روابط عمومی شرکت ایدکو (توزیع‌کننده‌ی محصولات کسپرسکی در ایران)؛ ما در وبلاگ روزانه‌ی خود دائماً درباره انواع حملات سایبری و پیامدهای ویرانگر آنها می‌نویسیم — از سرقت رمزارز گرفته تا افشای اطلاعات شخصی. اما دسته‌ای متفاوت از هک‌های پر سر‌وصدا هم وجود دارد: همان‌هایی که هدفشان پول نیست، بلکه صرفاً شوخی‌ها و خرابکاری‌های بامزه و نسبتاً بی‌ضرر هستند؛ هرچند برخی از آنها مثل هک جاروبرقی Ecovacs ممکن است جدی‌تر از بقیه باشند. امروز قصد داریم پنج مورد از این هک‌های جالب را مرور کنیم و ببینیم چه درس‌هایی می‌توان از آنها گرفت. با ما همراه باشید.
«همه‌جا هستند!» وقتی چراغ راهنما با صدای زاکربرگ و ماسک با شما حرف می‌زند
بهار ۲۰۲۵، افراد ناشناس دکمه‌های عبور عابران پیاده را در چراغ‌های راهنمای سیلیکون‌ولی هک کردند. این دکمه‌های صوتی که در بسیاری از مناطق ایالات متحده نصب شده، برای کمک به افراد دارای اختلال بینایی طراحی شده‌اند و هدفشان پخش پیام‌هایی برای اعلام زمان مناسب عبور از خیابان است.
هکرها پیام‌های صوتی استاندارد این دکمه‌ها را در چند شهر سیلیکون‌ولی با نسخه‌های تقلیدی از صدای مارک زاکربرگ و ایلان ماسک جایگزین کردند؛ صداهایی که به‌وسیله هوش مصنوعی تولید شده بودند. در ویدیوهایی که توسط ساکنان محلی ضبط شده، دکمه‌های هک‌شده این پیام‌ها را پخش می‌کردند:
با صدای تقلیدی زاکربرگ:
« وقتی که ما هوش مصنوعی را به‌زور وارد هر بخش از تجربه آگاهانه‌تان می‌کنیم احساس ناراحتی یا حتی نقض حریم خصوصی کاملاً طبیعی است. فقط می‌خواهم به شما اطمینان بدهم که لازم نیست نگران باشید... چون هیچ کاری از دستتان برنمی‌آید.»
صدای تقلیدی ماسک:
«می‌گویند پول خوشبختی نمی‌آورد... احتمالاً درست است. باور کنید همه راه‌ها را امتحان کرده‌ام. ولی می‌شود با آن یک سایبرتراک خرید و این خیلی حال می‌دهد. واقعاً احساس تنهایی می‌کنم.»
پیام دیگری با صدای تقلیدی ماسک:
«همه می‌گویند سرطان چیز بدی است، اما تا حالا سعی کرده‌اید خودتان سرطان باشید؟ فوق‌العاده است. به من بگویید ایلونوما.[1]»
هرچند مشخص بود که این صداها با استفاده از هوش مصنوعی تولید شده‌اند، اما هنوز معلوم نیست هکرها چگونه به سیستم صوتی چراغ‌های راهنمایی نفوذ کرده‌اند. کارشناسان امنیتی احتمال می‌دهند که از رمزهای عبور پیش‌فرض استفاده شده باشد و کسی زحمت تغییر آنها را پس از نصب به خود نداده است. به نظر می‌رسد این شوخی آسیبی به کسی نرسانده باشد؛ مگر آنکه غرور میلیاردرها را حساب کنیم.
در ایالت ایلینوی، دانش‌آموزان درس مهمی را یاد گرفتند: هیچ‌وقت ریک را فراموش نکن!
آخرین جمعه سال تحصیلی ۲۰۲۱، ناگهان همه تلویزیون‌ها و پروژکتورهای کلاس‌های درس در شش مدرسه شهرستان کوک در ایالت ایلینوی به‌طور خودکار روشن شدند. پیامی مرموز روی صفحه ظاهر شد:
«لطفاً در محل خود باقی بمانید. به‌زودی یک اعلان مهم پخش خواهد شد.»
زیر این پیام، یک تایمر شمارش معکوس پنج‌دقیقه‌ای قرار داشت.
