14740
نوشدارویی برای شناخت بهتر کلاهبرداری‌‌های اینترنتی، ارتقای امنیت دیجیتال و حفظ حریم خصوصی شما. وب‌سایت: nooshdaroo.ir اینستاگرام: instagram.com/NooshDaroo_web ایکس: x.com/nooshdaroo_web
💡 یک اشتباه عجیب در امنیت وب؛ ماجرای مسدود شدن گواهی‌های eMudhra چیست؟
بسیاری از ما هنگام وب‌گردی، خرید آنلاین یا ورود به حساب‌های بانکی، با دیدن نماد قفل یا ارتباط امن (HTTPS) در کنار نشانی سایت احساس امنیت می‌کنیم و آن را نشانه‌ای از معتبر بودن همه‌چیز می‌دانیم؛ اما اگر ابزاری که این قفل‌ها را صادر می‌کند دچار اشتباه فاحشی شود چه اتفاقی می‌افتد؟ همین اتفاق برای شرکت هندی eMudhra، یکی از مراجع صدور گواهی مورد اعتماد مرورگرهای بزرگ پیش آمده است. تولید کلیدهای خصوصی بسیار ضعیف از سوی این نهاد مرورگرهای بزرگ و شرکت‌هایی مانند گوگل، موزیلا، اپل و مایکروسافت را به واکنشی فوری واداشت.
اگرچه تا این لحظه هیچ شواهدی از سوءاستفاده هکرها یا جعل وب‌سایت‌ها با این کلیدها به ثبت نرسیده، اما این اتفاق بار دیگر آسیب‌پذیری ساختارهای پنهان وب را آشکار می‌کند.
▪️ کلیدهایی که زیادی ساده ساخته شدند
وقتی در نوار آدرس مرورگر نماد قفل را مشاهده می‌کنید، این نشانه تنها یک پیام دارد: ارتباط میان دستگاه شما و آن وب‌سایت رمزگذاری شده و مرورگر، گواهی دیجیتال سایت را معتبر می‌شناسد. این نماد به هیچ‌وجه تضمین نمی‌کند که خود وب‌سایت، قانونی یا بی‌خطر است. یک سایت فیشینگ و کلاهبرداری نیز می‌تواند گواهی معتبر و ارتباط رمزگذاری‌شده داشته باشد.
همانطور که در ماجرای باطل شدن گواهی SSL بانک‌ها گفتیم، اعتبار این گواهی‌های دیجیتال به نهادهایی وابسته است که مرورگرها مهر تأیید آنها را معتبر می‌دانند. شرکت ای‌مودرا یکی از همین نهادهای صادرکننده گواهی یا CA است.
این هشت کلید در جریان مراسم تولید کلید بخش بین‌المللی شرکت در ۱۰ اردیبهشت ۱۴۰۴ ساخته شدند. به گفته eMudhra، خطایی در یکی از مراحل این فرایند، مجموعه دومی از کلیدهای بسیار ضعیف ایجاد کرد و همان کلیدها به‌اشتباه برای ساخت گواهی‌ها به کار رفتند.
این کلیدها که باید اعدادی تصادفی و ۳۸۴ بیتی می‌بودند، آنقدر ساده ساخته شده بودند که یک پژوهشگر امنیتی توانست هر ۸ کلید خصوصی را در کمتر از یک ثانیه روی لپ‌تاپ خود از روی گواهی‌های عمومی استخراج کند؛ حتی یکی از این کلیدهای خصوصی به‌جای یک کد پیچیده، صرفاً عدد «۴» بود.
▪️ چرا تولید کلیدهای ضعیف خطرناک است؟
فردی که یکی از شش کلید مربوط به TLS را بازیابی می‌کرد، می‌توانست برای هر دامنه گواهی جعلی اما ظاهراً معتبر بسازد. البته برای فریب کاربر، باید مسیر اتصال او را هم کنترل یا منحرف می‌کرد؛ مثلاً از طریق شبکه وای‌فای آلوده، روتر دستکاریشده یا کنترل زیرساخت شبکه. در این شرایط، دستگاه‌هایی که هنوز به گواهی‌های eMudhra اعتماد داشتند ممکن بود سایت جعلی را معتبر تشخیص دهند و مهاجم بتواند اطلاعات ردوبدل‌شده را بخواند یا تغییر دهد. دو کلید دیگر نیز برای امضای کد بودند و می‌توانستند نرم‌افزارهای جعلی را معتبر و قابل‌اعتماد جلوه دهند.
تا این لحظه شواهدی مبنی بر سوءاستفاده، شنود ترافیک کاربران یا جعل وب‌سایت‌ها ثبت نشده است. گوگل هم با بررسی گزارش‌های سامانه‌ی عمومی شفافیت گواهی‌ها (CT) تأیید کرد که گواهی مخربی با این کلیدهای آسیب‌دیده پیدا نشده است. eMudhra هم می‌گوید فقط یکی از هشت مرجع میانی وارد محیط عملیاتی شده بود و حتی همان مورد هیچ گواهی‌ای برای سایت یا مشتری نهایی صادر نکرده بود.
▪️ واکنش سریع مرورگرها برای مهار بحران
پس از آنکه یک پژوهشگر امنیتی در ۲۵ مهر ۱۴۰۵ موضوع را گزارش کرد، گوگل و موزیلا ظرف چند ساعت، شش گواهی میانی مربوط به TLS را در کروم و فایرفاکس مسدود کردند. این حفاظت در تنظیمات معمول، بدون نصب نسخه تازه یا راه‌اندازی مجدد مرورگر توزیع شد. گوگل نیز دو روز بعد حفاظت مشابهی را از طریق خدمات گوگل پلی برای دستگاه‌های اندرویدی پشتیبانی‌شده فرستاد.
ای‌مودرا سرگرم صدور گواهی جایگزین برای مشتریان است تا سایت‌های آنها با خطای امنیتی روبه‌رو نشوند، اما کارشناسان هشدار می‌دهند که پاکسازی کامل این کلیدها در سراسر اینترنت کاری بسیار زمان‌بر خواهد بود. بسیاری از ابزارها، سرورها و دستگاه‌های هوشمند (خارج از مرورگرهای اصلی) فهرست گواهی‌های باطل‌شده را به‌طور خودکار بررسی نمی‌کنند و تا زمانی که نرم‌افزار آنها به‌روزرسانی نشود، همچنان به این گواهی‌های ناامن اعتماد خواهند کرد.
▪️ کاربران در این شرایط چه اقداماتی باید انجام دهند؟
برای اینکه مطمئن شوید مرورگرتان اصلاحات امنیتی را دریافت و گواهی‌های معیوب را مسدود کرده، می‌توانید نشانی زیر را (که یکی از مهندسان موزیلا برای اطلاع‌رسانی درباره این رخداد راه‌اندازی کرده) باز کنید:https://emudhra.we-have-a-problem.com
پس از بارگذاری صفحه همه سطرهای جدول باید «تیک سبز» داشته باشند. تأیید همه موارد به این معناست که مرورگر شما به احتمال زیاد در برابر این نقص محافظت شده است.
این آزمایش فقط وضعیت همان مرورگری را نشان می‌دهد که صفحه را با آن باز کرده‌اید؛ سبزشدن همه موارد ثابت نمی‌کند سایر برنامه‌ها، ابزارها یا سرویس‌های دستگاه نیز در برابر این مشکل محافظت شده‌اند.
برای ایمن ماندن در برابر چنین مشکلاتی مرورگر و سیستم‌عامل را به‌روز نگه دارید. هرچند مرورگرها مسدودسازی را خودکار انجام دادند، اما سایر برنامه‌ها و سیستم‌عامل دستگاه برای حذف گواهی‌های ناامن به دریافت به‌روزرسانی‌های امنیتی نیاز دارند.
همچنین اگر هنگام ورود به یک سایت با خطای مرورگر مبنی بر نامعتبر بودن یا باطل شدن گواهی مواجه شدید، پنجره را ببندید و تا زمان رفع مشکل از وارد کردن رمز عبور یا اطلاعات حساس دیگر در آن صفحه خودداری کنید.
⛓ لینک مشاهده‌ی این مطلب در سایت نوشدارو
✍️ یونس مرادی
#خبر_و_تحلیل
#مبانی_امنیت
برای اطلاع از جدیدترین رویدادهای دنیای امنیت سایبری، نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 حکم تاریخی ۲۵ میلیارد دلاری علیه متا؛ تاوانِ سنگین وعده‌های غیرواقعی درباره امنیت اطلاعات کاربران
یک دادگاه ایالتی در نیومکزیکو، شرکت متا، مالک فیسبوک و اینستاگرام، را به پرداخت ۲۵ میلیارد دلار جریمه محکوم کرده است. این حکم که بزرگ‌ترین جریمه صادرشده علیه متا محسوب می‌شود، به اظهارات گمراه‌کننده فیسبوک درباره حریم خصوصی، کنترل کاربران بر داده‌ها، دسترسی شرکت‌های ثالث و همچنین بعضی ادعاهای آن درباره مقابله با اطلاعات نادرست و نفرت‌پراکنی مربوط است.
این نخستین پرونده میلیاردی متا نیست. در نوشدارو هم پیش‌تر درباره توافق ۱۷ میلیارد دلاری متا بر سر طراحی اعتیادآور اینستاگرام و آسیب به کودکان پرداخته بودیم. تفاوت پرونده تازه این است که موضوع اصلی آن سلامت روان کودکان نیست، بلکه وعده‌هایی است که فیسبوک درباره حفاظت از اطلاعات و امکان کنترل داده‌ها به کاربران داده بود.
ریشه این پرونده به رسوایی «کمبریج آنالیتیکا» بازمی‌گردد؛ شرکت بریتانیایی تحلیل داده‌ای که برای کارزارهای سیاسی، از جمله کارزار انتخاباتی دونالد ترامپ در سال ۲۰۱۶، فعالیت می‌کرد. اطلاعات حداکثر ۸۷ میلیون کاربر فیسبوک عمدتاً در سال ۲۰۱۴ از طریق یک برنامه شخصیت‌شناسی جمع‌آوری شد و برای ساخت پروفایل رأی‌دهندگان و تبلیغات سیاسی هدفمند در اختیار این شرکت قرار گرفت. بسیاری از افراد متأثر اصلاً از آن برنامه استفاده نکرده و از جمع‌آوری اطلاعاتشان خبر نداشتند. افشای عمومی این ماجرا در سال ۲۰۱۸، آن را به یکی از بزرگ‌ترین رسوایی‌های حریم خصوصی فیسبوک تبدیل کرد.
پس از آشکارشدن این ماجرا، فیسبوک بارها به کاربران اطمینان داد که بر اطلاعات خود کنترل دارند و شرکت با سوءاستفاده از داده‌ها مقابله می‌کند. همین وعده‌ها در دادگاه نیومکزیکو زیر سؤال رفت. در نهایت هیئت منصفه در ۳ مهر ۱۴۰۵ متا را مسئول بیش از ۴۳ میلیون مورد نقض عمدی قانون حمایت از مصرف‌کنندگان شناخت و قاضی نیز نتیجه گرفت که فیسبوک آگاهانه کاربران را گمراه کرده است. حداکثر جریمه قانونی این تخلفات حدود ۲۱۹ میلیارد دلار محاسبه شد، اما دادگاه مبلغ تعیین‌شده در حکم را به ۲۵ میلیارد دلار کاهش داد.
البته عدد به معنی وقوع ۴۳ میلیون نشت اطلاعات جداگانه نیست؛ دادگاه تعداد مخاطبان احتمالی ۲۶ اظهارنظر گمراه‌کننده فیسبوک را در شمار تخلفات محاسبه کرده است.
پرونده نیومکزیکو بخشی از فشار حقوقی گسترده‌تری است که متا در سال‌های اخیر با آن روبه‌رو شده است؛ از حضور مارک زاکربرگ در دادگاه به‌دلیل طراحی اعتیادآور اینستاگرام تا شکایت دادستان تگزاس درباره ادعاهای این شرکت پیرامون رمزنگاری واتس‌اپ. البته این پرونده‌ها موضوعات و وضعیت حقوقی متفاوتی دارند و مطرح‌شدن یک ادعا در شکایت به معنی اثبات آن نیست.
متا این پرونده را نوعی «مالیات بر آزادی بیان» توصیف کرده و گفته است در دادگاه تجدیدنظر با آن مقابله خواهد کرد. در نتیجه ممکن است مبلغ جریمه کاهش پیدا کند یا اجرای آن چند سال طول بکشد. همچنین این مبلغ غرامتی نیست که مستقیماً میان کاربران فیسبوک تقسیم شود؛ جریمه به ایالت نیومکزیکو پرداخت خواهد شد. براساس حکم، تا زمان پرداخت کامل هم سالانه ۱۵ درصد بهره به آن تعلق می‌گیرد.
فارغ از نتیجه تجدیدنظر، این پرونده یادآوری می‌کند که وعده شرکت‌های فناوری به‌تنهایی برای حفاظت از اطلاعات کاربران کافی نیست. در دنیای امروز، تنها کسی که می‌تواند از حریم خصوصی شما محافظت کند، خود شما هستید که تصمیم می‌گیرید چه اطلاعاتی را در این شبکه‌ها به اشتراک بگذارید.
✍️ دانیال طبایی
#خبر_و_تحلیل
#حریم_خصوصی
برای محافظت از حریم خصوصی خود در جهان دیجیتال، نوشدارو را در تلگرام دنبال کنید:
💡 @Nooshdaroo_web
💡 راهنمای «گوگل فایند هاب» برای پیدا کردن گوشی اندرویدی گمشده و پاکسازی اطلاعات از راه دور
گوگل «فایند هاب» (Find Hub) یک ابزار ردیابی قدرتمند برای پیدا کردن گوشی گمشده است که به‌صورت پیش‌فرض در دل تنظیمات دستگاه قرار دارد. در صورت گم شدن گوشی و تحت شرایطی خاص، این ابزار موقعیت دقیق دستگاه را روی نقشه نشان می‌دهد و پاکسازی اطلاعات را از راه دور ممکن می‌کند.
در ادامه مراحل فعال‌سازی و ترفندهای استفاده از گوگل فایند هاب را مرور می‌کنیم تا امنیت داده‌های موبایل خود را در صورت سرقت یا گم شدن تضمین کنید.
▪️فعال‌سازی «فایند هاب» در اندروید
سرویس فایند هاب در قالب اپلیکیشن اندرویدی و یا تحت وب در دسترس است و موقعیت مکانی تمام دستگاه‌های متصل به حساب گوگل را (از جمله گوشی‌ها، تبلت‌ها و ساعت‌های هوشمند) روی نقشه نشان می‌دهد.
قابلیت ردیابی فایند هاب در اندروید به صورت پیش‌فرض فعال است و تا زمانی که مکان‌یابی گوشی روشن باشد، بدون نیاز به اقدام پیچیده‌ای کار می‌کند. برای اطمینان بیشتر این مراحل را بررسی کنید:
۱. در تنظیمات گوشی وارد حساب گوگل شوید؛
۲. تب «همه‌ی خدمات» (All services) را باز کنید و به ۳. بخش «ایمنی شخصی و دستگاه» (Personal & device safety) بروید؛
۴. روی گزینه‌ی «فایند هاب» (Find Hub) بزنید؛
۵. اگر تیک «اجازه به مکان‌یابی دستگاه‌ها» (Allow devices to be located) خاموش بود، آن را فعال کنید.
▪️ اقدامات پس از سرقت: پیدا کردن گوشی گمشده
اگر گوشی اندروید خود را گم کردید، در اولین فرصت مراحل پایین را دنبال کنید.
۱. در مرورگر یک دستگاه امن آدرس google.com/android/find را باز کنید؛
۲. وارد حساب کاربری گوگل خود شوید (همان حسابی که روی گوشی گمشده فعال است)؛
۳. از لیست باز شده دستگاهی را انتخاب کنید که قصد ردیابی‌اش را دارید؛
۴. سیستم تلاش می‌کند دستگاه شما را پیدا کند. در صورت موفقیت، موقعیت آن را روی نقشه مشاهده خواهید کرد.
در این مرحله، سه ابزار حیاتی در اختیار شماست:
• پخش صدا (Play sound): حتی اگر گوشی روی حالت بی‌صدا یا «مزاحم نشوید» (Do Not Disturb) باشد، دستگاه به مدت ۵ دقیقه با حداکثر میزان صدا زنگ می‌خورد.
• ایمن‌سازی دستگاه (Secure device): اگر گوشی گم شده یا دزدیده شده، با این گزینه می‌توانید آن را از راه دور قفل کنید. این کار باعث خروج شما از حساب گوگل روی آن دستگاه می‌شود، اما فرایند ردیابی را قطع نمی‌کند و دستگاه همچنان در فایند هاب قابل پیگیری است. حتی می‌توانید یک پیام و شماره تماس روی صفحه قفل بگذارید تا یابنده با شما تماس بگیرد.
