फिशिंग

जिस प्रकार मछली पकडने के लिये कॉटे में चारा लगाकर डाला जाता है और चारा खाने के लालच या धोखे में आकर मछली कॉटें में फंस जाती है। उसी प्रकार फ़िशिंग भी हैकर्स द्वारा इन्‍टरनेट पर नकली वेबसाइट  या ईमेल के माध्‍यम से इन्‍टरनेट यूजर्स के साथ की गयी धोखेबाजी को कहते हैं। जिसमें वह आपकी निजी जानकारी को धोखेबाजी  के माध्‍यम से चुरा लेते हैं और उसका गलत उपयोग करते हैं  
इलेक्ट्रॉनिक संचार में फ़िशिंग या फिशिंग (अंग्रेजी:Phishing) या इलेक्ट्रोनिक जालसाज़ी, एक ऐसा कार्य है जिसमें किसी विश्वसनीय इकाई का मुखौटा धारण कर उपयोगकर्ता नाम (प्रयोक्ता नाम), पासवर्ड (कूटशब्द) और क्रेडिट कार्ड का विवरण (और कभी-कभी, परोक्ष रूप से, पैसा) जैसी विभिन्न जानकारियां हासिल करने का प्रयास किया जाता है। अशंकित जनता को लुभाने के लिए यह संचार आमतौर पर, लोकप्रिय सामाजिक वेब साइटों, नीलामी साइटों, बैंकों, ऑनलाइन भुगतान प्रोसेसर या आईटी प्रशासकों के नाम पर किया जाता है। 
आमतौर पर फ़िशिंग ईमेल स्पूफिंग या त्वरित संदेश द्वारा किया जाता है और अक्सर उपयोगकर्ताओं को एक नकली वेबसाइट जिसका रूप और अनुभव बिल्कुल असली वेबसाइट (वैध वेबसाइट) के समान होता है पर, अपने विवरण दर्ज करने के लिए निर्देशित किया जाता है। फ़िशिंग ईमेलों में मैलवेयर से संक्रमित वेबसाइटों की कड़ियां हो सकती हैं। फ़िशिंग सामाजिक इंजीनियरिंग तकनीक का एक उदाहरण है जिसका इस्तेमाल कर वर्तमान वेब सुरक्षा प्रौद्योगिकियों के घटिया प्रयोज्य का लाभ उठाते हुए उपयोगकर्ताओं को धोखा दिया जाता है। 
फ़िशिंग की घटनाओं की संख्या में हुई वृद्धि को देखते हुए और इन पर अंकुश लगाने के लिए विभिन्न उपाय जैसे कि इनके विरुद्ध कानून, उपयोगकर्ता प्रशिक्षण, सार्वजनिक जागरूकता और तकनीकी सुरक्षा को सुदृढ़ करना आदि को अपनाया जा रहा है। फ़िशिंग तकनीक को 1987 में विस्तार से वर्णित किया गया था और फ़िशिंग शब्द का पहला दर्ज उपयोग 1995 में ए एस टी कंप्यूटर्स के जेसन शान्नोन द्वारा किया गया था।

क्‍या है फिशिंग हमला

यह अपराधी फ़िशिंग के माध्‍यम से आपको नकली ईमेल या संदेश भेजते हैं, जो किसी प्रतिष्ठित कम्‍पनी, आपकी बैंक, आपकी क्रेडिट कार्ड कम्‍पनी, ऑनलाइन शॉपिंग की तरह मिलते-जुलते होते हैं, अगर आप सतर्क नहीं हैं तो आप इनके झॉसे में जल्‍द ही आ जाते हैं। इन नकली ईमेल या संदेश का उद्देश्‍य से आपकी पर्सनल आइडेंटिफाइएबल इन्फ़ॉर्मेशन को चुराना है। पर्सनल आइडेंटिफाइएबल इन्फ़ॉर्मेशन के अन्‍तर्गत आपकी निजी जानकारियॉ आती है जैसे - 
1.                 आपका नाम 
2.                 आपकी ईमेल यूजर आई0डी
3.                 आपका पासवर्ड 
4.                 आपका मोबाइल नम्‍बर या फोन नम्‍बर
5.                 आपका पता
6.                 बैंक खाता नम्‍बर
7.                 एटीएम कार्ड, डेबिट कार्ड तथा क्रेडिट कार्ड नम्‍बर 
8.                 एटीएम कार्ड, डेबिट कार्ड तथा क्रेडिट कार्ड आदि का वेलिडेशन कोड
9.                 आपकी जन्‍मतिथि 

