كيفية حماية نفسك من هجمات التصيد الاحتيالي

ما هو التصيد الاحتيالي؟

التصيد الاحتيالي هو هجوم هندسة اجتماعية حيث ينشئ المهاجم نسخة مقنعة من موقع شرعي — غالباً مثالية بكسل بكسل — ويخدع الضحية لإدخال بيانات الاعتماد هناك. في اللحظة التي يرسل فيها الضحية النموذج، يلتقط المهاجم اسم المستخدم وكلمة المرور وأي عامل ثان، ثم يستخدمها للسيطرة على الحساب الحقيقي خلال ثوان.

تأتي الكلمة من استعارة "fishing" للضحايا بطُعم (عادة بريد إلكتروني). تغير الإملاء ليؤكد أن المهاجمين غالباً ما يستخدمون أرقام phone (التصيد عبر SMS، أو "smishing") والبنية التحتية ذات المظهر المهني.

لماذا يبقى التصيد الاحتيالي التهديد الأول

معظم اختراقات الحسابات واسعة النطاق اليوم لا تتضمن القرصنة أو كسر كلمات المرور أو تجاوز التشفير. تتضمن إنساناً يكتب كلمة مرور في موقع وهمي. التصيد الاحتيالي:

• رخيص — يمكن للمهاجم إرسال ملايين الرسائل الإلكترونية بتكلفة VPS ونطاق منتحل
• صعب الترشيح — الأدوات الحديثة تدور النطاقات، تستخدم استضافة شرعية، وتتكيف مع المرشحات في الوقت الفعلي
• فعال — حتى المستخدمون الواعون أمنياً يقعون في المحاولات المستهدفة المصممة جيداً (التصيد بالرمح)
• قابل للتوسع — محاولة تصيد واحدة ناجحة غالباً ما تؤدي إلى الوصول لعشرات الخدمات المتصلة من خلال إعادة استخدام كلمة المرور

وجد تقرير التحقيقات في انتهاكات البيانات لـ Verizon 2024 أن التصيد الاحتيالي كان متجه الوصول الأولي في أكثر من 36% من جميع الانتهاكات — أكثر من أي سبب مفرد آخر.

كيف يعمل التصيد الاحتيالي الحديث

تطور التصيد الاحتيالي بعيداً عن رسائل "الأمير النيجيري" في الألفين. هجوم تصيد احتيالي حديث عادة يتضمن:

1. طُعم مقنع

عادة بريد إلكتروني أو نص أو رسالة محادثة تخلق إلحاحاً ("سيتم تعليق حسابك") أو سلطة ("فريق أمان Microsoft") أو فضولاً ("شخص ما علمك في صورة"). التصيد بالرمح يأخذ هذا أبعد بتفاصيل شخصية مسحوبة من LinkedIn أو مقالب الاختراق أو المراسلات السابقة.

2. موقع وهمي مثالي بكسل بكسل

المهاجمون يستخدمون أدوات تصيد احتيالي جاهزة تستنسخ HTML وCSS وJavaScript للموقع المستهدف. العديد من الأدوات تُباع كخدمة (التصيد كخدمة)، مع لوحات تحكم عاملة ودعم عملاء.

3. وكيل في الوقت الفعلي لـ 2FA

الجزء الخطير: الأدوات الحديثة لا تلتقط كلمة مرورك فقط. تعمل كـ وكيل وسيط يمرر كل شيء تكتبه — بما في ذلك رمز TOTP — للموقع الحقيقي خلال ثوان، متجاوزة معظم 2FA. هذه التقنية تسمى خصم في الوسط (AiTM) وتستخدم في أدوات مثل Evilginx2 وModlishka.

4. سرقة رمز الجلسة

بمجرد مصادقتك عبر الوكيل، يلتقط المهاجم كوكيز الجلسة ويمكنه استخدامها للبقاء مسجلاً حتى بعد تغيير كلمة مرورك. لهذا السبب استجابة التصيد الاحتيالي تتضمن دائماً إلغاء الجلسات النشطة، وليس فقط دوران كلمة المرور.

ما يوقف التصيد الاحتيالي فعلاً

مفاتيح الأمان الأجهزة (FIDO2 / WebAuthn)

هذه هي فئة الدفاع الوحيدة المقاومة للتصيد الاحتيالي بالتصميم. عندما تسجل الدخول بمفتاح FIDO2، مفتاحك يتحقق تشفيرياً من النطاق الدقيق للموقع الذي يطلب المصادقة. موقع وهمي — مهما كان مثالياً بصرياً — له نطاق مختلف، لذا المفتاح يرفض الاستجابة. المصافحة التشفيرية ببساطة لا تكتمل.