• بازگشت به تنظیمات کارخانه (Factory reset device): اگر هیچ امیدی به یافتن گوشی ندارید، این گزینه را انتخاب کنید. پس از ریست، اطلاعات شما برای همیشه پاک می‌شود، دستگاه از فایند هاب حذف شده و دیگر قابل ردیابی نیست. اگر گوشی به اینترنت متصل نباشد، عملیات پاکسازی به محض اولین اتصال انجام می‌شود. البته طبق اعلام گوگل، اطلاعات کارت حافظه‌ی SD ممکن است پاک نشود.
هر بار که از فایند هاب برای ردیابی استفاده می‌کنید، یک پیام هشدار روی دستگاه مقصد فرستاده می‌شود. اگر این اعلان را زمانی که گوشی در دست‌تان است دریافت کردید، ممکن است فردی در حال تلاش برای دسترسی غیرمجاز به حساب شما باشد. در این صورت رمز عبور گوگل خود را تغییر دهید و تایید دومرحله‌ای را فعال کنید.
▪️ قابلیت‌های جانبی فایند هاب
فایند هاب صرفاً ابزاری برای پیدا کردن گوشی نیست. این برنامه ویژگی‌های جانبی کارآمدی دارد که امنیت و ارتباطات روزمره را بهبود می‌بخشد.
▪️ اشتراک‌گذاری موقعیت مکانی با دیگران
می‌توانید موقعیت مکانی خود را به طور زنده با اعضای خانواده یا دوستان مورد اعتمادتان به اشتراک بگذارید:
۱. وارد برنامه فایند هاب شوید و تب «افراد» (People) را در پایین صفحه انتخاب کنید؛
۲. روی علامت «+» ضربه بزنید؛
۳. مدت‌زمان مورد نظر برای اشتراک‌گذاری را تعیین کرده و مخاطب را انتخاب کنید؛
۴. گزینه «اشتراک‌گذاری» (Share) را لمس کنید.
برای لغو دسترسی کافیست روی نام فرد ضربه زده و گزینه «توقف اشتراک‌گذاری» (Stop sharing) را انتخاب کنید.
▪️ پیدا کردن اشیاء مختلف
همانطور که در نوشدارو خبر دادیم، گوگل قابلیت ثبت مکان اشیاء با هوش مصنوعی جمنای را به نسخه‌ی جدید فایند هاب، اضافه کرده است. کاربر می‌تواند با فرمان صوتی از جمنای بخواهد محل قرار دادن وسایل شخصی (مانند پاسپورت یا کیف) را ثبت کند و بعداً آن را در تب Remembered ببیند.
در بررسی من، ثبت مکان از طریق فرمان صوتی در ایران هنوز به‌درستی کار نمی‌کند. با این حال از طریق گزینه‌ی «ورود دستی» (Manual entry) می‌توانید نام وسیله، موقعیت دقیق آن در خانه، تصویر و یادداشت‌های دلخواه را در اپلیکیشن ذخیره کنید.
▪️در آخر؛ چک‌لیست امنیت در شرایط اضطراری
فناوری‌های ردیابی تلفن همراه هر سال پیشرفته‌تر می‌شوند، اما کارایی آنها وابسته به اقداماتی است که «قبل از حادثه» انجام می‌دهید. برای محافظت از اطلاعات و دارایی خود، همین امروز سه کار انجام دهید:
• بررسی فعال‌سازی: مطمئن شوید که در تنظیمات گوشی قابلیت ردیابی Find Hub به همراه گزینه‌های موقعیت مکانی آفلاین و ارسال آخرین لوکیشن فعال باشند.
• حفظ اطلاعات حساب: ایمیل و رمز عبور حساب گوگل را به همراه کدهای پشتیبان در جایی امن خارج از گوشی نگهداری کنید تا پشت سد تأیید هویت دومرحله‌ای نمانید.
• سرعت عمل در زمان بحران: در دقایق اولیه پس از مفقودی، اولویت را قفل کردن دستگاه بگذارید تا دسترسی سارق به سیستم‌عامل مسدود شود.
و در نهایت فراموش نکنید که همیشه سیستم‌عامل و اپلیکیشن‌های خود را به‌روز نگه دارید.
💡 تشخیص کلاهبرداری در مرورگر کروم قوی‌تر شد؛ سه قابلیت تازه برای بهبود حریم شخصی
گوگل سه قابلیت امنیتی تازه را به مرورگر کروم اضافه کرده تا کاربران را در برابر تله‌های فیشینگ و کلاهبرداری آنلاین ایمن‌تر نگه دارد.
این تغییرات تنها برای کاربرانی فعال است که حالت «حفاظت پیشرفته» را در تنظیمات مرورگر به شکل دستی روشن کرده باشند و کاربران حالت استاندارد کروم را در بر نمی‌گیرد. جلوتر نحوه‌ی فعال‌سازی این قابلیت را می‌گوییم.
▪️تفکیک هشدارهای امنیتی به دو سطح
نخستین تغییر، تفکیک هشدارهای امنیتی سایت‌ها در دسکتاپ و موبایل به دو سطح «مشکوک» و «خطرناک» است. اگر سایتی به سرقت اطلاعات یا نصب بدافزار شناخته شده باشد، کروم هشداری تمام‌صفحه و قرمز نشان می‌دهد و باید بلافاصله از آن خارج شوید.
اما اگر سایتی تنها الگوهای فریبکارانه داشته باشد و خطر آن قطعی نباشد، پنجره‌ای کوچک‌تر باز می‌شود و صفحه اصلی در پس‌زمینه تیره می‌ماند. در این حالت، اگر از امنیت سایت کاملاً مطمئن بودید، می‌توانید گزینه Mark as Safe را انتخاب کنید و وارد شوید.
▪️ مقابله با کلاهبرداری کلیک‌فیکس
دومین تغییر، انتقال سیستم تشخیص کلاهبرداری جمنای (Gemini) از روی دستگاه کاربر به سرورهای ابری خود گوگل است. این کار به کروم امکان می‌دهد طیف وسیع‌تری از کلاهبرداری‌ها، مانند هشدارهای جعلی آنتی‌ویروس یا پشتیبانی فنی تقلبی را شناسایی کند.
در قابلیت سوم نیز کروم با ترفندهایی مانند «کلیک‌فیکس» (ClickFix) مقابله می‌کند.
کلیک‌فیکس روشی از مهندسی اجتماعی است که با نمایش پیام خطای ساختگی، از کاربر می‌خواهد یک کد مخرب را کپی و به شکل دستی در خط فرمان سیستم‌عامل (مانند Run یا PowerShell) اجرا کند. اکنون اگر کروم تشخیص دهد دستوری مشکوک را کپی کرده‌اید، محتوای کلیپ‌بورد را به سرورهای امن می‌فرستد تا پیش از اجرا، به شما هشدار دهد.
▪️ مرز باریک میان امنیت و حریم خصوصی
ارسال متن صفحات و محتوای کلیپ‌بورد به سرورهای خارجی نگران‌کننده است؛ اما گوگل می‌گوید متن صفحه تنها در صورت وجود نشانه‌های قوی کلاهبرداری ارسال و به شکل موقت پردازش می‌شود.
این اطلاعات ذخیره نخواهد شد و برای آموزش هوش مصنوعی به کار نمی‌رود. همچنین اطلاعات هویتی شخصی پیش از ارسال محتوای کلیپ‌بورد حذف می‌شوند.
برای فعال‌سازی این قابلیت‌ها در کروم اندروید:
۱. ابتدا از داخل مرورگر وارد «تنظیمات» (Settings) شوید.
۲. به بخش «حریم خصوصی و امنیت» (Privacy and security) بروید؛
۳. گزینه «مرور امن» (Safe Browsing) را انتخاب کنید؛
۴. حفاظت پیشرفته (Enhanced Protection) را فعال کنید.
در کروم ویندوز:
۱. وارد Settings (تنظیمات) شوید؛
۲. به بخش Privacy and security (حریم خصوصی و امنیت) بروید؛
۳. گزینه Security (امنیت) را انتخاب کنید.
۴. در بخش Safe Browsing (مرور امن)، گزینه Enhanced Protection (حفاظت پیشرفته) را انتخاب کنید.
اگر با داده‌های حساس کار می‌کنید و به هیچ عنوان نمی‌خواهید محتوای کلیپ‌بورد یا صفحات مشکوک به سرورهای گوگل ارسال شود، روی Standard Protection بمانید.
✍️ یونس مرادی
#ابزارها_و_افزونه_ها
#امنیت_در_تلفن_هوشمند
برای یادگیری ترفندهای افزایش امنیت در گوشی هوشمند، نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 چت جی‌پی‌تی حالا اجازه می‌دهد گفتگوها را قفل و از چشم دیگران پنهان کنید
چت جی‌پی‌تی قابلیت تازه‌ای به نام Locked Chats اضافه کرده که اجازه می‌دهد گفتگوهای حساس‌تر خود را پشت یک رمز چهار رقمی پنهان کنید؛ روی موبایل هم می‌توان از سنسور اثر انگشت، تشخیص چهره یا قفل خود دستگاه استفاده کرد.
کاربرد اصلی این قابلیت، پنهان کردن گفتگوها از چشم افرادی است که به دستگاه یا صفحه شما دسترسی دارند، نه افزایش حریم خصوصی در برابر خود OpenAI.
برای قفل کردن هر گفتگو، کافی است منوی سه‌نقطه کنار آن را باز کنید و دکمه Lock Chat را بزنید. وقتی برای اولین بار یک گفتگو را قفل می‌کنید، به تنظیمات هدایت می‌شوید و لازم است یک PIN چهار رقمی برای حساب خود تعیین کنید.
بعد از قفل کردن هر گفتگو، چت مورد نظر از تاریخچه، چت‌های سنجاق‌شده و جستجو پنهان می‌شود و از مسیر Projects > Locked Chats در دسترس خواهد بود. البته چت‌های موقت، آرشیوشده و گروهی را نمی‌توان قفل کرد.
دقت کنید که اگر بعداً PIN را فراموش و آن را حذف کنید، همه گفتگوهای قفل‌شده برای همیشه پاک می‌شوند و پشتیبانی OpenAI هم نمی‌تواند آنها را برگرداند.
در نهایت این قابلیت هم برای حساب‌های پولی و هم رایگان در نظر گرفته شده، اما به تدریج فعال می‌شود. بنابراین اگر گزینه Lock Chat را مشاهده نکردید، لازم است کمی بیشتر منتظر بمانید.
✍️ شایان ضیایی
#خبر_و_تحلیل
برای دریافت جدیدترین اخبار دنیای هوش مصنوعی، نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 آیا انسان‌ها گاو‌های آینده‌اند؟!
یووال نوح هراری، استاد، تاریخ‌دان و نویسنده کتاب «انسان خردمند» اعتقاد دارد که بله! و دلیلش هوش مصنوعی است...
💡 @NooshDaroo_web
💡 مدیران «تیک‌تاک» از خطرات این پلتفرم برای کودکان آگاه بودند، اما واکنش کافی نشان ندادند
براساس اسناد رسمی دادگاه که به دست خبرگزاری‌ها رسیده، برخی کارکنان «تیک‌تاک» بارها به مدیران خود راجع به خطرات این پلتفرم برای کودکان هشدار داده بودند؛ از امکان دور زدن محدودیت‌های سنی گرفته تا دسترسی نوجوانان به محتوای جنسی پولی در بخش Live. اما مدیران شرکت با اینکه از این مسائل باخبر بودند، واکنش سریع یا کافی نشان نداده‌اند.
یکی از جدی‌ترین هشدارها مربوط به قابلیت پخش زنده بود. به گفته یکی از مدیران سابق بخش ایمنی تیک‌تاک، بعضی نوجوانان در ازای «هدیه»هایی که به پول واقعی تبدیل می‌شوند، محتوای جنسی تولید می‌کردند. اسناد نشان می‌دهند تیک‌تاک پیش از رسانه‌ای شدن این موضوع در سال ۲۰۲۲ هم از نگرانی‌های مربوط به سوءاستفاده جنسی باخبر بوده است.
نگرانی بعدی به خودِ الگوریتم مربوط می‌شود. یکی دیگر از مدیران سابق تیک‌تاک گفته که از سال ۲۰۲۰ نسبت به «تونل‌های الگوریتمی» هشدار داده؛ یعنی موقعیتی که پیشنهادهای پی‌درپی، کاربر را برای مدتی طولانی در مواجهه با یک موضوع خاص نگه می‌دارند.
در یکی از گزارش‌های داخلی تیک‌تاک گفته شده که این الگو، نوعی «اثر سرایتی» دارد؛ برای مثال دیدن مداوم محتوای مرتبط به خودکشی می‌تواند روی کاربران اثر بگذارد و افکار و رفتارهای مشابه را در آنها تقویت کند.
این شهادت‌ها تنها بخشی از صدها شکایتی‌اند که مدعی‌اند تیک‌تاک، متا، اسنپ و گوگل، از خطرات محصولات‌شان برای کودکان اطلاع داشته‌اند. البته دادگاه هنوز به جمع‌بندی نرسیده و این شهادت‌ها تمامی ادعاها را اثبات نمی‌کنند.
اما اگر اسناد صحیح باشند، مساله فقط خطرات یک پلتفرم برای کودکان نیست. مساله این است که گاهی شرکت‌های بزرگ به‌خوبی می‌دانند که رویه‌ای آسیب‌زا در پیش گرفته‌اند و آگاهانه در همان مسیر باقی می‌مانند. وقتی خودِ طراحی پلتفرم می‌تواند کودک را به سمت محتوای نامناسب هل بدهد یا دور زدن محدودیت‌ها را آسان کند، ابزارهای کنترل والدین دردی را دوا نمی‌کنند.
به همین دلیل، مراقبت از کودک در فضای آنلاین همچنان وظیفه‌ی والدین است: مثلاً از طریق شناخت پلتفرم‌هایی که استفاده می‌کند، گفت‌وگو درباره محتوایی که می‌بیند و توجه به تغییرات رفتاری او. منطقی نیست که امنیت کودک را صرفاً به تنظیماتی بسپاریم که همان پلتفرم آسیب‌زا برایمان طراحی کرده است!
✍️ شایان ضیایی
#خبر_و_تحلیل
#راهنمای_والدین
برای محافظت از فرزندان خود در جهان دیجیتال، نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 افزونه سئوی «رنک مث» به بدافزار آلوده شد؛ چه سایت‌هایی در خطرند؟
قبلاً در نوشدارو درباره روش‌های پیچیده نفوذ به سایت‌ها و شیوه‌های دور زدن لایه‌های امنیتی صحبت کرده‌ایم؛ اما این بار ماجرا از جایی آغاز شده که کاربران بیشترین اعتماد را به آن دارند: سرورهای رسمی یک شرکت نام‌آشنا.
اگر وب‌سایت وردپرسی دارید، با افزونه سئوی «رنک مث» آشنا هستید. طبق بیانیه رسمی این مجموعه، نسخه‌های پولی این افزونه (Rank Math PRO) که در بازه‌ای ۱۱ ساعته بین ۲۳ و ۲۴ مهر ماه (۱۵ و ۱۶ اکتبر) دانلود شده‌اند، به بدافزار آلوده بوده‌اند.
این رخداد امنیتی با شدت خطر ۹٫۸ از ۱۰ ثبت شده است. شرکت امنیتی «پچ‌استک» حمله را از نوع «درِ پشتی» طبقه‌بندی کرده و شرکت «وردفنس» هم هشدار داده که بدافزار می‌تواند با هر بازدید کاربران از سایت، در پشتی پنهان خود را دوباره روی سرور بازسازی کند.
مهاجمان از این طریق می‌توانند فایل‌های مخرب دیگری را در پوشه افزونه‌ها و قالب‌ها قرار دهند یا حساب‌های کاربری جعلی با دسترسی مدیر بسازند.
اگر سایت وردپرسی دارید، حتماً جزئیاتی را که در ادامه آورده‌ایم، بخوانید:
▪️ چه کسانی در معرض خطرند؟
خطر تنها متوجه سایت‌هایی است که نسخه پولی را از ساعت ۲۳:۳۲ شامگاه ۲۳ مهر تا ۱۰:۴۲ صبح ۲۴ مهر دانلود و بعد نصب یا فعال کرده‌اند. نسخه رایگان موجود در مخزن وردپرس با بیش از ۴ میلیون نصب فعال، کاملاً امن بوده و در این رخداد آسیبی ندیده است.
همچنین شماره نسخه ۳٫۰٫۱۲۳ از روز ۱۵ مهر در دسترس بوده؛ بنابراین اگر این نسخه را قبل از ساعت ۲۳ مهر دریافت کرده‌اید، سایت شما آلوده نیست. تاکنون مشخص نشده این فایل‌های مخرب چگونه به زنجیره توزیع نفوذ کرده‌اند یا چه تعداد سایت قربانی شده‌اند.
رنک مث نسخه سالم ۳٫۰٫۱۲۴ را منتشر کرده اما به‌روزرسانی صرف به ورژن جدید مشکل را حل نمی‌کند؛ چون فایل‌ها، دسترسی‌ها و وظایف زمان‌بندی‌شده‌ی مخرب در نقاط دیگر سرور ریشه دوانده‌اند. اگر احتمال آلودگی می‌دهید، باید فرض را بر این بگذارید که تمام رمزها، اطلاعات دیتابیس و کلیدهای API فاش شده‌اند.
