظت از حریم خصوصی خود در جهان دیجیتال، نوشدارو را در تلگرام دنبال کنید:
💡 @Nooshdaroo_web

💡 یک اشتباه عجیب در امنیت وب؛ ماجرای مسدود شدن گواهی‌های eMudhra چیست؟

بسیاری از ما هنگام وب‌گردی، خرید آنلاین یا ورود به حساب‌های بانکی، با دیدن نماد قفل یا ارتباط امن (HTTPS) در کنار نشانی سایت احساس امنیت می‌کنیم و آن را نشانه‌ای از معتبر بودن همه‌چیز می‌دانیم؛ اما اگر ابزاری که این قفل‌ها را صادر می‌کند دچار اشتباه فاحشی شود چه اتفاقی می‌افتد؟ همین اتفاق برای شرکت هندی eMudhra، یکی از مراجع صدور گواهی مورد اعتماد مرورگرهای بزرگ پیش آمده است. تولید کلیدهای خصوصی بسیار ضعیف از سوی این نهاد مرورگرهای بزرگ و شرکت‌هایی مانند گوگل، موزیلا، اپل و مایکروسافت را به واکنشی فوری واداشت.

اگرچه تا این لحظه هیچ شواهدی از سوءاستفاده هکرها یا جعل وب‌سایت‌ها با این کلیدها به ثبت نرسیده، اما این اتفاق بار دیگر آسیب‌پذیری ساختارهای پنهان وب را آشکار می‌کند.

▪️ کلیدهایی که زیادی ساده ساخته شدند

وقتی در نوار آدرس مرورگر نماد قفل را مشاهده می‌کنید، این نشانه تنها یک پیام دارد: ارتباط میان دستگاه شما و آن وب‌سایت رمزگذاری شده و مرورگر، گواهی دیجیتال سایت را معتبر می‌شناسد. این نماد به هیچ‌وجه تضمین نمی‌کند که خود وب‌سایت، قانونی یا بی‌خطر است. یک سایت فیشینگ و کلاهبرداری نیز می‌تواند گواهی معتبر و ارتباط رمزگذاری‌شده داشته باشد.

همانطور که در ماجرای باطل شدن گواهی SSL بانک‌ها گفتیم، اعتبار این گواهی‌های دیجیتال به نهادهایی وابسته است که مرورگرها مهر تأیید آن‌ها را معتبر می‌دانند. شرکت ای‌مودرا یکی از همین نهادهای صادرکننده گواهی یا CA است.

این هشت کلید در جریان مراسم تولید کلید بخش بین‌المللی شرکت در ۱۰ اردیبهشت ۱۴۰۴ ساخته شدند. به گفته eMudhra، خطایی در یکی از مراحل این فرایند، مجموعه دومی از کلیدهای بسیار ضعیف ایجاد کرد و همان کلیدها به‌اشتباه برای ساخت گواهی‌ها به کار رفتند.

این کلیدها که باید اعدادی تصادفی و ۳۸۴ بیتی می‌بودند، آن‌قدر ساده ساخته شده بودند که یک پژوهشگر امنیتی توانست هر ۸ کلید خصوصی را در کمتر از یک ثانیه روی لپ‌تاپ خود از روی گواهی‌های عمومی استخراج کند؛ حتی یکی از این کلیدهای خصوصی به‌جای یک کد پیچیده، صرفاً عدد «۴» بود.

▪️ چرا تولید کلیدهای ضعیف خطرناک است؟

فردی که یکی از شش کلید مربوط به TLS را بازیابی می‌کرد، می‌توانست برای هر دامنه گواهی جعلی اما ظاهراً معتبر بسازد. البته برای فریب کاربر، باید مسیر اتصال او را هم کنترل یا منحرف می‌کرد؛ مثلاً از طریق شبکه وای‌فای آلوده، روتر دست‌کاری‌شده یا کنترل زیرساخت شبکه. در این شرایط، دستگاه‌هایی که هنوز به گواهی‌های eMudhra اعتماد داشتند ممکن بود سایت جعلی را معتبر تشخیص دهند و مهاجم بتواند اطلاعات ردوبدل‌شده را بخواند یا تغییر دهد. دو کلید دیگر نیز برای امضای کد بودند و می‌توانستند نرم‌افزارهای جعلی را معتبر و قابل‌اعتماد جلوه دهند.

