फिशिंग आणि सोशल इंजिनिअरिंग यांत काय फरक आहे?
सोशल इंजिनिअरिंग म्हणजे एखाद्या व्यक्तीला हाताळून तिच्याकडून माहिती, पैसे किंवा प्रवेश मिळवण्याचा कोणताही प्रयत्न. ईमेल किंवा बनावट संकेतस्थळाद्वारे होणारे फिशिंग हा त्याचा सर्वांत सामान्य प्रकार आहे. CISA याच्या आवाजाद्वारे होणाऱ्या प्रकाराला विशिंग आणि मजकूर संदेशाद्वारे होणाऱ्या प्रकाराला स्मिशिंग असेही संबोधते.
कॅलोवे पार्टनर्स नावाची 30 कर्मचारी असलेली एक काल्पनिक वास्तुविशारद संस्था कल्पना करा. एका मंगळवारी, वित्त सहाय्यक लिआला तीन गोष्टी मिळतात. 'व्यवस्थापकीय संचालकां'कडून 7.58am वाजता आलेला ईमेल: 'लिआ, दिवसभर बैठकीत आहे, सोबत जोडलेल्या पुरवठादाराचे पैसे आजच भर, बँकेचे तपशील नवीन आहेत, हे आपल्या दोघांतच ठेव'. एक संदेश: 'तुमचे पार्सल अडवले आहे, पुन्हा वितरणासाठी £1.45 शुल्क येथे भरा'. आणि संस्थेच्या माहिती-तंत्रज्ञान सेवा पुरवठादाराकडून बोलत असल्याचे सांगणाऱ्या व्यक्तीचा फोन. तिने आत्ताच पाठवलेला सहा-अंकी संकेतांक 'तुमची ईमेल पेटी दुरुस्त करण्यासाठी' वाचून सांगावा, असे तो म्हणतो. हे तिन्ही प्रकार वेगळे दिसतात. पण युक्ती एकच आहे.
फिशिंग संदेश दबाव आणण्यासाठी कोणत्या युक्त्या वापरतात?
फिशिंग संदेश दबाव आणण्यासाठी पाच सामान्य युक्त्या वापरतात. NCSC त्यांची यादी अधिकार, तातडी, भावना, टंचाई आणि चालू घडामोडी अशी देते. टंकलेखनातील चूक शोधण्यापेक्षा ही युक्ती ओळखणे अधिक विश्वासार्ह ठरते.
अधिकार
संदेश आपला वरिष्ठ, बँक, सरकारी संस्था किंवा पुरवठादार यांच्याकडून आल्याचा दावा करतो, त्यामुळे त्यात सांगितल्याप्रमाणे वागावे असे तुम्हाला वाटते.
तातडी
अगदी कमी मुदत किंवा दंडाची धमकी, जेणेकरून तुम्ही पडताळणी करण्याआधीच कृती कराल.
भावना
भीती, घबराट, कुतूहल किंवा आशा निर्माण करून, तुम्हाला विचार करण्याऐवजी लगेच प्रतिक्रिया द्यायला लावणे.
टंचाई
मर्यादित उपलब्धता असलेली एखादी गोष्ट, जसे की परतावा मागण्याची मुदत किंवा मर्यादित तिकिटे.
चालू घडामोडी
बातम्या, कर भरण्याच्या अंतिम मुदती किंवा सर्वांना माहीत असलेली सेवा बंद पडण्याची घटना यांच्याशी जोडलेला संदर्भ, ज्यामुळे संदेश अपेक्षित वाटतो.
AI मुळे फिशिंगमध्ये काय बदल झाले आहेत?