▪️ راهنمای پاکسازی سایت
اگر نسخه مشکوک را تنها دانلود کرده‌اید اما نصب یا فعال نکرده‌اید، جای نگرانی نیست. اگر افزونه نصب شده اما فعال نشده، پوشه افزونه را پاک کنید، نسخه ۳٫۰٫۱۲۴ را از پنل کاربری رنک مث نصب کنید و یک اسکن امنیتی انجام دهید. اما اگر افزونه در بازه مذکور روی سایت شما فعال شده، مراحل زیر را با دقت بالا اجرا کنید:
۱. بازیابی از نسخه پشتیبان (بهترین راهکار)
اگر از قبل از ساعت ۲۰:۰۲ روز ۱۵ اکتبر (UTC) یک بکاپ کامل و سالم از فایل‌ها و پایگاه داده در اختیار دارید، سایت را به‌طور کامل به آن تاریخ بازگردانید.
۲. توقف بازسازی بدافزار (در صورت عدم دسترسی به بکاپ سالم)
اگر نسخه پشتیبان ندارید، پیش از هر تغییری سه اقدام زیر را به ترتیب انجام دهید:
• پوشه rank-math-pro را با ابزار مدیریت فایل هاست یا ارتباط FTP به‌طور کامل حذف کنید (غیرفعال کردن از پیشخوان وردپرس کافی نیست).
• در پایگاه داده و جدول wp_options، ردیف‌هایی با نامهای _uf6qdn2hmm، t8krdk990phb و _np5pvf754c را پیدا و حذف کنید.
• در صورت امکان از طریق فایروال سرور یا تنظیمات هاست، هرگونه ارتباط خروجی به دامنه rank1cdn[.]com را مسدود کنید.
۳. پاکسازی عمیق ردپای نفوذ در سرور
• حساب‌های کاربری مدیر با نام کاربری دارای پیشوند _wpsupport یا آدرس‌های ایمیل با پسوند wp-mail[.]net@ را حذف کنید.
• فایل ناشناخته و مخرب wp-includes/class-wp-cache-util.php را پاک کنید.
• پوشه تم‌ها، دایرکتوری wp-content/mu-plugins و فایل htaccess. را برای کدهای مشکوک (نظیر اجرای فایل‌های .cache با مفسر PHP) بررسی کنید و کارهای زمان‌بندی‌شده (Crontab) سرور با برچسب #ms6v46 را حذف نمایید. به هشدار وردفنس توجه داشته باشید: نبود این نشانه‌ها لزوماً نشانه پاک بودن سایت نیست.
۴. تغییر تمام کلیدها و دسترسی‌ها
حتی پس از بازیابی بکاپ، باید تمام اطلاعات حساس را بازنشانی کنید: رمزهای عبور کاربران وردپرس، نام کاربری و رمز پایگاه داده در wp-config.php، کلیدهای امنیتی (Salts)، کلیدهای API سامانه‌های پیامکی و درگاه‌های پرداخت، رمزهای FTP، SSH و کنترل‌پنل هاست و فعال‌سازی مجدد تایید دو مرحله‌ای.
در پایان یک اسکن امنیتی کامل روی سایت اجرا کنید و نسخه سالم ۳٫۰٫۱۲۴ را تنها از طریق مراجعه و ورود مستقیم به سایت رسمی rankmath.com دریافت نمایید. رنک مث هشدار داده که هرگز لینک ورود یا دانلود را با ایمیل برای کاربران ارسال نمی‌کند.
💡 چرا نمره‌ی خوب در امتحان، مهارت درک مطلب نوجوانان را تضمین نمی‌کند؟
در بسیاری از مدارس، سنجش خواندن و درک مطلب تا حد زیادی به تست‌زدن گره خورده است. دانش‌آموزان وقت زیادی صرف یادگیری تکنیک‌هایی می‌کنند که بیشتر برای موفقیت در آزمون و نمره‌ی قبولی طراحی شده‌اند.
اما نگرانی اصلی، نمره‌ی کارنامه نیست؛ نوجوانان باید در زندگی واقعی هم منظور دیگران را درست بفهمند. کسی که «درک مطلب» ضعیفی دارد، ممکن است در آینده قرارداد کاری، فرم بانکی یا حتی پیامی مهم را کاملاً اشتباه بفهمد.
با وجود این کلاس‌ها و تمرین‌های تستی، بسیاری از دانش‌آموزان ما هنوز در فهم متن‌های طولانی و پیچیده مشکل اساسی دارند.
▪️ تله‌ی نمره‌ها: وقتی خواندن کلمات با فهمیدن متن اشتباه گرفته می‌شود
بالا رفتن نمره‌های خواندن همیشه به معنای پیشرفت هم‌اندازه در فهم متن‌های پیچیده نیست. نمونه‌ی روشن این فاصله، آمار آموزشی ایالت می‌سی‌سی‌پی آمریکاست.
می‌سی‌سی‌پی اخیراً نمونه‌ای مشهور در آموزش خواندن و درک مطلب شده است.
این ایالت در ۲۰۲۴ در «آزمون درک مطلب پایه‌ی چهارم» نهم آمریکا شد؛ در حالی که ۱۱ سال پیش‌تر، تقریباً آخر جدول بود.
اما آمار دانش‌آموزان بزرگ‌تر نشان می‌دهد این پیشرفت لزوماً ادامه نمی‌یابد. سال گذشته، ۵۹ درصد دانش‌آموزان پایه‌ی سوم این ایالت در خواندن «مسلط» بودند؛ اما در پایه‌ی هشتم فقط ۲۴ درصد. نرخ قبولی پایه‌ی هشتم نیز حدود ۵۰٫۷ درصد بود.
در ارزیابی تحصیلی، «مسلط بودن» (Proficient) با «قبول شدن» یکسان نیست. دانش‌آموز ممکن است به حداقل معیار قبولی برسد، اما هنوز درک عمیق و تسلط کامل بر مهارت‌های آن پایه را نداشته باشد.
این آمار البته مربوط به نظام آموزشی دیگری است، اما مسئله‌ای را نشان می‌دهد که به یک کشور محدود نیست: «خواندن کلمات و جمله‌ها» با «فهم و تحلیل متن‌های پیچیده» یکسان نیست.
دانش‌آموز ممکن است متنی را روان بخواند، اما در چند پاراگراف دشوار، ایده‌ی اصلی، رابطه‌ی جزئیات و منظور نویسنده را گم کند.
افزایش نمره‌ها در سنین پایین به‌تنهایی نشانه‌ی حل همه‌ی مشکلات آموزش خواندن نیست؛ بلکه نشان می‌دهد آموزش مهارت‌های پایه ضروری است، اما پایان مسیر نیست.
▪️ چرا نوجوانان از خواندن متن‌های طولانی فرار می‌کنند؟
معلمان مشکل را بی‌استعدادی نمی‌دانند. یکی از چالش‌های اصلی، کاهش توان تمرکز و ادامه‌ی خواندن است.
دانش‌آموزی که در آزمون چند متن را پشت سر هم می‌خواند، زود خسته می‌شود؛ با دیدن لغت جدید، خواندن را رها می‌کند و اگر موضوع برایش جذاب نباشد، تمرکزش را می‌بازد.
در زندگی واقعی هم متن حقوقی، گزارش یا پیامی طولانی، تلاش ذهنی مداوم می‌خواهد.
این توانایی مانند مهارتی فیزیکی، تمرین می‌خواهد. کسی که همیشه متن‌های کوتاه می‌خواند، آمادگی تمرکز روی متن طولانی را ندارد.
هوش مصنوعی مولد هم مسئله‌ی تازه‌ای ساخته است. دانش‌آموزی که می‌تواند توضیح مفهومی دشوار یا خلاصه‌ی متنی را از یک ابزار بخواهد، کمتر برای فهم متن می‌کوشد.
هوش مصنوعی مهارت خواندن را ضعیف نمی‌کند؛ اما اگر جای تلاش ذهنی را بگیرد، فرصتی برای تمرین تحلیل و درک مطلب نمی‌ماند.
▪️چه کاری از دست والدین و دانش‌آموزان برمی‌آید؟
تجربه‌ی مدارس نشان می‌دهد رسیدن از مهارت‌های پایه به درک عمیق متن، تغییر رویکرد در خانه و مدرسه را می‌طلبد. این اقدام‌ها به نوجوانان کمک می‌کند:
• از موضوعات مورد علاقه شروع کنید: لازم نیست نوجوانان هر روز کتابی کامل بخوانند. خواندن متن‌های طولانی درباره‌ی علایقشان مانند ورزش، فناوری، تاریخ یا موسیقی، شروعی عالی برای افزایش تحمل ذهنی است.
• خواندن را به آزمون تبدیل نکنید: فشار برای «بیشتر خواندن» بدون توجه به دشواری و علاقه، نتیجه‌ی معکوس دارد. هدف، خواندن منظم و لذت‌بخش است، نه تبدیل هر کتاب به تکلیف یا امتحان.
• مهارت حدس زدن را تمرین کنید: به نوجوانان بیاموزید با دیدن لغت جدید، فوراً متن را رها نکنند؛ اول معنای کلمه را از جمله‌ها و پاراگراف‌ها حدس بزنند و بعد در صورت نیاز، معنای دقیق را جست‌وجو کنند.
• تفاوت توانایی و تمایل را بشناسید: اگر نوجوان شما از کتاب خواندن لذت نمی‌برد، لزوماً در خواندن ناتوان نیست. از سوی دیگر، نمره‌ی خوب در آزمون مدرسه هم ثابت نمی‌کند او هر متن پیچیده‌ای را در زندگی واقعی به‌خوبی تحلیل می‌کند.
پیش از سرزنش نوجوان برای کتاب نخواندن، بهتر است ببینیم آیا واقعاً مهارت درک متن‌های طولانی را از دست داده یا سیستم آموزشی فرصت خواندن برای لذت و فهم را از او گرفته است.
⛓ لینک مطالعه‌ی نسخه‌ی اصلی در سایت نوشدارو
✍️ آزاده رمضانی
#راهنمای_والدین
برای محافظت از فرزندان خود در جهان دیجیتال، نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 کشف بدافزاری که ابتدا کاربر را «آزار روانی» می‌دهد و بعد اطلاعاتش را می‌دزدد!
اکثر بدافزارها کاملاً بی‌سر و صدا کار می‌کنند تا احتمال شناسایی را پایین بیاورند، اما محققان اخیراً بدافزاری به نام KGB RAT کشف کرده‌اند که برعکس، عمداً دنبال ترساندن قربانی با تکنیک‌های نامتعارف است.
پژوهشگران می‌گویند این بدافزار ویندوزی قابلیت‌های متعدد برای «آزار روانی» کاربر دارد: از پخش ناگهانی تصاویر و صداهای وحشتناک (یا به اصطلاح «جامپ‌اِسکِر») گرفته تا نمایش اجباری «صفحه آبی مرگ» ویندوز. سازندگانش هم این امکانات را «Fun Settings» یا «تنظیمات سرگرم‌کننده» معرفی کرده‌اند.
اما پشت این حملات روانی، یک بدافزار کامل با قابلیت کنترل از راه دور قرار دارد. KGB RAT می‌تواند به دسکتاپ، فایل‌ها، وب‌کم و میکروفون دسترسی پیدا کند، کلیدهای فشرده‌شده را ثبت کند و گذرواژه‌ها را بدزدد.
این بدافزار حتی آدرس کیف پول رمزارزی را که کاربر کپی کرده زیر نظر می‌گیرد و هنگام جای‌گذاری در سایت‌ها، آن را با آدرس متعلق به مهاجم جایگزین می‌کند.
خوب است بدانید KGB RAT به‌صورت «بدافزار به‌عنوان سرویس» فروخته می‌شود؛ یعنی مجرمان سایبری می‌توانند به‌جای ساخت بدافزار از صفر، اشتراک آن را بخرند.
قیمت‌ها از ماهانه ۱۵۰ دلار شروع می‌شود و نسخه‌های گران‌تر امکاناتی مثل مدیریت چند قربانی، شخصی‌سازی فایل‌های آلوده و حتی افزونه‌ای ۵۰۰ دلاری برای توزیع خودکار بدافزار در شبکه دارند.
در مجموع این بدافزار یک نکته مهم را نشان می‌دهد: مهاجم لزوماً همیشه سعی نمی‌کند پنهان بماند؛ گاهی برعکس، می‌خواهد آنقدر شما را مضطرب و حواس‌تان را پرت کند که نفهمید در پس‌زمینه چه اتفاقی می‌افتد!
✍️ شایان ضیایی
#خبر_و_تحلیل
برای خواندن اخبار امنیت سایبری، نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 معاون سازمان CIA: بیت‌کوین ناشناس نیست و ابزار جمع‌آوری اطلاعات ماست
اکثر کاربران شبکه بیت‌کوین را محیطی کاملاً امن و پنهان برای تبادلات مالی تصور می‌کنند؛ اما فرد شماره دو «سازمان اطلاعات مرکزی آمریکا» (سیا) با رد این باور می‌گوید بیت‌کوین ناشناس نیست و این سازمان از آن برای جمع‌آوری اطلاعات رقبا و دشمنان خود استفاده می‌کند.
▪️ هویت پنهان است، ردپا نه
«مایکل اِلیس» تاکید می‌کند که بیت‌کوین شبکه‌ای با «هویت‌های مستعار» (Pseudonymous) است، نه کاملاً ناشناس.
در این بلاکچین تراکنش‌ها مستقیماً با نام و نام خانوادگی افراد ثبت نمی‌شوند و هر فعالیت به یک آدرس دیجیتالی مرتبط است؛ رشته‌ای از حروف و اعداد که در نگاه اول هویت صاحب آن را نشان نمی‌دهد.
اما نهادهای اطلاعاتی با ابزارهای پیشرفته می‌توانند شکاف میان یک آدرس کیف‌پول و هویت واقعی صاحب آن را پر کنند.
برای مثال اگر فردی در یک صرافی احراز هویت شده باشد و از آن‌جا بیت‌کوین دریافت یا ارسال کند، امکان بررسی ارتباط میان آدرس دیجیتالی و هویت واقعی او وجود دارد.
به گفته معاون سیا، پر کردن این خلا اطلاعاتی به مقامات اجازه می‌دهد فعالیت‌های غیرقانونی دشمنان خود را دنبال کنند.
او از کارتل‌های مواد مخدر و سازمان‌های تروریستی به‌عنوان نمونه گروه‌هایی نام برد که استفاده‌ی آنها از رمزارزها می‌تواند ردیابی شود.
این سازمان دو رویکرد مشخص نسبت به ارزهای دیجیتال دارد:
• رویکرد دفاعی برای مختل کردن انتقال پول کارتل‌های مواد مخدر و گروه‌های تروریستی.
• رویکرد تهاجمی که در آن خود تراکنش‌های بلاکچین به‌عنوان منبع تغذیه اطلاعاتی و امنیتی مورد استفاده قرار می‌گیرند.
▪️ نقش شرکت‌های تحلیل بلاکچین
این دیدگاه در ساختار امنیتی آمریکا بی‌سابقه نیست. «مایکل مورل»، سرپرست پیشین سیا، در سال ۲۰۲۱ از شرکت‌های تحلیل بلاکچین مانند «چین‌الیسیس» (Chainalysis) به خاطر شناسایی الگوها و جریان وجوه تمجید کرده بود.
این ابزارها با بررسی الگوهای انتقال دارایی، آدرس‌های مرتبط را در یک خوشه قرار می‌دهند، مسیر جابه‌جایی دارایی‌ها را ترسیم کرده و ارتباط آنها را با افراد یا سازمان‌های شناخته‌شده بررسی می‌کنند.
به این ترتیب حجم بزرگی از تراکنش‌های شبه‌ناشناس به نقشه‌ای قابل‌فهم تبدیل می‌شوند.
✍️ یونس مرادی
#ارزهای_دیجیتال
#خبر_و_تحلیل
برای دسترسی به اخبار خواندنی درباره‌ی ارزهای دیجیتال، نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 هوش مصنوعی OpenAI کیف پول رمزارز دیگران را بی‌اجازه خالی کرد و سرقت را مخفی نگه داشت!
شرکت OpenAI در گزارشی فاش کرد یکی از مدل‌های پژوهشی این شرکت پس از اتمام موجودی در شبکه آزمایشی اتریوم، به سراغ کیف‌پول دیگری رفته و بدون مجوز، برای اتمام وظیفه خود از آن هزینه کرده است!
▪️ ماجرا چطور رقم خورد؟
این رویداد در جریان آموزش مدلی داخلی از خانواده GPT-5.6 Sol رخ داده بود، اما OpenAI سه ماه بعد و در روز ۳ مهر متوجه آن شد. مدل وظیفه داشت قراردادهای هوشمند را مستقر کند، اما کیف‌پولی برای پرداخت کارمزد نداشت.
پس از ناتوانی در دریافت رایگان توکن‌های آزمایشی، اسکریپتی نوشت که ۳۶۲ آدرس ساخته‌شده از روی عبارت‌های بازیابی عمومی را بررسی کرد و حسابی با موجودی کافی یافت.
