كيف تكشف رسائل التصيد: العلامات التي تستحق انتباهك فعلًا

إليك نموذجًا مختلقًا كُتب لهذا المقال. عناوينه لا يمكن الوصول إليها، وهو معروض فقط لتتدرب على قراءته.

مثال على رسالة تصيد، وليست رسالة حقيقية
من: "Mailbox Support" <helpdesk@mail-storage-notice.example>
الموضوع: صندوقك ممتلئ بنسبة 98%، والرسائل محتجزة

عزيزي المستخدم، تعذر تسليم 14 رسالة واردة لأن مساحة التخزين لديك ممتلئة. وثّق حسابك خلال 24 ساعة للإفراج عنها وتجنب الإيقاف.
[الإفراج عن رسائلي]

ما يفضحها هو نطاق المرسل الذي لا يخص أي جهة تتعامل معها، وتحية لا تعرف اسمك، ومهلة مقرونة بتهديد، وزر يريد منك تسجيل الدخول. لا يوجد هنا أي خطأ إملائي، وهذا هو المعتاد الآن. تكشف رسائل التصيد بفحص عنوان المرسل الحقيقي، وقراءة الوجهة الفعلية للروابط، والتعامل بريبة مع الطلبات غير المتوقعة التي تخص كلمات المرور أو المال أو فتح الملفات، وتأكيد كل أمر مهم عبر طريق تثق به مسبقًا لا عبر الرسالة.

التصيد رسالة تنتحل صفة شخص أو جهة موثوقة لتدفعك إلى تسليم بيانات الدخول، أو دفع المال، أو تثبيت برامج خبيثة، أو كشف معلومات تفيد في هجوم لاحق. والنصائح المبنية على الأخطاء اللغوية والشعارات الرديئة لم تعد صالحة، فتقليد تصميم أي علامة تجارية صار أمرًا هينًا، وأدوات الترجمة والكتابة متاحة للجميع. أما ما يبقى موثوقًا فهو ما تطلبه منك الرسالة، وما يقوله الدليل التقني عن مصدرها.

أي الإشارات تستحق انتباهك

علامات التحذير ليست متساوية. هذا الترتيب تقدير مبني على طريقة عمل الهجمات، وليس إحصاءً مقيسًا، لكنه يوضح أين تصرف ثواني انتباهك القليلة.

الإشارة	مقدار ما تخبرك به	السبب
الرابط يذهب إلى نطاق لا يخص الجهة المزعومة	مرتفع جدًا	عدم التطابق هو جوهر تصيد بيانات الدخول
الرسالة تطلب كلمة مرور أو كودًا لمرة واحدة أو رقم بطاقة كاملًا	مرتفع جدًا	الخدمات الشرعية لا تجمع هذه البيانات بالبريد
تغيير بيانات الدفع «بشكل عاجل» عبر البريد	مرتفع جدًا	النمط المعتاد للاحتيال عبر بريد الأعمال
نطاق المرسل لا يطابق الجهة	مرتفع	النطاقات الشبيهة والبريد المجاني شائعان بين المرسلين
ملف مضغوط أو ملف HTML أو مستند ماكرو غير متوقع	مرتفع	طرق شائعة لتوصيل برامج خبيثة أو صفحة دخول مزيفة
فشل DMARC للنطاق المزعوم	مرتفع	دليل قوي على التزوير، أما النجاح فلا يثبت الكثير
استعجال شديد أو تهديدات	متوسط	شائع في التصيد، لكن التنبيهات الأمنية الحقيقية قد تكون عاجلة أيضًا
تحية عامة	متوسط	تستخدمها الحملات الجماعية، أما الموجهة فتستخدم اسمك
أخطاء إملائية ولغوية	منخفض إلى متوسط	التصيد الحديث متقن غالبًا، والبريد الحقيقي فيه أخطاء أيضًا
الشعار أو التصميم يبدو غريبًا	منخفض	نسخ تصميم علامة تجارية يستغرق دقائق

لاحظ أن أعلى الجدول يتعلق بالوجهة والطلب، وأسفله يتعلق بالمظهر. وأنفع تغيير في طريقة التفكير هو أن تتوقف عن سؤال «هل يبدو هذا حقيقيًا؟» وتبدأ بسؤال «ماذا تريد مني، وكيف أتحقق من ذلك دون استخدام هذه الرسالة؟»

قراءة الرابط قراءة صحيحة

إذا تعلمت مهارة تقنية واحدة من هذا المقال فلتكن هذه، لأن النص الظاهر للرابط ووجهته الحقيقية أمران منفصلان تمامًا. فالزر الذي يقول «سجّل الدخول إلى حسابك» قد يشير إلى أي مكان. على الكمبيوتر، مرر المؤشر فوق الرابط دون ضغط واقرأ العنوان الذي يظهر في شريط الحالة أو في تلميح. وعلى الهاتف، اضغط مطولًا على الرابط لمعاينته، ثم ألغِ.