پنج دقیقه بعد، ۵۰۰ صفحه‌نمایش به‌طور همزمان پخش ویدیوی معروف Never Gonna Give You Up از ریک استلی را آغاز کردند. چند ساعت بعد نیز همین آهنگ از طریق سیستم صوتی مدارس دوباره پخش شد. پشت این شوخی بزرگ، چهار دانش‌آموز آمریکایی قرار داشتند که یکی از بزرگترین Rickrollهای تاریخ را رقم زدند. Rickroll یک شوخی اینترنتی رایج است که در آن کاربر به کلیک روی یک لینک فریب داده می‌شود و به‌جای محتوای وعده‌داده‌شده، ناگهان ویدیوی آهنگ سال ۱۹۸۷ ریک استلی برای او پخش می‌شود. این شوخی از سال ۲۰۰۷ و از فروم معروف 4chan به‌طور گسترده وایرال شد.
این چهار دانش‌آموز، نسخه‌ای پیشرفته از یک سنت قدیمی آمریکایی به نام "شوخی دانش‌آموزان سال‌آخر" را اجرا کردند؛ شوخی‌ای که معمولاً در روزهای پایانی مدرسه یا دانشگاه با نیت سرگرمی انجام می‌شود. اما این‌بار، سطح کار به شکل قابل توجهی بالاتر رفت. برای اجرای این Rickroll عظیم، دانش‌آموزان از آسیب‌پذیری‌های ساده‌ای در زیرساخت‌های مدرسه استفاده کردند. برای مثال، آنها به سیستم مرکزی کنترل صدها تلویزیون و پروژکتور در سطح منطقه آموزشی دسترسی پیدا کردند، چون نام کاربری و رمز عبور پیش‌فرض هرگز تغییر داده نشده بود. همچنین، دانش‌آموزان توانستند وارد سیستم صوتی مدارس شوند؛ چراکه فردی که سیستم را راه‌اندازی کرده بود، رمز عبور پیش‌فرض را به همان رمز نمونه‌ای که در دفترچه راهنما پیشنهاد شده بود — و به راحتی به‌صورت آنلاین در دسترس بود — تغییر داده بود. در جریان بررسی‌ها، هکرها حتی به یک حساب کاربری مدیریتی با رمز عبور ساده‌ی «password» برخوردند.
نکته قابل‌توجه این است که این چهار دانش‌آموز با مسئولیت‌پذیری کامل این عملیات را انجام دادند. پیش از اجرای Rickroll، آنها گزارشی ۲۶ صفحه‌ای تهیه کرده بودند که بلافاصله پس از پایان ماجرا برای مدیران مدارس ارسال شد. در این گزارش، جزئیات دقیق فعالیت‌هایشان همراه با پیشنهادهایی برای بهبود امنیت سایبری مدارس ارائه شده بود. افزون بر این، اسکریپتی که برای Rickroll نوشته بودند، بلافاصله پس از اجرا، همه سیستم‌ها را به وضعیت اولیه بازگرداند. این شوخی نه‌تنها نشان داد ضعف امنیتی چقدر می‌تواند ساده و گسترده باشد، بلکه به مدرسه‌ها یادآوری کرد که حتی یک شوخی هم می‌تواند هشداری جدی درباره امنیت زیرساخت‌ها باشد.
همیشه می‌دانستیم: ظهور ماشین‌ها با جاروبرقی‌های رباتی آغاز می‌شود
سال گذشته گزارش‌هایی در فضای آنلاین منتشر شد درباره هک‌های متعددی که هدف آنها جاروبرقی‌های رباتی Ecovacs Deebot X2 ساخت چین در شهرهای مختلف ایالات متحده بود. شوخی‌کنندگان کنترل حرکات ربات‌ها را به دست گرفته و از بلندگوهای داخلی آنها الفاظ رکیک فریاد می‌زدند. علاوه بر این، آنها از طریق دوربین‌های تعبیه‌شده قادر به جاسوسی از صاحبان این دستگاه‌ها نیز بودند. این داستان ظاهراً از کنفرانس هکرها DEF CON 32 آغاز شد، جایی که دو محقق امنیت سایبری، دنیس گیزه و برلین لودتکه، در سخنرانی خود به موضوع مهندسی معکوس و هک ربات‌های Ecovacs پرداختند. آنها آسیب‌پذیری‌هایی را در جاروبرقی‌ها و ماشین‌های چمن‌زنی Ecovacs کشف و روش‌هایی برای اکسپلویت آنها ارائه کردند. در جریان این مطالعه، محققان توانستند به‌صورت از راه دور به میکروفون‌ها و دوربین‌های داخلی دسترسی پیدا کرده و حرکات ربات‌ها را کنترل کنند. پیش‌تر در مطلبی جداگانه، جزئیات این تحقیق را پوشش داده بودیم.
