أمان مرفقات البريد: كيف تحكم على الملف قبل أن تفتحه

تخيل مطبعة صغيرة في الساعة 6:40 من مساء يوم الجمعة. تصل رسالة من مورّد الورق الذي تدفع له المطبعة كل شهر، في المحادثة نفسها التي تخص طلب الشهر الماضي. تقول الرسالة «مرفق الفاتورة المعدلة، يُرجى تنفيذها قبل عطلة نهاية الأسبوع»، واسم المرفق Invoice_4471.zip. المورّد حقيقي والمحادثة حقيقية. لكن هذا المورّد كان يرسل دائمًا ملفات PDF عادية، ولم يكن أحد في المطبعة ينتظر تصحيحًا، وموظفو الحسابات في تلك الشركة لا يكتبون عادةً ليلة الجمعة.

التصرف الصحيح هو ترك الملف مغلقًا حتى يؤكده شخص من المورّد على رقم هاتف لدى المطبعة بالفعل. وكقاعدة عامة، يكون المرفق آمنًا بدرجة معقولة عندما تكون تتوقعه، ويثبت المرسل صحته، ويناسب نوع الملف القصة. ويستحق شكًا حقيقيًا إذا اختل أحد هذه الأمور، ويبدأ الخطر عادةً عندما تشغّل شيئًا أو تستخرجه أو «تمكّنه»، لا عندما تقرأ الرسالة. ويدور معظم هذا المقال حول كيفية إصدار هذه الأحكام الثلاثة بسرعة، وكيفية الحد من الضرر عندما لا تستطيع ذلك.

فحص فاتورة يوم الجمعة

المثال السابق مفيد لأن النصيحة المعتادة تفشل معه. فعبارة «لا تفتح ملفات الغرباء» لا تنفع عندما يكون المرسل شخصًا تدفع له. لذا انظر إلى ما تغير فعلًا. تغيرت الصيغة، من PDF إلى ملف مضغوط. وتغير التوقيت. وتدفع الرسالة إلى التصرف قبل عطلة نهاية الأسبوع، حين لا يسهل على أحد التحقق. قد يكون لكل واحد من هذه الأمور تفسير بريء، لكنها معًا تكفي للتوقف والتحقق.

ثم يأتي الاحتمال الذي قد لا يخطر ببال صاحب المطبعة: قد تكون الرسالة قد جاءت فعلًا من صندوق المورّد. فالمجرمون الذين يدخلون إلى حساب واحد يردون غالبًا داخل محادثات قائمة، لأن المحادثة القديمة تحمل ثقة لا تملكها رسالة من شخص جديد. ويسمى هذا اختطاف المحادثات. وهو يعني أن صحة عنوان المرسل وألفة سطر الموضوع لا تحسمان شيئًا، ولهذا يجب أن يجري الفحص الأخير خارج البريد.

قد يكون التسلسل المعقول لصاحب المطبعة كما يلي:

1. لا ترد على الرسالة لتسأل هل هي حقيقية. فإذا كان الصندوق مخترقًا، فسيصل الرد إلى من يدير عملية الاحتيال.
2. ابحث عن رقم المورّد في فاتورة ورقية قديمة أو في العقد أو في جهات اتصال الهاتف. لا تستخدم الرقم الموجود في توقيع الرسالة.
3. اطرح سؤالًا بسيطًا: «هل أرسلتم فاتورة معدلة الليلة؟» وإذا كان المكتب مغلقًا، فالفاتورة تستطيع الانتظار حتى يوم الاثنين. والمورّد الحقيقي سيقبل الدفع يوم الاثنين أسهل بكثير مما يقبله المجرم.
4. إذا كان لدى المورّد بوابة على الإنترنت، فسجّل الدخول بكتابة عنوانها وانظر هل تظهر الفاتورة هناك.
5. إذا كان الجواب بالنفي، فحذّر المورّد من أن صندوقه قد يكون مخترقًا، ثم أبلغ عن الرسالة واحذفها.

ولهذا المثال صيغة أهدأ لا يكشفها أي ماسح. فقد يكون المرفق ملف PDF سليمًا وعاديًا لفاتورة حقيقية تمامًا مع تفصيل واحد معدل: الحساب المصرفي. لا توجد برامج خبيثة والملف لا يضر جهازك، ومع ذلك يذهب المال إلى المكان الخطأ. وأي تغيير في بيانات الدفع يستحق المكالمة نفسها، أيًا كانت صيغة الملف.

ما الذي يحاول المرفق الضار فعله

ما زالت المرفقات شائعة بين المهاجمين لسبب بسيط. فخدمات البريد لا تستطيع رفض كل ملف، لأن الناس يحتاجون إلى تبادل الفواتير والسير الذاتية والعقود والصور، والمستلم يفتح الملف بإرادته. ويسعى الملف الخبيث عادةً إلى واحدة من أربع نتائج، ومعرفة ما تسمح به كل صيغة هي معظم المهارة.

• يشغّل شيفرة مباشرة. يبدأ البرنامج أو النص البرمجي عند الضغط عليه مرتين ويحصل على الأذونات نفسها التي لديك.
• يقنع تطبيقًا آخر بتشغيل شيفرة، باستخدام وحدات الماكرو أو الكائنات المضمنة أو ثغرة في البرنامج.
• يرسلك إلى مكان آخر. يحتوي ملف PDF أو مستند على زر فقط يقود إلى صفحة دخول مزيفة، فيكون الملف سليمًا بينما الوجهة هي الهجوم.
• يجمع ما تكتبه. يفتح مرفق HTML في متصفحك كصفحة محلية تقلد شاشة دخول وترسل كلمة مرورك إلى شخص آخر.