يقرأ معظم الناس عناوين الويب من اليسار، ويعتمد المهاجمون على ذلك. أما الملكية فتتحدد عند الطرف الأيمن من اسم المضيف: النطاق المسجل مع لاحقته، قبل أول شرطة مائلة مفردة مباشرة. وكل ما على يساره نطاق فرعي يستطيع المالك أن يكتب فيه أي نص يريد. وكل ما بعد الشرطة المائلة مسار، ويمكن أن يقول أي شيء أيضًا. خذ هذه الأمثلة الأربعة، والثاني والثالث والرابع منها خيالية:

• https://accounts.google.com/signin يخص Google، لأن النطاق هو google.com.
• https://accounts.google.com.secure-login.example/signin يخص secure-login.example. واسم العلامة مجرد نطاق فرعي.
• https://secure-login.example/accounts.google.com/ يخص أيضًا secure-login.example، والعلامة موجودة في المسار.
• https://www.paypal.com@203.0.113.7/ يستخدم حيلة قديمة. فكل ما قبل @ يُعامل على أنه اسم مستخدم، والوجهة الحقيقية هي عنوان IP الذي يليه.

وهناك أنماط أخرى من الروابط ينبغي أن تجعلك تتمهل. فمقصرات الروابط غريبة في رسالة من علامة كبيرة، لا سبب لديها لإخفاء نطاقها. والروابط إلى منشئي النماذج أو خدمات مشاركة الملفات التي تطلب منك «تسجيل الدخول لعرض مستند» مفضلة لدى المهاجمين، لأن صفحات التصيد تُستضاف غالبًا على منصات سحابية شرعية. لذلك فإن وجود اسم استضافة موثوق في العنوان لا يعني أن الصفحة آمنة. السؤال هو هل يخص النطاق الجهة التي تظن أنك تتعامل معها.

والقفل لا يفيد في أي من الاتجاهين. يخبرك HTTPS بأن الاتصال مشفر، والشهادات المجانية متاحة للجميع، ومنهم المجرمون. فصفحة المصرف المزيفة التي تحمل قفلًا هي اتصال مشفر بلص.

واحذر أيضًا النطاقات الدولية الشبيهة. فالنطاقات يمكن أن تستخدم حروفًا من أبجديات أخرى تبدو مطابقة للحروف اللاتينية، مثل حرف «а» السيريلي مكان «a» اللاتيني. وكثيرًا ما تعرض المتصفحات هذه النطاقات بصيغة مرمّزة تبدأ بـ xn--، ورؤية هذه البادئة حيث كنت تتوقع علامة مألوفة دليل مفيد.

قراءة المرسل

تعرض تطبيقات البريد اسم العرض بخط كبير وتخفي العنوان غالبًا، واسم العرض نص حر يختاره المرسل. فالرسالة التي تُظهر «Microsoft Account Team» قد تأتي من نطاق لا علاقة له بالشركة أو من صندوق مخترق أيًا كان. على الكمبيوتر، مرر المؤشر فوق الاسم أو اضغط عليه. وعلى الهاتف، المسه لتوسيعه. ثم انظر إلى الجزء الذي بعد @، واضعًا في ذهنك هذه الأنماط (النطاقات هنا للتوضيح):

• حروف مبدلة، مثل rn مكان m، أو الرقم 1 مكان الحرف l.
• كلمات مضافة، مثل netflix-billing.example. فنادرًا ما تستخدم العلامات صيغًا موصولة بشرطة من اسمها في بريد الحسابات.
• لاحقة مختلفة، مثل yourbank.co حيث تتوقع yourbank.com.
• صندوق بريد مجاني يزعم أنه مصرف أو مكتب محاماة أو رئيسك التنفيذي.

ثم افحص عنوان الرد. فقد تعرض الرسالة سطر From معقولًا وتضبط Reply-To على صندوق المهاجم، فيذهب ردك إلى مكان آخر. تعرض تطبيقات كثيرة الوجهة عند الضغط على «رد»، فانظر قبل أن ترسل.

لفحص المرسل حد واضح: فهو لا يقول شيئًا عن الحسابات المخترقة. فإذا استولى أحدهم على صندوق زميل أو مورّد حقيقي، فسيكون العنوان سليمًا تمامًا. وعندها يصبح الطلب نفسه إشارتك الوحيدة، وهذا ينقلنا إلى النقطة التالية.

طلبات لا يقدمها أي مرسل صادق عبر البريد

بعض الطلبات مشبوهة مهما بدت بقية الرسالة جيدة. كلمة مرورك أو رقمك السري. الكود لمرة واحدة الذي وصلك للتو عبر SMS أو تطبيق. رقم بطاقة كامل مع رمز الأمان. الدفع ببطاقات الهدايا أو العملات المشفرة، أو حوالة إلى حساب جديد. الوصول عن بعد إلى جهازك لمشكلة لم تبلغ عنها قط. إرسال ملفات سرية أو بيانات الموظفين إلى عنوان خارجي «لأغراض التدقيق».

طلب الكود لمرة واحدة يستحق أن تفهمه، لأنه يبدو بريئًا جدًا. فالمهاجم الذي يملك كلمة مرورك بالفعل يطلق عملية تسجيل دخول، فيصلك كود حقيقي من الخدمة الحقيقية. ثم يراسلك منتحلًا صفة الدعم الفني ويطلب منك «تأكيد» ذلك الكود. كل من يطلب كودًا وصلك يحاول تسجيل الدخول باسمك.

والجهات الحكومية غطاء شائع أيضًا. فمصلحة الضرائب IRS في الولايات المتحدة، مثلًا، تقول إنها لا تبدأ التواصل مع دافعي الضرائب عبر البريد لطلب معلومات شخصية أو مالية، وتنشر مصالح ضرائب كثيرة في أماكن أخرى تحذيرات مشابهة. وإذا كنت تظن أن استردادًا أو غرامة قد يكونان حقيقيين، فاكتب عنوان الجهة بنفسك وسجّل الدخول هناك.