محققان یافته‌های خود را به صورت مسئولانه به شرکت Ecovacs گزارش دادند. مهندسان Ecovacs تلاش کردند آسیب‌پذیری‌ها را برطرف کنند، اما موفقیت چندانی نداشتند. چند ماه پس از ارائه گزارش، گروهی از علاقه‌مندان فناوری، احتمالاً الهام‌گرفته از این مطالعه، توانستند همان روش‌ها را بازتولید کرده و مجموعه‌ای از حملات مشابه را علیه جاروبرقی‌های دیگران انجام دهند. برای مثال، در یکی از این حملات در کالیفرنیا، رباتی صاحب سگ را در خانه دنبال می‌کرد و الفاظ رکیک فریاد می‌زد.
تعداد دقیق قربانیان این سری هک‌ها هنوز مشخص نیست، زیرا احتمال دارد شوخی‌کنندگان همیشه حضور خود را آشکار نکرده باشند و تنها به تماشای زندگی صاحبان ربات‌ها پرداخته باشند. این قطعاً نقض جدی حریم خصوصی آنها بوده و هرگز نمی‌توان آن را صرفاً «سرگرمی» توصیف کرد؛ و چه بسا آینده‌ای باشد که ماشین‌های چمن‌زنی Ecovacs هدف بعدی باشند.
گروه Lizard Squad و هک بامزه سایت لنوو: بازطراحیِ بدون خرابکاری!
یکی دیگر از حملات شوخ‌طبعانه نوجوانان، این بار هدفش شرکت Lenovo بود. حدود یک دهه پیش، وب‌سایت این شرکت هک شد و کاربران به اسلایدشویی هدایت شدند که عکس‌هایی از نوجوانان خسته و بی‌حال را نشان می‌داد — احتمالاً همان هکرها — همراه با آهنگ Breaking Free از فیلم High School Musical دیزنی.
با کلیک روی اسلایدشو، کاربران به حساب گروه هکری Lizard Squad در شبکه اجتماعی X (توییتر سابق) هدایت می‌شدند. در کد منبع سایت هک‌شده، هکرها طعنه‌ای به مدیران سایت زدند: «وب‌سایت جدید، بهبود یافته و برندشدهلنووبا حضور رایان کینگ و روری اندرو گادفری». این دو نفر قبلاً به Lizard Squad مرتبط بوده‌اند.
این حمله از طریق ربودن DNS صورت گرفت؛ هکرها رکوردهای DNS دامنه lenovo.com را تغییر دادند تا هر کاربری که به وب‌سایت رسمی Lenovo مراجعه می‌کرد، به صفحه‌ای جعلی تحت کنترل آنها هدایت شود. به نظر می‌رسد این حمله واکنشی اعتراضی به نگرش سهل‌انگارانه شرکت نسبت به امنیت و محافظت از کاربران بوده است. درست پیش از این هک، مشخص شد کهلنوولپ‌تاپ‌هایی را با بدافزار Superfish به فروش می‌رسانده که کاربران را در معرض شنود داده‌ها و حملات مرد میانی قرار می‌داد. بنابراین این هک شاید از نظر فنی اشتباه باشد، اما از نظر اخلاقی تا حدی قابل توجیه است.
یادآوری سال ۲۰۱۳: وقتی هک حساب‌های توییتر فقط برای شوخی بود، نه کلاهبرداری رمزنگاری
امروزه وقتی حساب X (توییتر سابق) فردی مشهور یا شرکتی بزرگ هک می‌شود، معمولاً به کلاهبرداری‌های رمزارزی ختم می‌شود. اما همیشه اینطور نبوده است. فقط یک دهه پیش، حساب‌های پرطرفدار بیشتر برای سرگرمی و شوخی هک می‌شدند تا اهداف مالی غیرقانونی. مثلاً در فوریه ۲۰۱۳، هکرهای ناشناس حساب توییتر Burger King را هک کردند و این پیام را منتشر کردند:
«ما همین‌الان به مک‌دونالد فروخته شدیم! منتظر مک‌دونالد در محله خود باشید»
علاوه بر این، عکس پروفایل Burger King با لوگوی مک‌دونالد جایگزین شد و بیوگرافی حساب به این شکل تغییر کرد:
«همین‌الان به مک‌دونالد فروخته شدیم چون وُپر شکست خورد.»
در بیو همچنین جمله‌ای غلط املایی با عنوان «FREDOM IS FAILURE» و لینکی به یک بیانیه خبری مرده وجود داشت.
برای حدود یک ساعت، هکرها پیام‌های عجیب و غریب بیشتری منتشر کردند تا اینکه توییتر بالاخره این حساب را تعلیق کرد. جالب است که رقیب دیرینه Burger King یعنی مک‌دونالد، توییتی حمایتی منتشر کرد و تاکید داشت هیچ نقشی در این هک نداشته است.