لا تستطيع صورة JPEG في عارض محدث أن تفعل شيئًا من الأمور الثلاثة الأولى بنفسها. أما ملف الاختصار في Windows فيستطيع تشغيل سطر أوامر وهو يعرض أيقونة مستند. وهذا الفرق بين الصيغ هو ما يفسر الجدول التالي.

أنواع الملفات مرتبة بحسب ما تستطيع فعله

تفترض هذه التقييمات أن الملف جاء من مرسل مجهول أو غير متوقع. وهي تقدير مبني على قدرات كل صيغة، وقد يرفع السياق الملف أو يخفضه. فملف جدول بيانات .xlsm من محاسبك في موسم الضرائب أمر طبيعي. أما الملف نفسه من عنوان مجهول عن شحنة فائتة فليس كذلك.

الامتدادات	ما هو	الخطر	السبب
.exe, .msi, .scr, .com, .pif	برامج Windows وأدوات التثبيت	مرتفع جدًا	تشغّل شيفرة بأذوناتك. وملف .scr الذي يبدو «شاشة توقف» برنامج عادي.
.js, .jse, .vbs, .vbe, .wsf, .hta, .ps1, .bat, .cmd	نصوص برمجية	مرتفع جدًا	في Windows مفسرات مدمجة لها. ونادرًا جدًا ما يكون لدى الغريب سبب وجيه لإرسال أحدها.
.lnk	اختصار Windows	مرتفع جدًا	يستطيع إطلاق أمر مع معاملات خلف أيقونة تبدو بريئة.
.iso, .img, .vhd, .vhdx	صور الأقراص	مرتفع	يركّبها الضغط المزدوج كأنها محرك أقراص، وقد استُخدمت لتغليف البرامج والاختصارات.
.docm, .xlsm, .pptm, .xlam	ملفات Office الداعمة لوحدات الماكرو	مرتفع	يعني الحرف «m» أن الملف يمكنه حمل وحدات ماكرو VBA. لها استخدامات شرعية، لكنها غير شائعة من الغرباء.
.doc, .xls	صيغ Office الأقدم	متوسط إلى مرتفع	يمكنها حمل وحدات الماكرو دون أي دليل في الاسم، ولها تاريخ طويل من إساءة الاستخدام.
.zip, .rar, .7z, .gz, .tar	ملفات مضغوطة	بحسب المحتوى	يمكنها حمل أي شيء في هذا الجدول. ولا يمكن فحص المشفر منها.
.html, .htm, .svg	صفحات الويب والصور المتجهية	متوسط إلى مرتفع	تفتح في المتصفح ويمكنها عرض نماذج دخول مزيفة، أو تشغيل نصوص برمجية، أو تجميع ملف في الحال.
.one	دفتر OneNote	متوسط إلى مرتفع	استُخدم لإخفاء نصوص برمجية خلف زر مزيف يقول «اضغط للعرض».
.pdf	مستند محمول	منخفض إلى متوسط	خامل في الغالب، لكن يمكنه حمل روابط وملفات مضمنة ونصوص برمجية.
.docx, .xlsx, .pptx	ملفات Office الحديثة	منخفض إلى متوسط	لا يمكنها تخزين وحدات ماكرو VBA، لكن يمكنها أن تتضمن روابط ومراجع خارجية وكائنات مضمنة.
.jpg, .png, .gif, .webp	صور نقطية	منخفض	بيانات خاملة. والخطر ثغرة نادرة في العارض، وهذا ما تعالجه التحديثات.
.txt, .csv	نصوص وبيانات	منخفض، مع تحفظ واحد	النص لا يشغّل نفسه، لكن ملف CSV المفتوح في جدول بيانات قد يحتوي على صيغ، فارفض طلبات تمكين المحتوى الخارجي.

يقوم مزودو البريد بجزء من هذا الفرز عنك. فـ Gmail مثلًا يرفض قائمة من أنواع الملفات تشمل .exe و.js و.lnk و.iso، وينظر أيضًا داخل الملفات المضغوطة حين يستطيع. ويحظر Outlook كذلك كثيرًا من أنواع البرامج والنصوص البرمجية. ولهذا يفضل المجرمون الصيغ التي تضطر الفلاتر إلى تمريرها، ولهذا يكون الوعاء غير المعتاد أكثر دلالة في الغالب من الاسم الخطر الواضح.

كيف يُخفى النوع الحقيقي للملف

يخفي Windows الامتدادات المعروفة افتراضيًا، وهذا ما يجعل أقدم الحيل تعمل حتى الآن. فالملف المسمى invoice.pdf.exe يظهر باسم invoice.pdf. عطّل هذا مرة واحدة وسيبقى معطلًا. في Windows 11، افتح مستكشف الملفات واختر عرض، ثم إظهار، ثم ملحقات أسماء الملفات. وفي Windows 10، هو مربع اختيار في تبويب عرض. وعلى Mac، انتقل إلى Finder، ثم الإعدادات، ثم متقدم وحدد إظهار كل امتدادات أسماء الملفات.

وهناك أقنعة أخرى تحتاج إلى انتباه أكبر. فالأسماء الطويلة المحشوة بالمسافات، مثل statement.pdf .js، تدفع النهاية الحقيقية خارج العمود الضيق. ويمكن لحرف تحكم في Unicode، هو تجاوز الاتجاه من اليمين إلى اليسار (U+202E)، أن يعكس طريقة عرض نهاية الاسم، فيبدو ملف ينتهي فعليًا بـ .exe كأنه ينتهي بـ .pdf. كما يمكن للبرامج والاختصارات أن تحمل أي أيقونة تريدها، ومنها أيقونة PDF أو Word، فالأيقونة لا تثبت شيئًا.

