هجوم التصيد الاحتيالي (Phishing) هو أحد أكثر أنواع الهجمات الإلكترونية شيوعًا وخطورة، ويهدف إلى خداع الضحية للحصول على المعلومات الحساسة مثل كلمات المرور، أرقام بطاقات الائتمان، أو بيانات الدخول إلى الحسابات الشخصية أو المهنية.
ما هو هجوم التصيد الاحتيالي؟
يعتبر هجوم التصيد الاحتيالي (Phishing) من أقدم وأبسط أساليب الهندسة الاجتماعية التي يستخدمها المهاجمون لاختراق الأفراد أو المؤسسات. يتم تنفيذ هذا النوع من الهجمات عادةً عن طريق البريد الالكتروني أو الرسائل النصية أو مواقع الويب المزيفة التي تُقلد بشكل دقيق مصادر موثوقة، مثل البنوك، أو شركات التكنولوجيا، أو حتى جهات حكومية.
الهدف من التصيد الاحتيالي (Phishing) هو خداع الضحايا المطمئنين لاتخاذ إجراء معين، مثل النقر على الروابط الضارة أو تنزيل الملفات الضارة أو مشاركة المعلومات الخاصة مثل بيانات اعتماد تسجيل الدخول. تنبع فعالية هجمات التصيد الاحتيالي من استخدامها لتقنيات الهندسة الاجتماعية التي تستغل علم النفس البشري. تخلق هذه الهجمات إحساسًا بالإلحاح أو الخوف أو الفضول، مما يدفع الضحايا إلى التصرف بسرعة دون التحقق من صحة الطلب.
كيف يعمل التصيد الاحتيالي؟
التصيد الاحتيالي (Phishing) هو طريقة خطرة وفعالة لعمليات الاختراق. ويعمل التصيد الاحتيالي عبر إرسال مجرمي الإنترنت لرسائل للأشخاص أو الشركات تتضمن رابطاً أو مرفقاً ضاراً. ويكون الهدف من ذلك أن ينقر المستهدفون على الرابط، وهو ما قد يقوم بتنزيل برنامج ضار أو يقودهم إلى موقع ويب غير شرعي لسرقة معلوماتهم الشخصية. ويمكن ارتكاب هجمات التصيد الاحتيالي بعدة طرق، استناداً إلى المهاجم والمعلومات التي يحاول الحصول عليها. إليك كيف يعمل التصيد الاحتيالي عادةً:
-
التخطيط للهجوم (الاستهداف)
- يحدد المهاجم الضحايا المستهدفين (أفراد أو شركات)
- قد يجمع معلومات عن الضحية غبر وسائل التواصل الاجتماعي أو قواعد البيانات المسربة لجعل الخداع أكثر تصديقًا (هذا يسمي Spear Phishing)
- إنشاء الطعم (الرسالة أو الموقع المزيف)
- تصميم رسالة خادعة
- تُرسل عبر البريد الإلكتروني، SMS، أو رسائل التواصل الاجتماعي (مثل فيسبوك، واتساب).
- تكون مصممة لتشبه رسائل بنوك، مواقع دفع (مثل PayPal)، أو حتى جهات حكومية.
- تحتوي على:
- رابط مزيف يشبه الرابط الأصلي لكنه يُوجه لموقع احتيالي، مثل (com بدل paypal.com)
- مرفقات خبيثة (يحتوي على برمجيات تجسس مثل ملف word أو PDF)
- تصميم موقع ويب مزيف:
- يُنشئ المهاجم صفحة تشبه تماماً موقعًا مشهورًا مثل (صفحة تسجيل الدخول إلى Gmail أو موقع بنك).
- عند إدخال بيانات، تُرسل تلقائياً إلى المخترق.
-
إرسال الرسالة (نشر الطعم)
- تُرسل الرسائل إلى آلاف الضحايا عشوائيًا (في الهجمات العامة) أو إلى أشخاص محددين (في الهجمات المستهدفة)
- تُستخدم أساليب التلاعب النفسي مثل:
- التهديد (سيتم إغلاق حسابك إذا لم تُحدث بياناتك)
- الإغراء (لقد ربحت جائزة، اضغط هنا لاستلامها)
- انتحال شخصية مدير أو جهة موثوقة (هذا طلب عاجل من قسم تكنولوجيا المعلومات).