स्पीयर फिशिंग -

यह फिशिंग तकनिकी हेकर्स मे काफी लोकप्रिय है | लगभग 90 प्रतिशत हमले इसी तकनिकी के द्वारा ही किया जाता है | इसमें हेकर्स द्वारा पूर्व निर्धारित कंपनी या  लोगो की ब्याक्तिगत सूचनाओ को एकत्रित किया जाता है |

क्लोन फिशिंग -

क्लोन फ़िशिंग एक प्रकार का फ़िशिंग हमला है, जिसके द्वारा एक वैध, और पूर्व में वितरित, एक अनुलग्नक या लिंक वाले ईमेल में इसकी सामग्री और प्राप्तकर्ता का पता (एसएएस) लिया जाता है और लगभग एक समान या क्लोन ईमेल बनाने के लिए उपयोग किया जाता  है। ईमेल के अंदर लगाव या लिंक को एक दुर्भावनापूर्ण संस्करण से बदल दिया जाता है और फिर मूल प्रेषक से आने के लिए ईमेल पते से धोखा दिया जाता है। यह मूल या अपडेट किए गए संस्करण को मूल के पुन: भेजने का दावा कर सकता है। यह तकनीक पहले से संक्रमित मशीन या ईमेल धारक जिस पर साइबर अपराधियों ने हमला किया है के ईमेल खाता के द्वारा की जाती है |

व्हैलिंग -

कई फ़िशिंग हमलों को विशेष रूप से वरिष्ठ अधिकारियों और व्यवसायों के भीतर अन्य हाई-प्रोफाइल लक्ष्यों पर निर्देशित किया गया है, और इस तरह के हमलों के लिए व्हेलिंग शब्द को गढ़ा गया है। एक व्हेलिंग हमले मे ईमेल की सामग्री अक्सर एक कानूनी प्रतिवेदन, ग्राहक शिकायत या कार्यकारी मुद्दे के रूप में लिखी जाती है। इस मे ईमेल को इस तरह बनाया जाता है की उससे यहाँ प्रतीत होता है की की यह ईमेल किसी उच्च अधिकारी द्वारा भेजी गई हो।  व्हेलिंग फिशर्स इसमें लोगो की जानकारी ईमेल और विशेष सॉफ्टवेर के माध्यम से एकत्रित कर लेते है |

लिंक मैनीपुलेशन -

फ़िशिंग के अधिकांश तरीकों का उपयोग किसी एक ईमेल में लिंक बनाने के लिए डिज़ाइन किए गए कुछ तकनीकी धोखे का उपयोग करते हैं | गलत वर्तनी वाले यूआरएल या उपडोमेन का इस्तेमाल आम तौर पर फिशर द्वारा इस्तेमाल किया जाता है। इसमे एक संदिग्ध  यूआरएल में, ऐसा प्रतीत होता है जैसे कि यूआरएल आपको आपकी बैंक वेबसाइट के किसी  अनुभाग में ले जाएगा; जबकि ऐसा नहीं होकर क्लिक किया गया लिंक हेकेर्स के द्वारा चाही गई हेकिंग साईट पर ले जाता  है। एक और आम चाल एक लिंक के लिए प्रदर्शित टेक्स्ट एक विश्वसनीय गंतव्य का सुझाव देती है, जब वास्तव में लिंक 'फिशर्स साइट पर जाता है |
यूआरएल के साथ एक और समस्या वेब ब्राउजर में अंतरराष्ट्रीयकृत डोमेन नाम (आईडीएन) को संभालने में मिली है, जो अलग-अलग, संभावित रूप से दुर्भावनापूर्ण, वेबसाइटों के  समान वेब पते की अनुमति दे सकती है जिसे आईडीएन स्पूफिंग या होमफोग्राफ हमला कहा जाता है, फ़िशर्स ने विश्वसनीय डोमेन के साथ दुर्भावनापूर्ण यूआरएल को छिपाने के लिए भरोसेमंद संगठनों की वेबसाइटों पर ओपन यूआरएल रीडायरेक्टर का उपयोग करके हमला करते है |