والرسالة نفسها يمكن أن تكذب أيضًا. فكل مرفق يأتي بنوع محتوى معلن مثل application/pdf، لكن المرسل هو من يختار هذا الوصف. وما يحدث على جهازك يتوقف على الصيغة الحقيقية للملف وامتداده. لذلك افحص عمود النوع أو خصائص الملف في Windows، ومعلومات على Mac، وعرض التفاصيل في مدير الملفات على الهاتف.

مستندات Office والشريطان الملونان

تستحق ملفات Office قسمًا خاصًا بها لأنها في كل مكان وقد أُسيء استخدامها لعقود. وحدة الماكرو برنامج صغير مكتوب بلغة Visual Basic for Applications، مخزن داخل مستند، ويمكنه أتمتة عمل مفيد أو تنزيل شيء آخر وتشغيله. وتعطي صيغة الملف دليلًا جزئيًا: لا يمكن لملفات .docx و.xlsx تخزين وحدات ماكرو VBA، بينما يمكن ذلك لملفات .docm و.xlsm، وكذلك لملفات .doc و.xls الأقدم دون أن تصرح به.

عندما تفتح ملفًا من الإنترنت أو من رسالة في Office لنظام Windows، ستواجه عادةً أحد شريطين. الأصفر يخص طريقة العرض المحمية، التي تفتح المستند للقراءة فقط في وضع مقيد وتعرض تمكين التحرير. وما دمت في طريقة العرض المحمية، فما يستطيع الملف فعله محدود جدًا. يمكنك قراءته، ولا سبب لمغادرتها إذا كان المستند للقراءة فقط.

أما الأحمر فشريط أمني. فقد غيّرت Microsoft برنامج Office لنظام Windows، مع بدء التطبيق في عام 2022، بحيث تُحظر افتراضيًا وحدات ماكرو VBA في الملفات القادمة من الإنترنت في Word وExcel وPowerPoint وAccess وProject وPublisher وVisio. يقول الشريط إن وحدات الماكرو حُظرت لأن مصدر الملف غير موثوق. وبحسب وثائق Microsoft، لا يشمل هذا التغيير Office على Mac أو Android أو iOS أو الويب، فلا تفترض السلوك نفسه في كل مكان.

يعتمد الحظر على Mark of the Web، وهو وسم يضيفه Windows إلى الملفات القادمة من موقع غير موثوق مثل تنزيل من المتصفح أو مرفق بريد. ويستطيع الشخص إزالة الوسم بتحديد إلغاء الحظر في خصائص الملف، وهذا يعطيك علامة تحذير واضحة. فإذا طلب منك مستند أو رسالة تبدو متعاونة أن تضغط بالزر الأيمن على الملف وتحدد إلغاء الحظر ثم تعيد فتحه، فأنت تُقاد إلى تجاوز الحماية. أغلقه.

رد المهاجمون بالإقناع. فمستند الفخ المعتاد يعرض صفحة ضبابية وسطرًا مثل «أُنشئ هذا المستند في إصدار أحدث. مكّن التحرير والمحتوى لعرضه». لا يحتاج أي مستند حقيقي إلى وحدات ماكرو لمجرد قراءته. وإذا جاء الملف من شخص لا تستطيع التحقق منه، فاعتبر هذه الرسالة جوابًا عن سؤالك هل هو آمن.

يفسر تاريخ هذا الصراع بعض الصيغ الغريبة في الجدول. فقد انتشرت صور الأقراص جزئيًا لأن الملفات داخل ISO لم تكن تحصل على Mark of the Web، إلى أن أصلحت Microsoft ذلك في نوفمبر 2022 (CVE-2022-41091). ثم ازدادت إساءة استخدام ملفات OneNote، بنصوص برمجية واختصارات مضمنة خلف أزرار مزيفة، وفي 2023 أعلنت Microsoft أن OneNote في Microsoft 365 وOffice التجاري سيحظر الملفات المضمنة ذات الامتدادات الخطرة. كل إصلاح يدفع المهاجمين إلى الوعاء التالي، فالصيغة غير المألوفة من غريب سبب كافٍ للتوقف.

ملفات PDF وصفحات الويب والصور

الغالبية العظمى من ملفات PDF غير ضارة، والخطر الواقعي نادرًا ما يكون ثغرة ذكية. فهو في الأغلب ملف PDF من صفحة واحدة بشعار وزر كبير يقول «عرض المستند الآمن» ويقود إلى صفحة دخول مزيفة. ويمكن لملف PDF أيضًا أن يحمل ملفات مضمنة قد يعرض العارض فتحها، وقد يتضمن JavaScript. وقد ظهرت في قارئات PDF ثغرات أمنية على مر السنين، فأبقِ قارئك محدثًا. وفتح ملف PDF غير متوقع في العارض المدمج بمتصفح حديث خيار افتراضي معقول، وإذا كنت تستخدم Adobe Acrobat Reader ونادرًا ما تحتاج إلى النصوص البرمجية، فيمكنك إلغاء تحديد تمكين Acrobat JavaScript ضمن تحرير، ثم التفضيلات، ثم JavaScript. وملف PDF الذي لا يوجد إلا ليقول «مستندك جاهز، اضغط هنا» باب وليس مستندًا.

مرفقات HTML أسوأ مما تبدو. فهي تفتح في متصفحك كصفحة محلية ويمكنها عرض نسخة مثالية من شاشة دخول وعنوان بريدك مكتوب فيها مسبقًا. ولأن الرسالة لم تتضمن أي عنوان ويب مشبوه، فقد لا ترى ماسحات الروابط في خدمة بريدك شيئًا. ويمكن لملف HTML أيضًا أن يبني ملفًا داخل المتصفح من بيانات مرمّزة ويعرضه للتنزيل، وهي تقنية تسمى تهريب HTML، قد تفلت من الفلاتر التي لا تفحص إلا المرفقات. لا تحتاج أي شركة حقيقية إلى أن تسجل الدخول من ملف مرفق برسالة. اعتبر أي صفحة كهذه تصيدًا، واذهب إلى الخدمة بكتابة عنوانها.