-
خداع الضحية (التصيد الناجح)
- ينقر الضحية على الرابط أو المرفق في الرسالة
- يُوجه إلى موقع مزيف ويُطلب من إدخال معلومات مثل
- كلمة المرور أو بيانات البطاقة الائتمانية
- رمز التحقق (OTP) إذا كان الهجوم أكثر تطورًا (تسمى هجمات التصيد ثنائي الخطوة)
- تُسجل البيانات وتُرسل إلى المخترق، الذي يستخدمها ل:
- سرقة الأموال
- اختراق الحسابات
- بيع البيانات في السوق السوداء
-
التغطية والهروب
- بعد الحصول على البيانات، قد يقوم المهاجم ب:
- تحويل الأموال بسرعة قبل اكتشاف الاختراق.
- بيع البيانات على الانترنت المظلم (Dark Web).
- استخدام الحسابات المخترقة لهجمات أخرى (مثل إرسال رسائل تصيد جديدة من حساب الضحية).
فالتصيد الاحتيالي يعد من أكثر أساليب الاحتيال الالكتروني شيوعًا وخطورة، حيث يعتمد على الخداع النفسي واستغلال ثقة الضحية للحصول على المعلومات الحساسة، فالمهاجمون يعملوا بذكاء من خلال تقليد الهجمات الموثوقة وإقناع المستخدمين بالكشف عن بياناتهم الشخصية أو المالية. ومع تزايد الاعتماد على التكنولوجيا، أصبح من الضروري توعية الأفراد بمخاطر التصيد الاحتيالي واتباع سلوك رقمي آمن. فالبحذر، والتأكد من مصادر الرسائل والمواقع، يمكن الحد من فرص الوقوع ضحية لهذا النوع من الهجمات.
تطور هجمات التصيد الاحتيالي
هجمات التصيد الاحتيالي (Phishing) شهدت تطورًا كبيرًا مع تقدم التكنولوجيا وزيادة وعي المستخدمين. فبعد أن كانت تعتمد على رسائل بريد الكتروني واضحة الاحتيال، أصبحت الآن أكثر تعقيدًا وتخصيصًا، مما يجعل من اكتشافها في غاية الصعوبة. فيما يلي أبرز مراحل تطور هي الهجمات:
-
البداية: التصيد عبر البريد الالكتروني التقليدي
- ظهرت أولى هجمات التصيد في التسعينات.
- كانت تعتمد على رسائل بريد الكتروني بدائية تطلب من الضحية إدخال بياناته في صفحة مزيفة.
- المحتوى كان بسيطًا وسهل الاكتشاف نسبيًا.
-
تحسين التصميم والمحتوى
- بدأ المهاجمون في تقليد وتصميم رسائل الشركات والبنوك بشكل دقيق.
- أضيفت الشعارات والتنسيقات الرسمية، مما زاد من مصداقية الرسائل.
- استخدمت صفحات مزورة تحاكي مواقع حقيقية بشكل يصعب تمييزه.
-
التصيد المستهدف (Spear Phishing)
- أصبح التصيد أكثر تخصيصًا
- يتم جمع معلومات عن الضحية (الاسم، الوظيفة، الشركة…).
- الرسائل تُصمم لتبدو شخصية وذات صلة مباشرة بالضحية.
-
التصيد عبر وسائل متعددة
- لم يعًد التصيد مقتصرًا على البريد الإلكتروني فقط.
- انتقل إلى:
- الرسائل النصية (SMS Phishing أو Smishing)
- المكالمات الهاتفية (Vishing)
- وسائل التواصل الاجتماعي
- تطبيقات المراسلة مثل واتساب وتيليغرام
-
استخدام الذكاء الاصطناعي والتقنيات الحديثة
- بدأ المهاجمون في استخدام أدوات الذكاء الاصطناعي لتوليد رسائل أكثر إقناعًا.
- ظهرت هجمات تعتمد على Deepfake أو على روبوتات دردشة مزيفة.
- يمكن استخدام تقنيات التعلم الآلي لتحسين استهداف الضحايا واختيار الوقت الأمثل للجمهور.
-
التصيد عبر اختراق سلاسل التوريد والبريد الرسمي
- يقوم المهاجمون باختراق حسابات بريد الكتروني حقيقية لشركات.