لماذا يقع الحذرون في الفخ رغم ذلك

يستهدف التصيد السلوك أكثر مما يستهدف البرامج. فالرسائل المحكمة تسعى إلى إثارة رد فعل عاطفي سريع لتتصرف أولًا وتفكر لاحقًا. الاستعجال هو الوسيلة الواضحة («إغلاق الحساب خلال 24 ساعة»)، ومعه الخوف («تسجيل دخول غير معتاد»، «إجراء قانوني قيد التنفيذ»)، والسلطة، حين يكون المرسل المزعوم رئيسًا تنفيذيًا أو مصرفًا أو دعم تقنية المعلومات. والمكافأة والفضول يعملان أيضًا، عبر الاستردادات والجوائز و«اعرف من شاهد ملفك الشخصي». ثم هناك الرغبة البسيطة في المساعدة، كأن يحتاج زميل بشكل عاجل إلى مراجعة ملف.

وربما يكون الروتين أقوى هذه الوسائل كلها. فالفاتورة المزيفة أو إشعار التوصيل أو المستند المشترك يشبه عشرات الرسائل الحقيقية التي تتعامل معها كل أسبوع، وأنت أقل انتباهًا لما تفعله بشكل تلقائي. لهذا ليس الهدف الشك في كل رسالة، فلا أحد يستطيع الاستمرار في ذلك. الهدف أن تلاحظ اللحظة التي تطلب فيها الرسالة شيئًا حساسًا، وأن تنتقل في تلك اللحظة من رد الفعل إلى التحقق.

أنواع الهجمات، وما يغيره كل نوع

الأسماء أقل أهمية من معرفة ما يفعله كل نوع بالنصائح السابقة. فبعضها يتغلب على الفحوص المعتادة.

النوع	ما هو	ما يغيره بالنسبة إليك
التصيد الجماعي	رسالة عامة إلى قوائم ضخمة، مثل صندوق ممتلئ أو طرد عالق	أسهل نوع في الكشف، لأنه نادرًا ما يطابق حياتك
التصيد الموجه	مفصّل عليك، باستخدام أسماء وتفاصيل من وسائل التواصل الاجتماعي أو من بيانات مسربة	التفاصيل الشخصية لا تثبت شيئًا
صيد الحيتان	تصيد موجه إلى المديرين التنفيذيين أو إلى من يتحكمون في المال	المنصب الرفيع يجعلك هدفًا
اختراق بريد الأعمال	انتحال مدير أو مورّد أو زميل أو الاستيلاء على بريده لتحويل مسار المال	غالبًا لا رابط ولا مرفق، فلا ترى الماسحات شيئًا
التصيد بالاستنساخ	نسخ رسالة حقيقية سابقة وإعادة إرسالها مع استبدال الرابط أو الملف	المحتوى المألوف ليس دليلًا
اختطاف المحادثات	الرد داخل محادثة حقيقية من صندوق مخترق	ينجح فحص المرسل
التصيد برمز QR	يحل رمز QR محل الرابط	ينقلك إلى الهاتف، بعيدًا عن حماية الكمبيوتر وماسحات الروابط
تصيد الموافقة	تطبيق خبيث يطلب الوصول عبر شاشة «سماح» حقيقية	لا تُسرق كلمة مرور، وصفحة الدخول حقيقية
التصيد بمعاودة الاتصال	فاتورة أو تجديد مزيف يعطيك رقم هاتف للاتصال به	لا شيء لتضغط عليه، ويقع الاحتيال أثناء المكالمة
التصيد بكود الجهاز	يُطلب منك إدخال كود في صفحة دخول حقيقية، فيمنح ذلك جهاز المهاجم التفويض	ينجح فحص النطاق، فيكون الطلب غير المتوقع هو الدليل

تستحق الأنواع الثلاثة الأخيرة جملة من النصح العملي. اقرأ قائمة الأذونات في أي شاشة «السماح بالوصول»، وارفض إذا أراد تطبيق مجهول قراءة بريدك. لا تتصل أبدًا برقم مطبوع على فاتورة غير متوقعة. ولا تدخل أبدًا كودًا في صفحة دخول لأن أحدهم طلب منك ذلك في رسالة أو محادثة، إلا إذا كنت أنت من بدأ العملية على جهاز أمامك.

نماذج رسائل مشروحة

كل ما يلي أمثلة مختلقة مبنية على أنماط موثقة على نطاق واسع. الأسماء والنطاقات خيالية.

مثال: المستند المشترك

مثال فقط
من: "Jordan (via Docs)" <jordan.m@partnerfirm-mail.example>
الموضوع: شارك معك Jordan ملف «جدول مدفوعات الربع الثالث»

فتح في Docs

تقلد هذه الرسالة إشعار مشاركة، لكن المرسل عنوان خارجي لا تعرفه، ويقود الزر إلى صفحة تطلب كلمة مرور بريدك، وغالبًا مع صف من شعارات المزودين. أما الإشعارات الحقيقية فتأتي من نطاق المنصة نفسها وتفتح في جلسة سجلت الدخول إليها بالفعل. إذا كنت تعرف شخصًا اسمه Jordan، فاسأله. ومهما حدث، لا تكتب كلمة مرورك في صفحة وصلت إليها من رسالة «ملف مشترك».