تبدو ملفات SVG صورًا وهي معرّفة بلغة XML، وهذا يعني أنها يمكن أن تتضمن نصوصًا برمجية وروابط. وهي تتصرف في عارض الصور كأنها صورة، أما في المتصفح فقد تتصرف كصفحة ويب. وملف SVG غير المتوقع من غريب يستحق الشك نفسه الذي يستحقه ملف HTML.

ملفات JPEG وPNG وGIF وWebP العادية بيانات خاملة، والخطر النظري لثغرة في العارض هو ما تعالجه تحديثات النظام. أما الخطر العملي فمختلف: قد تكون الصورة مجرد طُعم، مثل «لقطة شاشة» لفاتورة تطلب منك الاتصال برقم هاتف. الملف آمن، أما التعليمات التي فيه فلا.

الملفات المضغوطة: احكم على المحتوى لا على الغلاف

ملف ZIP ليس آمنًا ولا خطرًا. فهو آمن بقدر ما في داخله بالضبط. وتناسب الملفات المضغوطة المهاجمين لأن الرسالة لا تعرض سوى «documents.zip» ويبقى نوع الملف الحقيقي مخفيًا، ولأن ملفًا مضغوطًا داخل آخر، أو صيغة أقل شيوعًا، قد يربك بعض الماسحات.

ويضيف التشفير مشكلة أخرى. فأدوات أمان البريد لا تستطيع النظر داخل ملف مضغوط محمي بكلمة مرور، ولهذا فإن الرسالة التي تحتوي على ملف مضغوط مشفر وكلمة مروره معًا نمط كلاسيكي. فكر فيما يحققه هذا الترتيب: لا يوفر أي سرية، لأن كل من يملك الرسالة يملك كلمة المرور، والشيء الوحيد الذي يفعله بثبات هو إعماء الماسح. أما المرسل الحقيقي الذي يشفر ملفًا فيشارك كلمة المرور عادةً بطريقة أخرى، كالهاتف أو محادثة منفصلة.

إذا تحققت من أن الملف المضغوط ينبغي أن يكون موجودًا وما زلت تريد رؤية ما بداخله:

1. افتح الملف المضغوط لعرض قائمة ملفاته دون استخراج أي شيء. يمكن لمستكشف الملفات في Windows ولبرامج الضغط مثل 7-Zip عرض القائمة. أما Mac فيفك الضغط افتراضيًا في الغالب عند الضغط المزدوج، فاستخدم أداة ضغط هناك.
2. اقرأ كل اسم وامتداد. فوجود ملف واحد .lnk أو .js أو .exe أو .iso في شيء وُصف بأنه أوراق عمل ينهي المسألة، فاحذف الملف المضغوط.
3. تأكد من أن المحتويات تطابق القصة. فـ«دليل PDF» ينبغي أن يكون ملف PDF، لا مجلدًا فيه اختصار.
4. استخرج الملف الذي تحتاج إليه فقط، ثم طبق عليه الفحوص نفسها.

فحص المرسل باختصار

الملف نصف الهجوم، والقصة المقنعة حوله هي النصف الآخر. ويتناول دليلنا عن كشف رسائل التصيد هذا بالتفصيل، وهذه هي الفحوص الأهم فيما يخص المرفقات.

ابدأ بالعنوان الحقيقي، لأن أي شخص يستطيع جعل اسم العرض ما يشاء. فقد يكون «قسم الحسابات» هو billing@example-pay.example. على الكمبيوتر، مرر المؤشر فوق الاسم أو اضغط عليه، وعلى الهاتف، المس سطر المرسل. ابحث عن نطاقات فيها كلمات مضافة أو شرطات أو حروف مبدلة («rn» تتظاهر بأنها «m»)، وعناوين بريد مجانية تزعم أنها قسم الفواتير أو الشؤون القانونية في شركة، ونطاق لا يطابق الموقع الذي تعرفه بالفعل.

ثم انظر إلى أين سيذهب الرد. فقد تأتي الرسالة من عنوان وتوجه الردود إلى عنوان آخر. وتفعل ذلك أحيانًا القوائم البريدية وأنظمة التذاكر، وكذلك النشرات التي اشتركت فيها، لأسباب عادية، لكن لا ينبغي أن تفعله رسالة تبدو شخصية عن دفعة عاجلة.

يستغرق الفحص التقني دقيقة. في Gmail، افتح قائمة النقاط الثلاث واختر عرض الرسالة الأصلية. وفي Outlook على الويب، استخدم عرض، ثم عرض مصدر الرسالة. ابحث عن spf=pass وdkim=pass وdmarc=pass. يسرد SPF الخوادم التي يحق لها الإرسال باسم النطاق، وDKIM توقيع مشفر يوضح أن النطاق أذن بالرسالة وأنها لم تُعدل، ويربط DMARC هذه النتائج بنطاق From الظاهر ويخبر المستقبلين بما عليهم فعله عند الفشل. اقرأ النتائج في اتجاه واحد فقط. فالفشل في رسالة تزعم أنها من مصرفك تحذير قوي. أما النجاح فلا يجعل الرسالة آمنة، لأن المجرمين يستطيعون تسجيل نطاق شبيه وتوثيقه بشكل صحيح، والصندوق المخترق ينجح في كل الفحوص.

