Phishing أو “التصيد الاحتيالي” هو أكثر طرق الاختراق الأولي شيوعاً في العالم، لأنه يستهدف الإنسان لا الجهاز. يرسل المهاجم رسالة تبدو صادرة عن جهة موثوقة، كبنك أو شركة شحن أو قسم تقنية المعلومات أو مدير في الشركة، ويدفع الضحية لاتخاذ إجراء: الضغط على رابط، أو إدخال كلمة مرور، أو فتح مرفق، أو تحويل مبلغ.
أنواع التصيد
- Mass Phishing: رسائل عامة تُرسل لآلاف الأشخاص، مثل “تم تعليق حسابك”.
- Spear Phishing: رسالة موجهة لشخص محدد بمعلومات حقيقية عنه لزيادة المصداقية.
- Whaling: تستهدف كبار المديرين.
- BEC (Business Email Compromise): انتحال بريد مدير أو مورد لطلب تحويل بنكي عاجل أو تغيير حساب الدفع.
- Smishing و Vishing: التصيد عبر الرسائل النصية والمكالمات الهاتفية.
- Quishing: التصيد عبر رموز QR تقود إلى صفحات مزيفة.
كيف يعمل هجوم سرقة بيانات الدخول؟
تصل رسالة تقول إن هناك مستنداً مشتركاً بانتظارك، فيفتح الرابط صفحة دخول مطابقة لـ Microsoft 365 على نطاق مشابه للأصلي. وتستخدم الهجمات الحديثة أدوات من نوع Adversary-in-the-Middle تمرر الدخول للموقع الحقيقي وتسرق جلسة الدخول نفسها، فتتجاوز رموز التحقق التقليدية عبر الرسائل أو التطبيقات.
علامات تكشف رسالة التصيد
- إلحاح أو تهديد: “خلال 24 ساعة سيُغلق حسابك”.
- عنوان المرسل أو نطاق الرابط لا يطابق الجهة الحقيقية، حتى لو كان الاسم الظاهر صحيحاً.
- طلب غير معتاد: تغيير حساب بنكي، شراء بطاقات هدايا، إدخال كلمة المرور.
- مرفقات غير متوقعة، خاصة الملفات المضغوطة أو ملفات HTML أو ISO.
طرق الحماية للمؤسسات
- ضبط سجلات SPF و DKIM و DMARC للنطاق لمنع انتحاله.
- فلترة البريد وفحص الروابط والمرفقات.
- استخدام MFA المقاوم للتصيد مثل مفاتيح FIDO2 و Passkeys.
- تدريب الموظفين بحملات محاكاة دورية، وتسهيل الإبلاغ عن الرسائل المشبوهة.
- إجراء تحقق هاتفي على رقم معروف مسبقاً قبل تنفيذ أي تحويل مالي أو تغيير بيانات بنكية.
الفرق بين Phishing و Social Engineering
الهندسة الاجتماعية هي المفهوم الأشمل لخداع البشر بأي وسيلة، حضورياً أو هاتفياً أو رقمياً. والتصيد هو أشهر تطبيقاتها عبر الرسائل الإلكترونية.
