ما هو التصيد الاحتيالي؟
التصيد الاحتيالي هو هجوم هندسة اجتماعية يقوم فيه مهاجم بإنشاء نسخة مقنعة من موقع شرعي — في الغالب مطابقة تماماً للأصل — ويخدع الضحية لإدخال بياناتها فيها. في اللحظة التي تُرسل فيها الضحية النموذج، يلتقط المهاجم اسم المستخدم وكلمة المرور وأي عامل ثانوي، ثم يستخدمها للاستيلاء على الحساب الحقيقي في غضون ثوانٍ.
جاءت الكلمة من استعارة "الصيد" لالتقاط الضحايا بالطُّعم (عادةً بريد إلكتروني). تغيّر التهجئة للتأكيد على أن المهاجمين يستخدمون أحياناً أرقام هاتف (التصيد عبر SMS، أو "smishing") وبنية تحتية ذات مظهر احترافي.
لماذا التصيد الاحتيالي لا يزال التهديد الأول؟
لا تنطوي معظم عمليات اختراق الحسابات الكبيرة اليوم على اختراق تقني أو كسر كلمات المرور أو تجاوز التشفير. بل تقوم ببساطة على قيام إنسان بكتابة كلمة مروره في موقع مزيف. التصيد الاحتيالي:
- رخيص التكلفة — يستطيع المهاجم إرسال ملايين الرسائل بتكلفة خادم VPS ونطاق مزيف
- يصعب تصفيته — تُدير مجموعات التصيد الحديثة نطاقاتها باستمرار، وتستخدم استضافة شرعية، وتتكيف مع المرشّحات في الوقت الفعلي
- فعّال للغاية — حتى المستخدمون المدركون للأمن يقعون ضحية لمحاولات التصيد المستهدفة (spear phishing) المُحكمة التصميم
- قابل للتوسع — غالباً ما تُفضي عملية تصيد ناجحة واحدة إلى الوصول لعشرات الخدمات المرتبطة بسبب إعادة استخدام كلمات المرور
وجد تقرير تحقيقات خرق البيانات لعام 2024 الصادر عن Verizon أن التصيد الاحتيالي كان ناقل الوصول الأولي في أكثر من 36% من جميع عمليات الاختراق — أكثر من أي سبب منفرد آخر.
كيف يعمل التصيد الاحتيالي الحديث؟
تطور التصيد الاحتيالي بعيداً جداً عن رسائل "الأمير النيجيري" التي شاعت في العقد الأول من الألفية الثالثة. يتضمن هجوم التصيد الحديث عادةً:
1. طُعم مقنع
في الغالب رسالة بريد إلكتروني أو نصية أو رسالة دردشة تُشعل الإلحاح ("سيُعلَّق حسابك")، أو تدّعي السلطة ("فريق أمان Microsoft")، أو تثير الفضول ("علّق شخص ما صورتك"). يذهب التصيد المستهدف (spear phishing) أبعد من ذلك بتفاصيل شخصية مستقاة من LinkedIn أو قواعد بيانات الاختراقات أو المراسلات السابقة.
2. موقع مزيف مطابق للأصل
يستخدم المهاجمون مجموعات تصيد جاهزة تستنسخ HTML وCSS وJavaScript للموقع المستهدف. تُباع كثير من هذه المجموعات كخدمة (phishing-as-a-service)، مع لوحات تحكم تعمل بالكامل ودعم فني.
3. وسيط في الوقت الفعلي لاعتراض 2FA
الجزء الخطير: لا تكتفي المجموعات الحديثة بالتقاط كلمة مرورك فحسب. بل تعمل كـوسيط رجل-في-المنتصف يُعيد توجيه كل ما تكتبه — بما في ذلك رمز TOTP — إلى الموقع الحقيقي في غضون ثوانٍ، متجاوزاً معظم أشكال 2FA. تُسمى هذه التقنية الخصم-في-المنتصف (AiTM) وتُستخدم في أدوات مثل Evilginx2 وModlishka.
4. سرقة رمز الجلسة
بمجرد أن تُحقق الهوية عبر الوسيط، يلتقط المهاجم ملف تعريف ارتباط الجلسة ويمكنه استخدامه للبقاء مسجل الدخول حتى بعد تغيير كلمة مرورك. لهذا يشمل الرد على التصيد دائماً إلغاء الجلسات النشطة، لا مجرد تغيير كلمة المرور.
ما الذي يوقف التصيد الاحتيالي فعلاً؟
مفاتيح الأمان المادية (FIDO2 / WebAuthn)
هذه هي الفئة الوحيدة من وسائل الدفاع المحصّنة ضد التصيد بطبيعة تصميمها. عند تسجيل الدخول بمفتاح FIDO2، يتحقق مفتاحك تشفيرياً من النطاق الدقيق للموقع الطالب للمصادقة. الموقع المزيف — مهما كان مثالياً بصرياً — يمتلك نطاقاً مختلفاً، فيرفض المفتاح الاستجابة. ببساطة، لا تكتمل عملية التبادل التشفيري.