تا این لحظه شواهدی مبنی بر سوءاستفاده، شنود ترافیک کاربران یا جعل وب‌سایت‌ها ثبت نشده است. گوگل هم با بررسی گزارش‌های سامانه‌ی عمومی شفافیت گواهی‌ها (CT) تأیید کرد که گواهی مخربی با این کلیدهای آسیب‌دیده پیدا نشده است. eMudhra هم می‌گوید فقط یکی از هشت مرجع میانی وارد محیط عملیاتی شده بود و حتی همان مورد هیچ گواهی‌ای برای سایت یا مشتری نهایی صادر نکرده بود.

▪️ واکنش سریع مرورگرها برای مهار بحران

پس از آنکه یک پژوهشگر امنیتی در ۲۵ مهر ۱۴۰۵ موضوع را گزارش کرد، گوگل و موزیلا ظرف چند ساعت، شش گواهی میانی مربوط به TLS را در کروم و فایرفاکس مسدود کردند. این حفاظت در تنظیمات معمول، بدون نصب نسخه تازه یا راه‌اندازی مجدد مرورگر توزیع شد. گوگل نیز دو روز بعد حفاظت مشابهی را از طریق خدمات گوگل پلی برای دستگاه‌های اندرویدی پشتیبانی‌شده فرستاد.

ای‌مودرا سرگرم صدور گواهی‌ جایگزین برای مشتریان است تا سایت‌های آن‌ها با خطای امنیتی روبه‌رو نشوند، اما کارشناسان هشدار می‌دهند که پاک‌سازی کامل این کلیدها در سراسر اینترنت کاری بسیار زمان‌بر خواهد بود. بسیاری از ابزارها، سرورها و دستگاه‌های هوشمند (خارج از مرورگرهای اصلی) فهرست گواهی‌های باطل‌شده را به‌طور خودکار بررسی نمی‌کنند و تا زمانی که نرم‌افزار آن‌ها به‌روزرسانی نشود، همچنان به این گواهی‌های ناامن اعتماد خواهند کرد.

▪️ کاربران در این شرایط چه اقداماتی باید انجام دهند؟

برای اینکه مطمئن شوید مرورگرتان اصلاحات امنیتی را دریافت و گواهی‌های معیوب را مسدود کرده، می‌توانید نشانی زیر را (که یکی از مهندسان موزیلا برای اطلاع‌رسانی درباره این رخداد راه‌اندازی کرده) باز کنید:
https://emudhra.we-have-a-problem.com

پس از بارگذاری صفحه همه سطرهای جدول باید «تیک سبز» داشته باشند. تأیید همه موارد به این معناست که مرورگر شما به احتمال زیاد در برابر این نقص محافظت شده است.

این آزمایش فقط وضعیت همان مرورگری را نشان می‌دهد که صفحه را با آن باز کرده‌اید؛ سبزشدن همه موارد ثابت نمی‌کند سایر برنامه‌ها، ابزارها یا سرویس‌های دستگاه نیز در برابر این مشکل محافظت شده‌اند.

برای ایمن ماندن در برابر چنین مشکلاتی مرورگر و سیستم‌عامل را به‌روز نگه دارید. هرچند مرورگرها مسدودسازی را خودکار انجام دادند، اما سایر برنامه‌ها و سیستم‌عامل دستگاه برای حذف گواهی‌های ناامن به دریافت به‌روزرسانی‌های امنیتی نیاز دارند.

همچنین اگر هنگام ورود به یک سایت با خطای مرورگر مبنی بر نامعتبر بودن یا باطل شدن گواهی مواجه شدید، پنجره را ببندید و تا زمان رفع مشکل از وارد کردن رمز عبور یا اطلاعات حساس دیگر در آن صفحه خودداری کنید.

⛓ لینک مشاهده‌ی این مطلب در سایت نوشدارو

✍️ یونس مرادی

#خبر_و_تحلیل
#مبانی_امنیت

برای اطلاع از جدیدترین رویدادهای دنیای امنیت سایبری، نوشدارو را در تلگرام دنبال کنید:

💡 @NooshDaroo_web

💡 «اکتبر سیاه» امنیت سایبری؛ وقتی هوش مصنوعی قواعد بازی را تغییر می‌دهد

در چند روز گذشته، چند رخداد امنیتی مهم تقریباً پشت سر هم خبرساز شدند؛ از دو حفره بحرانی PHP تا تولید کلیدهای بسیار ضعیف در eMudhra که در نوشدارو هم به آن‌ها پرداختیم. این اتفاقات منشأ یکسانی ندارند، اما هم‌زمانی آن‌ها نگرانی‌ها درباره وضعیت امنیت اینترنت را افزایش داد.