يبقى السؤال الذي لا تجيب عنه أي ترويسة: هل يناسب هذا محادثة حقيقية؟ ينبغي أن تستطيع القول إنك كنت تتوقع هذا الملف من هذا الشخص في هذا الموضوع، وإنه يتضمن تفاصيل يمكنك التحقق منها في حسابك. والضغط يعمل ضد ذلك. فالاستعجال والسرية والخوف («إجراء قانوني»، «لا تخبر أحدًا»، «يُغلق الحساب اليوم») مع ملف هو النمط المعتاد. وعند الشك، تواصل مع المرسل عبر بيانات كانت لديك قبل وصول هذه الرسالة. فإذا كانت الفاتورة حقيقية، فستكون في حسابك أيضًا.

عندما تضطر إلى فتح ملف من شخص جديد

أحيانًا يكون الملف هو المقصود كله: سيرة ذاتية لمتقدم إلى وظيفة، أو أول عرض سعر من مورّد، أو رد على شيء عرضته للبيع. والهدف عندها أن ترى المحتوى مع منح الملف أقل قدر ممكن من القوة. تتدرج هذه الخيارات من الأقل جهدًا إلى الأكثر، وسيتوقف معظم الناس بعد الثاني أو الثالث.

اسأل نفسك هل تحتاج إلى فتحه أصلًا. إذا كان الملف غير متوقع والقصة عامة، فالحذف لا يكلف كثيرًا، لأن المرسلين الحقيقيين يتابعون.

استخدم معاينة خدمة بريدك. كثيرًا ما تعرض خدمات بريد الويب ملفات PDF والصور ومستندات Office على خوادمها، فيُعرض الملف ولا يُشغَّل على جهازك. عاين أولًا، ولا تنزّل إلا عند الضرورة. وهذه أنفع عادة واحدة لمن يتلقى في عمله ملفات من الغرباء.

افتح المستندات للقراءة فقط. البقاء في طريقة العرض المحمية، أو فتح الملف في حزمة مكتبية على الويب، يحد مما يستطيع فعله. لا تقترب من تمكين التحرير وتمكين المحتوى.

افحصه. في Windows، يمكنك الضغط بالزر الأيمن على ملف محفوظ وفحصه بواسطة Microsoft Defender، وتوفر منتجات الأمان الأخرى الأمر نفسه. وفي ملف لا يتضمن شيئًا خاصًا، يعطيك ماسح متعدد المحركات على الإنترنت مثل VirusTotal رأيًا ثانيًا. وقد تُشارك الملفات المرفوعة إلى خدمات كهذه مع شركات الأمان والباحثين، فلا ترفع أبدًا العقود أو وثائق الهوية أو الفواتير أو أي شيء سري. كما أن النتيجة السليمة ليست ضمانًا، لأن الملف الجديد أو المعدل قد لا يكتشفه أي شيء بعد.

اطلب صيغة مختلفة. يستطيع المتقدم الحقيقي أن يعيد إرسال سيرته الذاتية بصيغة PDF قياسية. ويستطيع العميل لصق النص في متن الرسالة. الطلب لا يكلف شيئًا، ومن يحاول توصيل ملف بعينه يميل إلى الإصرار.

استخدم بيئة معزولة لكل ما هو غير معتاد. يتوفر Windows Sandbox في إصدارات Pro وEnterprise وEducation من Windows، ويُفعَّل عبر تشغيل ميزات Windows أو إيقاف تشغيلها، ويحتاج إلى تمكين المحاكاة الافتراضية. وهو يعطيك سطح مكتب مؤقتًا، ويُتخلص من كل ما فيه عند إغلاقه. ويظل لديه وصول إلى الشبكة افتراضيًا ما لم توقفه في ملف إعداد، فالملف الذي يعمل داخله يستطيع الوصول إلى الإنترنت، ولا ينبغي أن تسجل الدخول إلى أي شيء من هناك. ويؤدي الجهاز الافتراضي أو الجهاز الاحتياطي الغرض نفسه.

اختبار سريع قبل الضغط المزدوج

مرّ على هذه الأسئلة عندما تشعر بأن شيئًا ليس على ما يرام. وجود إجابتين مقلقتين أو أكثر سبب كافٍ لحذف الرسالة أو التحقق منها أولًا.

• هل أعرف هذا المرسل، وهل كنت أتوقع هذا الملف الآن؟
• هل يطابق العنوان الحقيقي ونطاقه من يزعم أنه هو؟
• هل هذا هو نوع الملف الذي أتوقعه لهذا الموضوع؟
• هل الملف داخل وعاء، خاصة إذا كان محميًا بكلمة مرور؟
• هل تدفع الرسالة إلى الاستعجال أو السرية أو الدفع أو تسجيل الدخول؟
• هل يطلب المستند مني تمكين التحرير أو المحتوى أو وحدات الماكرو؟
• هل يمكنني التأكد من ذلك عبر قناة منفصلة أولًا؟

الهواتف وأجهزة Mac مختلفة وليست محصنة

برامج Windows ونصوصه البرمجية لا تعمل ببساطة على iOS أو Android، وأنظمة الهاتف تقيد التطبيقات أكثر مما تفعل أنظمة الكمبيوتر التقليدية. وهذا يزيل فئة كبيرة من التهديدات. لكن للهواتف نقاط ضعفها الخاصة، والتصيد ينجح فيها على الأقل بقدر ما ينجح في غيرها، إذ تُخفى العناوين الكاملة على الشاشة الصغيرة ويبدو زر الدخول المزيف كأي زر آخر.

