تصور کنید بدون کلیک روی هیچ لینکی و بدون بازکردن هیچ فایلی، تلفن همراهتان هک شود. این دقیقاً همان اتفاقی است که در حملات بدون نیاز به کلیک رخ می‌دهد.
در این حملات مهاجم می‌تواند بدون هیچ اقدامی از سوی قربانی، به دستگاه او نفوذ کند و حتی جاسوس‌افزار نصب کند. در چنین حملاتی، حتی محتاط‌ترین کاربران و افرادی که دانش فنی بالایی دارند نیز ممکن است هدف قرار بگیرند.
این حملات از آسیب‌پذیری‌های موجود در نرم‌افزارها، سیستم‌عامل‌ها و ... سوءاستفاده می‌کنند. گاهی دریافت یک پیام، تماس یا فایل چندرسانه‌ای برای فعال‌شدن حمله کافی است؛ حتی اگر کاربر هرگز آن را باز نکند.
در ادامه این مقاله درباره حملات بدون نیاز به کلیک صحبت می‌کنیم.
حملات بدون نیاز به کلیک چیست؟
در روش‌های سنتی، جاسوس‌افزار معمولاً زمانی روی تلفن همراه، تبلت یا رایانه‌ی قربانی نصب می‌شود که او روی لینکی مخرب کلیک کند یا فایل آلوده‌ای را باز کند. اما در حملات بدون نیاز به کلیک (Zero-click attack)، مهاجم بدون نیاز به هیچ اقدامی از سوی قربانی، از آسیب‌پذیری‌های نرم‌افزاری سوءاستفاده کند و زمینه‌ی نصب بدافزار یا اجرای کد مخرب را فراهم سازد.
پس از اجرای موفق حمله، مهاجم ممکن است اطلاعات را سرقت کند، جاسوس‌افزار نصب کند یا از راه دور به دستگاه دسترسی پیدا کند؛ آن هم بدون اینکه نشانه‌ی آشکاری از نفوذ دیده شود.
از آنجا که این حملات به تعامل کاربر نیاز ندارند، معمولاً ردپای کمتری از خود به جا می‌گذارند و شناسایی آنها دشوارتر است. افزون بر این، آسیب‌پذیری‌هایی که امکان اجرای چنین حملاتی را فراهم می‌کنند، معمولا نادر و ارزشمندند؛ به همین دلیل، مهاجمان حرفه‌ای توجه ویژه‌ای به آنها دارند.
حتی حملات بدون نیاز به کلیک با پیچیدگی محدود نیز گاهی به‌سختی شناسایی می‌شوند. از سوی دیگر، سازوکارهای امنیتی و قابلیت‌های خودکار نرم‌افزارها، با وجود نقش مهمی که در بهبود تجربه‌ی کاربری دارند، گاهی مسیرهای تازه‌ای برای سوءاستفاده ایجاد می‌کنند یا تشخیص حمله را دشوارتر می‌سازند.
حملات Zero-click پدیده‌ی تازه‌ای نیستند. اما با گسترش استفاده از تلفن‌های هوشمند و افزایش حجم اطلاعات شخصی و حساس ذخیره‌شده روی دستگاه‌ها، اهمیت آنها بیشتر شده است. امروزه که افراد و سازمان‌ها بیش از گذشته به دستگاه‌های متصل به اینترنت وابسته‌اند، شناخت این تهدیدها و آگاهی از راه‌های کاهش خطر آنها اهمیت ویژه‌ای دارد.
مراحل اجرای یک حمله بدون نیاز به کلیک
ابتدا مهاجم نقصی را در یک برنامه، سیستم‌عامل یا دستگاه متصل به اینترنت پیدا می‌کند. این نقص ممکن است در بخش‌هایی مانند پردازش تصاویر، پخش فایل‌های رسانه‌ای یا تجزیه‌وتحلیل پیام‌ها وجود داشته باشد.