آگوست ۲۰۱۷ و هک حساب توییتر رئال مادرید توسط Ourmine
در اوت ۲۰۱۷، گروه هکری Ourmine حساب توییتر باشگاه فوتبال رئال مادرید را هدف قرار دادند. آنها از حساب رسمی باشگاه استفاده کردند تا اعلام کنند لیونل مسی، که در آن زمان برای رقیب سرسخت رئال یعنی بارسلونا بازی می‌کرد، به رئال مادرید منتقل شده است. این توییت به سرعت بیش از ۲۸۰۰ لایک و ۳۱۰۰ بازتوییت دریافت کرد. Ourmine همچنین چند توییت مسئولیت این هک را پذیرفت و در یکی از آنها نوشت:
«امنیت اینترنت افتضاح است و ما این را ثابت کردیم.»
و واقعاً نمی‌توان منکر آن شد.
درس مهمی که می‌شود از این هک‌ها گرفت: از ابتدا از پسوردتان محافظت کنید
شاید مهم‌ترین نکته‌ای که از این شوخی‌های آنلاین باید گرفت این باشد: استفاده از پسوردهای ضعیف یا حتی بدتر، پسوردهای پیش‌فرض، بهترین راه برای واگذار کردن کنترل دستگاه، حساب کاربری یا وب‌سایت خود به شوخ‌طبعان اینترنتی است... البته اگر خوش‌شانس باشید! ضعف پسوردها همان چیزی بود که باعث نفوذ به زیرساخت‌های شهری و سیستم‌های مدارس شد و به احتمال زیاد هک‌های حساب‌های توییتر هم ناشی از بی‌دقتی در سیاست‌های مدیریت رمز عبور بوده است.
برای جمع‌بندی، چند قاعده ساده در حفظ امنیت رمز عبور را یادآوری می‌کنیم:
- پسوردها باید حداقل ۱۶ کاراکتر باشند و اگر سایت اجازه می‌دهد، بهتر است حتی طولانی‌تر باشند.
- ترکیب حروف بزرگ و کوچک، اعداد و نمادهای ویژه هنگام ساخت پسورد توصیه می‌شود.
- از به کار بردن کلمات رایج، تاریخ‌های قابل حدس و مخصوصاً واژه «password» باید پرهیز کرد.
- بهترین حالت پسورد، ترکیبی تصادفی از کاراکترها است.
- برای هر وب‌سایت باید یک رمز عبور جدید و منحصر به فرد ساخته شود.
البته، امروزه هر کاربر ممکن است در ده‌ها یا حتی صدها سرویس آنلاین عضو باشد، پس حفظ کردن پسوردهای طولانی و منحصر به فرد برای هر سایت عملاً غیرممکن است. اینجاست که نرم‌افزار Kaspersky Password Manager به کمک شما می‌آید تا نه تنها از شوخی‌ها، بلکه از پیامدهای جدی‌تر امنیتی محافظت شوید.
این برنامه به‌طور خودکار پسوردهای شما را بررسی می‌کند تا منحصر به فرد باشند و به ساخت ترکیبات قوی و تصادفی کمک می‌کند. پس وقتی از این نرم‌افزار استفاده می‌کنید، لازم نیست همه این قوانین پیچیده را خودتان به خاطر بسپارید — مدیر پسورد همه‌چیز را برایتان انجام می‌دهد. علاوه بر پسوردها، Kaspersky Password Manager می‌تواند توکن‌های احراز هویت دو مرحله‌ای و کلیدهای دسترسی بدون پسورد (یا همان Passkeyها) را هم ذخیره و همگام‌سازی کند. اخیراً ما در راهنمای کامل استفاده از Passkeys در سال ۲۰۲۵ به طور مفصل درباره این فناوری جدید رمزگذاری بدون پسورد صحبت کردیم.
[1]این شوخی سیاه و نیش‌دار به طرز طنزآمیزی از کلمه سرطان برای ساخت اسم جعلی و خنده‌دار «Elonoma» استفاده کرده که با صدای «Elon» ترکیب شده.
کسپرسکی آنلاین (ایدکو)
کسپرسکی اسم یکی از بزرگترین شرکتهای امنیتی و سازنده آنتی ویروس است که برخی از کاربران اشتباهاً این شرکت و محصولات آنتی ویروس آن را با عناوینی نظیر کسپرسکای،کاسپرسکی، کسپراسکای، کسپراسکای، و یا کاسپراسکای نیز می‌شناسد. همچنین لازم به ذکر است مدیرعامل این شرکت نیز یوجین کسپرسکی نام دارد.