عبارت بازیابی فهرستی از کلمات است که کلیدهای محرمانه کیف‌پول از روی آن ساخته می‌شود. هر کس این کلمات را داشته باشد، می‌تواند حساب‌ها را بازسازی کند و بدون نیاز به هک خودِ کیف‌پول، از موجودی آنها خرج کند.
▪️ استدلال اخلاقی مدل هوش مصنوعی
جالب اینجاست که مدل در استدلال‌های ثبت‌شده‌اش از خود پرسید: «آیا استفاده از کلید یا سرمایه عمومی از نظر اخلاقی درست است؟» اما در نهایت خودش را قانع کرد که به‌دلیل عمومی بودن کلمات بازیابی و آزمایشی بودن توکن‌ها، این کار اشکالی ندارد و دارایی ولت را «عملاً رهاشده» تلقی کرد.
پس از پایان کار هم گزارش داد که وظیفه انجام شده، اما منبع تامین پول را مخفی نگه داشت.
▪️تراکنش روی شبکه آزمایشی سپولیا
این تراکنش روی شبکه «سپولیا» (Sepolia) انجام شد؛ شبکه‌ای آزمایشی که توسعه‌دهندگان، برنامه‌های اتریوم را پیش از عرضه اصلی روی آن تست می‌کنند. توکن‌های این شبکه ارزش مالی واقعی ندارند و قابل معامله با اتر واقعی نیستند.
با این حال اهمیت ماجرا در این است که شرکت‌ها در حال ساخت ایجنت‌هایی هستند که کیف‌پول دارند و بدون نیاز به نظارت کامل کاربر، هزینه خدمات را پرداخت می‌کنند.
اگر این مدل روی شبکه اصلی اتریوم قرار داشت، این کار به معنای برداشت واقعی ارز دیجیتال از حساب شخصی دیگران بود. شرکت OpenAI اعلام کرده که پس از این حادثه، محدودیت‌های جدیدی روی دسترسی به اینترنت و نظارت بیشتر بر استدلال‌های مدل اعمال کرده است.
✍️ یونس مرادی
#ارزهای_دیجیتال
#خبر_و_تحلیل
برای اطلاع از تاثیرات هوش مصنوعی بر دنیای ارز دیجیتال، نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 ده صفحه به جای یک ساعت اسکرول؛ چرا باید کتاب را به زندگی برگردانیم و از کجا شروع کنیم؟
شب است؛ دراز کشیده‌اید که بخوابید، گوشی را برمی‌دارید تا «فقط یک نگاه» بیندازید. چهل دقیقه بعد، ده‌ها ویدئوی کوتاه دیده‌اید و تقریباً هیچ‌کدام را به یاد نمی‌آورید. حس‌تان نه آرامش است و نه سرگرمی؛ چیزی شبیه خستگی است. همین زمان می‌توانست صرف پانزده تا بیست صفحه مطالعه شود؛ یعنی در پایان ماه، تقریباً اندازه یک کتاب.
این مطلب درباره ترک اینستاگرام نیست. درباره این است که بخشی از زمانی را که به اسکرول می‌دهیم، پس بگیریم و در اختیار چیزی بگذاریم که مغزمان واقعاً به آن نیاز دارد.
اگر قرار است فقط یک چیز از این مطلب یادتان بماند: قبل از باز کردن اینستاگرام، کتاب را بردارید و ده صفحه بخوانید. فرقی هم بین کتاب کاغذی و کتاب دیجیتال وجود ندارد. ده صفحه در روز یعنی بیش از ۳۶۰۰ صفحه در سال؛ چیزی حدود ده تا دوازده کتاب معمولی.
▪️چه بر سر تمرکزمان آمده است؟
پژوهشگرانی که سال‌هاست رفتار کاربران را پای رایانه و گوشی اندازه می‌گیرند، اعداد نگران‌کننده‌ای گزارش می‌کنند. گلوریا مارک، استاد دانشگاه کالیفرنیا، در سال ۲۰۰۴ اندازه گرفت که کاربران به‌طور میانگین حدود دو دقیقه و نیم روی یک صفحه وب می‌مانند و بعد سراغ چیز دیگری می‌روند.
در اندازه‌گیری‌های سال‌های ۲۰۱۶ تا ۲۰۲۰، این عدد به ۴۷ ثانیه رسید؛ یعنی حدود یک‌سوم. نکته تلخ‌تر اینکه نیمی از این پرش‌های ذهنی را خودمان آغاز می‌کنیم، بی‌آن‌که پیام یا اعلانی آمده باشد؛ و برگشتن به کار اصلی بعد از هر وقفه می‌تواند تا نیم ساعت طول بکشد.
کتاب هم از همین روند آسیب دیده است. پژوهشی که سال ۲۰۲۵ در مجله iScience منتشر شد، داده‌های بیش از ۲۳۶ هزار آمریکایی را در بیست سال بررسی کرد: سهم کسانی که در یک روز معمولی برای لذت کتاب می‌خوانند از ۲۸ درصد در سال ۲۰۰۴ به ۱۶ درصد در سال ۲۰۲۳ رسیده است؛ افتی بیش از ۴۰ درصدی.
در ایران هم وضعیت بهتر نیست. بر اساس آخرین آمارگیری فرهنگی مرکز آمار ایران، سرانه مطالعه کتاب غیردرسی ایرانی‌ها حدود ۱۶ دقیقه در روز برآورد شده است.
برای مقایسه، گزارش‌ها نشان می‌دهند کاربر معمولی روزانه بیش از دو ساعت در شبکه‌های اجتماعی می‌گذراند و سهم اینستاگرام به‌تنهایی چیزی حدود نیم ساعت است.
▪️اینستاگرام با تمرکز ما چه می‌کند؟
اینستاگرام دشمن نیست؛ ابزاری است که با یک هدف مشخص طراحی شده: اینکه شما را تا جای ممکن در اَپ نگه دارد. برای این کار هم چند سازوکار ساده دارد:
• اسکرول بی‌پایان: هیچ نقطه توقفی وجود ندارد؛ هیچ «صفحه آخری» وجود ندارد که به شما بگوید تمام شد، بروید بخوابید!
• پاداش نامنظم: نمی‌دانید ویدئوی بعدی جالب است یا نه، و همین «شاید» است که انگشت را به حرکت درمی‌آورد.
• محتوای چندثانیه‌ای: مغز یاد می‌گیرد که هر چند ثانیه یک محرک تازه بخواهد و هر چیز کندتری را «کسل‌کننده» ببیند.
• اعلان‌ها: هر بار که گوشی می‌لرزد، رشته افکار پاره می‌شود؛ در ویدئوی نوتیفیکیشن‌ها با مغز ما چه می‌کنند مفصل‌تر در این مورد گفته‌ایم.
نتیجه این سازوکارها فقط «تلف شدن وقت» نیست. اسکرول شبانه خواب را به هم می‌ریزد، مقایسه دائمی با زندگی دیگران حال‌مان را بد می‌کند و مهم‌تر از همه، توانایی متمرکز ماندن طولانی روی یک کار سخت‌تر می‌شود.
علامت واضح اینکه اسکرول از کنترل‌تان خارج شده: گوشی را برمی‌دارید که کار مشخصی بکنید، چند دقیقه بعد در اینستاگرام هستید و یادتان نمی‌آید اصلاً برای چه گوشی را برداشته بودید.
▪️ کتاب چه مزیتی دارد که ریلز ندارد؟
تمرکز مانند عضله با تمرین قوی می‌شود. اسکرول، تمرین «پرش‌های چندثانیه‌ای» است و کتاب، تمرین «ماندن» است: یک موضوع، یک صدا، ده‌ها دقیقه پشت سر هم. هیچ فعالیت روزمره دیگری این‌قدر ارزان و در دسترس، همین مهارت را تمرین نمی‌دهد.
چند تفاوت ملموس:
• کتاب نقطه پایان دارد؛ یک فصل تمام می‌شود و شما با حس «تمام کردن» کنار می‌گذاریدش، نه با حس «کنده شدن».
• کتاب‌ها الگوریتم ندارند؛ کسی آن پشت ننشسته که تصمیم بگیرد صفحه‌ی بعدی چه باشد.
• کتاب قبل از خواب، برخلاف گوشی، معمولاً خواب‌آور است.
• کتاب حافظه می‌سازد؛ چیزی که یک هفته بعد یادتان هست و می‌توانید درباره‌اش حرف بزنید.
پژوهشی از دانشگاه ییل که بیش از ۳۶۰۰ سالمند را دوازده سال دنبال کرد، نشان داد کسانی که کتاب می‌خوانند به‌طور میانگین حدود دو سال بیشتر عمر کرده‌اند، حتی با در نظر گرفتن تحصیلات و درآمد و سلامت اولیه.
این نشان‌دهنده یک همبستگی است، نه اثبات علت؛ ولی هم‌جهت با چیزی است که از آثار مطالعه بر مغز می‌دانیم.
▪️ کاغذی یا دیجیتال؟ هر دو خوب است؛ فقط شروع کنید!
دو فراتحلیل بزرگ (مرور ده‌ها پژوهش با مجموع بیش از ۱۷۰ هزار شرکت‌کننده) نشان داده‌اند که برای متن‌های توضیحی و درسی، فهم مطلب روی کاغذ اندکی بهتر از صفحه‌نمایش است، به‌ویژه وقتی زمان محدود باشد.
اما برای متن‌های داستانی، تفاوت معناداری دیده نشده است. یعنی اگر رمان یا زندگی‌نامه یا داستان کوتاه می‌خوانید، لازم نیست منتظر نسخه کاغذی بمانید.
برای بسیاری از ما، کتاب الکترونیک نه جایگزین، که تنها راه واقع‌بینانه است:
• قیمت نسخه الکترونیک معمولاً کمتر از نسخه کاغذی است و با گرانی کاغذ، این فاصله بیشتر هم شده.
• کتاب (مثل اینستاگرام) همیشه همراه‌تان است.
• اندازه فونت و روشنایی دست خودتان است.
• معنی واژه ناآشنا با یک لمس مشخص می‌شود و لازم نیست از فضای مطالعه خارج شوید.
• کتاب صوتی هم راه دیگری برای مصرف کتاب است؛ مثلاً هنگام رانندگی، آشپزی یا پیاده‌روی.
پس جمله‌ی «کتاب کاغذی بهتر است» را به «هر نوع کتابی که واقعاً بخوانمش بهتر است!» تغییر بدهید. اگر دسترسی و حوصله‌ی کتاب کاغذی دارید، عالی. اگر نه، گوشی را به کتابخانه تبدیل کنید.
اگر متن سنگین یا درسی می‌خوانید و می‌خواهید بهتر در ذهن بماند، کاغذ یا کتاب‌خوان جوهر الکترونیک ممکن است انتخاب بهتری باشد. برای داستان و مطالعه شبانه، همان گوشی کافی است.
▪️ گوشی را از دستگاه اسکرول به دستگاه مطالعه تبدیل کنید
مشکل مطالعه روی گوشی، صفحه‌نمایش نیست؛ این است که کتاب و اینستاگرام در یک دستگاه کنار هم نشسته‌اند و یکی از این دو، صدای بلندتری تولید می‌کند. این تعادل را با چند تغییر کوچک می‌شود به هم زد:
• یک اپ کتاب‌خوان نصب کنید و آیکونش را جایی بگذارید که اینستاگرام قبلاً آن‌جا بود.
• اینستاگرام را از صفحه اول بردارید و داخل یک پوشه در صفحه آخر بگذارید.
• اعلان‌های اینستاگرام را کامل خاموش کنید.
• پیش از مطالعه، حالت «تمرکز» (Focus) یا «مزاحم نشوید» (Do Not Disturb) را روشن کنید.
• کتاب را از قبل دانلود کنید تا هنگام مطالعه به اینترنت نیاز نداشته باشید.
• شب‌ها حالت تاریک و روشنایی کم را فعال کنید و فونت را بزرگ‌تر کنید.
• اگر راهکار جدی‌تری می‌خواهید، صفحه را خاکستری کنید.
اگر زیاد مطالعه می‌کنید و بودجه‌اش را دارید، کتاب‌خوان جوهر الکترونیک (E-reader) بهترین انتخاب است: صفحه‌اش شبیه کاغذ است، چشم را خسته نمی‌کند، باتری‌اش هفته‌ها دوام می‌آورد و مهم‌تر از همه، اینستاگرام ندارد.
▪️ قانون ده صفحه
بیشتر تلاش‌ها برای «کتاب‌خوان شدن» به یک دلیل شکست می‌خورد: هدف بزرگ. هدفی مثل «امسال سی کتاب می‌خوانم» بعد از دو هفته رها می‌شود.
هدفی بگذارید که حتی در بدترین روزها هم انجام‌شدنی باشد: ده صفحه. نه بیشتر. ده صفحه حدود پانزده دقیقه است و در سال می‌شود حدود ۳۶۰۰ صفحه، معادل ده تا دوازده کتاب معمولی. اگر یک روز بیشتر خواندید، لذت ببرید؛ ولی هدف فردا باز همان ده صفحه باشد.
چند قاعده که این عادت را پایدار می‌کند:
• ده صفحه را به عادتی که همین حالا دارید گره بزنید: بعد از چای صبح، در مترو، یا دقیقاً همان لحظه‌ای که شب‌ها دست‌تان به‌سمت گوشی می‌رود.
• با چیزی شروع کنید که دوستش دارید، نه چیزی که «باید» بخوانید؛ رمان پلیسی و زندگی‌نامه و داستان کوتاه همان‌قدر مطالعه است که کتاب فلسفه.
• کتابی را که از آن لذت نمی‌برید، رها کنید؛ کتابِ بد بزرگ‌ترین قاتل عادت مطالعه است.
• کتاب را دم دست بگذارید: روی بالش، روی میز صبحانه یا اپ کتاب‌خوان روی صفحه اول گوشی.
• اگر یک روز نشد، هیچ اتفاقی نیفتاده؛ فردا ده صفحه، نه بیست صفحه جبرانی.
• پیشرفت را ببینید: اپ‌های کتاب‌خوان درصد پیشرفت را نشان می‌دهند و همین عدد کوچک انگیزه‌ای است برای مطالعه بیشتر.
➕ نوشدارو پلاس
اگر خرید کتاب برایتان سخت است: کتابخانه‌های عمومی عضویت ارزان دارند و بسیاری از آثار کلاسیک فارسی و ترجمه‌های قدیمی در اپ‌های کتاب‌خوان رایگان‌اند.
اگر فرزند دارید: بهترین کار برای کتاب‌خوان شدن او این است که شما را در حال خواندن ببیند، نه اینکه از او بخواهید گوشی را کنار بگذارد.
▪️ چک‌لیستی برای همین امشب
یک اپ کتاب‌خوان نصب کنید و کتابی را که دوست دارید با آن دانلود کنید.
• آیکون کتاب‌خوان را در صفحه اول گوشی و اینستاگرام را داخل پوشه‌ای در صفحه آخر قرار دهید.
• اعلان‌های اینستاگرام را خاموش کنید.
• حالت تمرکز گوشی را برای زمان مطالعه تنظیم کنید.
• یک زمان ثابت برای ده صفحه کنار بگذارید.
• کتاب کاغذی را جایی بگذارید که دائم جلوی چشم باشد، مثلاً روی بالش یا میز صبحانه.
▪️یک قانون ساده که به یاد می‌ماند
قبل از باز کردن اینستاگرام، ده صفحه کتاب.
اینستاگرام ممنوع نیست؛ فقط نوبتش بعد از کتاب است. بیشتر شب‌ها بعد از ده صفحه، دیگر حوصله اسکرول کردن نخواهید داشت و این دقیقاً همان چیزی است که دنبالش هستیم!
💡 کلاهبرداری با «آیفون دریایی»؛ وقتی محموله‌ی یک کشتی غرق‌شده آگهی می‌شود!
روز ۲۱ مهر بود که کشتی کانتینربر GFS Pride در تنگه هرمز غرق شد و کمی بعد شبکه‌های اجتماعی پر شد از عکس‌ها و ویدیوهایی که ادعا می‌کردند مردم در حال جمع‌کردن جعبه‌های آیفون از دریا هستند.
اما مشکل اینجاست که بررسی‌ها نشان داده بسیاری از تصاویر با هوش مصنوعی ساخته شده‌اند و فعلاً مدرک معتبری وجود ندارد که نشان دهد این کشتی اصلاً محموله آیفون داشته است!
با این حال، «آیفون دریایی» همین حالا راهش را به شبکه‌های اجتماعی و سامانه‌های ثبت آگهی باز کرده و بعضی فروشندگان با وعده‌ی آیفون ارزان‌قیمت، ابتدا بیعانه، هزینه ارسال یا پیش‌پرداخت می‌گیرند و بعد ناپدید می‌شوند.
اگر چنین گوشی‌هایی واقعاً وجود داشته باشد، باز هم خرید‌شان منطقی نیست. آب شور می‌تواند به‌مرور به برد، باتری، نمایشگر و قطعات داخلی آسیب بزند و خرابی‌ها لزوماً همان لحظه‌ی اول خودشان را نشان نمی‌دهند.