Google شهيرة بإلزام مفاتيح YubiKey لجميع 85000+ موظف في 2017 وأبلغت عن صفر هجمات تصيد احتيالي ناجحة على حسابات الشركة في السنوات التالية.

Passkeys

Passkeys هي التطور الودود للمستهلك لـ FIDO2. تستخدم نفس التشفير المرتبط بالنطاق ومدمجة في iOS وAndroid وmacOS وWindows. إذا كان موقع تستخدمه يدعم passkeys، تفعيل واحد يجعل ذلك الحساب مقاوماً للتصيد الاحتيالي.

مديرو كلمات المرور

مدير كلمات المرور هو خط دفاعك الثاني لأنه يملأ تلقائياً بيانات الاعتماد فقط على النطاق الدقيق حيث حُفظت. إذا وصلت إلى paypaI.com (I كبير) بدلاً من paypal.com، مديرك يرفض بصمت ملء النموذج. هذا الرفض تحذير عالٍ أن شيئاً خاطئ.

ترشيح البريد الإلكتروني وDNS

مزودو البريد الإلكتروني يستخدمون DMARC وSPF وDKIM لكشف عناوين المرسل المنتحلة. معظم المزودين الحديثين يلتقطون المحاولات الواضحة، لكن الهجمات المستهدفة ما زالت تتسلل. فعل أزرار "إبلاغ عن تصيد احتيالي" في عميل بريدك لتساعد المرشحات في التحسن.

العلامات الحمراء التي تراقبها

عندما تتلقى رسالة تطلب منك تسجيل الدخول أو التحقق أو التصرف بإلحاح:

• الإلحاح والتهديدات — "سيتم إغلاق حسابك خلال 24 ساعة"
• التحيات العامة — "عزيزي العميل" بدلاً من اسمك
• نطاقات مشابهة — paypaI.com، app1e.com، secure-microsoft-login.net
• المرفقات غير المتوقعة — خاصة ملفات .zip أو .html أو .pdf التي تطلب منك تسجيل الدخول لعرضها
• أخطاء نحوية أو تنسيقية — الشركات الكبيرة تراجع رسائلها الإلكترونية
• عدم مطابقة الرابط — مرر الماوس فوق الرابط وتحقق مما إذا كانت الوجهة تطابق النص

إذا كان أي شيء يبدو غريباً، أغلق البريد الإلكتروني. انتقل للموقع يدوياً. إذا كان هناك مشكلة حقيقية، ستراها عندما تسجل الدخول عبر سير عملك الطبيعي.

ماذا تفعل إذا وقعت في واحدة

تصرف بسرعة — السرعة مهمة لأن المهاجمين يبدؤون استخدام بيانات الاعتماد خلال دقائق.

1. غير كلمة المرور فوراً على جهاز مختلف (هاتفك، مثلاً، إذا وقعت في الفخ على حاسوبك المحمول)
2. ألغِ جميع الجلسات النشطة في إعدادات الحساب — هذا يطرد أي شخص يستخدم حالياً رموز الجلسة المسروقة
3. فعل 2FA إذا لم تكن مفعلة، واستخدم مفتاح أجهزة أو passkey إن أمكن
4. تحقق من النشاط غير المصرح به — رسائل مرسلة، عمليات دخول حديثة، تغييرات فوترة، قواعد إعادة توجيه جديدة
5. أخطر المؤسسة المتأثرة إذا كان حساب مالي أو عمل
6. تحقق من حسابات أخرى استخدمت نفس كلمة المرور — حتى لو كنت متأكداً أنك لا تعيد استخدام كلمات المرور، تحقق

الخلاصة

التصيد الاحتيالي يزدهر لأنه يتجاوز التكنولوجيا ويستهدف البشر. أفضل الدفاعات تخلط ثلاث طبقات: مديرو كلمات المرور (يرفضون الملء التلقائي على النطاقات الخاطئة)، 2FA المقاوم للتصيد الاحتيالي (مفاتيح أجهزة أو passkeys ترتبط بالنطاق الحقيقي)، والشك الصحي (لا تسجل الدخول أبداً من رابط بريد إلكتروني).

فعل الثلاث على حسابك الأهم — بريدك الإلكتروني — أولاً. من هناك، باقي حياتك الرقمية تصبح أكثر أماناً بشكل معنوي.