- يُرسل التصيد من عنوان رسمي، مما يصعب اكتشافه.
- يُستخدم في الاحتيال على الشركات والصفقات التجارية (Business Email Compromise).
تطور هجمات التصيد الاحتيالي (Phishing) يعكس ذكاء المهاجمين وسعيهم الدائم لمواكبة التكنولوجيا. لذلك، فإن الوعي الأمني والتحديث المستمر للأنظمة الدفاعية يبقيان خط الدفاع الأول لحماية الأفراد والمؤسسات من الوقوع ضحية لهذه الهجمات.
ما هي أنواع هجمات التصيد الاحتيالي؟
1.التصيد الاحتيالي عبر البريد الإلكتروني
يظل التصيد الاحتيالي عبر البريد الإلكتروني، حيث يستخدم المهاجمون البريد الإلكتروني كطريقة أساسية لإرسال روابط أو مرفقات ضارة، أحد أكثر أشكال تقنيات التصيد الاحتيالي شيوعا. غالبا ما يبدو أن رسائل البريد الإلكتروني هذه تأتي من مصادر مشروعة، مثل البنوك أو منصات التواصل الاجتماعي أو الخدمات عبر الإنترنت، وعادة ما تتضمن طلبات عاجلة أو عروض مغرية لخداع المستلمين للنقر على روابط ضارة أو تنزيل المرفقات المصابة. على سبيل المثال، قد ينتحل عنوان البريد الإلكتروني صفة بنك معروف، وتطلب من المستلم تحديث معلومات حسابه من خلال النقر على رابط يؤدي إلى صفحة تسجيل دخول مزيفة مصممة لسرقة بيانات اعتماده.
2. التصيد الاحتيالي بالرمح
التصيد الاحتيالي بالرمح هو شكل مستهدف من هجمات التصيد الاحتيالي حيث يتم تمييز أفراد أو مؤسسات معينة برسائل مخصصة. يجمع المهاجمون معلومات حول أهدافهم من مصادر مختلفة، مثل ملفات تعريف وسائل التواصل الاجتماعي أو مواقع الويب الخاصة بالشركة، لصياغة رسائل مقنعة. غالبا ما يحتوي التصيد الاحتيالي بالرمح على تفاصيل مصممة خصيصا لاهتمامات المستلم أو دوره الوظيفي أو علاقاته داخل المؤسسة. على سبيل المثال، قد يرسل المهاجم بريدا إلكترونيا إلى موظف يتظاهر بأنه مديره، ويطلب معلومات مالية حساسة لإكمال معاملة عاجلة مفترضة.
3. صيد الحيتان
تستهدف هجمات صيد الحيتان المديرين التنفيذيين رفيعي المستوى، مثل الرؤساء التنفيذيين أو المديرين الماليين، للوصول إلى البيانات السرية الكبيرة أو الأصول المالية. يستغل المهاجمون السلطة والثقة المرتبطة بهذه المناصب لخداع المستلمين للامتثال لطلباتهم. على سبيل المثال، قد يتظاهر المهاجم بأنه الرئيس التنفيذي ويرسل بريدا إلكترونيا إلى المدير المالي يطلب حوالا مصرفيا عاجلا للاستحواذ على الأعمال التجارية، متجاوزا عمليات التفويض العادية ويستغل رغبة المدير المالي في التصرف بسرعة بناء على تعليمات الرئيس التنفيذي.
4. التصيد والتصيد الاحتيالي
التصيد الاحتيالي عبر الرسائل القصيرة (smishing) والتصيد الصوتي (التصيد الاحتيالي) هي هجمات تصيد يتم إجراؤها عبر الرسائل النصية القصيرة والمكالمات الصوتية، على التوالي. يتضمن التصيد الاحتيالي إرسال رسائل نصية تبدو وكأنها من مصادر مشروعة، وغالبا ما تحتوي على روابط لمواقع ويب ضارة أو تعليمات للاتصال برقم هاتف احتيالي. يستخدم Vishing المكالمات الهاتفية لخداع الضحايا للكشف عن معلومات حساسة مثل كلمات المرور أو أرقام بطاقات الائتمان. على سبيل المثال، قد يتضمن هجوم التصيد الاحتيالي متظاهرا بأنه ممثل بنك ويتصل بالضحية لطلب التحقق من تفاصيل حسابه عبر الهاتف.