یک نکته مهم دیگر نیز درباره آیفون‌های گمشده یا سرقتی وجود دارد: اپل ساز و کارهایی مثل «قفل فعال‌سازی» (Activation Lock) دارد که می‌تواند دستگاه ثبت‌شده به‌عنوان «مفقودی» یا «سرقتی» را از فعال‌شدن برای مالک جدید باز دارد.
حتی با فرض اینکه چنین آیفون‌هایی وجود داشته باشند، الگوهای قبلی نشان می‌دهند که احتمال غیرفعال‌سازی آنها از سمت اپل بالا است.
خلاصه اینکه فعلاً حتی وجود خودِ این آیفون‌های صیدشده ثابت نشده، چه برسد به اینکه خرید خوبی باشند.
اگر با چنین آگهی‌هایی روبه‌رو شدید، بدون بررسی حضوری کالا هیچ پولی واریز نکنید (نه حتی ۱۰۰ هزار تومان) و قیمت نامتعارف را یک زنگ خطر به حساب بیاورید، نه «شانسی که همین یک‌بار در خانه‌مان را زده است!».
✍️ شایان ضیایی
#خبر_و_تحلیل
#انواع_کلاهبرداری
نوشدارو را در تلگرام دنبال کنید و از شگردهای جدید کلاهبرداری در امان بمانید:
💡 @NooshDaroo_web
💡 پایان یک افسانه؛ تلگرام دیگر آن یاغی دست‌نیافتنی نیست!
سال‌هاست که بسیاری از کاربران، تلگرام را دژی نفوذناپذیر می‌دانند که تحت هیچ شرایطی اطلاعات آنها را به دولت‌ها نمی‌دهد؛ اما اسناد تازه‌ای که از یک دادگاه در آمریکا به دست آمده، نشان می‌دهد این پیام‌رسان در صورت دریافت حکم قانونی، دقیقاً چه چیزهایی را تحویل مقامات می‌دهد.
در این پرونده قضایی، نامهای رسمی از سوی تیم تلگرام فاش شده است که در آن اطلاعات یک کاربر خاص در اختیار دولت آمریکا قرار گرفته است. تلگرام در این نامه کوتاه، شماره تلفن ثبت‌شده، آیدی عددی کاربر، آدرس آی‌پی (IP) و زمان دقیق اتصال او به اینترنت را به مقامات قضایی تحویل داده است.
این سطح از همکاری برای شرکتی که همیشه به مقاومت در برابر دولت‌ها افتخار می‌کرد، یک چرخش تاریخی است. تا پیش از دستگیری پاول دورف، مدیرعامل تلگرام در تابستان سال ۲۰۲۴ در فرانسه، این شرکت اگر نگوییم هرگز، به‌ندرت داده‌ها را در اختیار مقامات قرار نمی‌داد؛ اکنون هم‌سو با سایر پیام‌رسان‌ها و شبکه‌های اجتماعی، تحویل اطلاعات را به یک رویه معمول و روزمره تبدیل کرده است.
آمارها نشان می‌دهد که تلگرام تنها تا دی‌ماه گذشته، اطلاعات بیش از ۲۲۰۰ کاربر را به مقامات آمریکایی داده است.
نکته جالب توجه اینجاست در نامهای که به پرونده عمومی دادگاه ضمیمه شده، نشانی غیرعمومی تلگرام برای ارتباط با نهادهای مجری قانون آمریکا نیز دیده می‌شود.
عمومی‌شدن این نشانی ممکن است آن را به هدفی برای افرادی تبدیل کند که با جعل هویت مأموران قانونی به‌دنبال دریافت اطلاعات کاربران‌اند؛ بااین‌حال، تاکنون گزارشی از سوءاستفاده عملی از آن منتشر نشده است.
برای کاربران ایرانی که بخش بزرگی از ارتباطات روزمره، کاری و شخصی‌شان روی این پلتفرم شکل می‌گیرد، این خبر یک پیام روشن و واقع‌بینانه دارد.
افسانه تلگرامِ غیرقابل‌نفوذ دیگر رنگ باخته است؛ این پلتفرم اکنون اطلاعات خصوصی شما از جمله شماره موبایل و موقعیت تقریبی‌تان (آی‌پی) را ثبت کرده و در شرایط ویژه به مراجع قانونی تحویل می‌دهد.
این اتفاق به ما یادآوری می‌کند که در دنیای فناوری، هیچ پلتفرمی نمی‌تواند تا ابد خارج از چارچوب قدرت و قانون بماند. اگر در فضای مجازی به دنبال ناشناس‌ماندن مطلق هستید، باید بدانید که حتی سرسخت‌ترین پیام‌رسان‌ها هم شاید روزی مجبور شوند درهای خود را به روی قانون باز کنند.
✍️ دانیال طبایی
#خبر_و_تحلیل
برای خواندن جدیدترین خبرها درباره امنیت و حریم خصوصی، نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 سیستم‌عامل اپل روی سخت‌افزار رقیب؛ اجرای آزمایشی iOS 16 روی گوشی‌های اندرویدی
سال‌ها کاربران گوشی‌های اندرویدی با نصب پوسته‌های گرافیکی، ظاهر گوشی خود را شبیه آیفون می‌کردند؛ اما حالا توسعه‌دهندگان در یکی از معدود نمونه‌های عمومی و قابل‌بررسی، توانسته‌اند بخش‌هایی از iOS 16 اپل را روی چند گوشی اندرویدی اجرا کنند. البته این نسخه‌ها هنوز برای استفاده روزمره آماده نیستند و بیشتر یک نمایش فنی جذاب از اجرای نرم‌افزار انحصاری اپل روی سخت‌افزارهای دیگر به شمار می‌روند.
مستندترین نمونه، پروژه متن‌بازی است که برای گوشی Redmi Note 10 Pro منتشر شده است. توسعه‌دهندگان هسته متن‌باز XNU اپل را دست‌کاری کرده‌اند تا با تراشه اسنپدراگون این گوشی سازگار شود و فایل‌های دست‌نخورده iOS 16 مربوط به آیفون X را روی آن بالا بیاورند.
بااین‌حال، نتیجه فعلاً شباهتی به یک آیفون قابل‌استفاده ندارد. نخستین راه‌اندازی حدود چهار تا پنج دقیقه طول می‌کشد. صفحه قفل، صفحه اصلی، مرکز کنترل و تنظیمات بالا می‌آیند و لمس صفحه و دکمه‌های فیزیکی کار می‌کنند؛ اما وای‌فای، اینترنت سیم‌کارت، بلوتوث، صدا، دوربین و GPS فعلاً پشتیبانی نمی‌شوند. حرکت کشیدن انگشت از پایین صفحه برای خروج از برنامه و بازگشت به صفحه اصلی نیز کار نمی‌کند و به‌دلیل نبود درایور گرافیکی، تصویر با کمک پردازنده اصلی و با سرعت حدود ۲۰ تا ۳۰ فریم بر ثانیه نمایش داده می‌شود.
البته این آزمایش به Redmi Note 10 Pro محدود نمانده است و نسخه دیگری هم برای Redmi Note 12 4G منتشر شده است که طبق مستندات پروژه، iOS 16.7.16 را تا صفحه اصلی بالا می‌آورد و حتی اتصال وای‌فای در آن کار می‌کند؛ هرچند همچنان بسیاری از امکانات سخت‌افزاری پشتیبانی نمی‌شوند.
گروه HackiOS هم کدهای اجرای iOS 16.5 روی Poco X5 Pro را منتشر کرده و از فعال‌شدن امکاناتی مانند وای‌فای، صدا، دوربین و شتاب‌دهی گرافیکی خبر داده است؛ هرچند هنوز گزارش مستقلی از اجرای موفق آن منتشر نشده است. ویدئوهایی از اجرای iOS روی گوشی‌هایی مانند ناتینگ‌فون هم منتشر شده‌اند، اما فعلاً کد یا مستندات عمومی مشابهی برای بررسی آنها در دست نیست.
اجرای سیستم‌عامل‌های رقیب روی گوشی‌ها بی‌سابقه نیست؛ پروژه iDroid در سال ۲۰۱۰ و Project Sandcastle در سال ۲۰۲۰ اندروید را به‌صورت آزمایشی روی بعضی مدل‌های آیفون اجرا کردند. پروژه‌های تازه اکنون مسیر برعکس را طی کرده‌اند و نشان می‌دهند بالا آوردن بخش‌هایی از iOS روی سخت‌افزارهای مبتنی بر اسنپدراگون از نظر فنی ممکن است.
در نهایت اگر با دیدن ویدیوهای این پروژه‌ها وسوسه شدید که گوشی شیائومی خود را به آیفون تبدیل کنید، دست نگه دارید. نصب نسخه‌های مربوط به گوشی‌های ردمی، تمام اطلاعات اندرویدی شما را پاک می‌کند و بسیاری از لایه‌های امنیتی iOS نیز در آنها غیرفعال است.
ویدیوهای اجرای آزمایشی را در فایل‌های پیوست‌شده در همین پست ببینید:
✍️ دانیال طبایی
#خبر_و_تحلیل
برای اطلاع از جدیدترین خبرهای دنیای فناوری، نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 آسیب‌پذیری ۱۰ از ۱۰ در گیت‌لب: اگر گیت‌لب را روی سرور خودتان نصب کرده‌اید همین امروز به‌روزرسانی کنید
گیت‌لب ساعاتی قبل، برای یک آسیب‌پذیری با شدیدترین نمره ممکن، یعنی ۱۰ از ۱۰ در مقیاس CVSS، وصله امنیتی منتشر کرد. این نقص به مهاجم اجازه می‌دهد بدون داشتن حساب کاربری و بدون نیاز به کلیک کسی، روی سرور گیت‌لب کد دلخواه خود را اجرا کند. اگر گیت‌لب را روی سرور خودتان نصب کرده‌اید، این خبر مستقیماً به شما مربوط است.
▪️ چه اتفاقی افتاده است؟
این نقص که با شناسه CVE-2026-110264 ثبت شده. به گفته گیت‌لب، در شرایط خاص یک کاربر احراز هویت‌نشده می‌تواند با ارسال یک عبارت منظم دستکاریشده، روی سرور کد اجرا کند؛ یعنی نه رمز عبور لازم است، نه حساب کاربری و نه همکاری قربانی.
نکته نگران‌کننده، دامنه نسخه‌های آسیب‌پذیر است: همه نسخه‌های رایگان (Community Edition) و سازمانی (Enterprise Edition) گیت‌لب از نسخه ۷.۰ که سال ۲۰۱۴ منتشر شد تا پیش از وصله‌های دیروز، این نقص را دارند. به عبارت دیگر، این کد دوازده سال روی سرورها بوده است.
این نقص را یک پژوهشگر امنیتی از طریق برنامه باگ‌بانتی گیت‌لب گزارش کرده است. گیت‌لب فعلاً از سوءاستفاده فعال از آن خبر نداده و طبق روال معمول خود، جزئیات فنی کامل را حدود ۹۰ روز بعد منتشر می‌کند؛ اما تجربه نقص‌های مشابه نشان می‌دهد که معمولاً پس از انتشار وصله، مهاجمان با مقایسه کد قدیم و جدید راه سوءاستفاده را پیدا می‌کنند و فرصت زیادی برای تعلل نیست.
▪️ چرا این خبر برای ما مهم است؟
کاربران سرویس ابری GitLab.com نیازی به انجام کاری ندارند؛ گیت‌لب می‌گوید سرویس ابری و سرویس GitLab Dedicated از قبل وصله شده‌اند. مشکل اصلی نسخه‌های «خودمیزبان» (Self-Managed) است، یعنی جایی که یک شرکت یا تیم، گیت‌لب را روی سرور خودش نصب کرده است.
این دقیقاً وضعیت بسیاری از شرکت‌ها، استارتاپ‌ها و تیم‌های نرم‌افزاری ایرانی است که به‌دلیل محدودیت‌های تحریمی به GitLab.com دسترسی ندارند و نسخه رایگان گیت‌لب را روی سرور داخلی یا سرور اجاره‌ای خود راه‌اندازی کرده‌اند. روی این سرورها معمولاً کد منبع محصولات، کلیدها و رمزهای دسترسی، توکن‌های CI/CD و گاهی راه دسترسی به سرورهای اصلی شرکت نگهداری می‌شود. اجرای کد روی چنین سروری می‌تواند به معنی سرقت کد، نشت اطلاعات مشتریان یا نفوذ به بقیه زیرساخت شرکت باشد.
اگر سرورتان را ۲۰ مهر (۱۲ اکتبر) برای نقص قبلی گیت‌لب با شناسه CVE-2026-97229 به‌روزرسانی کرده‌اید، همچنان آسیب‌پذیر هستید؛ آن وصله این نقص را برطرف نمی‌کند.
▪️ چه باید کرد؟
گیت‌لب توصیه کرده نصب‌های خودمیزبان هرچه سریع‌تر به یکی از این نسخه‌های اصلاح‌شده ارتقا پیدا کنند:
• ۱۹.۵.۱
• ۱۹.۴.۳
• ۱۹.۳.۶
• ۱۹.۲.۹
• ۱۹.۱.۹
• ۱۹.۰.۱۰
• ۱۸.۱۱.۱۳
اگر نسخه شما قدیمی‌تر از ۱۸.۱۱ است، گیت‌لب برای آن وصله‌ای منتشر نکرده و باید ابتدا به یکی از شاخه‌های پشتیبانی‌شده ارتقا دهید. پیش از ارتقا این موارد را در نظر بگیرید:
• نسخه فعلی را بررسی کنید: شماره نسخه در بخش Help (راهنما) پنل گیت‌لب دیده می‌شود
• پیش از ارتقا نسخه پشتیبان کامل بگیرید: این به‌روزرسانی شامل تغییر در پایگاه داده است و در نصب‌های تک‌سروری، سرویس چند دقیقه از دسترس خارج می‌شود
• بعد از ارتقا لاگ‌ها را بررسی کنید: گیت‌لب دو راهنمای تشخیص با نامهای «Onigmo native worker crash» و «Org mode render error burst» برای شناسایی تلاش‌های نفوذ منتشر کرده است
• در صورت مشاهده نشانه نفوذ، سرور را آلوده فرض کنید: همه توکن‌ها، کلیدهای SSH و رمزهای ذخیره‌شده روی سرور را تغییر دهید
این دومین هشدار بزرگ این هفته برای مدیران سرور است. روز گذشته هم تیم PHP برای دو آسیب‌پذیری بحرانی در PHP وصله منتشر کرد؛ نقص‌هایی با نمره ۹.۲ که به گفته کاشفان آنها با کمک مدل‌های هوش مصنوعی پیدا شده‌اند و گزارش‌ها نشان می‌دهد سوءاستفاده از آنها در دنیای واقعی آغاز شده است. اگر مسئول سروری هستید، این هفته وقت به‌روزرسانی است.
#خبر_و_تحلیل
برای اطلاع از آسیب‌پذیری‌های مهم، نوشدارو را در تلگرام دنبال کنید.
💡 @NooshDaroo_web
💡 دو حفره‌ی امنیتی PHP آنقدر مهم هستند که نخست‌وزیر ژاپن هم در مورد آنها در ایکس هشدار صادر کرده!
امروز صبح در نوشدارو در موردش نوشتیم: فورا آپدیت کنید….
اگر سایت دارید:
- نسخه پی‌اچ‌پی را به یکی از نسخه‌های اصلاح‌شده برسانید: ۸.۵.۱۲، ۸.۴.۲۷، ۸.۳.۳۶ یا ۸.۲.۳۵
- اگر سایت‌تان روی هاست اشتراکی است، همین امروز از شرکت میزبانی بپرسید سرورها را به‌روز کرده یا نه.
- نسخه ۸.۱ و قدیمی‌تر دیگر به‌روزرسانی رسمی نمی‌گیرند و بهتر است سایت را به نسخه جدیدتر منتقل کنید.
- اگر فعلاً نمی‌توانید به‌روزرسانی کنید، موقتا سرور را خاموش کنید!
💡 @NooshDaroo_web
💡 دو آسیب‌پذیری بحرانی در PHP با امکان تصرف سرور سایت؛ وصله‌های امنیتی امروز منتشر می‌شوند
دو آسیب‌پذیری بسیار جدی در PHP شناسایی شده‌اند که تیم PHP هر دو را با شدت خطر ۹.۲ از ۱۰، «بحرانی» ارزیابی کرده و قرار است امروز ۲۹ مهر، ساعت ۱۷:۳۰ به وقت ایران، وصله‌های اضطراری را منتشر کند.
گزارش‌ها می‌گویند این نقص‌ها می‌توانند به اجرای کد از راه دور و در نهایت تصرف سرور منجر شوند، اما تیم PHP هنوز جزییات فنی آنها را به‌طور رسمی منتشر نکرده است. ضمناً این آسیب‌پذیری‌ها نسخه‌های PHP از نسخه ۵ به بعد را تحت تاثیر قرار می‌دهند.