سپس مهاجم محتوایی ظاهراً عادی، مانند تصویر، ویدیو، سند و ... را به شکلی دست‌کاری می‌کند که از آسیب‌پذیری موردنظر سوءاستفاده کند. مثلا تصویری با ظاهر عادی که داخلش کدی مخرب پنهان شده که از نقص امنیتی نرم‌افزار سوءاستفاده می‌کند.
بعد نوبت این می‌رسد که محتوای مخرب از طریق یک کانال ارتباطی معمول و قابل اعتماد، مانند پیام‌رسان، ایمیل یا ارتباط اینترنتی به دستگاه قربانی ارسال شود.
سپس دستگاه پیام یا فایل دریافتی را به‌طور خودکار پردازش می‌کند. مثلا، ممکن است در یک پیام‌رسان، پیش‌نمایش تصویری برای شما نمایش داده شود، حتی اگر خودتان آن را دانلود نکرده باشید. در این حالت، برنامه برای آماده‌سازی و نمایش پیش‌نمایش، بخشی از محتوای تصویر را دریافت و پردازش می‌کند. اگر نرم‌افزار آسیب‌پذیر باشد، محتوای دست‌کاری‌شده از این نقص سوءاستفاده می‌کند و زمینه‌ی اجرای کد مخرب را فراهم آورد؛ بدون آنکه کاربر نیازی به کلیک‌کردن یا انجام اقدام دیگری داشته باشد.
در صورت موفقیت حمله، مهاجم ممکن است بتواند:
- جاسوس‌افزار نصب کند؛
- اطلاعات شخصی را به سرقت ببرد؛
- فعالیت‌های کاربر را زیر نظر بگیرد؛
- یا حتی دسترسی غیرمجازی در دستگاه ایجاد کند.
این اقدامات معمولا بدون نشانه‌های واضح نفوذ انجام می‌شوند.
چرا حملات Zero-click خطرناکند؟
خطر اصلی این حملات آن است که حتی کاربران محتاط نیز ممکن است قربانی آنها شوند. برخلاف حملات فیشینگ که معمولاً به کلیک روی لینک یا باز کردن پیوست نیاز دارند، حملات Zero-click بدون چنین اشتباهاتی از آسیب‌پذیری‌های نرم‌افزاری سوءاستفاده می‌کنند.
ویژگی‌های هر حمله بدون نیاز به کلیک بسته به اینکه از کدام آسیب‌پذیری سوءاستفاده می‌شود، متفاوت خواهد بود. یکی از ویژگی‌های کلیدی هک‌های بدون نیاز به کلیک، توانایی آنها در عدم به جا گذاشتن ردپا است که تشخیص آنها را بسیار دشوار می‌کند. این بدان معناست که شناسایی اینکه چه کسی و برای چه هدفی از آنها استفاده می‌کند، آسان نیست.
البته هر پیام یا فایل دریافتی به‌خودی‌خود خطرناک نیست؛ اجرای موفق این حملات به وجود آسیب‌پذیری قابل سوءاستفاده و فراهم‌بودن شرایط لازم برای بهره‌برداری از آن بستگی دارد.
نمونه‌هایی از حملات بدون نیاز به کلیک
در چند سال گذشته، حملات بدون نیاز به کلیک در برنامه‌های پیام‌رسان، ابزارهای هوش مصنوعی و حتی سیستم‌عامل‌های تلفن همراه مشاهده شده‌اند. این نمونه‌ها نشان می‌دهند که مهاجمان چگونه از نرم‌افزارهای روزمره سوءاستفاده می‌کنند، بی‌آنکه کاربر روی لینک مشکوکی کلیک کند، فایلی را باز کند یا حتی متوجه وقوع حمله شود.
واتس‌اپ، ۲۰۱۹ و ۲۰۲۵
واتس‌اپ در سال‌های اخیر با دو مورد مهم از آسیب‌پذیری‌های مرتبط با حملات Zero-click مواجه شده است.