5. التصيد الاحتيالي على وسائل التواصل الاجتماعي
تستهدف هجمات التصيد الاحتيالي على وسائل التواصل الاجتماعي المستخدمين على منصات الشبكات الاجتماعية عن طريق إرسال رسائل مباشرة أو منشورات تحتوي على روابط ضارة. قد ينشئ المهاجمون ملفات تعريف مزيفة أو يخترقون حسابات شرعية لنشر روابط أو رسائل تصيد يبدو أنها واردة من الأصدقاء أو جهات الاتصال الموثوق بها. غالبا ما تؤدي هذه الرسائل إلى مواقع ويب مصابة بالبرامج الضارة أو صفحات تسجيل دخول مزيفة مصممة لسرقة بيانات اعتماد المستخدمين.
6. التصيد الاحتيالي للتطبيق
يستهدف التصيد الاحتيالي للتطبيق، المعروف أيضا باسم التصيد داخل التطبيق، المستخدمين من خلال التطبيقات الشرعية. يقوم المهاجمون بإنشاء شاشات تسجيل دخول مزيفة أو رسائل منبثقة ضارة داخل التطبيقات المشروعة لخداع المستخدمين لإدخال بيانات اعتماد تسجيل الدخول أو المعلومات الشخصية الخاصة بهم. يستغل هذا النوع من التصيد ثقة المستخدمين في التطبيق ويمكن أن يؤدي إلى وصول غير مصرح به إلى حساباتهم أو أجهزتهم.
فهم أنواع التصيد الاحتيالي (Phishing) يساعد في التعرف على الأساليب المختلفة التي يستخدمها المهاجمون، ويزيد من فرص الحماية والوقاية. فكلما تطور وعي الافراد بتلك الأنواع، قلت فرص نجاح الهجمات.
كيفية منع هجوم التصيد الاحتيالي؟
لحماية نفسك ومؤسستك من هجمات التصيد الاحتيالي (Phishing)، يجب عليك اتخاذ تدابير استباقية والبقاء يقظًا. فيما يلي أفضل الممارسات التي ستساعدك في الحفاظ على سلامتك:
- تدريب موظفيك: ثقف موظفيك للتعرف على محاولات التصيد الاحتيالي والاستجابة لها على الفور. شجعهم على الإبلاغ عن رسائل البريد الإلكتروني المشبوهة إلى فريق أمان شركتك.
- استخدام حل حماية نقطة النهاية: تقوم أدوات مكافحة البرامج الضارة بفحص الأجهزة لمنع البرامج الضارة التي تدخل النظام واكتشافها وإزالتها من خلال هجمات التصيد الاحتيالي.
- استخدام حل أمان البريد الإلكتروني: تستخدم حلول أمان البريد الإلكتروني قوائم حظر محددة مسبقا تم إنشاؤها بواسطة باحثين أمنيين خبراء لحظر تسليم البريد العشوائي تلقائيا أو نقل رسائل البريد الإلكتروني غير المرغوب فيها إلى مجلد غير هام.
- استخدم متصفحا وبرنامجا محدثا: بغض النظر عن النظام أو المتصفح، تأكد دائما من استخدام أحدث إصدار. يتم إطلاق هجمات جديدة ومبتكرة طوال الوقت، لذا فإن التصحيح المستمر لحلول المؤسسة وتحديثها سيوفر دفاعات أقوى ضد تهديدات البريد العشوائي.
- لا ترد أبدا على الرسائل غير المرغوب فيها: يتيح الرد على رسائل البريد الإلكتروني المخادعة لمجرمي الإنترنت معرفة أن عنوانك نشط. سيضعون بعد ذلك عنوانك على رأس قوائم أولوياتهم ويستمرون في إعادة استهدافه.
- استخدام المصادقة متعددة العوامل (MFA): تضيف المصادقة متعددة العوامل طبقة إضافية من الأمان من خلال طلب شكل ثان من التحقق، مثل التعليمات البرمجية المرسلة إلى جهاز محمول، للوصول إلى الحسابات الحساسة.