اهمیت ماجرا بالاست، چون حدود ۶۹.۷ درصد وب‌سایت‌هایی که زبان سمت‌سرورشان مشخص است از PHP استفاده می‌کنند؛ از جمله بسیاری از سایت‌هایی که با سیستم‌های مدیریت محتوا یا پلتفرم‌های فروشگاه اینترنتی ساخته شده‌اند. به همین دلیل، نهادهای امنیت سایبری از مدیران سرورها خواسته‌اند به‌محض انتشار نسخه اصلاح‌شده، PHP را به‌روزرسانی کنند.
اگر سایت دارید، بررسی کنید سرور شما از چه نسخه‌ای از PHP استفاده می‌کند و پس انتشار وصله، آن را به نسخه امن ارتقا دهید. اگر به تنظیمات سرور دسترسی ندارید، این موضوع را از شرکت هاستینگ یا پشتیبان فنی سایت پیگیری کنید.
✍️ شایان ضیایی
#کسب_و_کار_آنلاین
#خبر_و_تحلیل
برای دریافت اخبار بیشتر در زمینه‌ی امنیت سایبری، نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 نقص امنیتی در هوش مصنوعی «Muse» متا؛ افشای اطلاعات حساس کاربران با یک جست‌وجوی ساده
قابلیت «اشتراک‌گذاری چت‌ها» در سرویس‌های هوش مصنوعی روشی متداول برای ارسال سریع خروجی‌ها به دیگران است.
با این حال پژوهشگران امنیتی متوجه شده‌اند که لینک‌های اشتراک‌گذاری در دستیار هوش مصنوعی «میوز» (Muse) متا، برخلاف تصور کاربران پنهان نمی‌مانند و غریبه‌ها می‌توانند با یک جست‌وجوی ساده به محتوای آنها دسترسی پیدا کنند. به دنبال انتشار این خبر، شرکت متا قابلیت مذکور را موقتاً غیرفعال کرده است.
▪️ لینک‌ها چگونه فاش می‌شوند؟
در بیشتر سرویس‌های آنلاین، لینک‌های اشتراک‌گذاری حاوی کدهای طولانی و درهم‌ریخته در انتهای آدرس هستند تا قابل حدس زدن نباشند، اما طراحان میوز تصمیم عجیبی گرفتند؛ آنها عنوان گفت‌وگو و کد اختصاصی را در بخش «زیردامنه»، یعنی ابتدای آدرس اینترنتی قرار دادند.
به محض کلیک گیرنده روی این لینک، نام زیردامنه در سامانه‌های ثبت ترافیک اینترنت موسوم به «دی‌ان‌اس غیرفعال» ثبت می‌شد.
پژوهشگران امنیتی دریافتند که با یک جست‌وجوی ساده در این پایگاه‌های داده می‌توان تمام این آدرس‌ها را بدون داشتن لینک اولیه پیدا کرد.
آنها تنها با یک جست‌وجوی ساده توانستند ۶٬۸۰۰ لینک اشتراک‌گذاری‌شده را شناسایی کنند. بررسی چند صد مورد از این لینک‌ها، منجر به افشای داده‌های بسیار حساسی شد، برای مثال:
• گزارش درآمد داخلی یک شرکت بازاریابی
• درخواست وام یک کسب‌وکار کوچک به همراه رقم آن
• تقویم سالانه مرخصی کارکنان یک مجموعه
• گزارش مالی یک سرمایه‌گذار املاک با آدرس ملک و ارقام وام
• یادداشت‌های هشدار کلاهبرداری بانکی به همراه شماره حساب و مبالغ
▪️ واکنش متا و سابقه مشکلات امنیتی
یکی از پژوهشگران می‌گوید این مشکل را ۸ اکتبر و از طریق برنامه گزارش باگ و همچنین لینکدین به متا اطلاع داده، اما پاسخی دریافت نکرده بود تا اینکه موضوع رسانه‌ای شد و متا اکنون این قابلیت را به حالت تعلیق درآورده است.
این نخستین بار نیست که امنیت میوز زیر ذره‌بین می‌رود. در حالی که مارک زاکربرگ ادعا کرده بود این ابزار «از پایه برای حفظ حریم خصوصی و امنیت ساخته شده»، تنها سه هفته پس از عرضه، یک آسیب‌پذیری روز صفر در آن پیدا شد که به برنامه‌های دیگر اجازه می‌داد کنترل کامل حساب میوز را به دست بگیرند.
همچنین بررسی فایل‌ها نشان می‌دهد که میوز پرونده‌هایی بسیار دقیق درباره اطرافیان، دوستان و خانواده کاربران می‌سازد.
برای جلوگیری از لو رفتن اطلاعات در ابزارهای هوش مصنوعی، به‌جای ساخت لینک اشتراک‌گذاری عمومی، متن پاسخ چت‌بات را کپی کرده و از طریق پیام‌رسان‌های امن ارسال کنید.
اگر پیش‌تر گفت‌وگوی حساسی را از طریق لینک به اشتراک گذاشته‌اید، در حساب کاربری خود دسترسی آن پیوندها را لغو یا حذف کنید.
✍️ یونس مرادی
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 فروش امتیاز وام؛ شگردی برای خالی کردن جیب شما در زمان گرفتاری!
کلاهبرداران این روزها با وعده فروش وام بانکی، تله تازه‌ای در شبکه‌های اجتماعی پهن کرده‌اند. درحالی که سیستم بانکی برای پرداخت تسهیلات نیازمند میانگین حساب، خواب سپرده و ضامن‌های متعدد است، کانال‌ها و پیج‌های ناشناس با ادعای «وام فوری بدون ضامن» وارد میدان می‌شوند.
شاید بین آگهی‌ها وام واقعی هم پیدا شود، اما در اکثر مواقع به بهانه‌های مختلف دست به کلاهبرداری می‌زنند و بدون اینکه تسهیلاتی در کار باشد، سرمایه شما را به سرقت می‌برند.
▪️ وام امتیازی چیست و چرا بستر سودجویی شده است؟
سیستم بانکی کشور مدت‌هاست طرح‌هایی را اجرا می‌کند که در آن، میزان تسهیلات پرداختی به میانگین موجودی یا گردش حساب شما بستگی دارد.
به زبان ساده شما پولتان را در بانک می‌گذارید، بانک با آن کار می‌کند و در عوض پس از چند ماه و متناسب با مدت سپرده‌گذاری، امتیازی برای دریافت وام قرض‌الحسنه (کارمزد صفر تا ۴ درصد) به شما تعلق می‌گیرد.
شرایط «انتقال» این امتیازها را ضوابط هر بانک و هر طرح تعیین می‌کند. در برخی طرح‌ها انتقال امتیاز فقط به بستگان یا مشتریان همان بانک ممکن است و در برخی اصلاً ممکن نیست؛ اما در همه موارد، انتقال امتیاز وام فقط از مسیر رسمی و با ثبت در خود بانک انجام می‌شود.
مشکل زمانی آغاز می‌شود که انتقال امتیاز وام از کانال بانکی خارج شده و سر از پلتفرم‌های بدون نظارت درمی‌آورد. این بازار سیاه بستری برای کلاهبرداران حرفه‌ای شده تا در پوشش خرید و فروش وام، کاربران گرفتار را فریب دهند.
▪️ ۴ سناریوی رایج کلاهبرداری وام در شبکه‌های اجتماعی
کلاهبرداران برای خالی کردن جیب مردم روش‌های متعددی به کار می‌بندند. اگر این شگردها را بشناسید، راحت‌تر جلوی زیان مالی را می‌گیرید.
▪️ تله بیعانه و پیش‌پرداخت
کلاهبردار یک آگهی جذاب پخش می‌کند و می‌گوید صدها میلیون تومان امتیاز وام برای واگذاری دارد. بعد از اینکه اعتماد شما را جلب کرد، می‌گوید باید مبلغی را به عنوان «کارمزد انتقال»، «هزینه ثبت‌نام» یا «حق بیمه» واریز کنید.
به محض واریز مبلغ کلاهبردار راه‌های ارتباطی را مسدود کرده و ناپدید می‌شود. مثلاً وقتی فردی از شما می‌خواهد ۲ میلیون تومان پیش‌پرداخت بدهید تا وام ۵۰ میلیونی برایتان جور کند، احتمالاً با یک کلاهبردار طرف هستید.
▪️ دفاتر و شرکت‌های صوری
در این روش کلاهبردار با تأسیس دفاتر شیک و استخدام افرادی در نقش «مشتری راضی»، ظاهری رسمی به کار خود می‌دهد. او مبالغی را بابت عناوین دهان‌پرکن مثل «هزینه اعتبارسنجی سیستم بانکی»، «استعلام سوابق» یا «کارمزد تشکیل پرونده» از شما دریافت می‌کند و قراردادی یک‌طرفه پیش روی‌تان می‌گذارد.
در نهایت اما با بهانه‌هایی مثل نقص مدارک یا رد شدن ضامن، از پرداخت وام طفره می‌روند و طبق همان قرارداد صوری، پول دریافتی را پس نمی‌دهند.
فراموش نکنید که صرف وجود دفتر، مهر، سربرگ و قرارداد ثابت نمی‌کند یک مجموعه حتماً به تسهیلات بانکی دسترسی دارد یا امکان انتقال وام را فراهم می‌کند.
▪️دریافت پی‌درپی پول با بهانه‌سازی
روش دیگر، دریافت مبالغ پی‌درپی با عنوان‌های مختلف است. ابتدا هزینه اعتبارسنجی، سپس هزینه استعلام، بعد کارمزد تشکیل پرونده و در مرحله بعد هزینه آزادسازی وام مطالبه می‌شود.
هر بار هم توضیح تازه‌ای وجود دارد: «سامانه بانک خطا داده»، «ضامن تأیید نشده»، «امتیاز در صف انتقال است« یا «برای پرداخت نهایی، باید مبلغ کوچک دیگری واریز شود».
دلیل موفقیت کلاهبردار این است که وقتی کسی در چند مرحله‌ی مختلف، چند میلیون تومان پرداخت می‌کند، گاهی برای نجات مبالغ قبلی، باز هم حاضر به پرداخت پول بیشتر می‌شود. در واقع تا هر زمان که شخص حاضر به پرداخت مبالغ بیشتر باشد، کلاهبرداری هم ادامه پیدا می‌کند.
▪️ درگاه‌های پرداخت جعلی (فیشینگ)
فیشینگ هم شکل مدرن‌تر کلاهبرداری وام است. لینک پرداختی با عنوان «پرداخت هزینه بانکی» یا «تکمیل ثبت‌نام وام» برای قربانی ارسال می‌شود. صفحه‌ای هم که باز می‌شود کاملاً شبیه درگاه بانکی است، اما اطلاعات کارت، رمز پویا و مشخصات پرداخت را برای کلاهبردار می‌فرستد.
افراد تحت فشار مالی و صاحبان کسب‌وکارهای خرد که به نقدینگی سریع و بی‌دردسر نیاز دارند، بیش از دیگران در معرض گرفتار شدن در تله این آگهی‌های وسوسه‌انگیز هستند.
▪️ پشت پرده‌ی بازار سیاه وام در شبکه‌های اجتماعی
برخی پلتفرم‌های ثبت آگهی، انتشار آگهی خرید و فروش وام را از مدتی قبل ممنوع کرده‌اند، اما این آگهی‌ها همچنان در تلگرام، اینستاگرام، پیامک‌های تبلیغاتی و حتی تراکت‌های کاغذی دیده می‌شوند. در شبکه‌های اجتماعی به‌راحتی می‌شود با سیم‌کارت‌های «اجاره‌ای» یا «ثبت‌شده به نام دیگران» هویت جعلی ساخت و بعد از سرقت پول، حساب کاربری را حذف کرد.
پلیس فتا و بانک مرکزی بارها هشدار داده‌اند که هیچ کارگزاری رسمی، شعبه بانکی یا واسطه‌ای برای ارائه تسهیلات در شبکه‌های اجتماعی وجود ندارد.
وام بدون ضامن یا وام سریع هم اگر وجود داشته باشد، صرفا محدود به مبالغ خرد است و فقط از راه شعبه یا اپلیکیشن خود بانک و پس از اعتبارسنجی داده می‌شود. ادعاهایی مثل «وام یک‌روزه از طریق واسطه»، «انتقال سهمیه فقط با کارت ملی» یا «دور زدن اعتبارسنجی» با ساختار شبکه بانکی جور درنمی‌آیند.
▪️ حساب‌کتاب ساده: چرا خرید امتیاز وام منطقی نیست؟
جدا از ریسک کلاهبرداری، خرید این وام‌ها اغلب توجیه اقتصادی ندارد. در برخی آگهی‌های بازار سیاه، گاهی تا نیمی از مبلغ وام به عنوان هزینه خرید امتیاز مطالبه می‌شود.
فرض کنید برای خرید امتیاز یک وام ۱۰۰ میلیون تومانی، مجبورید از همان ابتدا ۵۰ میلیون تومان به فروشنده بپردازید؛ و این جدا از اقساط و کارمزدی است که باید به بانک بازگردانید.
• مبلغ وام: ۱۰۰ میلیون تومان
• هزینه خرید امتیاز: ۵۰ میلیون تومان
• نقدینگی خالص باقی‌مانده برای شما: ۵۰ میلیون تومان
• تعهد بازپرداخت شما به بانک: ۱۰۰ میلیون تومان + کارمزد
با یک حساب سرانگشتی، شما باید بیش از دو برابر مبلغ دریافتی را به بانک برگردانید. چنین هزینه‌ای، حتی اگر بازپرداخت دو ساله باشد، از نرخ‌های رسمی بانکی بالاتر است و منطقی نیست.
▪️ راهنمای عملی تصمیم‌گیری: چه باید بکنیم؟
با تمام این تفاسیر، در زمان نیاز مالی چه تصمیمی باید بگیریم؟
• از میانبرهای پرخطر شبکه‌های اجتماعی صرف‌نظر کنید. به جای جست‌وجو در کانال‌های تلگرامی بی‌هویت، به مسیرهای شفاف بانکی رجوع کنید یا از گزینه‌های سنتی اما قابل اعتمادتر مانند صندوق‌های وام خانوادگی بهره ببرید.
• اگر قصد واگذاری امتیاز وام دارید، پیش از هرگونه توافق با شخص دیگر، دریافت وجه یا امضای تعهدنامه، به شعبه بانک مراجعه کنید. وضعیت انتقال امتیاز و از آن مهم‌تر، مسئولیت بازپرداخت اقساط را دقیق روشن کنید.
• تا زمانی که بانک، امکان و روش رسمی انتقال را برای همان تسهیلات خاص تأیید نکرده، به هیچ‌وجه پولی رد و بدل نکنید، مدرکی تحویل ندهید و امتیازی را منتقل نکنید.
• تصاویر کارت ملی، شناسنامه، کارت بانکی و سایر اطلاعات هویتی خود را برای افراد ناشناس ارسال نکنید. کلاهبرداران از این مدارک برای افتتاح حساب اجاره‌ای، پول‌شویی یا کلاهبرداری از افراد دیگر سوءاستفاده می‌کنند.
▪️اگر گرفتار شدیم، اولین اقدام چیست؟
اگر پولی واریز کرده‌اید و به کلاهبرداری مشکوک شده‌اید:
۱. بلافاصله با بانک تماس بگیرید و درباره امکان مسدودسازی تراکنش یا حساب مقصد راهنمایی بخواهید؛
۲. با مرکز تماس پلیس فتا به شماره ۰۹۶۳۸۰ تماس بگیرید یا در سامانه fata.gov.ir گزارش دهید؛
۳. تصویر آگهی، نام کاربری، شماره تلفن، شماره کارت، رسیدهای واریز، متن قرارداد، فایل‌های صوتی و اسکرین‌شات گفت‌وگوها را مستندسازی کنید.
مراقب افرادی باشید که به بهانه بازگشت وجه تماس می‌گیرند و برای زنده کردن پولتان دوباره درخواست واریز وجه می‌کنند. این تماس‌ها روشی شایع برای کلاهبرداری مجدد از مالباختگان است.
💡 کلاهبرداری در اپلیکیشن «شاد»: وقتی مهاجم رمز ورود به حساب والدین را از دانش‌آموز می‌گیرد
در یک کلاهبرداری تازه، مجرمان در پلتفرم «شاد» خودشان را کادر مدرسه یا پشتیبانی فنی معرفی می‌کنند و به بهانه‌هایی مثل «نقص پرونده آموزشی»، «نیاز به تایید اطلاعات دانش‌آموز» یا «بروز مشکل در حساب شاد»، مستقیماً دانش‌آموزان را هدف می‌گیرند.
ترفند اصلی ساده است: ابتدا شماره تلفن والدین را از دانش‌آموز می‌گیرند و تلاش می‌کنند وارد حساب آنها در پیام‌رسان‌هایی مانند تلگرام یا روبیکا شوند. سپس کد تایید ورود به گوشی والد ارسال می‌شود، اما کلاهبردار با ایجاد حس اضطراب (مثلاً با گفتن اینکه «اگر همین الان کد را نفرستی ثبت‌نام لغو می‌شود»)، دانش‌آموز را متقاعد می‌کند که آن کد را برایش بفرستد.