پس از افشای حفره‌های PHP، بعضی کارشناسان این دوره را به‌طور غیررسمی «اکتبر سیاه» نامیدند؛ دوره‌ای که نقش هوش مصنوعی در آن بیش از هر چیز جلب توجه می‌کند.

دو حفره PHP نمونه مهمی از این تغییرند. پژوهشگران با کمک ابزارهای هوش مصنوعی توانستند راه‌هایی را پیدا کنند که در شرایط مشخص، به مهاجم اجازه می‌داد بدون دسترسی قبلی روی سرور کد اجرا کند و کنترل آن را به دست بگیرد.

اگر هر نرم‌افزار را مانند دری بدانیم، هوش مصنوعی امتحان‌کردن دستگیره تعداد زیادی از این درها را آسان‌تر کرده است تا مشخص شود کدام‌یک قفل نیست یا از قبل شکافی برای ورود دارد. مسئله مهم همین است: فاصله میان پیداشدن یک ضعف و آزمایش راه‌های سوءاستفاده از آن کوتاه‌تر شده است.

▪️«فرصت مدافعان» کوتاه‌تر شده است

همین کوتاه‌شدن فاصله میان کشف آسیب‌پذیری و افشای عمومی آن، «فرصت مدافعان» را هم محدودتر می‌کند. در پرونده PHP، این فرصت کامل حفظ نشد و بخشی از اطلاعات و نسخه‌های حاوی اصلاحات زودتر از موعد منتشر شد.

مهاجمان می‌توانستند با مقایسه نسخه‌های قدیمی و اصلاح‌شده، رد حفره‌ها را پیدا کنند و برای ساخت ابزار حمله تلاش کنند. حتی پیش از اعلام عمومی نیز تلاش‌هایی برای سوءاستفاده ثبت شده بود؛ هرچند نفوذ موفق به سرورها تأیید نشد.

با این وجود، نباید تصور کرد هر کاربر تازه‌کاری می‌تواند با یک چت‌بات به سرورها نفوذ کند. بسیاری از نمونه‌های حمله ساخته‌شده با هوش مصنوعی کار نمی‌کردند یا برای اجرا به وجود حفره‌ای دیگر نیاز داشتند.

در مقابل، یک پژوهشگر باتجربه توانست با کمک هوش مصنوعی ظرف یک روز نمونه‌ای عملی بسازد. بنیاد PHP نیز می‌گوید بیش از ۱۰۰ گزارش نامعتبر، تکراری یا غیرقابل‌بازتولید را بررسی کرده است. بنابراین هوش مصنوعی هم پژوهش واقعی و هم تولید گزارش‌ها و ابزارهای کم‌کیفیت را سرعت بخشیده، اما هنوز جای تخصص انسانی را نگرفته است.

▪️این سرعت برای صاحبان سایت چه معنایی دارد؟

بااین‌حال، همین افزایش سرعت برای صاحبان سایت یک پیام روشن دارد: فاصله میان انتشار خبر یک حفره و آغاز تلاش برای سوءاستفاده از آن کوتاه‌تر شده است. بنابراین باید به‌روزرسانی سایت، افزونه‌ها، سیستم مدیریت محتوا و نرم‌افزارهای سرور را جدی گرفت، نصب وصله‌ها را از شرکت میزبان پیگیری کرد و نسخه پشتیبان سالم و به‌روز داشت.

در نهایت هوش مصنوعی حفره‌های امنیتی اینترنت را به وجود نیاورده، اما یافتن و آزمودن ضعف‌های موجود را سریع‌تر کرده است؛ درحالی‌که نصب وصله روی میلیون‌ها سرور همچنان به اقدام انسان‌ها وابسته است.