في Android، الخطر الأساسي من الملفات هو APK، وهو حزمة تطبيق تُرسل كمرفق. ولا يمكن تثبيتها إلا إذا سمحت للتطبيق الذي فتحها بتثبيت التطبيقات المجهولة. تحقق من هذا ضمن الإعدادات، ثم التطبيقات، ثم الوصول الخاص للتطبيقات، ثم تثبيت التطبيقات المجهولة، وإن كان المسار الدقيق يختلف بين الشركات المصنعة. أبقِه معطلًا لتطبيق البريد والمتصفح، وثبّت التطبيقات من المتاجر الرسمية فقط. وعلى iPhone وiPad، احذر ملفات التعريف، التي يمكنها تغيير إعدادات مثل VPN والشهادات الموثوقة. تظهر الملفات المثبتة ضمن الإعدادات، ثم عام، ثم VPN وإدارة الجهاز. لا تثبت أيًا منها لأن رسالة طلبت ذلك.

كما تميل تطبيقات البريد في الهواتف إلى إخفاء العنوان الكامل للمرسل وامتداد الملف، فعليك أن تلمس الشاشة لكشفهما. وإذا بدا الملف مهمًا ولم تستطع قراءة تفاصيله براحة، فانتظر حتى تصل إلى شاشة أكبر. قليل جدًا من المرفقات الصادقة لا يحتمل انتظار ساعة.

ولأجهزة Mac حمايتها الخاصة، Gatekeeper، الذي يفحص التطبيقات المنزلة قبل تشغيلها أول مرة ويحذر من البرامج التي لا تأتي من مطور معروف. وتطلب منك تعليمات الاحتيال أحيانًا تجاوز هذا التحذير بفتح الملف بطريقة مختلفة أو بلصق أمر في Terminal. تعامل مع هذه التعليمات كما تتعامل مع «تمكين المحتوى» في مستند Word. واحذر ملفات .dmg و.pkg و.app و.command القادمة من الغرباء، فهي نظائر Mac لأول صفوف الجدول.

إعدادات تغيّر الاحتمالات

لا يحتاج أي منها إلى أدوات متخصصة. المرور على هذه القائمة مرة واحدة يستغرق وقت استراحة قهوة تقريبًا، ومعظمها لا يحتاج إلى تكرار.

الإعداد	أين	فيمَ يساعد
إظهار امتدادات أسماء الملفات	قائمة «عرض» في مستكشف الملفات؛ إعدادات Finder، متقدم	الامتدادات المزدوجة والملفات المقنّعة
التحديثات التلقائية	إعدادات النظام ومتجر التطبيقات	الثغرات المعروفة في العارضات والمتصفحات وOffice
تشغيل برنامج الأمان	أمان Windows، أو المنتج الذي تختاره	البرامج الخبيثة المعروفة عند حفظ الملفات أو فتحها
طريقة العرض المحمية وحظر وحدات الماكرو	Office: ملف، خيارات، مركز التوثيق، إعدادات مركز التوثيق (مفعّلة عادةً)	المستندات التي تشغّل شيفرة دون قرار منك
حظر تثبيت التطبيقات المجهولة	Android: الوصول الخاص للتطبيقات	ملفات APK الواردة بالبريد
حساب قياسي غير إداري للاستخدام اليومي	إعدادات حسابات النظام	حصول البرامج الخبيثة بسهولة على صلاحيات شاملة
الدخول متعدد العوامل في الحسابات المهمة	صفحة الأمان في كل حساب	الاستيلاء على الحساب بعد سرقة كلمة المرور
عنوان منفصل للتسجيلات	عنوان ثانوي أو اسم مستعار أو صندوق مؤقت	تحول صندوقك الرئيسي إلى هدف

مرفقات شائعة وكيف تسوء عادةً

المواقف التالية أمثلة على أنماط تتكرر كثيرًا. والمهم في كل منها هو الفرق بين الطريقة التي يصل بها الشيء الحقيقي عادةً وما تنظر إليه الآن.

الادعاء	شكل الشيء الحقيقي	ما ينبغي أن يوقفك	ما عليك فعله
فاتورة من شركة لا تتعامل معها	سيكون لديك حساب أو طلب	لا توجد علاقة، وغالبًا ملف مضغوط أو ملف HTML أو مستند ماكرو	احذفها
فاتورة من شركة تتعامل معها	ظاهرة في حسابك، بالصيغة المعتادة	صيغة جديدة، أو بيانات مصرفية جديدة، أو توقيت غريب	سجّل الدخول مباشرة أو اتصل برقم معروف
«معاينة» مستند مشترك	رابط من خدمة المشاركة، يفتح حيث سجلت الدخول بالفعل	ملف HTML مرفق فيه صفحة دخول	اذهب إلى الخدمة بنفسك وابحث عن الملف المشترك
سيرة ذاتية أو ملف أعمال	ملف PDF أو مستند قياسي	ملف مضغوط أو مستند ماكرو أو رابط إلى موقع تنزيل غريب	عاينه، واطلب صيغة قياسية
إشعار بريد صوتي أو فاكس	ترسل أنظمة هاتف كثيرة ملفًا صوتيًا مثل WAV أو MP3	HTML أو ملف مضغوط أو برنامج	افحص بوابة نظام الهاتف لديك
ملف عاجل من «مديرك»	القنوات المعتادة والأسلوب المعتاد	السرية أو العجلة أو طلب دفع	تأكد بالهاتف أو وجهًا لوجه
مرفق جديد في محادثة قديمة	مكتوب بأسلوب الشخص نفسه وفي صلب الموضوع	عبارة عامة مثل «انظر المرفق»، أو نوع ملف لا يرسله أبدًا	تواصل معه بشكل منفصل قبل الفتح

يستحق صف المتقدم إلى الوظيفة كلمة لكل من يوظف. فالتوظيف هو بالضبط الحالة التي يُفترض فيها أن يرسل إليك مجهولون ملفات، ولهذا يقلدها المهاجمون. والقاعدة المنشورة التي تقول «PDF فقط، دون ملفات مضغوطة أو روابط» لا تكلف المتقدمين الحقيقيين شيئًا وتزيل معظم الخطر قبل وصول أي شيء.