اگر کد ورود لو برود و حساب مورد نظر لایه‌های امنیتی اضافه نداشته باشد، مهاجم می‌تواند وارد حساب والدین شود و از طرف آنها، برای دیگران درخواست پول یا لینک آلوده بفرستد.
روش مقابله با این فریب کاملاً سرراست است: «کد یک‌بار مصرف» ارسالی به موبایل، رمز ورود به حساب شماست.
نه مدرسه، نه پشتیبانی شاد و نه هیچکس دیگری برای «تایید پرونده» به چنین کدی نیاز ندارد. علاوه بر این با فعال‌سازی احراز هویت دو مرحله‌ای هم می‌توان جلوی بسیاری از این تلاش‌ها برای تصاحب حساب را گرفت.
✍️ شایان ضیایی
#خبر_و_تحلیل
#انواع_کلاهبرداری
نوشدارو را در تلگرام دنبال کنید و جلوی ترفندهای جدید کلاهبرداری را بگیرید:
💡 @NooshDaroo_web
💡 واتس‌اپ به اشتباه دستورهای پنهان چت‌بات پشتیبانی‌اش را لو داد
وجود یک باگ در صفحات «راهنمای مشتریان» سایت واتس‌اپ باعث شده بخشی از دستورهای داخلی چت‌بات پشتیبانی متا لو بروند.
در مجموع ۱۰۳ بلوک دستور در ۸۰ صفحه‌ی مختلف پیدا شده و بعضی از آنها راجع به چیزهایی‌اند که هوش مصنوعی نباید به زبان بیاورد.
خواندن برخی از این دستورالعمل‌ها کمک می‌کند ذهنیت بهتری از سیاست‌های شرکت‌های بزرگ تکنولوژی نسبت به محصولات‌شان به دست بیاوریم.
• در صفحه‌ی حذف حساب، به چت‌بات گفته شده: «به کاربر پیشنهاد نکن که با نهاد حفاظت از داده، قانون‌گذار یا نهاد نظارتی تماس بگیرد».
• بعد از ریپورت کردن یک حساب، چت‌بات فقط باید بگوید «موضوع به صورت داخلی بررسی می‌شود» و درباره مراحل بعدی، مدت بررسی یا جزییات فرایند چیزی نگوید.
• اگر کاربر توسط شخصی دیگر بلاک شده، چت‌بات نباید پیشنهاد دهد که از حساب یا اپلیکیشن دیگری با او ارتباط برقرار کند.
• اگر کاربر از شکایت، وکیل یا اقدام حقوقی حرف بزند، مدل حق ندارد شرایط استفاده، سیاست حریم خصوصی یا اسناد حقوقی واتس‌اپ را نقل و تفسیر کند.
• هوش مصنوعی نباید درباره مسئول بودن یا نبودن واتس‌اپ حرفی بزند.
• اگر کاربر بگوید ناشنوا یا کم‌شنواست، به مدل یادآوری می‌شود که این موضوع را «اطلاعاتی راجع به کاربر» تفسیر کند، نه «خودِ درخواست پشتیبانی او.»
• همچنین چت‌بات نباید درباره قابلیت‌هایی که هنوز عمومی نشده‌اند اطلاعات بدهد!
#خبر_و_تحلیل
✍️ شایان ضیایی
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 نفوذ زنجیره‌ای به ایجنت‌های هوش مصنوعی؛ وقتی اعتماد بین آنها به مسیر حمله تبدیل می‌شود
گسترش سریع استفاده از ایجنت‌های هوش مصنوعی (AI Agents) در سازمان‌ها، مسیر تازه‌ای برای حمله‌های سایبری ایجاد کرده است.
در پنج ماه گذشته گوگل و چهار سازمان دیگر آسیب‌پذیری‌هایی در شبکه‌های خود داشتند که به مهاجمان اجازه می‌داد از طریق یک ایجنت هوش مصنوعی، دستورهای مخرب را به سایر ایجنت‌های داخلی منتقل کنند. این روش می‌تواند در نهایت به استخراج غیرمجاز اطلاعات پایگاه‌های داده و اسناد حساس تجاری یا شخصی منجر شود.
این موضوع بیش از همه برای شرکت‌ها، نهادها و تیم‌های فنی اهمیت دارد که از چندین ایجنت هوش مصنوعی مرتبط با هم برای خودکارسازی کارهایی مانند ترجمه، تحلیل داده یا مدیریت پایگاه داده استفاده می‌کنند.
کاربران عادی که فقط به‌طور مستقیم با یک چت‌بات گفتگو می‌کنند، هدف مستقیم این حملات نیستند؛ مگر اینکه اطلاعاتشان در سامانه‌های آسیب‌پذیر ذخیره شده باشد.
▪️ پروتکل MCP چیست و چرا اهمیت دارد؟
برای اینکه برنامه‌ها و ایجنت‌های مختلف هوش مصنوعی در یک شبکه داخلی باهم ارتباط بگیرند، به یک زبان و استاندارد مشترک نیاز دارند. یکی از این استانداردهای نوظهور، پروتکل MCP است.
سرورهای MCP اطلاعات هویتی و مجوزهای دسترسی هر ایجنت هوش مصنوعی را ذخیره می‌کنند. فلسفه طراحی این سیستم بر پایه یک فرض ساده اما خطرناک بنا شده است: تمام ایجنت‌های داخل این شبکه به یکدیگر اعتماد کامل دارند.
حالا یک پژوهشگر مستقل امنیتی در بررسی‌های خود روی ۷ سازمان و نهاد مختلف از جمله گوگل، جی‌پی مورگان چیس، دولت فدرال آمریکا و نهادی دولتی فرانسه متوجه یک شکاف امنیتی ناشی از همین اعتماد کورکورانه شده است.
▪️ این تکنیک نفوذ چطور کار می‌کند؟
در حالت عادی مدل‌های زبانی بزرگ محدودیت‌ها و سپرهای حفاظتی دارند تا دستورهای مخرب را اجرا نکنند؛ اما در این روش که نوعی «تزریق پرامپت»1 محسوب می‌شود، مهاجم مستقیم سراغ مدل اصلی نمی‌رود؛ بلکه یکی از ایجنت‌های فرعی با وظایف محدود، مانند «دستیار ترجمه» یا «دستیار تحلیل داده» را هدف می‌گیرد.
این ایجنت‌های تخصصی معمولاً سپرهای امنیتی ضعیف‌تری دارند یا اصلاً کنترلی روی محتوای ورودی اعمال نمی‌کنند.
در این روش، فرد یک متن دستکاریشده را درون محتوایی به‌خصوص قرار می‌دهد؛ ایجنت اول آن را می‌خواند و به‌عنوان یک وظیفه‌ی عادی به ایجنت دوم تحویل می‌دهد و ایجنت دوم هم چون به فرستنده‌ی کار اعتماد دارد، آن را اجرا می‌کند. هر قطعه در این زنجیره دقیقاً همان کاری را انجام می‌دهد که برایش طراحی شده و همین شناسایی نفوذ را دشوار می‌کند. هر پروتکل با این فرض ساخته شده که تنهاست؛ بنابراین هرکدام فقط ورودی خود را بررسی می‌کند و هیچکس مراقب راهروهای میانی نیست.
پیامد فنی این اعتماد زنجیره‌ای در بسیاری از موارد، رخدادی به نام «جعل درخواست سمت سرور» (SSRF) است؛ وضعیتی که در آن سرور فریب می‌خورد و درخواست‌های غیرمجاز ارسال می‌کند.
▪️ چرخش پروتکل؛ نامی جدید برای یک تهدید جدی
مشکل گوگل از ابزاری مبتنی بر پروتکل MCP برای پایگاه‌های داده ناشی می‌شد. کلاینت ارتباطی این ابزار، روی تغییر مسیر نشانی‌ها کنترل نداشت و نشانی‌های آی‌پی مقصد را اعتبارسنجی نمی‌کرد. یک پارامتر دستکاریشده در مسیر می‌توانست این ابزار را وادار کند که از طرف مهاجم درخواست بفرستد.
این دسته از حمله‌ها را «چرخش پروتکلی» (Protocol Pivoting) می‌نامند؛ چون زمانی رخ می‌دهد که یک برنامه از پروتکل MCP برای سپردن کار به یک ایجنت استفاده می‌کند و آن ایجنت، دستورهای مخرب را از طریق روش ارتباطی دیگری برای ایجنت بعدی می‌فرستد. در این جابه‌جایی میان پروتکل‌های مختلف، بررسی اعتبار و مجوزها عملاً از دست می‌رود.
البته همه‌ی متخصصان این نام‌گذاری جدید را ضروری نمی‌دانند؛ برخی پژوهشگران معتقدند این روش در عمل همان «تزریق غیرمستقیم دستور» است و جابه‌جایی میان پروتکل‌ها شرط اصلی برای موفقیت چنین حمله‌ای محسوب نمی‌شود.
ریشه‌ی اصلی این آسیب‌پذیری‌ها، کنار گذاشتن یکی از اصول پایه‌ی امنیت شبکه، یعنی مدل «اعتماد صفر» (Zero Trust) در راه‌اندازی ابزارهای هوش مصنوعی است.
در مدل اعتماد صفر، شبکه با این فرض طراحی می‌شود که ممکن است یکی از اجزای داخلی آلوده شده باشد؛ بنابراین هیچ بخشی صرفاً به دلیل حضور در شبکه‌ی داخلی، مجاز به انجام تراکنش‌های حساس با بخش دیگر نیست.
▪️ برای حفظ امنیت چه کار کنیم؟
تیم‌های فنی و توسعه‌دهندگانی که از پروتکل MCP یا ساختارهای چند ایجنتی استفاده می‌کنند، برای کاهش این خطر باید چند اقدام را در اولویت قرار دهند:
• اگر از ابزار پایگاه داده‌ی گوگل یا پلتفرم‌های مشابه استفاده می‌کنید، همیشه نسخه‌های به‌روز را نصب کنید.
• برای سرورهای ارتباطی هوش مصنوعی فهرست مجاز و مسدود از بازه‌های آی‌پی تعریف کنید و جلوی تغییر مسیرهای کنترل‌نشده را بگیرید.
• هر ایجنت هوش مصنوعی پیش از اجرای دستورهای حساس ایجنت دیگر، باید مجوزها را دوباره بررسی کند و ورودی دریافتی از مدل را مانند ورودی یک کاربر ناشناس، اعتبارسنجی و پاکسازی کند.
اگرچه پروتکل‌ها و ابزارهای ارتباطی هوش مصنوعی به تازگی از راه رسیده‌اند، اما ضعف‌های امنیتی نهفته در آنها، همان آسیب‌پذیری‌های شناخته‌شده‌ی بیست سال گذشته‌ی وب هستند؛ و راه‌حل آنها همچنان پرهیز از اعتماد خودکار در داخل شبکه و اعتبارسنجی دقیق تمام ورودی‌هاست.
💡 خرید قسطی با ما چه می‌کند؟
این روزها هرکجا را که نگاه می‌کنیم، از بیلبوردهای شهر گرفته تا استوری‌های کسب‌وکارهای شخصی، خرید قسطی به‌عنوان یک گزینه برای راحتی و کاهش فشار مالی تبلیغ می‌شود. در شرایطی که فشار اقتصادی روزبه‌روز افزایش پیدا می‌کند، کاملاً طبیعی است که به این نوع خرید تمایل پیدا کنیم؛ اما آیا واقعاً این نوع خرید فشارها را کم می‌کند؟
▪️ خرید قسطی چگونه به ما کمک می‌کند؟
خرید قسطی به ما اجازه می‌دهد مبلغ یک خرید بزرگ را در چند ماه یا چند سال تقسیم کنیم. اقتصاددان‌ها به این پدیده «هموارسازی مصرف» (Consumption Smoothing) می‌گویند. به زبان ساده، یعنی بخشی از هزینه امروز را به زمانی منتقل کنیم که انتظار داریم درآمد بیشتری داشته باشیم.
هموارسازی مصرف در چند وضعیت گوناگون کارایی دارد:
• زمانی که درآمد ما به‌طور موقت کاهش یافته است؛ برای مثال در دوران تعویض شغل که پیدا کردن یک کار جدید ممکن است چند ماه طول بکشد.
• زمانی که یک خرید بزرگ داریم؛ مثلاً هنگام خرید خانه یا خودرو ممکن است هزینه‌ای بسیار سنگین و ناگهانی باشد و ما با استفاده از اقساط، آن هزینه را پخش یا هموار می‌کنیم.
• زمانی که در آغاز راه یک حرفه یا سرمایه‌گذاری هستیم؛ زیرا هزینه‌های آموزشی و راه‌اندازی کسب‌وکار یکی از بزرگ‌ترین مخارج در طول یک حرفه هستند و رسیدن به درآمد پایدار و جبران آنها زمان می‌برد.
▪️ آیا ما در خرید قسطی واقعاً به آینده فکر می‌کنیم؟
با آن که کارکرد اقساط این است که هزینه‌ها را در آینده توزیع کنند، ما معمولاً هنگام خرید قسطی به‌اندازه‌ی کافی به آینده توجه نمی‌کنیم. البته نباید این را یک نقص بدانیم. علم اقتصاد رفتاری با سه مفهوم به ما نشان می‌دهد که عدم توجه ما به آینده، ناشی از مکانیسم‌هایی طبیعی در ذهن ما است.
• سوگیری زمان حال: ما به‌طور طبیعی تمایل داریم در ارزیابی‌های خود به «زمان حال» وزن بیشتری بدهیم. در مغز ما نواحی‌ای وجود دارد که فقط به لذت یا منفعت در زمان حال پاسخ می‌دهند. پس ما تمایل داریم نفعی را که در زمان حال به ما می‌رسد ارزشمندتر از آن‌چه که در بلندمدت است، ببینیم.
• ذهنیت کمبود: در زمانی که با کمبود منابع مواجه هستیم، تمرکز ما روی مسائل فعلی بسیار پررنگ‌تر می‌شود و آینده را حتی بیشتر نادیده می‌گیریم. این تمرکز محدود ممکن است به بدهی بیش از حد منجر شود.
• وابستگی به نقطه‌ی مرجع: ما معمولاً وضعیت خود را با چیزی ملموس مقایسه می‌کنیم؛ مثلاً سطح زندگی‌ای که تا امروز داشته‌ایم یا جایگاهی که دوست داریم حفظ کنیم، نه با فشار مالی‌ای که ممکن است چند ماه بعد سراغمان بیاید. انسان برای محافظت از این «نقطه‌ی مرجع»، تمایل دارد که افت مصرف را به هر قیمتی به تأخیر بیندازد.
▪️ وقتی خرید قسطی فریب‌آمیز می‌شود
علاوه بر سوگیری‌های بالا، محاسبات مربوط به پیش‌پرداخت، اقساط، زمان‌بندی قسط‌ها و نرخ‌های بهره، بسیار انتزاعی و ناملموس هستند. فرضیات و ساختار مدل‌هایی که مربوط به محاسبات مالی آینده هستند، با چگونگی درک ما از این پدیده‌ها تفاوت‌های اساسی دارند.
افراد و شرکت‌هایی که با وعده‌ی خرید قسطی به سراغ ما می‌آیند، ممکن است از این طبیعت مغز سوءاستفاده کنند. دو روش رایج وجود دارد که وام‌ها ما را فریب می‌دهند.
۱. بازی با پیش‌پرداخت
فرض کنید قرار است یک کالا با قیمت ۱۰۰ میلیون تومان را با ۱۲ قسط بخرید. به دو شرایط متفاوت زیر توجه کنید:
• پیش‌پرداخت: ۳۰ میلیون، هر قسط: ۷ میلیون
• پیش‌پرداخت: ۴۲ میلیون، هر قسط: ۶ میلیون
• در هر دو مورد بالا، شما ۱۱۴ میلیون پرداخت خواهید کرد. در مورد اول، بهره‌ی موثر سالانه‌ی فروشنده ۴۱ درصد، و در مورد دوم، ۵۱ درصد است.
علت این است که در مثال دوم، اعتباری که دریافت می‌کنیم (۵۸ میلیون) از اعتبار مثال اول (۷۰ میلیون) کمتر است، اما بهره در هر دو ۱۴ میلیون است. یعنی مورد دوم در عمل یک وام بسیار گران‌تر است.
۲. بازی با تعداد قسط‌ها
فرض کنید می‌توانید یک کالای ۲۰ میلیون تومانی را به‌صورت اقساطی بخرید. دو شرایط زیر را درنظر بگیرید:
• شش قسط ۳.۷ میلیون تومانی
• چهار قسط ۵.۵ میلیون تومانی
• در این‌جا، فروشنده کالا را ۲۲ میلیون تومان می‌فروشد. در مورد اول، ۱۶.۳ میلیون تومان اعتبار دریافت می‌کنید و نرخ مؤثر سالانه تقریباً ۶۰ درصد است. در مورد دوم، اعتبار ۱۴.۵ میلیون تومان و نرخ ۱۱۹ درصد می‌شود.