مثال: الحساب المصرفي الجديد للمورّد

مثال فقط
من: "Accounts Receivable" <ar@supplier-co.example>
الموضوع: رد: الفاتورة 4471

يُرجى العلم أن بياناتنا المصرفية تغيرت بسبب عملية تدقيق. نرجو استخدام بيانات الحساب الجديد المرفقة لهذه الدفعة والدفعات القادمة. الدفعة متأخرة، فيُرجى تنفيذها اليوم.

قد لا يوجد هنا أي رابط، وقد تأتي الرسالة من صندوق المورّد الحقيقي المخترق داخل محادثة حقيقية. وقد تنجح الفحوص التقنية كلها. العلامة الحمراء هي الطلب نفسه: تغيير بيانات الدفع عبر البريد، مع استعجال. اتصل بالمورّد على رقم لديك بالفعل في ملفاتك، لا رقم من الرسالة أو توقيعها، قبل أن تدفع أي شيء. وإذا كان المال قد خرج بالفعل، فاتصل بمصرفك فورًا واسأل عن استرجاع الدفعة، وفي الولايات المتحدة أبلغ عبر ic3.gov.

مثال: رسوم الطرد

مثال فقط
الموضوع: طردك محتجز: رسوم الجمارك غير مدفوعة

حاولنا توصيل طردك. يلزم دفع رسوم بسيطة لإعادة جدولة التوصيل. ادفع الآن لتجنب إعادته إلى المرسل.

المبلغ الصغير يخفض حذرك، والهدف هو بيانات بطاقتك كاملة، التي يمكن استخدامها بعد ذلك في احتيال أكبر. تتبع الشحنات بالرقم الموجود في صفحة الطلب لدى المتجر نفسه أو في التطبيق الرسمي لشركة الشحن.

مثال: المدير الذي «في اجتماعات»

مثال فقط
من: "Sam Rivera (CEO)" <sam.rivera.office@freemail.example>
الموضوع: خدمة سريعة

هل أنت متاح؟ أحتاج إليك لتتولى أمرًا بسرية لصالح عميل. أنا في اجتماعات، فلنتواصل عبر البريد فقط.

الصندوق الشخصي وطلب السرية وعبارة «البريد فقط» تشكل معًا هذا النمط، وعادةً ما تطلب الرسالة التالية أكواد بطاقات هدايا أو تحويلًا. ولا تتضمن الرسالة نفسها ما يمكن فحصه. تواصل مع المدير عبر دليل الشركة أو المحادثة أو الهاتف، وأخبر قسم تقنية المعلومات.

مثال: رمز QR

مثال فقط
الموضوع: مطلوب تحديث المصادقة متعددة العوامل

تنتهي صلاحية إعدادات MFA لديك اليوم. امسح رمز QR أدناه بهاتفك لإعادة التسجيل.

إعدادات المصادقة متعددة العوامل لا تنتهي صلاحيتها عبر البريد. ينقلك الرمز إلى الهاتف، حيث يصعب فحص العنوان وقد لا تنطبق حماية الشركة. لا تمسحه. استفسر من قسم تقنية المعلومات، أو انظر مباشرة في إعدادات الأمان للحساب.

مثال: استرداد الضرائب

مثال فقط
الموضوع: يحق لك استرداد ضريبي

بعد الحساب السنوي لنشاطك، يحق لك الحصول على استرداد. قدّم النموذج خلال 48 ساعة.

هدية غير متوقعة مع نموذج يطلب بيانات الهوية والبطاقة. اذهب إلى البوابة الحكومية الرسمية بكتابة عنوانها، أو اتصل بالرقم المعلن للجهة.

مثال: تنبيه الحساب الصحيح جزئيًا

مثال فقط
من: "Account Security" <no-reply@secure-acct-center.example>
الموضوع: إجراء مطلوب: نشاط دخول غير معتاد

رصدنا محاولة دخول من جهاز جديد. للإبقاء على حسابك نشطًا، وثّق هويتك خلال 24 ساعة. [وثّق الآن]

ترسل الخدمات الحقيقية تنبيهات دخول فعلًا، ولذلك يحتاج هذا النوع إلى عناية أكبر من غيره. النطاق هنا عام، والرسالة لا تذكر حتى اسم الخدمة. لا تفكر في الأمر من داخل الرسالة. افتح تطبيق الخدمة أو اكتب عنوانها، وانظر إلى صفحة النشاط الأخير. فإذا لم يظهر شيء هناك، فالرسالة مزيفة. وتصلح هذه العادة للتنبيهات الحقيقية أيضًا، لأنها ستظهر هناك كذلك.

فحص الترويسات عندما لا تكون متأكدًا

تحمل الترويسات دليلًا تقنيًا على مصدر الرسالة. في Gmail، افتح قائمة النقاط الثلاث واختر عرض الرسالة الأصلية، وهو يعطي أيضًا ملخصًا قصيرًا في الأعلى. وفي Outlook على الويب، استخدم عرض، ثم عرض مصدر الرسالة. وفي Apple Mail، استخدم عرض، ثم الرسالة، ثم كل الترويسات.

تقف وراء النتائج التي ستراها ثلاثة معايير. يتيح SPF للنطاق أن ينشر الخوادم التي يحق لها إرسال بريده، ويفحص المستقبل الخادم المرسل في تلك القائمة. ويضيف DKIM توقيعًا مشفرًا، يُفحص بمفتاح عام موجود في DNS للنطاق الموقّع، وهو يوضح أن الأجزاء الموقعة لم تُعدل وأن النطاق تحمل المسؤولية عنها. ويربط DMARC هذا بالنطاق الظاهر في سطر From، وهي خاصية تسمى التوافق، ويخبر المستقبلين بما عليهم فعله عند الفشل: لا شيء، أو العزل، أو الرفض. ومنذ عام 2024، تلزم Google وYahoo مرسلي الرسائل بالجملة بنشر سجل DMARC، وهذا جعل هذه النتائج أكثر شيوعًا.

