التصيّد والهندسة الاجتماعية
درس 4 من 6
4التصيّد والهندسة الاجتماعية
الصورة الكبيرةحسب IBM، التصيّد هو أشيع نقطة بداية للاختراق للسنة الرابعة على التوالي. السبب بسيط: اختراق إنسان مستعجل أسهل من كسر تشفير. والذكاء الاصطناعي جعل رسائل التصيّد بلغة سليمة بلا أخطاء إملائية، فلم تعد الأخطاء علامة تعتمد عليها.
ماذا تشاهد في الرسم: خمس خطوات يحتاجها المحتال، وأنت تستطيع إيقافه عند أي واحدة: تتجاهل الرسالة، أو تهدأ قبل التصرف، أو لا تضغط، أو تلاحظ النطاق، أو لا تعطي الرمز.
خارطة هذا الجزء
المفاهيم بالترتيب، اضغط أيًّا منها للقفز إليه:
طريقان إلى نفس الفكرة
المحتال لا يكسر الباب، بل يطرقه ويتظاهر أنه موظف البريد أو البنك. يستعمل أربعة مفاتيح نفسية: الاستعجال («خلال 24 ساعة»)، والخوف («حسابك موقوف»)، والثقة (شعار البنك واسم مديرك)، والفضول أو الطمع («ربحت جائزة»). حين تشعر بأحدها في رسالة، هذه إشارتك لتتوقف.
الأنواع: تصيّد عام، وموجّه (Spear)، وصيد الحيتان للتنفيذيين (Whaling)، واختراق البريد التجاري (BEC) لتحويل أموال، وتصيّد الرسائل النصية (Smishing) والمكالمات (Vishing) ورموز QR (Quishing). الضوابط: SPF يحدد الخوادم المسموح لها بالإرسال، وDKIM يوقّع الرسالة، وDMARC يفرض التطابق مع نطاق From ويحدد سياسة الفشل. هجمات AiTM بصفحة وسيطة تسرق جلسة الدخول حتى مع رموز SMS وTOTP، والحل مصادقة مقاومة للتصيّد مثل FIDO2. ومحاكاة التصيّد على الجوال حققت تفاعلًا أعلى بـ 40% من البريد حسب DBIR 2026.
قبل أن تبدأ
🎯كيف يفكر المهاجم
التصيّد هو مرحلة «التوصيل» في سلسلة الهجوم.
الفكرة الجوهرية
1لماذا ننخدع؟ أربعة مفاتيح نفسية
التصيّد ينجح لأنه يتجاوز التفكير ويخاطب الشعور. حين تكون خائفًا على حسابك أو مستعجلًا لاستلام طرد، يقل انتباهك للتفاصيل. لهذا القاعدة الذهبية ليست «احفظ العلامات» فقط، بل: إذا شعرت بضغط، توقف دقيقة.
تمرين: اكتشف علامات التصيّد الست
رسالة تدريبية من جهة وهمية. اضغط كل جزء تراه مريبًا. لا يوجد فيها رابط حقيقي.
من: بريد الأفق السريع <>
الموضوع: تنبيه نهائي: شحنتك معلّقة
تعذّر تسليم طردك رقم 88231 بسبب نقص في العنوان.
لإعادة الجدولة عبر الرابط:
اكتشفت 0 من 6
- عنوان المرسل: النطاق ليس النطاق الرسمي للشركة، وفيه كلمات مثل
verify. المحتالون يسجلون نطاقات تشبه الأصلية، فاقرأ النطاق حرفًا حرفًا. - تحية عامة: الخدمات التي تعرفك تخاطبك باسمك غالبًا. «عزيزي العميل» تعني أن الرسالة أُرسلت لآلاف الناس.
- الاستعجال والتهديد: «خلال 24 ساعة» و«يُلغى نهائيًا» صُمّمت لتتصرف قبل أن تفكر.
- طلب بيانات البطاقة ورمز التحقق لمبلغ صغير: المبلغ الصغير يخفض شكّك، ورمز التحقق (OTP) لا يطلبه أي طرف شرعي أبدًا.
- زر يخفي وجهته: النص الظاهر لا يدل على العنوان الحقيقي. على الحاسوب مرّر المؤشر لترى الرابط، والأفضل أن تفتح التطبيق الرسمي بنفسك.
- امتداد مزدوج: الملف ينتهي بـ
.exe، فهو برنامج متنكّر في شكل PDF، وفتحه قد يثبّت برنامجًا خبيثًا.
2أنواع التصيّد
| النوع | كيف يعمل | مثال |
|---|---|---|
| تصيّد عام | رسالة واحدة لآلاف الناس | «شحنتك معلّقة» |
| تصيّد موجّه (Spear) | رسالة مفصّلة لشخص بعينه من معلومات جمعها عنه | بريد باسم مديرك عن مشروعك الحالي |
| اختراق البريد التجاري (BEC) | انتحال مورّد أو مدير لتحويل أموال | «غيّرنا رقم حسابنا البنكي» |
| رسائل نصية ومكالمات | Smishing وVishing، والأعلى تكلفة حسب IBM | «موظف البنك» يطلب الرمز بالهاتف |
| رموز QR | Quishing: رمز ملصق فوق الأصلي | رمز دفع مزيف على عدّاد موقف |
والذكاء الاصطناعي أضاف التزييف الصوتي: صوت قريبك أو مديرك يطلب مالًا بشكل عاجل. الحل بسيط وقديم: أغلق المكالمة واتصل عليه أنت برقمه المعروف، واتفق مع عائلتك على «كلمة سر عائلية» للطوارئ.