رقابت اصلی اکنون بر سر همین فاصله کوتاه است: مدافعان زودتر به‌روزرسانی می‌کنند یا مهاجمان زودتر راه سوءاستفاده را پیدا می‌کنند؟

✍️ دانیال طبایی

#خبر_و_تحلیل
#کسب_و_کار_آنلاین

برای اطلاع سریع از جدیدترین رویدادهای دنیای امنیت سایبری، نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web

💡 حمله «سوییپر» در ارز دیجیتال چیست؟ سارق شبانه‌روزی کیف پول

مقداری رمزارز به کیف پولتان انتقال می‌دهید، اما چند لحظه بعد، موجودی کیف صفر می‌شود. تاریخچه تراکنش‌ها را می‌بینید و متوجه می‌شوید دارایی‌تان به یک آدرس ناشناس رفته است. در این شرایط احتمالاً قربانی «سوییپر بات» شده‌اید. در ادامه می‌بینیم این سارقان شبانه‌روزی چطور کار می‌کنند و چطور می‌توان خطرشان را کم کرد.

▪️ سوییپر بات (Sweeping Bot) چیست؟

ربات‌های سوییپر اسکریپت‌های خودکاری هستند که شبکه‌های بلاکچین را به صورت لحظه‌ای زیر نظر می‌گیرند. هدف آن‌ها تنها یک چیز است: پیدا کردن کیف پول‌های آسیب‌پذیر، کمین کردن برای ورود هرگونه دارایی جدید به آن‌ها و سپس انتقال سریع آن مبالغ به کیف پول هکر. سرعت عمل این برنامه‌ها چنان بالاست که قربانی فرصت واکنش پیدا نمی‌کند.

این سناریو معمولاً برای کاربرانی رخ می‌دهد که عبارت بازیابی (Seed Phrase) یا کلید خصوصی آن‌ها فاش شده یا به قراردادهای هوشمند مخرب مجوز دسترسی داده‌اند. اگر کلید یا عبارت بازیابی لو رفته باشد، حتی اگر مقدار ناچیزی رمزارز برای کارمزد تراکنش واریز کنید تا توکن‌های خود را نجات دهید، ربات در یک چشم برهم زدن همان کارمزد را هم می‌دزدد و عملاً دست شما را می‌بندد.

▪️ سوییپر بات‌ها چطور کار می‌کنند؟

برای اینکه بتوانیم با یک تهدید سایبری مقابله کنیم، ابتدا باید روش کار آن را بشناسیم. ربات‌های سوییپر از یک مکانیزم پیچیده، اما بسیار سریع برای سرقت استفاده می‌کنند که معمولا شامل سه مرحله است.

۱. پایش و اسکن دائمی تراکنش‌ها

بلاکچین شبکه‌ای شفاف است و تراکنش‌ها پیش از تایید نهایی، در صف انتظاری به نام «مم‌پول» (Mempool) قرار می‌گیرند. ربات‌های سوییپر با اتصال به گره‌های بلاکچین مدام فضای مم‌پول را رصد می‌کنند. ربات همان لحظه‌ای که تراکنشی ارسال شده اما هنوز تأیید نشده، آن را شناسایی می‌کند.

۲. پیش‌دستی با تنظیم کارمزد بالاتر

در شبکه‌های بلاکچین از جمله اتریوم ترتیب پردازش تراکنش‌ها به کارمزد و ترافیک شبکه بستگی دارد و ربات از همین سازوکار استفاده می‌کند تا تراکنش خودش سریع‌تر از کاربر اجرا شده و موجودی کیف پول را خالی کند.

۳. اتوماسیون و سرعت بالا

سوییپر بات به اسکریپت خودکاری متصل است که عبارت بازیابی یا کلید خصوصی شما (یا مجوز خرج توکن‌هایتان) را در اختیار دارد. به محض اینکه دارایی وارد آدرس شما شود، بات ظرف چند ثانیه دستور انتقال را امضا و ارسال می‌کند و فرصتی برای واکنش یا نجات دارایی باقی نمی‌گذارد.

▪️ چطور پای سوییپر بات به کیف پول ما باز می‌شود؟

سوییپر بات‌ها زمانی مدیریت تراکنش‌های شما را به دست می‌گیرند که یکی از این اتفاقات رخ داده باشد:

• سرقت عبارت بازیابی یا کلید خصوصی: رایج‌ترین حالت زمانی است که عبارت ۱۲ یا ۲۴ کلمه‌ای خود را ناخواسته جایی افشا کرده‌اید. هکر دسترسی کامل پیدا کرده، اما به جای خالی کردن یک‌باره، یک بات روی آن می‌گذارد تا هر زمان پولی واریز شد، فوراً آن را به سرقت ببرد.