ابحث عن السطر الذي يبدأ بـ Authentication-Results:. قد يكون هكذا في مثال خيالي:

Authentication-Results: mx.example.net; spf=pass smtp.mailfrom=bank.example; dkim=pass header.d=bank.example; dmarc=pass header.from=bank.example

هنا ينجح كل فحص وتتوافق النطاقات كلها. أما الرسالة المزورة فقد تعرض dmarc=fail، أو نجاحًا لنطاق مختلف تمامًا عن الموجود في سطر From. يوضح هذا الجدول كيف تفسر ما تجده.

النتيجة	ما تعنيه	ما لا تعنيه
نجاح DMARC للنطاق الحقيقي للعلامة	أُرسلت من ذلك النطاق أو باسمه	لا تستبعد اختراق حساب في تلك الشركة
نجاح DMARC لنطاق شبيه	المهاجم يملك ذلك النطاق وضبطه بشكل صحيح	الرسالة ليست آمنة، وهذا شائع في التصيد
فشل DMARC لنطاق العلامة	علامة قوية على التزوير، أو على إعادة توجيه أفسدت الفحص	قد تفسد القوائم البريدية وإعادة التوجيه أحيانًا بريدًا حقيقيًا
لا يوجد سجل DMARC	لم ينشر النطاق أي سياسة	هذا وحده لا يثبت شيئًا، لكن تزوير ذلك النطاق أسهل

الدرس هو أن التوثيق يقول من أرسل الرسالة، أما الصدق فمسألة منفصلة. فالرسالة ذات النتائج المثالية من bank-resolution-center.example تظل تصيدًا. والفحص الجامع الذي تريده هو أن يكون النطاق الموثق هو الجهة التي تظنها.

تسجل أسطر Received: كل خادم على الطريق، والأحدث في الأعلى. وقد تكشف أن رسالة «مصرف محلي» بدأت من خادم لا علاقة له به، لكن كل ما يقع تحت النقطة التي استلم عندها مزودك الرسالة يمكن تزويره، فلا تثق إلا بالمدخلات التي أضافتها خوادم مزودك. ويكفي معظم الناس سطر التوثيق وفحص النطاق.

المرفقات والصور في رسالة التصيد

توصل المرفقات برامج خبيثة أو تقود إلى صفحة دخول مزيفة. والصيغ التي تستحق أكبر قدر من الحذر هي الملفات المضغوطة وصور الأقراص مثل .zip و.rar و.7z و.iso و.img، وملفات HTML التي تفتح صفحة دخول مزيفة محلية، ومستندات Office التي تطلب منك «تمكين المحتوى» أو «تمكين التحرير»، والامتدادات المزدوجة مثل invoice.pdf.exe، والنصوص البرمجية والاختصارات مثل .js و.vbs و.lnk و.bat، وملفات PDF التي لا تحمل سوى زر أو رمز QR. ويشرح دليلنا عن أمان المرفقات كيف تحكم على كل نوع وكيف تفتح ملفًا مشكوكًا فيه بخطر أقل.

أما الصور فأهدأ. فالصورة البعيدة قد تخبر المرسل بأن عنوانك نشط، وهكذا تُبنى قوائم العناوين «الموثقة». ونشرح كيف يجري ذلك والإعدادات التي توقفه في مقالنا عن أدوات التتبع المخفية في البريد. وهذا سبب صغير لتضبط تطبيق بريدك على السؤال قبل عرض الصور الخارجية.

عناية إضافية على الهاتف

الهواتف تجعل كل هذا أصعب. الشاشة صغيرة، والعناوين مخفية افتراضيًا، ومعاينة الروابط تحتاج إلى ضغطة مطولة. وتعوض عن ذلك بضع عادات. المس اسم المرسل لتكشف العنوان قبل أن تثق برسالة. واضغط مطولًا على الروابط بدل لمسها. وفي المصارف والمتاجر وشبكات التواصل، افتح التطبيق الرسمي بدل اتباع أي شيء في الرسالة. وتعامل مع رموز QR في الرسائل بشك خاص، لأنك تمسحها بالجهاز نفسه الذي تقرأ عليه. وإذا عرضت الكاميرا معاينة للعنوان قبل فتحه، فاقرأها كما تقرأ أي رابط.

وتصل الحيل نفسها أيضًا عبر SMS وتطبيقات المراسلة، ويُسمى ذلك عادةً smishing، وقد تتبع الرسالة مكالمة هاتفية لتجعلها أكثر إقناعًا، ويسمى ذلك vishing. والمتصل الذي يذكر الرسالة التي وصلتك للتو لم يؤكد شيئًا، فربما يكون هو من أرسلها. أنهِ المكالمة واتصل برقم لديك بالفعل.