در سال ۲۰۱۹، مهاجمان از نقصی در قابلیت تماس واتس‌اپ سوءاستفاده کردند که امکان اجرای کد مخرب روی دستگاه هدف را فراهم می‌کرد. مهاجم می‌توانست با برقراری تماس، فرایند حمله را آغاز کند؛ بدون آنکه قربانی به تماس پاسخ دهد. در برخی موارد، تماس حتی روی صفحه‌نمایش دستگاه ظاهر نمی‌شد. به این ترتیب، مهاجم از آسیب‌پذیری موجود سوءاستفاده می‌کرد، بی‌آنکه کاربر اقدامی انجام دهد.
در سال ۲۰۲۵ نیز واتس‌اپ ناچار شد که آسیب‌پذیری دیگری را برطرف کند. به گفته‌ی متا، این نقص در ترکیب با یک آسیب‌پذیری در سیستم‌عامل اپل می‌توانست برای اجرای حملات جاسوس‌افزاری بدون نیاز به کلیک مورد استفاده قرار گیرد.
هر دو مورد در نهایت با انتشار اصلاحیه‌های امنیتی برطرف شدند. این حوادث بار دیگر اهمیت به‌روزرسانی منظم برنامه‌ها و سیستم‌عامل‌ها را به‌عنوان یکی از مؤثرترین راهکارهای کاهش خطر حملات بدون نیاز به کلیک نشان می‌دهند.
ChatGPT، ۲۰۲۵
در سپتامبر ۲۰۲۵، پژوهشگران نشان دادند که ادغام دستیارهای هوش مصنوعی با سرویس‌های شخص ثالث زمینه‌ساز شکل تازه‌ای از حملات بدون نیاز به تعامل مستقیم کاربر می‌شود. برخلاف حملات بدون نیاز به کلیک سنتی که معمولاً از آسیب‌پذیری‌های نرم‌افزاری سوءاستفاده می‌کردند، این روش بر دستورالعمل‌های مخفی یا حملات موسوم به «تزریق پرامپت» متکی بود.
این تکنیک که ZombieAgent نام گرفت، از نحوه‌ی تعامل ChatGPT با سرویس‌هایی مانند جیمیل، گوگل درایو و گیت‌هاب بهره می‌گرفت. مهاجمان می‌توانستند دستورالعمل‌های مخرب را در ایمیل‌ها یا اسناد پنهان کنند. سپس دستیار هوش مصنوعی هنگام انجام یک درخواست عادی، آنها را پردازش می‌کرد و بر اساس آنها عمل می‌کرد.
در چنین شرایطی، هوش مصنوعی ممکن بود به اطلاعات موجود در سرویس‌های متصل دسترسی پیدا کند یا داده‌هایی را بازیابی کند، بی‌آنکه کاربر از منشأ این رفتار آگاه باشد. البته به گزارش Open AI این نقص بعدا برطرف شد.
این نمونه، تفاوت مهمی را میان حملات بدون نیاز به کلیک سنتی و تهدیدهای مبتنی بر هوش مصنوعی آشکار می‌کند: در اینجا، مهاجم لزوماً به نقصی در کد نرم‌افزار نیاز ندارد، بلکه از نحوه‌ی تفسیر دستورالعمل‌ها توسط هوش مصنوعی سوءاستفاده می‌کند.
این حادثه همچنین نشان می‌دهد که با گسترش استفاده از عامل‌های هوش مصنوعی و افزایش دسترسی آنها به ابزارها، فایل‌ها و حساب‌های شخصی یا سازمانی، احتمال شکل‌گیری مسیرهای تازه‌ای برای حملات پیچیده سایبری افزایش می‌یابد.
چگونه از خود در برابر حملات بدون نیاز به کلیک محافظت کنیم؟
اگرچه شناسایی و جلوگیری کامل از حملات بدون نیاز به کلیک دشوار است اما رعایت چند اصل امنیتی احتمال آسیب‌پذیری را کاهش می‌دهد. همچنین در صورت نفوذ، دامنه‌ی خسارت را محدود می‌کند.