• امضای قراردادهای هوشمند مخرب: موقع کار با صرافی‌های غیرمتمرکز، مشارکت در ایردراپ‌ها یا پلتفرم‌های ناشناخته ممکن است از روی ناآگاهی مجوز بی‌نهایت (Unlimited Allowance) به یک قرارداد هوشمند مخرب بدهید که دسترسی انتقال دارایی‌ها را در اختیار بات بگذارد.

• اتصال به وب‌سایت‌های فیشینگ: وارد کردن اطلاعات ولت یا امضای تراکنش در سایت‌هایی که وعده توکن رایگان، ایردراپ یا پاداش مالی می‌دهند، راه را برای فعال‌شدن سوییپر روی حساب هموار می‌کند.

• نصب اپ یا افزونه‌های آلوده: بدافزارها و افزونه‌های مخرب مرورگر می‌توانند حافظه موقت سیستم (کلیپ‌بورد) را رصد کرده یا هنگام ساخت کیف پول جدید، کلمات بازیابی را در لحظه برای هکرها مخابره کنند.

▪️ چگونه از ولت در برابر حمله سوییپر محافظت کنیم؟

پیشگیری بهترین و ارزان‌ترین راهکار در دنیای امنیت دیجیتال است. با رعایت چند اصل ساده می‌توانید خطر ربات‌های سوییپر را به حداقل برسانید:

• مهم‌ترین سپر دفاعی در برابر این حملات مخفی نگه‌داشتن کلمات بازیابی و کلید خصوصی است. کلمات بازیابی را روی گوشی موبایل ذخیره نکنید، از آن‌ها اسکرین‌شات نگیرید و در هیچ وب‌سایتی وارد نکنید.

• به گفته تراست ولت، ربات‌های سوییپر بیشتر سراغ کیف پول‌های آسیب‌پذیری می‌روند که تراکنش‌های کوچک و مکرر دارند؛ هرچند شرط اصلی حمله همچنان لو رفتن کلید یا دادن مجوز به قرارداد مخرب است. برای امنیت بیشتر دارایی اصلی را به کیف پول سرد یا سخت‌افزاری منتقل کنید و از ولتی جدا برای تراکنش‌های خرد استفاده کنید.

• اگر به امنیت یک قرارداد هوشمند یا اپلیکیشن غیرمتمرکز (dApp) مطمئن نیستید، با آن تعامل نکنید. قراردادهای مخرب می‌توانند کیف پول شما را در معرض ربات‌های سوییپر قرار دهند.

⚡️ نشانه‌های خطر: از کجا بفهمیم گرفتار ربات سوییپر شده‌ایم؟

تشخیص ربات سوییپر ساده نیست، چون بی‌سروصدا و سریع عمل می‌کند. با این حال، چند نشانه می‌تواند از حضور آن خبر بدهد:

• مبلغ کمی از ارز اصلی شبکه (مثلاً اتر در اتریوم یا TRX در شبکه ترون) را برای پرداخت کارمزد انتقال توکن‌هایتان واریز می‌کنید، اما همان مبلغ طی چند ثانیه ناپدید می‌شود.
• در تاریخچه کیف پولتان تراکنش‌های خروجی متعددی را می‌بینید که خودتان آن‌ها را ثبت نکرده‌اید.
• کارمزد تراکنش‌ها بالا رفته یا با خطا مواجه می‌شوند. در این حالت ممکن است یک بات در حال رقابت با شما برای اجرای تراکنش باشد.
• مشاهده مجوزهای ناشناس در تنظیمات امنیتی ولت، زنگ خطر دیگری است. گاهی بات‌ها از طریق همین مجوزها وارد عمل می‌شوند.

▪️ اگر گرفتار سوییپر بات شدیم چه کنیم؟

• به امید اینکه «این بار سریع‌تر انتقال می‌دهم»، رمزارز بیشتری به آن کیف پول واریز نکنید. هر ارزی که بفرستید، ممکن است به جیب سارقان برود.

• کیف پولی که عبارت بازیابی آن لو رفته و بات روی آن فعال شده، دیگر اعتباری ندارد. یک ولت جدید با کلمات بازیابی تازه بسازید و دارایی‌تان را به آن منتقل کنید.

