فشنگ تاریخ کا سب سے کامیاب سائبر حملہ ہے — اس لیے نہیں کہ ٹیکنالوجی جدید ہے، بلکہ اس لیے کہ یہ آپ کو ہیک کرتا ہے۔ قائل کرنے والا جعلی پیغام، جلدی یا خوف کا ایک لمحہ، اور اسناد ختم۔ خوشخبری: فشنگ نمونوں پر چلتی ہے، اور ایک بار سیکھ لیں تو جعلی صاف نظر آنے لگتے ہیں۔
فشنگ کی تین اقسام
- فشنگ (ای میل): بینک، ڈیلیوری کمپنی، حکومت یا ساتھیوں کی نقل کرنے والی جعلی ای میلز۔
- سمشنگ (ایس ایم ایس): پارسل، بینک الرٹس یا "انعام" کے بارے میں ٹیکسٹ پیغامات جن میں نقصان دہ لنکس ہوں۔
- وشنگ (آواز): جعلی "بینک افسر"، "پولیس" یا "ٹیک سپورٹ" کی فون کالز جو معلومات یا ادائیگی مانگیں۔
تینوں ایک ہی نفسیاتی ہتھیار استعمال کرتی ہیں: جلدی، خوف، اختیار اور تجسس۔
فشنگ پیغام کی سات سرخ جھنڈیاں
- جلدی اور دھمکیاں: "آپ کا اکاؤنٹ 24 گھنٹے میں بند کر دیا جائے گا!" اصلی کمپنیاں اس طرح بات نہیں کرتیں۔
- عام سلام: آپ کے نام کی بجائے "پیارے گاہک"۔ آپ کا اصلی بینک آپ کا نام جانتا ہے۔
- مشکوک بھیجنے والا: support@secure-bankk-login.com آپ کا بینک نہیں ہے۔ صرف ڈسپلے نام نہیں، مکمل پتہ چیک کریں۔
- غیر متوقع منسلکات یا لنکس: انوائسز، "اسٹیٹمنٹس" یا ٹریکنگ لنکس جو آپ نے کبھی نہیں مانگے۔
- بہت اچھا لگنا: لاٹری جیتنا، وراثت، ناقابل یقین چھوٹ۔
- حساس معلومات کی درخواست: کوئی جائز کمپنی ای میل یا کال پر آپ کا پاس ورڈ، او ٹی پی یا پن نہیں مانگتی۔
- خراب زبان: کئی (سب نہیں) فشنگ پیغامات میں عجیب گرامر یا فارمیٹ ہوتا ہے۔
10 سیکنڈ کا تصدیقی طریقہ
حیران کن پیغام میں کسی چیز پر کلک کرنے سے پہلے رکیں اور یہ کریں:
- رکیں۔ جلدی ہتھیار ہے — جلدی کرنے سے انکار کریں۔
- بھیجنے والا چیک کریں — مکمل ای میل پتہ یا نمبر، ڈسپلے نام نہیں۔
- ہوور کریں، کلک نہ کریں — ڈیسک ٹاپ پر لنکس پر ماؤس رکھ کر اصلی منزل دیکھیں۔
- براہ راست جائیں — پیغام کے لنک کی بجائے سرکاری ایپ کھولیں یا سرکاری ویب سائٹ خود ٹائپ کریں۔
- سرکاری نمبر پر واپس کال کریں — اگر "آپ کا بینک" کال کرے تو فون بند کر کے اپنے کارڈ پر لکھے نمبر پر کال کریں۔
او ٹی پی کا اصول: ون ٹائم پاس ورڈ کو ون ٹائم اسی لیے کہتے ہیں کہ صرف اصلی سروس کو ہی ملنا چاہیے۔ جو بھی کال یا پیغام کر کے آپ کا او ٹی پی مانگے وہ فراڈی ہے — ہمیشہ، بغیر کسی استثنا کے۔
پاکستان اور دنیا میں عام فشنگ منظرنامے
- جعلی پارسل ایس ایم ایس: "آپ کا TCS/Leopards پارسل رکا ہوا ہے — اس لنک پر 150 روپے ادا کریں۔" ڈیلیوری کمپنیاں کبھی اس طرح کام نہیں کرتیں۔
- بینک "تصدیق" کالز: اپنے بینک سے ہونے کا دعویٰ کرنے والے کالر جو کارڈ نمبر یا او ٹی پی مانگیں۔
- واٹس ایپ ہائی جیکنگ: "مجھے غلطی سے آپ کو کوڈ بھیج دیا، براہ کرم آگے بھیج دیں" — وہ کوڈ آپ کی واٹس ایپ تصدیق ہے؛ آگے بھیجنا آپ کا اکاؤنٹ دے دینا ہے۔
- نوکری اور انعام کے فراڈ: ایسی نوکریوں یا انعامات کے لیے پیشگی "فیس" جو کبھی تھے ہی نہیں۔
- جعلی ٹیک سپورٹ: پاپ اپ یا کالز جو دعویٰ کریں کہ آپ کی ڈیوائس متاثر ہے، پھر ریموٹ رسائی یا ادائیگی مانگیں۔