- لا تفتح رسائل إلكترونية مريبة: إذا كنت تعتقد أن لديك رسالة بريد إلكتروني للتصيد الاحتيالي في صندوق الوارد الخاص بك، فلا تفتحه وتبلغ عنه من خلال القنوات المناسبة. يمكن للموظفين الإبلاغ عن رسائل البريد الإلكتروني المشبوهة إلى أقسام تكنولوجيا المعلومات في مؤسساتهم، ويمكنهم أيضا أن يكونوا مواطنين جيدين على الإنترنت عن طريق إعادة توجيه رسائل البريد الإلكتروني إلى وكالة الأمن السيبراني وأمن البنية التحتية التابعة للحكومة الأمريكية (CISA).
- التحقق من إساءة استخدام النطاق: غالبا ما يسيء المجرمون استخدام العلامات التجارية والنطاقات الحالية (على سبيل المثال، amazon.com). تحتاج فرق الأمان إلى التحقق بشكل مستمر من إساءة الاستخدام المحتملة لأسماء النطاقات الخاصة بهم بالإضافة إلى أسماء النطاقات لبعض شركائها التجاريين الرئيسيين. إذا تم رصد نطاق ضار، يرجى إرسال طلب إزالة إلى مزود خدمة النطاق
قد يهمك معرفة: ما الدور الذي تلعبه تحديثات ميتا وجوجل في تشكيل مستقبل التكنولوجيا؟
ماذا تفعل إذا وقعت ضحية للتصيد الاحتيالي؟
إذا اكتشفت أنك أدخلت معلومات في موقع مزيف أو فتحت مرفقًا خبيثًا، من المهم أن تتصرف بسرعة لتقليل الأضرار، إليك الخطوات التي يجب اتبعاها فورًا:
- تغيير كلمات المرور الخاصة بك
غيّر كلمات مرور جميع الحسابات المتأثرة فورًا، وخاصةً تلك التي قد تكون تعرضت للاختراق. استخدم كلمات مرور قوية وفريدة، وفكّر في استخدام برنامج لإدارة كلمات المرور لتتبعها.
- إخطار البنوك والجهات المعنية
تواصل مع مصرفك والمؤسسات المالية الأخرى لإبلاغهم باحتمالية الاختراق. يمكنهم مراقبة حساباتك بحثًا عن أي نشاط مشبوه والمساعدة في حماية أموالك.
- تحقق من حساباتك
راجع جميع حساباتك بحثًا عن أي معاملات أو تغييرات غير مصرح بها. أبلغ عن أي نشاط مشبوه للمؤسسات المعنية فورًا.
- تمكين المصادقة الثنائية (2FA)
أضف طبقة أمان إضافية إلى حساباتك من خلال تمكين 2FA، والذي يتطلب شكلاً ثانيًا من التحقق للوصول إلى حساباتك.
- تتبع تسرب البيانات المحتملة أو المعلومات الشخصية القابلة للتعريف (PII)
في حال اختراق الحسابات، استخدم حلاً لحماية المخاطر الرقمية للبحث في الإنترنت المظلم أو المنتديات الإجرامية أو المجتمعات السرية عن بيانات اعتماد مسربة أو بيانات خاصة. يستغل وسطاء الوصول بيانات الاعتماد المسروقة ويبيعونها عبر قنوات سرية متخصصة.
- افصل الاتصال بالإنترنت
إذا كنت تعتقد أنه تم تثبيت برامج ضارة على جهازك، فافصله عن الإنترنت لمنع المزيد من الوصول غير المصرح به أو نقل البيانات.
الخلاصة، الوقت هو العامل الأهم بعد التعرض للتصيد الاحتيالي. فكلما تحركت أسرع، قل الضرر. الأهم هو عدم الخوف، ولكن اتخاذ إجراءات فورية لحماية حساباتك وبياناتك.
الإبلاغ عن هجمات التصيد الاحتيالي
يعد الإبلاغ عن هجمات التصيد الاحتيالي (Phishing) للسلطات المختصة أمرا ضروريًا لمكافحة هذه التهديدات الإلكترونية. إليك كيفية القيام بذلك:
-
الإبلاغ عن الهجوم إلى لجنة التجارة الفيدرالية (FTC)
قم بزيارة موقع لجنة التجارة الفيدرالية على الويب لتقديم بلاغ. يساعد توفير معلومات مفصلة لجنة التجارة الفيدرالية (FTC) على تتبع عمليات التصيد الاحتيالي ومكافحتها.