أوجب Google استخدام YubiKeys على جميع موظفيه البالغ عددهم أكثر من 85,000 موظف عام 2017، وأفادت بـصفر هجمات تصيد ناجحة على حسابات الشركة في السنوات التي تلت ذلك.
المفاتيح المرنة (Passkeys)
المفاتيح المرنة هي التطور الموجّه للمستهلكين من FIDO2. تستخدم التشفير ذاته المرتبط بالنطاق وهي مدمجة في iOS وAndroid وmacOS وWindows. إذا كان أحد المواقع التي تستخدمها يدعم المفاتيح المرنة، فإن تفعيلها يجعل ذلك الحساب محصّناً ضد التصيد.
مديرات كلمات المرور
مديرة كلمات المرور هي خط دفاعك الثاني لأنها تملأ البيانات تلقائياً فقط على النطاق الدقيق الذي حُفظت فيه. إذا وصلت إلى paypaI.com (بحرف I كبير) بدلاً من paypal.com، فستمتنع مديرتك بصمت عن ملء النموذج. هذا الامتناع تحذير صريح بأن شيئاً ما خاطئ.
تصفية البريد الإلكتروني وDNS
يستخدم موفرو البريد الإلكتروني DMARC وSPF وDKIM للكشف عن عناوين المرسلين المزيفة. تلتقط معظم الخدمات الحديثة المحاولات الواضحة، لكن الهجمات المستهدفة لا تزال تتسلل أحياناً. فعّل زر "الإبلاغ عن تصيد احتيالي" في عميل البريد لديك حتى تساعد في تحسين المرشّحات.
علامات التحذير التي يجب مراقبتها
عند تلقيك رسالة تطلب منك تسجيل الدخول أو التحقق أو التصرف بإلحاح:
- الإلحاح والتهديدات — "سيُغلق حسابك خلال 24 ساعة"
- التحيات العامة — "عزيزي العميل" بدلاً من اسمك
- النطاقات المشابهة — مثل
paypaI.comأوapp1e.comأوsecure-microsoft-login.net - المرفقات غير المتوقعة — لا سيما ملفات
.zipأو.htmlأو.pdfالتي تطلب منك تسجيل الدخول لعرضها - أخطاء نحوية أو في التنسيق — الشركات الكبيرة تراجع رسائلها قبل الإرسال
- عدم تطابق الرابط — مرّر مؤشر الفأرة فوق الرابط وتحقق مما إذا كانت الوجهة تتطابق مع النص
إذا شعرت بأي شيء مريب، أغلق البريد الإلكتروني. انتقل إلى الموقع يدوياً. إذا كانت هناك مشكلة حقيقية، ستراها عند تسجيل دخولك عبر طريقتك المعتادة.
ماذا تفعل إذا وقعت ضحية؟
تصرف بسرعة — السرعة مهمة لأن المهاجمين يبدؤون باستخدام البيانات في غضون دقائق.
- غيّر كلمة المرور فوراً على جهاز مختلف (هاتفك مثلاً، إذا وقعت ضحية على حاسوبك المحمول)
- ألغِ جميع الجلسات النشطة في إعدادات الحساب — هذا يُخرج أي شخص يستخدم حالياً رموز الجلسات المسروقة
- فعّل 2FA إذا لم يكن مفعّلاً مسبقاً، وأعطِ الأولوية لمفتاح مادي أو مفتاح مرن إن أمكن
- تحقق من النشاط غير المصرح به — الرسائل المُرسلة، وتسجيلات الدخول الأخيرة، والتغييرات في الفوترة، وقواعد إعادة التوجيه الجديدة
- أخطر المؤسسة المتأثرة إذا كان حساباً مالياً أو متعلقاً بالعمل
- تحقق من الحسابات الأخرى التي تستخدم كلمة المرور ذاتها — حتى لو كنت واثقاً من عدم إعادة استخدام كلمات مرورك، تحقق على أي حال
خلاصة القول
يزدهر التصيد الاحتيالي لأنه يتجاوز التكنولوجيا ويستهدف البشر. تجمع أفضل وسائل الدفاع ثلاث طبقات: مديرات كلمات المرور (ترفض الملء التلقائي على النطاقات الخاطئة)، و2FA المقاوم للتصيد (مفاتيح مادية أو مرنة مرتبطة بالنطاق الحقيقي)، والشك الصحي (لا تسجّل الدخول أبداً عبر رابط بريد إلكتروني).
فعّل الطبقات الثلاث على أهم حساباتك — بريدك الإلكتروني — أولاً. من هناك، تصبح بقية حياتك الرقمية أكثر أماناً بشكل ملموس.