फ़िल्टर उत्क्रमण -

फिशर्स ने फ़िशिंग ईमेल में आमतौर पर उपयोग किए गए टेक्स्ट को खोजने के लिए और एंटी फ़िशिंग फ़िल्टरों के लिए कठिन बनाने के लिए टेक्स्ट  की बजाय छवियों का उपयोग करना शुरू कर दिया है। हालांकि, इसने अधिक परिष्कृत एंटी फ़िशिंग फ़िल्टर के विकास के लिए प्रेरित किया है जो चित्रों में छिपे हुए पाठ को पुनर्प्राप्त करने में सक्षम हैं। ऑप्टिकली छवि को स्कैन करने और उसे फ़िल्टर करने के लिए ये फिल्टर ओसीआर (ऑप्टिकल कैरेक्टर मान्यता) का उपयोग करते हैं। 

वेबसाइट जालसाजी -

एक बार जब कोई शिकार फ़िशिंग वेबसाइट पर जाता है, तो एड्रेस  बार को बदलने के लिए कुछ फ़िशिंग स्कैम जावास्क्रिप्ट कमांड का उपयोग करते हैं। यह या तो एड्रेस बार पर एक वैध यूआरएल की तस्वीर रखकर या मूल बार को बंद करके और वैध यूआरएल के साथ एक नया खोलकर किया जाता है। एक हमलावर शिकार के खिलाफ विश्वसनीय वेबसाइट की अपनी लिपियों में भी खामियों का इस्तेमाल कर सकता है। इस प्रकार के हमलों को क्रॉस-साइट स्क्रिप्टिंग के रूप में जाना जाता है | उपयोगकर्ता को अपने बैंक या सेवा के स्वयं के वेब पेज पर साइन इन करने के निर्देश देते हैं, जहां वेब पते से  सब कुछ सही दिखाई देता है हकीकत में, वेबसाइट के लिए लिंक को हमले करने के लिए तैयार किया जाता है, जिससे विशेषज्ञ ज्ञान के बिना समझना  कठिन होता है। एक सार्वभौमिक एमआईटीएम फ़िशिंग किट, 2007 में खोजी गई, एक साधारण-से-उपयोग अंतरफलक प्रदान करता है जो एक फ़िशर को वेबसाइटों को ठोस रूप से पुन: पेश करने और नकली साइट पर दर्ज किए गए लॉग-इन विवरणों को कैप्चर करने की अनुमति देता है।फ़िशिंग-संबंधित पाठ के लिए वेबसाइट स्कैन करने वाली एंटी फ़िशिंग तकनीकों से बचने के लिए, फ़िशर्स ने फ़्लैश-आधारित वेबसाइट (फ़्लेशिंग के रूप में जाना जाने वाला एक तकनीक) का उपयोग करना शुरू कर दिया है। ये असली वेबसाइट की तरह दिखते हैं, लेकिन एक मल्टीमीडिया ऑब्जेक्ट में टेक्स्ट छुपाएं हुए रहती है |