AI मुळे फिशिंग संदेश अधिक सफाईदार झाले आहेत. त्यामुळे अचूक शुद्धलेखन आणि व्याकरण यावरून संदेश खरा असल्याचे आता सिद्ध होत नाही. CISA चे मार्गदर्शनही आता हे थेट सांगते. हल्लेखोर सहकाऱ्याच्या शैलीत लिहू शकतात, तुमच्या कामाला साजेसा संदेश तयार करू शकतात किंवा कॉलवर ओळखीच्या आवाजाची नक्कल करू शकतात. त्यामुळे शुद्धलेखनाच्या चुका आणि विचित्र अभिवादनांवर आधारित जुनी तपासणी यादी कमी उपयोगी ठरते आणि विनंतीचीच पडताळणी करणे अधिक महत्त्वाचे होते. पैसे हस्तांतरित करणे, बँकेचे तपशील बदलणे, एखादा कोड सांगणे किंवा नेहमीची प्रक्रिया टाळणे यांसाठी आलेली विनंती कितीही पटण्याजोगी वाटली, तरी तिची पडताळणी केली पाहिजे.
संशयास्पद संदेशाची टप्प्याटप्प्याने पडताळणी कशी करावी?
संशयास्पद संदेश पडताळण्यासाठी त्याबाहेरील मार्ग वापरा: त्यात दिलेल्या लिंक, फोन क्रमांक किंवा उत्तर पाठवण्याचा पत्ता कधीही वापरू नका. त्या व्यक्तीशी किंवा संस्थेशी संपर्क साधण्यासाठी आधीपासून विश्वास असलेले संपर्क तपशील वापरा.
1. थांबा आणि कोणती युक्ती वापरली जात आहे ते ओळखा
कोणत्या प्रकारचा दबाव टाकला जात आहे ते विचारा. गुप्तता, तातडी आणि पैसा यांचा एकत्रित आग्रह हा पैसे भरण्याशी संबंधित फसवणुकीचा नेहमीचा नमुना आहे.
2. फक्त पाठवणारा नव्हे, तर विनंतीही तपासा
दिसणारे नाव आणि कॉल करणाऱ्याची ओळख बनावट असू शकते. बँक तपशिलांमध्ये बदल किंवा कोडची मागणी हे धोक्याचे संकेत आहेत, मग ते कोणाकडूनही आलेले दिसत असोत.
3. स्वतंत्र माध्यमातून पडताळणी करा
तुमच्या स्वतःच्या नोंदींमधील क्रमांकावर त्या व्यक्तीला फोन करा किंवा संस्थेच्या संकेतस्थळाचा पत्ता स्वतः टाइप करा. CISA आणि NCSC या दोन्ही संस्था हाच सल्ला देतात.
4. पडताळणी कोड किंवा पासवर्ड कधीही शेअर करू नका
खरी माहिती तंत्रज्ञान पथके आणि बँका तुम्हाला एकदाच वापरायचा संकेतांक किंवा पासवर्ड वाचून सांगायला सांगत नाहीत.
5. त्याची माहिती द्या
तुमच्या ईमेलमधील तक्रार नोंदवण्याचे बटण वापरा आणि तुमच्या माहिती तंत्रज्ञान विभागातील संपर्क व्यक्तीला कळवा. युनायटेड किंगडममध्ये संशयास्पद ईमेल [email protected] वर पुढे पाठवू शकता; अमेरिकेत CISA आपल्या सायबर समस्येची तक्रार नोंदवण्याच्या सेवेद्वारे तक्रारी स्वीकारते.
कमकुवत आणि प्रभावी प्रतिसाद कसा असतो?
कमकुवत प्रतिसादात वरवर दिसणाऱ्या गोष्टींवर विश्वास ठेवला जातो. लिआ व्यवस्थापकीय संचालकांचे नाव पाहते, पैसे देणे खरोखरच तातडीचे आहे का असे उत्तर पाठवून विचारते, त्याच बनावट पत्त्यावरून लगेच 'हो, कृपया आत्ताच करा' असे उत्तर मिळवते आणि पैसे देते. ती मजकूर संदेशाकडे दुर्लक्ष करते; पण मदत करण्याच्या हेतूने फोन करणाऱ्याला कोड वाचून सांगते. तो त्याचा वापर करून तिच्या मेलबॉक्समध्ये प्रवेश करतो.