• اگر کلید خصوصی لو نرفته و مشکل از امضای قرارداد هوشمند است، از طریق ابزارهای معتبری مثل Revoke.cash مجوزهای خرج توکن (Approval) را که به قراردادهای مشکوک داده‌اید لغو کنید.

• اگر توکن‌های باارزش، دارایی‌های قفل‌شده در استیک یا ان‌اف‌تی گران‌قیمت در ولت دارید اما نمی‌توانید انتقال دهید، دستپاچه عمل نکنید. در دنیای بلاکچین راهکارهای پیشرفته‌ای مثل استفاده از «فلش‌باتس» (Flashbots) و تراکنش خصوصی وجود دارد که متخصصان امنیت از طریق آن‌ها کارمزد و دارایی را با هم منتقل می‌کنند تا دست بات به آن نرسد. البته مراقب کلاهبردارانی که ادعای بازیابی پول را دارند باشید.

▪️در آخر

سوییپر بات‌ها از غفلت کاربران برای سرقت سریع دارایی‌ها سوءاستفاده می‌کنند. حفاظت دقیق از کلمات بازیابی، پرهیز از کلیک روی لینک‌های مشکوک و عدم اتصال کیف پول به پلتفرم‌های ناشناس مهم‌ترین سپرهای دفاعی در برابر این حملات است.

روش‌های کلاهبرداری در فضای کریپتو پیوسته تکامل پیدا می‌کنند. برای فعالیت امن در این فضا، باید با مفاهیمی مثل مجوزهای خرج توکن (Approvals) و روش‌های حفظ حریم خصوصی آشنا باشید. مطالعه مقالات آموزشی در منابع معتبری مثل «نوشدارو» سپر دفاعی شما را در برابر این تهدیدها تقویت می‌کند.

⛓ لینک مطالعه‌ی این مطلب در سایت نوشدارو

✍️ یونس مرادی

#ارزهای_دیجیتال
#انواع_کلاهبرداری

برای دریافت اطلاعات بیشتر درباره‌ی امنیت در دنیای ارزهای دیجیتال، نوشدارو را در تلگرام دنبال کنید:

💡 @NooshDaroo_web

💡 گربه‌ات بهتر رمز انتخاب می‌کنه یا خودت؟!

💡 @NooshDaroo_web

💡 دو ایجنت اوپن‌ای‌آی بدون اینترنت و بدون شبکه با هم حرف زدند: از راه حافظه‌ی پردازنده!

شرکت اوپن‌ای‌آی ساعاتی قبل، اعلام کرد دسترسی زنده به اینترنت را برای همه مدل‌های پیشتاز خود در حین دوره آموزش قطع کرده است. این مدل‌ها از این به بعد در یک «جهان آفلاین» آموزش می‌بینند؛ نسخه‌ای ذخیره‌شده از وب که در آن جست‌وجو، وب‌گردی و کار با اپلیکیشن‌ها را تمرین می‌کنند، بدون اینکه راهی به اینترنت واقعی داشته باشند.

اما بخش تکان‌دهنده‌تر بیانیه جای دیگری است: اوپن‌ای‌آی می‌گوید قوی‌ترین مدل‌های سایبری‌اش را به جان محیط آموزشی خودش انداخته تا ببیند می‌شود از آن فرار کرد یا نه. ایجنت‌ها راه آسانی به اینترنت پیدا نکردند، اما چندین آسیب‌پذیری روز صفر، راهکار فرار از ماشین مجازی و روشی برای پیام‌رسانی پنهان بین خودشان پیدا کردند که در ادامه توضیح می‌دهیم.

▪️ چرا اینترنت مدل‌ها قطع شد؟
جرقه این تصمیم یک حادثه بود. ۲۹ شهریور یکی از مدل‌های اوپن‌ای‌آی که فقط باید نویسنده یک وبلاگ را پیدا می‌کرد، وقتی جست‌وجوی مجاز جواب نداد، متوجه شد سرور DNS محیط آموزش به دامنه‌های واقعی پاسخ می‌دهد. این مدل از طریق همین روش حدود ۲۰ سؤال برای یک چت‌بات عمومی بیرونی فرستاد و در پایان، بدون اشاره به این مسیر، به کاربر گفت جواب را پیدا نکرده؛ ماجرایی که در نوشدارو هم پوشش دادیم.