- از رمزهای عبور قوی و منحصربه‌فرد استفاده کنید: برای هر حساب، رمز عبور جداگانه‌ای در نظر بگیرید تا در صورت افشای اطلاعات ورود به یک حساب، سایر حساب‌های شما نیز در معرض خطر قرار نگیرند.
- احراز هویت چندمرحله‌ای را فعال کنید: افزودن یک مرحله‌ی تأیید دیگر، مانند کلید امنیتی یا برنامه‌ی احراز هویت، حتی در صورت افشای رمز عبور، دسترسی غیرمجاز به حساب‌ها را دشوارتر می‌کند. البته این روش به‌تنهایی مانع اجرای همه‌ی حملات بدون نیاز به کلیک نمی‌شود.
- سیستم‌عامل و نرم‌افزارها را به‌روز نگه دارید: بسیاری از حملات از آسیب‌پذیری‌هایی سوءاستفاده می‌کنند که ممکن است برای آنها اصلاحیه‌ی امنیتی منتشر شده باشد. سیستم‌عامل، برنامه‌ها و میان‌افزار دستگاه‌های خود را مرتباً به‌روزرسانی کنید و نصب خودکار به‌روزرسانی‌های امنیتی را در صورت امکان فعال نگه دارید.
- دستگاه‌ها را از هم جدا نگه دارید: اگر امکانش را دارید، دستگاه‌های هوشمند خانه، مثل دوربین‌های امنیتی و تلویزیون‌های هوشمند را به شبکه‌ای جدا از رایانه‌ها و دستگاه‌های حاوی اطلاعات مهم وصل کنید. برای مهمان‌ها هم از شبکه‌ی وای‌فای جداگانه استفاده کنید. به این ترتیب، اگر یکی از دستگاه‌ها هک شود، مهاجم سخت‌تر به سایر دستگاه‌های متصل به شبکه دسترسی پیدا می‌کند.
- مجوزهای برنامه‌ها را محدود کنید: فقط دسترسی‌هایی را به برنامه‌ها بدهید که برای عملکردشان ضروری است. بازبینی دوره‌ای مجوزهای مربوط به میکروفون، دوربین، مخاطبان، فایل‌ها و موقعیت مکانی میزان دسترسی غیرضروری را کاهش می‌دهد.
- از نرم‌افزارهای امنیتی معتبر استفاده کنید: ابزارهای ضدبدافزار و راهکارهای امنیتی مدرن برخی از رفتارهای مشکوک، فعالیت بدافزارها و برخی نشانه‌های سوءاستفاده را شناسایی می‌کنند. بااین‌حال، هیچ ابزار امنیتی نمی‌تواند شناسایی همه‌ی حملات بدون نیاز به کلیک را تضمین کند.
و در پایان
حملات بدون نیاز به کلیک پیشرفته معمولاً به دانش فنی قابل‌توجه و منابع مالی زیادی نیاز دارند. به همین دلیل، برخی از آنها به‌طور هدفمند علیه روزنامه‌نگاران، فعالان مدنی، سیاستمداران، مخالفان سیاسی و مدیران ارشد سازمان‌ها به کار گرفته می‌شوند.
مثلا به تازگی یک حمله گسترده بدون نیاز به کلیک که توسط اسرائیل انجام شده است، کشف شد. بر طبق گزارش رسانه‌های خارجی، این حملات بیشتر نیروهای امنیتی، افراد با موقعیت شغلی حساس و ... را در سراسر جهان هدف قرار داده بود.
احتمال هدف‌گرفته‌شدن مستقیم کاربران عادی با چنین حملاتی معمولاً کمتر است اما آنها نیز در برابر آسیب‌پذیری‌های موجود در نرم‌افزارها و دستگاه‌های پرکاربرد مصون نیستند. به همین دلیل، به‌روزرسانی منظم و رعایت اصول امنیتی برای همه‌ی کاربران اهمیت دارد.