للفرق الصغيرة

إذا كنت تشرف على البريد لفريق، فبضع ضوابط تقلل ما يعتمد على حكم شخص واحد في ظهيرة مزدحمة. اضبط خدمة البريد على حظر الأنواع عالية الخطورة مثل البرامج والنصوص البرمجية حظرًا تامًا، واحتجاز الملفات المضغوطة المحمية بكلمة مرور القادمة من الخارج للمراجعة. انشر SPF وDKIM وDMARC لنطاقك حتى يصعب تزوير اسمك، واقرأ تقارير DMARC لترى من يرسل باسمك. ويساعد شريط ظاهر على الرسائل القادمة من خارج المؤسسة في أن يلاحظ الناس متى يكتب «المدير» من مكان آخر.

وداخليًا، الروابط المشتركة من منصة تثق بها أفضل من المرفقات، لأن أي مرفق من الخارج يبرز عندها. اتفقوا على قاعدة مكتوبة تقضي بأن يُؤكد أي تغيير في البيانات المصرفية بالهاتف دائمًا، على رقم موجود في الملف، أيًا كان الطالب ومهما بدا الأمر عاجلًا. وامنح الموظفين طريقة بضغطة واحدة للإبلاغ عن البريد المشبوه، واشكر من يستخدمها، ومنهم من ضغط بالفعل. فمن يصمت حرجًا يمنح المتسلل ساعات إضافية.

إذا كنت قد فتحته بالفعل

يقع الحذرون في هذا الخطأ أيضًا، وعادةً حين يكونون متعبين أو مشغولين. الدقائق الأولى مهمة، وما تفعله يعتمد على ما حدث فعلًا.

فتحت صورة أو ملف PDF في عارض محدث ولم تضغط شيئًا. الخطر الواقعي منخفض. أجرِ فحصًا وواصل عملك، مع الانتباه إلى أي رسائل متابعة.

شغّلت شيئًا أو استخرجت شيئًا أو مكّنت وحدات الماكرو. اتبع هذه الخطوات بالترتيب:

1. أغلق الملف وتوقف عن الاستجابة لطلباته. لا تدخل أي كلمة مرور.
2. أوقف Wi-Fi أو افصل كابل الشبكة. قد يمنع هذا البرنامج الخبيث من جلب مكونات إضافية أو إرسال البيانات إلى الخارج.
3. في جهاز العمل، أبلغ فورًا من جهاز آخر، ولا تحاول تنظيفه بنفسك. البلاغ المبكر يتيح لموظفي تقنية المعلومات أو الأمان احتواء المشكلة قبل انتشارها.
4. أجرِ فحصًا كاملًا. في أمان Windows، انتقل إلى الحماية من الفيروسات والمخاطر، ثم خيارات الفحص، حيث يعيد فحص Microsoft Defender دون اتصال تشغيل الكمبيوتر ويفحصه قبل تحميل Windows.
5. من جهاز آخر نظيف، غيّر كلمات مرورك المهمة، مبتدئًا بالبريد، لأن البريد يعيد تعيين كل شيء آخر. ثم المصارف وكل ما سجلت الدخول إليه مؤخرًا على الجهاز المصاب.
6. راجع عمليات الدخول الأخيرة إلى حساب بريدك، وقواعد إعادة التوجيه، والفلاتر، والتطبيقات المتصلة. فالمهاجمون يضيفون أحيانًا قاعدة مخفية ليواصلوا تلقي بريدك بعد تغيير كلمة المرور.
7. فعّل الدخول متعدد العوامل، أو تأكد من أنه ما زال مفعّلًا، في الحسابات المهمة.

كتبت كلمة مرور في صفحة فتحها المرفق. اعتبر كلمة المرور هذه مسروقة. غيّرها في الموقع الحقيقي بكتابة عنوانه بنفسك، وغيّرها في كل مكان آخر استخدمتها فيه.

أدخلت بيانات البطاقة. اتصل بمصرفك أو بمزود البطاقة على الرقم المطبوع على بطاقتك، واطلب منهم حظرها.

ما زال الجهاز يتصرف بغرابة. البرامج الجديدة وأدوات الأمان المعطلة وتحويلات المتصفح علامات على أن الفحص لم يكن كافيًا. والاستعادة من نسخة احتياطية سليمة أو إعادة تثبيت النظام هي العلاج الموثوق، ولهذا فإن الاحتفاظ بنسخة احتياطية غير متصلة أو ذات إصدارات جزء من أمان المرفقات عمليًا.

أين يناسب الصندوق المؤقت، وأين لا يناسب

كل ما سبق يعمل بعد أن تصلك الرسالة الخطرة. أما خصوصية الصندوق فتعمل قبل ذلك، بالحد ممن يستطيع الوصول إلى عنوانك المهم أصلًا. فكل موقع يحتفظ بعنوانك الحقيقي قد يسربه أو يبيعه أو يتعرض للاختراق. وتقليل هذا الانكشاف يعني مرسلين مجهولين أقل لاحقًا، وهذا يجعل ملاحظة الملف غير المتوقع أسهل أيضًا. ويشرح مقالنا عن تنظيم بريدك الشخصي كيف تقسم عناوينك بحسب مستوى الثقة.

الصندوق المؤقت أداة للمستوى الأدنى. فإذا استخدمته لتنزيل لمرة واحدة أو لسؤال واحد في منتدى، حيث تسمح شروط الموقع، فلن يعرف ذلك المرسل عنوانك الرئيسي. ويتناول دليلنا عن التسجيل دون بريدك الحقيقي متى يكون ذلك مناسبًا ومتى يكون العنوان الدائم هو الخيار الصحيح. ويستخدم المطورون أيضًا الصناديق المؤقتة للتأكد من أن تطبيقاتهم ترسل المرفقات بشكل صحيح، دون ملء صندوق شخصي.