ما عليك فعله برسالة مشبوهة

1. لا تضغط أي رابط ولا تنزّل ولا تمسح رمزًا ولا ترد. فالرد لتسأل «هل هذا حقيقي؟» يصل إلى المهاجم، الذي سيقول نعم.
2. افحص عنوان المرسل ووجهات الروابط كما شرحنا سابقًا.
3. تحقق بنفسك من مصدر مستقل. افتح التطبيق الرسمي أو اكتب العنوان. اتصل بالرقم الموجود على ظهر بطاقتك، أو في فاتورة لديك بالفعل، أو في دليل الشركة.
4. أبلغ مزودك. في Gmail، تحتوي قائمة النقاط الثلاث على الإبلاغ عن تصيد احتيالي. وفي Outlook، ابحث تحت إبلاغ عن الإبلاغ عن تصيد. وفي العمل، استخدم زر الإبلاغ أو اتبع تعليمات فريق الأمان، ولا تُعد توجيه الرسالة إلى زملائك لتسألهم، لأن ذلك ينشر الطُّعم.
5. أبلغ الجهة التي جرى انتحالها إذا كانت تنشر عنوانًا لبلاغات التصيد في صفحة الأمان لديها. فشركة Apple، مثلًا، تستخدم reportphishing@apple.com.
6. استخدم خدمة بلاغات عامة حيث توجد. في المملكة المتحدة، يستقبل المركز الوطني للأمن السيبراني الرسائل المعاد توجيهها على report@phishing.gov.uk. وفي الولايات المتحدة، تستقبل لجنة التجارة الفيدرالية FTC البلاغات عبر reportfraud.ftc.gov. وتقبل مجموعة العمل لمكافحة التصيد الرسائل المعاد توجيهها على reportphishing@apwg.org. وتدير دول أخرى خدمات مشابهة، عادةً عبر جهة لحماية المستهلك أو لمكافحة الجرائم الإلكترونية.
7. احذفها بعد الإبلاغ.

إذا كنت قد ضغطت بالفعل

الضغط أمر شائع ويمكن إصلاحه في الغالب. لا تدع الحرج يؤخرك، فالسرعة أنفع من أي شيء آخر هنا. ابحث عن الحالة التالية التي تطابق ما حدث.

ضغطت ولم تدخل شيئًا

أغلق علامة التبويب ولا تنزّل أي شيء عرضته الصفحة. تأكد من تحديث متصفحك ونظامك، وأجرِ فحصًا أمنيًا إذا نُزّل شيء من تلقاء نفسه. توقع المزيد من الرسائل، فربما أكدت الضغطة أن عنوانك يُقرأ. وفي معظم الحالات، ينتهي الأمر عند هذا الحد.

أدخلت كلمة مرور

1. اذهب إلى الموقع الحقيقي بكتابة عنوانه، وغيّر كلمة المرور الآن.
2. غيّرها في كل مكان آخر استخدمت فيه كلمة المرور نفسها أو كلمة مشابهة. وإذا كانت كلمة المرور المسروقة لبريدك، فتعامل مع الأمر بوصفه عاجلًا، لأن البريد يعيد تعيين كل شيء آخر.
3. سجّل الخروج من الجلسات الأخرى. في حساب Google، يمكنك مراجعة أجهزتك في صفحة الأمان وتسجيل الخروج من أي جهاز لا تعرفه، وتعرض تفاصيل آخر نشاط للحساب في أسفل صندوق Gmail عمليات الوصول الأخيرة. ولدى الخدمات الأخرى خيار مشابه.
4. فعّل المصادقة الثنائية، ويُفضل بمفتاح مرور أو مفتاح أمان أو تطبيق مصادقة.
5. ابحث عن تغييرات ربما أجراها المهاجم: بريد الاسترداد وهاتفه، وقواعد إعادة التوجيه والفلاتر، والتطبيقات المتصلة، والأجهزة المجهولة.
6. في حساب العمل، أخبر قسم تقنية المعلومات فورًا. فالمهاجمون يستخدمون الصندوق المخترق غالبًا لاصطياد زملائك خلال ساعات.

يتناول دليلنا عن ما عليك فعله بعد تسريب البيانات تنظيف كلمات المرور بعمق أكبر، لأن الخطوات متداخلة.

أدخلت كودًا أو وافقت على طلب

افترض أن المهاجم قد يملك جلسة نشطة. غيّر كلمة المرور، وسجّل الخروج من كل الجلسات، وراجع إعدادات الأمان، ونبّه قسم تقنية المعلومات في حساب العمل. فأدوات «الهجوم بالوسيط» الحديثة تمرر بيانات دخولك إلى الموقع الحقيقي وأنت تكتبها، وتلتقط ملف ارتباط الجلسة الناتج. ولهذا لا توقفها الأكواد لمرة واحدة وحدها.

أدخلت بيانات الدفع

اتصل بمصرفك أو بجهة إصدار البطاقة فورًا، على الرقم الموجود على بطاقتك. اطلب منهم حظر البطاقة ومراقبة الاحتيال، وراجع كشوف حسابك في الأسابيع التالية. وإذا أدخلت أيضًا بيانات هوية، فتحقق مما توفره بلدك. في الولايات المتحدة، يقدم IdentityTheft.gov خطة للتعافي، ويمكن طلب تجميد الائتمان من مكاتب الائتمان.

فتحت مرفقًا أو فعّلت وحدات الماكرو

افصل الجهاز عن الشبكة إذا اشتبهت في وجود برامج خبيثة، وأجرِ فحصًا كاملًا، وفي العمل اتصل بقسم تقنية المعلومات قبل أي شيء آخر. وغيّر كلمات المرور المهمة من جهاز آخر نظيف.