3كيف يتحقق خادم البريد من المرسل
عنوان المرسل في البريد سهل التزوير مثل عنوان المرسل على ظرف ورقي. لذلك أضيفت ثلاث آليات: SPF قائمة في DNS بالخوادم المسموح لها بالإرسال باسم النطاق، وDKIM توقيع رقمي يثبت أن الرسالة لم تتغير، وDMARC يربطهما بالنطاق الظاهر للمستخدم ويقول للمستقبل ماذا يفعل بالرسالة الفاشلة.
النطاق الحقيقي هو ما يأتي قبل أول / مباشرة، ويُقرأ من اليمين. جرّب أن تضيف رابطًا خادعًا من عندك.
from urllib.parse import urlparse
official = "ofoq-post.example"
links = [
"https://ofoq-post.example/track/88231",
"https://ofoq-post-verify.example/pay",
"https://ofoq-post.example.track-parcel.example/login",
"https://0foq-post.example/track",
]
for link in links:
host = urlparse(link).hostname
ok = host == official or host.endswith("." + official)
print(("OK " if ok else "FAKE ") + host)4حين لا يكفي رمز التحقق
هجمات الوسيط (AiTM) تضع صفحة مزيفة بين الضحية والموقع الحقيقي، تمرّر كلمة المرور والرمز فورًا للموقع الحقيقي، ثم تسرق «جلسة الدخول» نفسها. لذلك حتى رموز SMS وتطبيقات المصادقة يمكن اصطيادها. أما مفاتيح المرور FIDO2 فمربوطة بنطاق الموقع الحقيقي، فلا تعمل على صفحة مزيفة أصلًا.
مثال محلول
المسألة: موظف يتصل بك قائلًا إنه أدخل كلمة مروره في صفحة وصلته بالبريد ثم انتبه أنها مزيفة. ماذا تفعل بالترتيب؟
الحل: (1) أعد تعيين كلمة المرور فورًا وأنهِ كل الجلسات النشطة، لأن المهاجم قد يكون سرق الجلسة لا كلمة المرور فقط. (2) راجع سجلات الدخول: مواقع أو أجهزة غير معتادة، وقواعد تحويل بريد جديدة. (3) احظر النطاق والمرسل، وابحث عن الرسالة نفسها في صناديق بقية الموظفين واحذفها. (4) تأكد من وجود تحقق بخطوتين مقاوم للتصيّد، ووثّق الحادثة. (5) اشكر الموظف على الإبلاغ السريع؛ معاقبة المبلّغين تجعل الآخرين يخفون أخطاءهم.
خرافة مقابل حقيقة
| الخرافة | الحقيقة |
|---|---|
| القفل في المتصفح يعني أن الموقع آمن. | يعني أن الاتصال مشفر فقط. مواقع التصيّد تحمل القفل أيضًا. |
| رسائل التصيّد مليئة بالأخطاء الإملائية. | الذكاء الاصطناعي يكتبها اليوم بلغة سليمة؛ اعتمد على السياق والنطاق لا على الإملاء. |
| أنا أذكى من أن أنخدع. | التصيّد الموجّه يُصمَّم لك أنت وفي لحظة انشغالك. الجميع معرّض، والفرق في عادة التوقف والتحقق. |
أين تقابله في العمل
🏠في حياتك
تكتشف رسائل الطرود والبنوك المزيفة وتعلّم أهلك.
📧مدير أنظمة
يضبط SPF وDKIM وDMARC لنطاق الشركة حتى لا يُنتحل.
🎓فريق التوعية
يجري محاكاة تصيّد ويقيس نسبة الإبلاغ لا نسبة النقر فقط.
اختبر فهمك
ملف اسمه invoice.pdf.exe هو غالبًا:
الامتداد الحقيقي هو الأخير .exe، والجزء .pdf للخداع.
أي آلية تتحقق أن الرسالة لم تتغير وأنها موقّعة من نطاق المرسل؟
DKIM توقيع رقمي على الرسالة. SPF يتحقق من الخادم المرسل فقط.
«مديرك» يرسل من بريد شخصي يطلب تحويلًا عاجلًا لمورّد جديد. ما الخطوة الصحيحة؟
هذا نمط BEC. الرد على البريد نفسه يصل للمحتال. اتصل بالمدير على رقمه المعروف وأبلغ فريق الأمن.
رسالة نصية على جوالك فيها رابط «تتبع شحنتك». هذا النوع يسمى:
SMS + phishing. الصوتي vishing، ورمز QR quishing.
أي سجل يخبر خوادم البريد بما تفعله برسالة فشلت في SPF وDKIM؟
DMARC يضع السياسة: none أو quarantine أو reject.
بطاقات مراجعة سريعة
تحقق من فهمك
لماذا لا يطلب أي طرف شرعي رمز التحقق (OTP)؟
لأن الرمز يثبت أنك أنت من يدخل الآن؛ من يطلبه يريد أن يدخل بدلًا منك.
لماذا مفاتيح المرور مقاومة للتصيّد؟
لأن المفتاح مربوط بنطاق الموقع الحقيقي، فلا يعمل في صفحة مزيفة، ولا توجد كلمة سر تُكتب وتُسرق.
وصلتك رسالة من «مديرك» يطلب بطاقات هدايا بسرعة. ماذا تفعل؟
لا ترد على الرسالة نفسها؛ اتصل به على رقمه المعروف، وبلّغ فريق الأمن عن المحاولة.
مصادر هذا الدرس
مرتّبة بالنوع. ابدأ بالتوثيق الرسمي إذا تبي المرجع الدقيق، وبالمقال أو الفيديو إذا تبي الشرح أولًا.
مقالات1
خلّصت الدرس؟
سجّل الدخول ليُحفظ تقدّمك.