وكن واضحًا بشأن الحدود. العنوان المؤقت يحمي عنوانك لا جهازك. وبعد تنزيل الملف، ينطبق كل فحص في هذا المقال كاملًا. والصناديق المؤقتة ليست للعقود أو وثائق الهوية أو السجلات الطبية أو المالية، ولا تصلح للمصارف أو الخدمات الحكومية أو أي حساب قد تحتاج إلى استعادته. وكل من يعرف العنوان أو يخمنه يستطيع فتح ذلك الصندوق، فالعنوان العشوائي هو الخيار الأكثر أمانًا، ولا مكان هناك لأي شيء سري.

في VookMail، يكون العنوان جاهزًا عند تحميل الصفحة، دون تسجيل. وتعمل المرفقات ضمن حدود الحجم، ويعرض الصندوق الرسالة ويسرد الملفات دون تشغيل أي شيء. وتُرفض ملفات البرامج الشائعة مثل .exe و.bat و.apk، وتظهر للملفات المضغوطة مثل .zip عبارة تنبيه، وهذا تذكير مفيد بتطبيق خطوات الملفات المضغوطة السابقة. تستقبل نطاقاتنا البريد عبر مزود لتسليم البريد يمرره إلينا عبر HTTPS. وتُحذف الرسائل والمرفقات بعد نحو يوم، فنزّل ما تحتاج إليه سريعًا ولا تعامل الصندوق كمخزن. وتشرح سياسة الخصوصية وصفحة المنهجية طريقة التعامل بتفصيل أكبر.

ويمكن لزر QR أن يساعدك أيضًا في الحذر من المرفقات. فهو يعرض عنوانك كرمز تستطيع مسحه على جهاز آخر، حيث يفتح زر «جديد» مع العنوان والنطاق نفسيهما ذلك الصندوق، فإذا كنت تفضل النظر إلى ملف مشكوك فيه على هاتف أو جهاز احتياطي بدل جهازك الرئيسي، فبإمكانك ذلك. وينبغي أن يطابق الملف الذي نزّلته عمدًا ما وُعدت به. فإذا عرض موقع دليل PDF ووصلك ملف ZIP فيه اختصار، فاحذفه.

أخطاء تستحق أن تتخلص منها

• إعادة توجيه ملف مشبوه إلى زميل «ليفحصه». هذا ينشر الخطر. استخدم طريقة الإبلاغ في مؤسستك بدلًا من ذلك.
• استخراج ملف مضغوط لترى ما بداخله، بينما كان عرض قائمة محتوياته سيخبرك.
• استخدام كلمة مرور وردت في الرسالة نفسها. هذا يعطي المهاجم ما أراده: ملفًا لم يره ماسحك.
• الضغط على تمكين التحرير بحكم العادة. لا فائدة من ذلك في مستند تحتاج إلى قراءته فقط.
• اعتبار الفحص السليم دليلًا. فهو يعني أن أي ماسح لم يتعرف على الملف اليوم.
• رفع ملفات سرية إلى ماسحات عامة، قد تشارك البيانات الخاصة مع أطراف ثالثة.
• تأخير التحديثات. فكثير من استغلالات المرفقات يستهدف ثغرات أُصلحت بالفعل في الإصدارات الحالية من Office وقارئات PDF والمتصفحات وأنظمة التشغيل.
• الصمت بعد ضغطة خاطئة. في حساب العمل، لا تفيد ساعة من الصمت أحدًا سوى المهاجم.

أسئلة تتكرر كثيرًا

هل يمكن أن يصيبك فيروس بمجرد فتح رسالة؟

في تطبيق بريد محدث، يُستبعد جدًا أن يصيب فتح الرسالة وقراءتها الجهاز. ويبدأ الخطر عادةً عندما تفتح مرفقًا أو تشغّله، أو تمكّن وحدات الماكرو، أو تضغط على رابط. لكن تحميل الصور قد يخبر المرسل بأنك فتحت الرسالة، وهذه مسألة خصوصية لا إصابة.

هل يحميني برنامج مكافحة الفيروسات من كل المرفقات الخبيثة؟

لا. تلتقط برامج مكافحة الفيروسات وفلاتر البريد نسبة كبيرة من التهديدات المعروفة، لكن الملفات الجديدة أو المعدلة قد تمر، وصفحة الدخول المزيفة قد لا تتضمن أي برنامج خبيث أصلًا. والفحص طبقة واحدة إلى جانب فحص المرسل، ومعرفة أنواع الملفات، وحظر وحدات الماكرو، والتحديثات.

هل أثق بمرفق لأنه جاء من صديق؟

ثق بالشخص، وافحص الرسالة مع ذلك. فالحسابات تُخترق، والملف الغريب من صديق مع ملاحظة قصيرة على غير العادة يستحق رسالة سريعة لتسأله هل أرسله.

هل فتح ملف مشبوه على هاتفي أكثر أمانًا؟

قد يكون كذلك في برامج Windows، التي لن تعمل عليه. لكنه لا يفيد أمام صفحات الدخول المزيفة، وهي التهديد الأرجح في ملف PDF أو HTML. الهاتف خطر من نوع مختلف، والجهاز الاحتياطي أو البيئة المعزولة خيار أفضل عندما تريد فصلًا حقيقيًا.

هل استقبال المرفقات في صندوق مؤقت آمن؟

استقبالها كاستقبالها في أي صندوق، لأن الخدمة تخزن الملف وتعرضه ولا تشغّله. والمهم هو ما يحدث بعد تنزيله. طبق الفحوص نفسها، وأبعد أي شيء سري عن صندوق يستطيع الآخرون فتحه إذا خمنوا العنوان.