منحت تطبيقًا حق الوصول

انتقل إلى إعدادات الأمان في حسابك، وابحث عن قائمة تطبيقات الجهات الخارجية التي لديها حق الوصول، وأزل التطبيق المجهول. فتغيير كلمة المرور وحده قد لا يقطع وصول تطبيق مُنح الإذن، ولهذا تأتي الإزالة أولًا. ثم غيّر كلمة المرور احتياطًا وافحص قواعد صندوقك.

إعدادات تجعل الخطأ الواحد أقل كلفة

لن تكشف كل شيء في كل مرة، خاصة في يوم سيئ. والإعدادات الجيدة تعني أن الزلة الواحدة تحدث ضررًا أقل، وبعضها يؤدي عنك جزءًا من الكشف.

أقوى هذه الإعدادات مفاتيح المرور ومفاتيح الأمان المادية. تصف CISA، الوكالة الأمريكية للأمن السيبراني، المصادقة متعددة العوامل المقاومة للتصيد بأنها المعيار الذهبي، وتذكر FIDO وWebAuthn بوصفهما الصيغة المتاحة منها على نطاق واسع. هذه البيانات مرتبطة بالنطاق الحقيقي، فلن تعمل ببساطة في موقع مزيف، حتى لو كان نسخة مثالية. أما تطبيقات المصادقة فتوقف معظم الهجمات التي تعتمد على كلمة المرور وحدها، لكنها أضعف أمام التمرير الحي، فهي خطوة جيدة وليست الأخيرة. وإذا كان مصرفك أو مزود بريدك يوفر مفاتيح المرور، فتفعيلها هو على الأرجح أنفع ما يمكنك فعله بعد قراءة هذا المقال.

يعطيك مدير كلمات المرور فحصًا ثانيًا أكثر هدوءًا. فهو يخزن النطاق الدقيق لكل كلمة مرور. وعندما تصل إلى صفحة شبيهة ولا يعرض عليك أي بيانات دخول محفوظة، يكون هذا الصمت تحذيرًا، وهو يكشف صفحات تبدو مطابقة حتى آخر بكسل. لا تتجاوزه بنسخ كلمة المرور ولصقها. وهناك تحفظ صغير: تعجز مديرات كلمات المرور أحيانًا عن التعرف على موقع حقيقي غيّر نطاق الدخول. فالصمت يعني «توقف واذهب إلى الموقع بكتابة عنوانه»، لا «هذا مزيف بالتأكيد».

وسيلة الحماية	ما تفعله	الجهد
مفاتيح المرور أو المفاتيح المادية	توقف تصيد بيانات الدخول والتمرير الحي، لأن البيانات مرتبطة بالنطاق الحقيقي	منخفض إلى متوسط
مدير كلمات مرور مع التعبئة التلقائية	يرفض التعبئة في النطاقات المزيفة ويمنع إعادة الاستخدام	منخفض بعد الإعداد
تطبيق مصادقة	يوقف معظم الهجمات التي تعتمد على كلمة المرور وحدها	منخفض
حماية المتصفح	تحذر ميزة Safe Browsing في Chrome وSmartScreen في Edge من صفحات سيئة معروفة كثيرة	مفعّلة عادةً
تحديثات البرامج	تسد الثغرات التي تستغلها الملفات والصفحات الخبيثة	منخفض
إظهار امتدادات الملفات	يكشف حيل الامتدادات المزدوجة	إعداد واحد
السؤال قبل تحميل الصور البعيدة	يمنع كثيرًا من أدوات التتبع من تأكيد عنوانك	إعداد واحد
قاعدة مكتوبة لمعاودة الاتصال عند تغيير بيانات الدفع	توقف معظم احتيال الفواتير، أيًا كان شكل الرسالة	تغيير في الإجراءات
الحد من الأماكن التي يذهب إليها عنوانك الحقيقي	قوائم وتسريبات أقل تتضمنه	عادة

بالنسبة إلى الشركات، قاعدة معاودة الاتصال هي التي ينبغي كتابتها. فإرشادات FBI بشأن اختراق البريد ونصائح القطاع المصرفي تتفق على الأساسيات: أكد أي تغيير في تعليمات الدفع خارج البريد، على رقم لديك بالفعل. وهي تنجح لأنها لا تعتمد على أن يكشف أحد شيئًا، وتعطي الموظفين المبتدئين سببًا ليقولوا «عليّ أن أتصل أولًا» لمن يبدو أنه مديرهم.

إبقاء عنوانك الرئيسي خارج القوائم

يرسل المتصيدون إلى عناوين اشتروها أو جمعوها من المواقع أو سحبوها من بيانات مسربة. وفي كل مرة تعطي عنوانك الحقيقي لموقع قليل الثقة، هناك احتمال أن ينتهي في إحدى تلك القوائم. استخدام عنوان منفصل للتسجيلات لمرة واحدة يقلل استهداف صندوقك الرئيسي، ويجعل البريد المتبقي أسهل في الحكم عليه أيضًا، لأن رسالة عن مصرفك تصل إلى عنوان لم تعطه إلا لمصرفك تحمل دلالة أكبر.

الصندوق المؤقت خيار للمستوى الأدنى، حيث تسمح شروط الموقع بذلك. مع VookMail، يكون العنوان جاهزًا عند تحميل الصفحة، دون تسجيل أو كلمة مرور. يمكنك الضغط على جديد لتكتب اسم مستخدم وتختار من أكثر من 30 نطاقًا، أو الضغط على زر «عشوائي» الأصفر للحصول على عنوان عشوائي، وهو الخيار الأكثر أمانًا لأن كل من يعرف العنوان أو يخمنه يستطيع فتح ذلك الصندوق. تُحذف الرسائل والمرفقات بعد نحو يوم، فإذا وصل إلى العنوان تصيد لاحقًا، فإنه يقع في مكان منفصل عن مصرفك وعملك وحساباتك الرئيسية.