-
إخطار مزودي خدمة الإنترنت (ISPs)
أبلغ مزود خدمة الإنترنت الخاص بك عن هجوم التصيد الاحتيالي. يمكنهم اتخاذ خطوات لحظر رسائل البريد الإلكتروني الضارة والتحقيق في المصدر.
-
الإبلاغ عن الهجوم إلى منظمة مكافحة التصيد الاحتيالي
استخدم منصات مثل مجموعة عمل مكافحة التصيد الاحتيالي (APWG) للإبلاغ عن محاولات التصيد الاحتيالي. يجمعون البيانات ويعملون على تقليل انتشار هجمات التصيد الاحتيالي.
-
أبلغ مؤسستك
إذا حدث هجوم التصيد الاحتيالي في العمل، فقم بإبلاغ قسم تكنولوجيا المعلومات أو فريق الأمان على الفور. يمكنهم اتخاذ تدابير لتأمين الشبكة ومنع وقوع المزيد من الحوادث.
أهم النصائح لحماية بيانات المستخدمين على موقعك
حماية بيانات المستخدمين مسؤولية أخلاقية وقانونية (مثل GDPR في أوروبا وأنظمة حماية البيانات المحلية). إليك أهم الإجراءات لتأمين موقعك وحماية المستخدمين من الاختراق أو التصيد الاحتيالي (Phishing):
-
استخدم بروتوكول HTTPS (SSL/TLS)
- شهادة SSL تشفر اتصال المستخدم بالموقع، مما يمنع اختراق البيانات أثناء التنقل.
- تأكد من أن جميع الصفحات تستخدم HTTPS وليس HTTP (يمكنك استخدام أدوات مثل Lets Encrypt) مجانًا).
-
طلب كلمات مرور قوية وتفعيل المصادقة الثنائية
- فرض كلمات مرور معقدة (مزيج من أحرف كبيرة وصغيرة، أرقام، ورموز)
- تفعيل (FA2) عبر تطبيقات مثل (Google Authenticator أو Authy) وليس عبر SMS لأنه قابل للاختراق.
-
تحديث البرمجيات بانتظام
- نظام إدارة المحتوى (CMS) مثل WordPress، والاضافات (Plugins)، والخوادم (Servers) يجب تحديثها دوريًا لإصلاح الثغرات الأمنية.
- استخدام أدوات مثل WP Scan لاكتشاف الثغرات في مواقع WordPress.
-
حماية ضد هجمات SQL injection وXSS
- تستخدم استعلامات مُعدة مسبقًا (Prepared Statements) في قواعد البيانات لمنع حقن SQL.
- عقم مدخلات المستخدم (input Sanitization) لمنع هجمات XSS (حقن نصوص خبيثة).
-
النسخ الاحتياطي (Backup) المنتظم
- احفظ نسخ احتياطية تلقائية يومية أو أسبوعية على سحابة خارجية (مثل Google Drive أو AWS S3).
- تأكد من إمكانية استعادة الموقع بسرعة في حالة اختراق أو فقدان البيانات.
-
حماية لوحة التحكم (Admin Panel)
- غير مسار الدخول الافتراضي (مثل / wp -admin إلى مسار خاص).
- حدد محاولات تسجيل الدخول (استخدم إضافات مثل Fail2Ban أو Word fence).
- استخدم IP Whitelisting للوصول إلى المناطق الحساسة.
لا يزال التصيد الاحتيالي (Phishing) واحدًا من أخطر الأسلحة التي يستخدمها القراصنة للإيقاع بضحاياهم. ببساطة هذا الهجوم في ظاهره يخفي وراءه خبئًا متقنًا قادرًا على اختراق أقوى الأنظمة من خلال أضعف حلقة: الإنسان. لذا، فإن الحذر والوعي السيبراني لم يعودا خيارًا، بل هو ضرورة لا غنى عنها. فلنحمي أنفسنا ومجتمعاتنا من خلال المعرفة، والتفكير النقدي، وعدم الوثوق الأعمى بأي رسالة أو رابط. تذكر دائمًا: نقرة واحدة قد تكون كافية لفتح الباب للمخاطر.