योग्य प्रतिसादात विनंतीची पडताळणी केली जाते. अधिकाराचा वापर, तातडी आणि गुप्तता या तिन्ही गोष्टी एकत्र असल्याचे लिआच्या लक्षात येते. ती कर्मचारी यादीतील व्यवस्थापकीय संचालकांच्या मोबाइल क्रमांकावर फोन करते; त्यांनी काहीही पाठवलेले नसते. ती दुव्यावर न दाबता पार्सलविषयीचा संदेश हटवते. फोन करणाऱ्याला ती माहिती तंत्रज्ञान सेवा पुरवठादाराला परत फोन करेन असे सांगते, फोन ठेवते आणि संस्थेच्या करारातील क्रमांकावर पुरवठादाराला फोन करते; त्यांनी फोन केलेलाच नसतो. ती तिन्ही प्रकारांची माहिती माहिती तंत्रज्ञान विभागाला देते आणि ईमेल तक्रार नोंदवण्याच्या पत्त्यावर पुढे पाठवते. कोणतेही पैसे दिले जात नाहीत आणि कोणताही कोड सांगितला जात नाही.
तुम्ही आधीच क्लिक केले असेल किंवा उत्तर दिले असेल तर काय करावे?
तुम्ही आधीच क्लिक केले असेल, उत्तर दिले असेल किंवा काही माहिती दिली असेल, तर तुमच्या माहिती-तंत्रज्ञान संपर्क व्यक्तीला लगेच सांगा. लवकर कळवल्याने नुकसान मर्यादित राहते आणि घटना कळवल्याबद्दल कोणालाही दोष दिला जाऊ नये. ज्या खात्याचे तपशील तुम्ही भरले असतील, त्या खात्याचा पासवर्ड दुसऱ्या उपकरणावरून बदला आणि बहुघटक प्रमाणीकरण सुरू करा. पैसे किंवा बँकेचे तपशील संबंधित असतील, तर बँकेच्या संकेतस्थळावरील किंवा तुमच्या कार्डावरील क्रमांक वापरून बँकेला ताबडतोब फोन करा.
फिशिंगबाबत होणाऱ्या सामान्य चुका कोणत्या?
सर्वात सामान्य चूक म्हणजे संशयास्पद संदेशाची खात्री करण्यासाठी त्यालाच उत्तर देणे; म्हणजे हल्लेखोरालाच पुष्टी करायला सांगितल्यासारखे होते. इतर चुका: दिसणारे नाव किंवा कॉलर आयडीवर विश्वास ठेवणे, फसवणूक ओळखण्यासाठी शब्दलेखनातील चुकांवर अवलंबून राहणे, सदस्यत्व रद्द करण्याच्या दुव्यांवर क्लिक करणे, एकदाच वापरायचे कोड वाचून सांगणे आणि चूक झाल्यानंतर लाजेमुळे गप्प राहणे.
Tosheo.ai मध्ये हा धडा कुठे येतो?
हा धडा सायबरसुरक्षा विभागातील आणि सायबरसुरक्षा अभ्यासक्रमातील आहे. Tosheo.ai मधील सरावाच्या कामात तुम्हाला काल्पनिक संदेशांचा संच दिला जातो. प्रत्येकात वापरलेली युक्ती ओळखणे, पडताळणीची कृती लिहिणे आणि अहवालाचा मसुदा तयार करणे अपेक्षित असते. कोणता धोक्याचा संकेत तुमच्या लक्षात आला नाही, हे गुणांकन मार्गदर्शक दाखवतो. हे कर्मचारी आणि व्यवस्थापकांसाठीचे जागरूकता प्रशिक्षण आहे, ईमेल सुरक्षेचा तांत्रिक अभ्यासक्रम नाही.
स्रोत आणि व्याप्ती
NCSC, फसवणुकीचा ईमेल, मजकूर संदेश किंवा कॉल कसा ओळखावा (19 ऑक्टोबर 2026 रोजी तपासले) ↗
NCSC, फसवणुकीच्या ईमेलची तक्रार करा (19 ऑक्टोबर 2026 रोजी तपासले) ↗
CISA, फिशिंग ओळखा आणि त्याची तक्रार करा (तपासले: 19 ऑक्टोबर 2026) ↗
CISA, सोशल इंजिनिअरिंग आणि फिशिंग हल्ले टाळणे (तपासले: 19 ऑक्टोबर 2026) ↗