بیانیه تازه نشان می‌دهد آن حادثه چه پیامدی داشت: اوپن‌ای‌آی آموزش و اجرای قوی‌ترین مدل‌هایش را متوقف کرد و تا ۹ مهر، یعنی ۱۱ روز، آن را از سر نگرفت.

▪️ مدل‌ها علیه قفس خودشان
طی همین ۱۱ روز، اوپن‌ای‌آی تیم‌هایی از ایجنت‌ها را با سایبری‌ترین مدل‌هایش ساخت و مأموریتشان را پیدا کردن نقطه ضعف در محیط‌های پژوهشی شرکت تعیین کرد. خبر خوب این بود که راهی به اینترنت پیدا نکردند که هم آسان باشد و هم از چشم سیستم‌های پایش پنهان بماند. خبر بد اما فهرست چیزهایی بود که پیدا کردند:

• آسیب‌پذیری‌های روز صفر، یعنی حفره‌هایی که تا آن لحظه هیچ‌کس از آن‌ها خبر نداشت

• راه‌هایی برای فرار از ماشین مجازی، همان لایه‌ای که قرار است هر مدل را در صندوق بسته‌ی خودش نگه دارد

• و یک کانال سخت‌افزاری برای حرف زدن ایجنت‌ها با یکدیگر!

مورد آخر بیشترین سروصدا را کرده. بر اساس گزارش‌ها، دو ایجنت در دو ماشین مجازی جدا، بدون دسترسی شبکه و بدون فایل مشترک، از روی تفاوت زمان دسترسی به حافظه نهان پردازنده با هم پیام رد و بدل کردند. اوپن‌ای‌آی می‌گوید از این یافته‌ها برای محکم‌تر کردن حصارهایش استفاده کرده و وصله‌هایی هم به نرم‌افزارهای متن‌باز داده است.

▪️ دو ایجنت بدون شبکه چگونه با هم حرف زدند!؟
ماجرا این است که ماشین‌های مجازی جدا معمولاً روی یک سرور فیزیکی مشترک اجرا می‌شوند و یک پردازنده دارند. هر پردازنده یک حافظه کوچک و بسیار سریع به نام «کش» (Cache) دارد که برنامه‌ها به‌طور مشترک از آن استفاده می‌کنند. اگر داده‌ای در این حافظه باشد، خواندنش سریع است و اگر نباشد، کمی کندتر. همین تفاوت چند نانوثانیه‌ای کافی بود.

طبق گزارش‌ها، یک ایجنت عمداً بخش‌های مشخصی از حافظه نهان را خالی می‌کرد و ایجنت دیگر زمان خواندن همان بخش‌ها را اندازه می‌گرفت. خواندن کند یعنی «۱» و خواندن سریع یعنی «۰». این‌طور بیت به بیت، پیام ساخته می‌شد. مثل دو نفر در دو اتاق جدا که تلفن ندارند، اما لوله آب مشترکی دارند: یکی شیر آب را باز و بسته می‌کند و دیگری از افت فشار آب پیام را می‌خواند. ایجنت‌ها حتی اول روی یک روش رمزگذاری و رمزگشایی توافق کردند و بعد «اسرار آزمایشی» را با هم مبادله کردند؛ داده‌هایی که برای همین آزمون در محیط گذاشته شده بود.

▪️ واکنش‌ها: ترس، شُک و شوخی
توییت اوپن‌ای‌آی در کمتر از ۱۲ ساعت ۳ میلیون بار دیده شده و واکنش‌های زیادی به همراه داشته برخی افراد پیام‌رسانی ایجنت‌ها از راه حافظه‌ی پردازنده را به زندانی‌هایی تشبیه کردند که با ضربه به دیوار با هم حرف می‌زنند و نوشتند «ایزوله کردن شبکه یک مسیر را می‌بندد، نه همه کانال‌ها را». برخی افراد پرسیده‌اند: اگر خطر این‌قدر جدی است، چرا سرورها را به‌طور فیزیکی از اینترنت جدا نمی‌کنید؟ چند نفر هم کل داستان را «ترفند بازاریابی» برای نمایش قدرت مدل‌ها خوانده‌اند. نظر شما در این مورد چیست؟

#خبر_و_تحلیل

نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web