به گزارش خبرنگار گروه اجتماعی پایگاه خبری تحلیلی «دیار آفتاب» حسین معافی مدرس دانشگاه و پژوهشگر هوش مصنوعی در یادداشتی نوشت: فیشینگ و مهندسی اجتماعی موضوعات جدیدی نیستند، اما ورود ابزارهای هوش مصنوعی مولد ماهیت این حملات را تغییر داده است.

تا چند سال پیش، نشانه‌های رایج فیشینگ شامل غلط‌های نگارشی، لحن نامتناسب و ایمیل‌های عمومی و کلی‌گو بود. امروز مهاجمان می‌توانند با کمک مدل‌های زبانی، متونی کاملاً روان، بومی‌سازی‌شده و متناسب با لحن یک فرد یا سازمان خاص تولید کنند؛ و با کمک فناوری‌های صوتی و تصویری  هویت صوتی یا تصویری افراد را شبیه‌سازی کنند.

نکته کلیدی: تهدید جدید در «مقیاس»، «شخصی‌سازی» و «واقعی‌نمایی» نهفته است، نه در نوع حمله. مهاجم دیگر نیازی به مهارت زبانی بالا یا صرف زمان زیاد برای شناخت قربانی ندارد.

مکانیزم‌های اصلی سوءاستفاده از هوش مصنوعی

تولید متن هدفمند: نگارش ایمیل یا پیام با لحن دقیق یک همکار، مدیر یا برند خاص
جمع‌آوری خودکار اطلاعات (OSINT): تحلیل سریع پروفایل‌های لینکدین، وب‌سایت شرکت و شبکه‌های اجتماعی برای ساخت پیام باورپذیر
شبیه‌سازی صدا: بازتولید صدای یک مدیر یا همکار از روی چند ثانیه نمونه صوتی عمومی
دیپ‌فیک تصویری: ساخت ویدیوی جعلی برای تماس تصویری یا پیام‌های ویدیویی
چت‌بات‌های جعلی: پاسخ‌گویی خودکار و تعاملی برای طولانی‌کردن مکالمه و افزایش اعتماد قربانی

سناریوهای کاربردی (برای آموزش و آمادگی تیم‌ها(سناریو ۱  فیشینگ مدیرعامل (CEO Fraud) با صدای جعلی

کارمند بخش مالی تماسی دریافت می‌کند که صدای آن دقیقاً شبیه مدیرعامل شرکت است. «مدیرعامل» با لحنی عجول درخواست انتقال فوری وجه به یک حساب «تأمین‌کننده جدید» را دارد و می‌گوید در جلسه است و نمی‌تواند ایمیل تأیید بفرستد.

نشانه هشدار: فوریت غیرعادی + درخواست دور زدن فرآیند تأیید استاندارد + عدم امکان تماس مجدد از کانال شناخته‌شده.

سناریو ۲  ایمیل هدفمند شخصی‌سازی‌شده

ایمیلی از طرف «بخش منابع انسانی» با نام واقعی مدیر مستقیم فرد، اشاره به یک پروژه واقعی که کارمند اخیراً در لینکدین به آن اشاره کرده، و لینکی برای «تکمیل فرم ارزیابی عملکرد» ارسال می‌شود. متن کاملاً روان و بدون غلط است.
نشانه هشدار: دامنه فرستنده با دامنه رسمی شرکت یکی نیست؛ لینک به‌جای پورتال داخلی شناخته‌شده، به آدرسی نامأنوس اشاره دارد.

سناریو ۳  تماس تصویری با دیپ‌فیک

یک تماس ویدیویی کوتاه با کیفیت پایین از «مدیر مالی منطقه» برگزار می‌شود که در آن درخواست تغییر اطلاعات حساب بانکی یک تأمین‌کننده مطرح می‌شود؛ کیفیت پایین تصویر به‌عنوان «مشکل اتصال اینترنت» توجیه می‌شود.

نشانه هشدار: کیفیت تصویر/صدا به‌طور مشکوک پایین یا ناهماهنگ است؛ درخواست تغییر اطلاعات حساس مالی بدون فرآیند تأیید کتبی مطرح می‌شود.

سناریو ۴  پشتیبانی فنی جعلی

یک پیام در تیمز یا واتس‌اپ از طرف «پشتیبانی IT » ارسال می‌شود که ادعا می‌کند حساب کاربری فرد در معرض خطر است و باید فوراً روی لینکی کلیک و رمز عبور را وارد کند. اگر فرد سؤال بپرسد، یک چت‌بات یا فرد پاسخ‌گو با اطلاعات دقیق درباره ساختار سازمانی، پاسخ‌های قانع‌کننده می‌دهد.

نشانه هشدار: تیم فنی واقعی هرگز از طریق چت پیام‌رسان عمومی، رمز عبور یا کد یک‌بارمصرف درخواست نمی‌کند.

راهکارهای دفاعی عملی

در سطح فرآیند سازمانی:

برای هرگونه انتقال وجه یا تغییر اطلاعات بانکی، «تأیید دو کاناله» الزامی باشد (مثلاً تماس تلفنی با شماره از پیش ثبت‌شده، نه شماره‌ای که در همان پیام داده شده)
یک «رمز عبور کلامی» (verbal passphrase) داخلی برای تماس‌های حساس مالی یا مدیریتی تعریف شود
فرآیندهای تغییر حساب بانکی تأمین‌کنندگان، همیشه از طریق فرم رسمی و امضای دوطرفه انجام شود، نه از طریق ایمیل یا تماس
در سطح فناوری:

فعال‌سازی احراز هویت چندمرحله‌ای 
مقاوم در برابر فیشینگ پیکربندی صحیح برای جلوگیری از جعل دامنه ایمیل سازمان
استفاده از ابزارهای فیلترینگ ایمیل که قادر به شناسایی الگوهای زبانی مشکوک باشند
در سطح افراد:

آموزش مستمر با تمرکز بر «فوریت غیرعادی» و «درخواست دور زدن فرآیند» به‌عنوان مهم‌ترین نشانه‌های هشدار، نه صرفاً غلط املایی
تشویق فرهنگ سازمانی که در آن کارمند بدون ترس از قضاوت، بتواند یک درخواست مشکوک را متوقف و راستی‌آزمایی کند
برگزاری دوره‌ای شبیه‌سازی فیشینگ (Phishing Simulation) با سناریوهای به‌روز مبتنی بر هوش مصنوعی
هوش مصنوعی، هزینه و مهارت لازم برای اجرای حملات مهندسی اجتماعی باورپذیر را به‌شدت کاهش داده است. مؤثرترین پاسخ، تکیه صرف بر ابزار فنی نیست، بلکه ترکیبی از فرآیندهای تأیید مقاوم (به‌ویژه برای تراکنش‌های مالی)، زیرساخت فنی امن، و فرهنگ سازمانی «راستی‌آزمایی بدون شرم» است.