اگر آپ کلک کر چکے ہوں تو کیا کریں
- اگر آپ نے کچھ مشکوک ڈاؤن لوڈ کیا ہے تو انٹرنیٹ سے منقطع ہو جائیں۔
- متاثرہ اکاؤنٹ کا پاس ورڈ صاف ڈیوائس سے بدل لیں، اور ہر جگہ جہاں آپ نے اسے دوبارہ استعمال کیا تھا۔
- فوراً 2FA آن کریں۔
- بینک اسٹیٹمنٹس میں ناواقف لین دین چیک کریں اور اپنے بینک کو آگاہ کریں۔
- پیغام کی رپورٹ کریں: اپنی ای میل ایپ میں اسے فشنگ کے طور پر نشان زد کریں، ایس ایم ایس اسپیم اپنے کیریئر کے رپورٹنگ نمبر پر آگے بھیجیں، اور نقل کی گئی کمپنی کو خبردار کریں۔
اپنے خاندان کی بھی حفاظت کریں
بوڑھے رشتہ دار اور کم عمر نوجوان اہم ہدف ہیں۔ 10 سیکنڈ کا طریقہ ان کے ساتھ شیئر کریں، انہیں 2FA آن کرنے میں مدد کریں، اور خاندانی اصول طے کریں: او ٹی پی کبھی کسی کے ساتھ شیئر نہ کریں، کبھی بھی۔ ہماری موبائل سیکیورٹی گائیڈ بھی دیکھیں تاکہ وہ ڈیوائس محفوظ ہو جہاں زیادہ تر فشنگ پہنچتی ہے۔
جدید فشنگ: ماہرین کس پر نظر رکھتے ہیں
بنیادی فشنگ پہچاننا آسان ہے؛ جدید مہمات نہیں۔ اسپیئر فشنگ آپ کو ذاتی طور پر ہدف بناتی ہے، آپ کے سوشل میڈیا کی تفصیل استعمال کر کے — آپ کے باس کا نام، آپ کی حالیہ خریداری، آپ کی یونیورسٹی۔ بزنس ای میل کمپرومائز (BEC) ایگزیکٹوز کی نقل کر کے فنانس عملے کو پیسے بھیجنے پر دھوکہ دیتا ہے؛ یہ ای میلز اکثر بغیر کسی لنک کے سادہ متن ہوتی ہیں، جس سے تکنیکی فلٹرز ناکام ہو جاتے ہیں۔ کیو آر کوڈ فشنگ (کوشنگ) جعلی پارکنگ ٹکٹوں یا ریسٹورنٹ مینیوز پر کیو آر کوڈز میں نقصان دہ لنکس چھپاتی ہے۔ ہر صورت میں دفاع ایک ہی ہے: پیسے، اسناد یا رسائی سے متعلق کسی بھی غیر متوقع درخواست پر عمل کرنے سے پہلے آزاد ذریعے سے تصدیق کریں۔
تکنیکی دفاع جو مدد کرتے ہیں
- ای میل تصدیق (SPF, DKIM, DMARC): معیارات جو آپ کے ای میل فراہم کنندہ کو جعلی بھیجنے والوں کو مسترد کرنے دیتے ہیں — اپنی آئی ٹی ٹیم یا ای میل ہوسٹ سے پوچھیں کہ کیا یہ آپ کے ڈومین پر نافذ ہیں۔
- براؤزر وارننگز: جدید براؤزرز معروف فشنگ سائٹس کو جھنڈا دیتے ہیں — ان وارننگز کو کبھی نظر انداز نہ کریں۔
- لنک پیش نظارہ: موبائل پر لنک کھولنے سے پہلے اسے دیر تک دبا کر اصلی منزل دیکھیں۔
- الگ ای میل پتے: بینکنگ/اہم اکاؤنٹس کے لیے ایک پتہ اور نیوز لیٹرز اور سائن اپس کے لیے دوسرا استعمال کریں — غلط پتے پر آنے والی فشنگ فوراً مشکوک ہوتی ہے۔
بچوں کو فشنگ کے بارے میں سکھانا
بچوں کو بھی فشنگ ملتی ہے — جعلی گیم کرنسی کی پیشکشیں، "مفت Robux" فراڈ، اور "دوستوں" کے پیغامات جن کے اکاؤنٹس ہائی جیک ہو چکے ہوں۔ انہیں سکھائیں: مفت گیم آئٹمز کا وعدہ کرنے والے لنکس پر کبھی کلک نہ کریں، اکاؤنٹ کی تفصیل آن لائن "دوستوں" کے ساتھ بھی شیئر نہ کریں (ذاتی طور پر یا وائس کال سے تصدیق کریں)، اور کوئی بھی غیر متوقع پیغام جو کچھ مانگے ہمیشہ والدین کو دکھائیں۔ اسے بغیر الزام کا اصول بنائیں — سزا سے ڈرنے والے بچے واقعات چھپاتے ہیں، رپورٹ نہیں کرتے۔