يناسب هذا تنزيل مورد، أو سؤالًا واحدًا في منتدى، أو اختبار نموذج تملكه. ولا يناسب الحسابات التي تحتاج إلى الاحتفاظ بها أو استعادتها، ولا يصلح أبدًا للمصارف أو الجهات الحكومية أو الصحة أو العمل أو حسابات التواصل الاجتماعي الأساسية. وتتناول الأسئلة الشائعة الاستخدام المناسب، وتشرح سياسة الخصوصية طريقة التعامل مع البريد الوارد.

تنطبق العلامات التحذيرية في أي صندوق، ومنها الصندوق المؤقت. بل إن العنوان المؤقت يوفر اختبارًا مفيدًا: إذا طلبت منك رسالة هناك تسجيل الدخول إلى مصرفك الحقيقي أو حساب بريدك، فهي تصيد على الأرجح، لأنك لم تعطِ هذا العنوان لتلك الخدمات قط.

معتقدات خاطئة تخدم المهاجم

• «فيها قفل». هذا يعني أنها مشفرة، لا أنها صادقة.
• «الشعار والاسم صحيحان». كلاهما يُنسخ بسهولة.
• «اللغة سليمة تمامًا». كثير من الحملات صار مكتوبًا بإتقان.
• «سأتصل بالرقم الموجود في الرسالة». قد يوصلك هذا الرقم إلى المهاجم مباشرة.
• «جاءت من عنوان زميلي الحقيقي». الحسابات تُخترق، فالطلب يحتاج إلى فحص مع ذلك.
• «ضغطت، لكن إخبار قسم تقنية المعلومات محرج». الصمت يعطي المهاجمين وقتًا أطول، وهو غالبًا أكثر الخيارات كلفة.
• «ليس لدي ما يستحق السرقة». صندوقك يمكنه إعادة تعيين حساباتك الأخرى، ويمكن استخدامه لاصطياد جهات اتصالك.

قائمة فحص للرسالة التي أمامك

عندما تطلب منك رسالة فعل شيء، تستغرق هذه الأسئلة أقل من دقيقة. وإذا أقلقتك أي إجابة، فتوقف وتحقق عبر طريق آخر.

1. هل كنت أتوقع هذا؟
2. هل يخص عنوان المرسل الحقيقي الجهة التي يزعمها؟
3. إلى أين تذهب الروابط فعلًا، عند قراءة النطاق من اليمين؟
4. هل تطلب كلمة مرور أو كودًا أو دفعة أو ملفًا؟
5. هل تدفعني بالاستعجال أو الخوف أو السرية أو المكافأة؟
6. هل يوجد مرفق غير متوقع أو رمز QR أو طلب «تمكين المحتوى»؟
7. هل يتعرف مدير كلمات المرور لدي على صفحة الدخول؟
8. هل يمكنني التحقق بفتح التطبيق أو الاتصال برقم معروف بدلًا من ذلك؟

أسئلة يطرحها الناس عن التصيد

هل يمكن أن أتعرض للاختراق بمجرد فتح رسالة تصيد؟

مع تطبيق بريد محدث، يكون خطر فتح الرسالة منخفضًا في العموم. يأتي الخطر من الضغط على الروابط، أو إدخال بيانات الدخول، أو فتح المرفقات، أو تفعيل وحدات الماكرو، أو الرد بمعلومات. وقد يؤكد الفتح أن عنوانك نشط إذا حُمّلت الصور، وهذا أحد أسباب حجب الصور البعيدة.

لماذا تتجاوز رسائل التصيد فلاتر الرسائل المزعجة؟

يسجل المهاجمون نطاقات جديدة، ويرسلون من حسابات شرعية مخترقة، ويستضيفون صفحاتهم على خدمات سحابية موثوقة، ويغيرون صياغتهم باستمرار. بل إن بعض التصيد ينجح في SPF وDKIM وDMARC لأنه يأتي من نطاق يتحكم فيه المهاجم فعلًا.

هل تمتلئ رسائل التصيد بالأخطاء دائمًا؟

لا. كثير منها مكتوب بإتقان ويبدو مطابقًا لرسائل العلامات الحقيقية. اصرف انتباهك إلى الإشارات التقنية وإلى ما يُطلب منك.

أرسلت لي شركة حقيقية رابطًا يطلب تسجيل الدخول. هل هذا تصيد دائمًا؟

لا. ترسل الشركات روابط شرعية فعلًا، وقد يكون طلب الدخول حقيقيًا. والعادة الآمنة تصلح في الحالتين: غادر الرسالة، وافتح الخدمة بنفسك، وانظر هل يحتاج أي شيء إلى انتباهك. لن تخسر أكثر من بضع ثوانٍ.

هل يحميني العنوان المؤقت من التصيد؟

هو يقلل تعرضك. فالتصيد الموجه إلى ذلك العنوان يقع في صندوق غير متصل بحساباتك الحقيقية ويُحذف بعد نحو يوم. لكنه لا يفعل شيئًا للبريد الذي يصل إلى صندوقك الرئيسي، فالفحوص السابقة تظل تنطبق هناك.