गुप्त पुनर्निर्देशन

गुप्त पुनर्निर्देशन फ़िशिंग आक्रमणों को निष्पादित करने के लिए एक सूक्ष्म विधि है जो लिंक को वैध दिखता है, लेकिन वास्तव में एक हमलावर की वेबसाइट पर शिकार को पुनर्निर्देशित करता है। आमतौर पर किसी प्रभावित साइट के डोमेन के आधार पर लॉग-इन पॉपअप के तहत किया जाता है।  यह अक्सर तृतीय-पक्ष अनुप्रयोग वेबसाइटों में खुली रीडायरेक्ट  का उपयोग करता है।  सामान्य फ़िशिंग प्रयासों को स्थान देना आसान हो सकता है क्योंकि दुर्भावनापूर्ण पृष्ठ का URL आमतौर पर वास्तविक साइट लिंक से अलग होगा। गुप्त रीडायरेक्ट के लिए, एक हमलावर साइट को दुर्भावनापूर्ण लॉगिन पॉपअप संवाद बॉक्स के साथ भ्रष्ट करने के बजाय वास्तविक वेबसाइट का उपयोग कर सकता है। इससे गुप्त रीडायरेक्ट दूसरों से भिन्न होता है। इन सूचनाओं में ईमेल पता, जन्म तिथि, संपर्क और कार्य इतिहास शामिल हो सकता है। हमलावर मेलबॉक्स, ऑनलाइन उपस्थिति और मित्रों की सूची सहित अधिक संवेदनशील जानकारी प्राप्त कर सकता है। इससे भी बदतर, हमलावर उपयोगकर्ता के खाते को नियंत्रित और संचालित कर सकता है। हमलावर द्वारा नियंत्रित वेबसाइट पर पुनर्निर्देशित किया जाएगा।

सामाजिक इंजीनियरिंग

विविध तकनीकी और सामाजिक कारणों से विभिन्न प्रकार की अप्रत्याशित सामग्री पर क्लिक करने के लिए उपयोगकर्ताओं को प्रोत्साहित किया जा सकता है।

फोन फिशिंग

सभी फ़िशिंग हमलों के लिए एक नकली वेबसाइट की आवश्यकता नहीं है बैंक से होने का दावा करने वाले संदेश उपयोगकर्ताओं को अपने बैंक खातों की समस्याओं के बारे में फोन नंबर डायल करने के लिए कहते थे।  एक बार फोन नंबर (फ़िशर के स्वामित्व वाले, और आईपी सेवा पर एक आवाज से उपलब्ध कराया गया) डायल किया गया, संकेत देता है कि उपयोगकर्ता अपना खाता नंबर और पिन दर्ज करें वाशिंग (वॉइस फ़िशिंग) कभी-कभी नकली कॉलर-आईडी डेटा का इस्तेमाल करता है ताकि ये दर्शाने के लिए कि कॉल एक विश्वसनीय संगठन से आती है। एसएमएस फिशिंग सेलफोन पाठ संदेश का उपयोग करता है ताकि लोगों को अपनी निजी जानकारी का खुलासा किया जा सके।

अन्य तकनीक

एक और हमले मे सफलतापूर्वक ग्राहक को बैंक की वैध वेबसाइट पर अग्रेषित करना है, फिर पृष्ठ के शीर्ष पर क्रेडेंशियल्स का अनुरोध करने के लिए एक पॉपअप विंडो को स्थापित करना है जिससे कई प्रयोक्ताओं को लगता है कि बैंक इस संवेदनशील जानकारी का अनुरोध कर रहे हैं।  यह विधि चुपचाप उपयोगकर्ता को प्रभावित साइट पर रीडायरेक्ट करती है। यह तकनीक अधिकांश फ़िशिंग तकनीकों के लिए रिवर्स में संचालित करती है, क्योंकि यह उपयोगकर्ता को सीधे धोखाधड़ी साइट पर नहीं लेती है, बल्कि ब्राउज़र के खुले टैब में से एक में नकली पृष्ठ को लोड करता है। एक फ़िशर नकली वायरलेस नेटवर्क बनाता है जो एक वैध सार्वजनिक नेटवर्क के समान दिखता है जो कि हवाई अड्डों, होटल या कॉफी की दुकानों जैसे सार्वजनिक स्थानों में पाई जा सकती है। जब भी कोई व्यक्ति फर्जी नेटवर्क पर लॉग इन करता है, तो धोखेबाज पासवर्ड और / या क्रेडिट कार्ड की जानकारी प्राप्त करने की कोशिश करते हैं।