نرخ مؤثر سالانه نشان می‌دهد اعتباری که واقعاً دریافت کرده‌اید، با توجه به مبلغ و مدت بازپرداخت، در مقیاس یک سال چقدر برای شما هزینه دارد. به همین دلیل، کمتر بودن تعداد قسط‌ها می‌تواند نرخ مؤثر را به‌شدت بالا ببرد، حتی اگر مبلغ نهایی خرید تفاوت زیادی نکند.
در هر دو خرید قسطی بالا، فروشنده یک «نرخ اعلامی» به شما می‌گوید. مثلاً در خرید دوم، این نرخ ۱۰ درصد است؛ اما نرخ اعلامی ۱۰ درصدی در عمل به یک وام با نرخ مؤثر سالانه‌ی ۱۱۹ درصدی تبدیل می‌شود.
بازی با مدت‌زمان اقساط و پیش‌پرداخت، به فروشنده یا اعتباردهنده اجازه می‌دهد که نرخ مؤثر سالانه را بسیار بالاتر از چیزی که در نگاه اول به‌نظر می‌رسد ببرد.
➕ نوشدارو پلاس
محاسبه‌ی نرخ مؤثر سالانه بسیار پیچیده است و این مفهوم حساسیت بالایی به پیش‌پرداخت و مدت‌زمان اقساط دارد، به‌گونه‌ای که درک ملموس آن برای مغز ما بسیار دشوار است. توصیه می‌کنیم پیش از خرید قسطی یا دریافت اعتبار از ابزار آنلاین «حساب‌کش» برای مشاهده‌ی اضافه‌پرداخت واقعی، نرخ مؤثر سالانه و برچسب گرانی استفاده کنید.
گاهی یک خرید قسطی که برای ما از خرید نقدی سبک‌تر به‌نظر می‌رسد، ممکن است حتی کمک مالی ما به فروشنده یا اعتباردهنده باشد، نه برعکس. در این شرایط، اگر امکان گرفتن وام داریم، احتمالاً بهتر است به‌سراغ آن برویم.
▪️یک تصویر کلی‌تر
طبق گزارش تورم ۲۰۲۶-۲ بانک مرکزی ترکیه، با تداوم تورم در سال‌های اخیر، خریدهای قسطی و سقف اعتبارها در این کشور افزایش یافته‌اند. در کوتاه‌مدت، خانوارها قدرت خرید بیشتری پیدا کرده‌اند و تقاضای مصرف بالاتر رفته است؛ اما این گزارش هشدار می‌دهد که افزایش بدهی برای خانواده‌های کم‌درآمد و آسیب‌پذیر، مشکل بازپرداخت ایجاد می‌کند و در بلندمدت باعث تشدید فشار مالی خواهد شد.
این مثال یک حقیقت کلی و اثبات‌شده را در اقتصاد نشان می‌دهد. خرید اعتباری یا قسطی در بحران‌های اقتصادی موقت یکی از راه‌های مؤثر برای حفظ سطح تولید و مصرف است، اما در شرایط تورم مزمن، ممکن است به عاملی برای تشدید بحران تبدیل شود.
یک گزارش «فدرال‌رزرو» آمریکا می‌گوید افزایش بدهی باعث می‌شود تا خانواده‌ها در بحران‌های آینده مجبور به کاهش هزینه‌ها و مصرف خود شوند؛ امری که آثار منفی روی تولید را نیز شدیدتر می‌کند.
اسناد اقتصادی آمریکا درباره‌ی تورم پس از جنگ جهانی دوم هم نمونه‌ای مشابه را ثبت کرده‌اند: در شرایطی که تولید و عرضه کاهش یافته بود، گسترش اعتبار، قدرت خرید تازه‌ای وارد اقتصاد کرد، بدون آنکه تولید به همان اندازه افزایش پیدا کند؛ در نتیجه فشار بر قیمت‌ها بیشتر شد.
فروش قسطی، یکی از راه‌هایی است که فروشندگان همواره از آن استفاده کرده‌اند تا کاهش تقاضا در اثر تورم را جبران کنند. مثال ترکیه یک نمونه‌ی بسیار تازه است؛ اما در بحران‌های دهه‌ی ۱۹۲۰ و ۱۹۳۰ آمریکا نیز می‌توانیم این نوع سیاست فروش را مشاهده کنیم.
خلاصه یافته‌های اقتصادی را می‌شود ساده‌تر گفت:
در شرایطی که آسیب‌پذیری مالی خانوارها افزایش می‌یابد، خرید قسطی ممکن است قدرت خرید را موقتاً حفظ کند، اما ریسک‌های مالی آینده را بالا می‌برد.
▪️ قسطی بخریم یا نه؟
همانطور که گفتیم، خرید قسطی و اعتباری کارکردهای مثبتی در شرایط نامساعد دارند. دادن یک حکم کلی درباره‌ی خرید قسطی ممکن و منطقی نیست؛ اما نکاتی وجود دارد که در هنگام این نوع خرید باید به آنها توجه کنیم.
• قسطی که هزینه واقعی را پنهان می‌کند یک زنگ خطر است: تأکید فروشنده روی «اقساط ماهانه‌ی کم» یا «پیش‌پرداخت ناچیز یا صفر»، بدون صحبت از هزینه‌ی نهایی، فریب‌آمیز است. نرخ مؤثر سالانه را حساب کنید؛ تقسیم مبلغ اضافی بر قیمت کالا کافی نیست.
• قراردادهای مبهم را امضا نکنید: تفاوت قیمت نقدی و اعتباری، چگونگی محاسبه‌ی کارمزدها، جریمه‌ی دیرکرد، شرایط تسویه‌ی زودتر از موعد، بیمه و سایر خدمات و هزینه‌های جانبی را در نظر بگیرید.
• برای کالاهای مصرفی، بدهی بلندمدت نسازید: اگر مدام برای خرید لوازم روزمره اعتبار می‌گیرید و عمر آن کالا پیش از تسویه‌ی بدهی تمام می‌شود، ممکن است فقط فشارهای مالی خود را در آینده بیشتر کرده باشید.
• مراقب انباشت قسط‌های کوچک باشید: شاید هر خرید قسطی به‌تنهایی کاملاً سبک باشد، اما ترکیب چند قسط کوچک ممکن است بخش بزرگی از درآمد ماهانه‌ی شما را بگیرد.
• به امید درآمد و اقتصاد بهتر در آینده قسط نگیرید: توان بازپرداخت خود را با توجه به درآمد و هزینه‌های فعلی بسنجید؛ پذیرفتن قسط به‌امید افزایش درآمد و رونق اقتصاد در آینده بسیار پرریسک است.
• کالا را صرفاً به این دلیل که در آینده گران‌تر خواهد شد، قسطی نخرید: انتظارات تورمی باعث می‌شود تا خرید در زمان حال بسیار منطقی به‌نظر برسد؛ اما فشار مالی اقساط ممکن است از فشار خرید نقدی در آینده بیشتر باشد.
در کل، باید این نکته را به‌یاد داشته باشیم که اقساط، قدرت خرید پایین ما در زمان حال را با قدرت خرید بالای ما در آینده جبران می‌کنند. پس اگر خریدهای قسطی امروز ما حتی برای نسخه‌ی آینده‌ی ما نیز سنگین باشند، فشارهای مالی دیر یا زود خودشان را نشان خواهند داد.
💡 واکنش مدرک دانشگاهیم: 👁👄👁
💡 @NooshDaroo_web
💡 بعد از کلیک روی لینک جعلی، این چند دقیقه سرنوشت سازه!
💡 @NooshDaroo_web
💡 هشدار OpenAI به کارمندان: مراقب جاسوسی سازمانی از طریق رابطه عاطفی باشید!
شرکت‌های بزرگ هوش مصنوعی این روزها فقط نگران هک‌شدن سرورها نیستند؛ بلکه باید حواس‌شان به قرارهای عاشقانه، گپ‌های دوستانه و آدم‌های زیادی کنجکاو هم باشد.
طبق گزارش‌های تازه، شرکت OpenAI به کارکنانش درباره «جاسوسی سازمانی» آموزش می‌دهد و یکی از سناریوهایی که جداً نسبت به آن هشدار داده، روش قدیمی «ظرف عسل» (Honey Pot) است: یعنی نزدیک‌شدن به یک کارمند از راه رابطه عاطفی یا جنسی برای رسیدن به اطلاعات محرمانه شرکت!
البته جاسوس‌ها همیشه هم از در رابطه عاطفی وارد نمی‌شوند. در یکی از سناریوهای آموزشی OpenAI، غریبه‌ای در زمین بازی کودکان، سر صحبت را با یک کارمند باز می‌کند؛ اول درباره بچه‌ها حرف می‌زنند و کمی بعد سوال‌ها به محل کار و پروژه‌های محرمانه منتهی می‌شوند.
اوپن ای‌آی به کارکنان توصیه کرده در مکان‌های عمومی لباس‌هایی با لوگوی شرکت نپوشند، روی صفحه لپ‌تاپ و گوشی فیلتر حریم خصوصی بگذارند، بعد از جلسات وایت‌برد را پاک کنند و در کافه‌ها حواس‌شان به این باشد که چه کسی ممکن است مکالمات‌شان را بشنود.
گفته می‌شود گوگل و آنتروپیک هم هشدارهای مشابهی به کارمندان خود داده‌اند.
حساسیت این ماجرا همین چند روز پیش خودش را نشان داد؛ زمانی که مشخص شد یک تبعه عربستان سعودی که در OpenAI کار می‌کرد، دستگاهی برای ضبط صدا را پشت تلویزیون اتاق جلسات مدیران شرکت پنهان کرده بود.
در مجموع عبارت «جاسوسی» شاید ما را یاد فیلم‌ها و مامورهای مخفی بیندازد، اما بسیاری از ترفندهای استخراج اطلاعات می‌توانند در بطن تعاملات روزمره به‌کار گرفته شوند؛ از طریق دوستی ساختگی، سوال‌های شغلی بیش از حد دقیق، گوش دادن به مکالمه همکاران، نگاه‌کردن به صفحه لپ‌تاپ کارمندان و یا نزدیک‌شدن به کسی که به اطلاعات حساس دسترسی دارد.
همه‌ی حملات از پشت کیبورد شروع نمی‌شوند؛ بعضی‌هایشان با «راستی کجا کار می‌کنی؟!» شروع می‌شوند.
✍️ شایان ضیایی
#خبر_و_تحلیل
برای اطلاع از اخبار هوش مصنوعی، نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 تغییر تازه در اندروید: اتصال خودکار شماره تلفن به حساب‌های گوگل + روش غیرفعال‌سازی
گوگل به تازگی تغییری در اندروید به وجود آورده که بی‌سر و صدا، شماره موبایل شما را به چند حساب گوگل مختلف روی یک گوشی وصل می‌کند؛ حتی حساب‌هایی که شاید برای کار، آزمایش یا استفاده موقت ساخته باشید.
برای خیلی از کاربران، شماره تلفن بخشی از اطلاعات بسیار خصوصی به حساب می‌آید و انتظار می‌رفت اضافه کردن این قابلیت «انتخابی» باشد، نه «خودکار و اجباری».
اگر روی گوشی اندرویدی خود حساب‌های جانبی گوگل دارید که نمی‌خواهید با شماره تلفن و هویت واقعی‌تان پیوند بخورند، برای بررسی و خاموش کردن این قابلیت باید گام‌های زیر را طی کنید:
• ابتدا به تنظیمات گوشی بروید و مسیر Google > All services > Phone number verification را دنبال کنید.
• اگر گزینه Verify phone numbers automatically روشن است و نمی‌خواهید شماره موبایل‌تان خودکار تایید شود، آن را خاموش کنید.
• خاموش کردن این گزینه، شماره‌ای را که قبلاً به حساب اضافه شده حذف نمی‌کند. برای حذف کامل شماره لازم است وارد صفحه اطلاعات شخصی حساب گوگل شوید، بخش Phone را باز کنید و شماره را از حساب‌هایی که نمی‌خواهید به آن متصل باشد بردارید.
⚡️ نکته
بعضی کاربران گزارش داده‌اند این گزینه بعداً دوباره فعال شده؛ بنابراین اگر این موضوع برایتان اهمیت دارد، هر چند وقت یک‌بار تنظیمات گوگل را مجدداً بررسی کنید.
جالب اینجاست که حتی کاربران سیستم‌عامل‌های متفاوت از اندروید، مانند GrapheneOS، هم این اتفاق را تایید کرده‌اند. در واقع به نظر می‌رسد تایید خودکار شماره سیم‌کارت زمانی اتفاق می‌افتد که Google Play Services روی دستگاه نصب باشد.
در نهایت، مسئله فقط یک گزینه تازه در تنظیمات نیست؛ مهم‌تر این است که شماره موبایل می‌تواند به پلی میان حساب‌هایی تبدیل شود که شما عمداً آنها را جدا نگه داشته‌اید.
اگر برای کار، فعالیت ناشناس‌تر یا استفاده موقت چند حساب گوگل دارید، بد نیست هر چند وقت یک‌بار بررسی کنید چه اطلاعاتی بین آنها مشترک است.
جدا نگه‌داشتن حساب‌ها فقط به ساختن چند ایمیل متفاوت خلاصه نمی‌شود؛ گاهی همین جزئیات کوچک هستند که دوباره آنها را به هم وصل می‌کنند.
✍️ شایان ضیایی
#حریم_خصوصی
#خبر_و_تحلیل
اگر محافظت از حریم خصوصی برایتان مهم است، نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡پشت پرده تبلیغات چت‌جی‌پی‌تی؛ تبلیغ‌دهندگان چگونه به شما می‌رسند؟
چند ماه پیش، هم‌زمان با آغاز آزمایش نمایش تبلیغات در چت‌جی‌پی‌تی، در نوشدارو درباره هزینه پنهان حساب‌های رایگان این چت‌بات نوشتیم و توضیح دادیم که موضوع گفت‌وگوهای کاربران می‌تواند به نشانه‌ای برای انتخاب تبلیغ تبدیل شود. آن زمان این هشدار براساس توضیحات رسمی OpenAI بود؛ حالا خبرنگاران رسانه ۴۰۴ مدیا آن را در عمل آزمایش کرده‌اند.
نتیجه آزمایش نشان داد چت‌جی‌پی‌تی از دو راه می‌تواند تبلیغ را هدفمند کند.
• راه اول، خودِ گفت‌وگوست: سامانه موضوع پرسش فعلی شما را تشخیص می‌دهد و ممکن است تبلیغی مرتبط زیر پاسخ نمایش دهد.
• راه دوم از بیرون چت‌جی‌پی‌تی آغاز می‌شود. تبلیغ‌دهنده می‌تواند فهرست ایمیل‌ها، شماره‌های تلفن یا شناسه‌های تبلیغاتی اندرویدی مشتریانش را بارگذاری کند.
اوپن ای آی هم این اطلاعات را با حساب‌های کاربران تطبیق می‌دهد تا افراد موجود در فهرست، در صورت برقرار بودن شرایط، در گروه مخاطبان آن تبلیغ قرار بگیرند؛ البته قرارداشتن در فهرست، نمایش قطعی آگهی را تضمین نمی‌کند.
این تبلیغات فعلاً برای کاربران بزرگسال نسخه‌های Free و Go در کشورهای تحت پوشش نمایش داده می‌شوند و ارائه آنها در ایران رسماً اعلام نشده است.
البته برای اینکه چنین فهرستی مستقیماً در هدف‌گیری آگهی استفاده شود، دست‌کم ۲۵ هزار حساب باید با اطلاعات آن تطبیق پیدا کنند. اوپن ای آی هم می‌گوید تبلیغ‌دهنده نمی‌فهمد چه کسانی تطبیق یافته‌اند و نمی‌تواند فرد مشخصی را جداگانه انتخاب کند. فایل‌های بارگذاری‌شده هم معمولاً تا ۲۴ ساعت پس از پردازش حذف می‌شوند. بااین‌حال، این شرکت به پرسش خبرنگاران درباره اینکه اطلاعات خام مانند شماره تلفن و ایمیل را پس از دریافت خودکار هش‌گذاری می‌کند یا نه، پاسخ روشنی نداد.
با دانستن این سازوکار، شاید اولین راه‌حل این باشد که «شخصی‌سازی تبلیغات» را خاموش کنید.
این کار مانع استفاده از چت‌های قبلی، فعالیت‌ها و ترجیحات شما برای انتخاب آگهی می‌شود؛ اما جلوی همه هدف‌گیری‌ها را نمی‌گیرد. اوپن ای آی می‌گوید حتی در این حالت هم، موضوع همان گفت‌وگویی که اکنون در آن هستید می‌تواند برای انتخاب تبلیغ استفاده شود.
در نهایت، این آزمایش شاید ثابت نکند تبلیغ‌دهندگان چت‌های خصوصی شما را می‌خوانند؛ اما هشدار قبلی نوشدارو را ملموس‌تر می‌کند: چت‌بات‌ها هرچند شبیه یک هم‌صحبت بی‌طرف به نظر می‌رسند، اما در نهایت یک محصول تجاری‌اند.
✍️دانیال طبایی
#حریم_خصوصی
#سواد_دیجیتال
برای خواندن خبرهای دنیای هوش مصنوعی، نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web