التصيد الاحتيالي: ما هو وكيف يعمل وكيف تحمي نفسك من عمليات الاحتيال التي يسببها

إنفورماتيك ديجيتال » الإنترنت » التصيد الاحتيالي: ما هو وكيف يعمل وكيف تحمي نفسك من عمليات الاحتيال التي يسببها

يُعدّ أمن الإنترنت أحد أكبر تحديات العصر الرقمي . فنحن نتصفح الإنترنت يوميًا، ونتسوق عبر الإنترنت، وندير حساباتنا المصرفية، ونتفقد بريدنا الإلكتروني، واثقين من أن بياناتنا تبقى خاصة ومحمية. إلا أن مجرمي الإنترنت لا يهدأون، ويستخدمون أساليب متطورة باستمرار لسرقة معلوماتنا . ومن أكثر التهديدات شيوعًا وخطورة في هذا المجال التصيّد الاحتيالي.

قد تُفاجأ بمدى سهولة الوقوع في فخ التصيّد الاحتيالي إذا لم تكن تعرف كيفية كشفه . حتى لو كنت تعتقد أنك في مأمن لأنك لا تنقر على روابط مشبوهة، فالحقيقة أن المحتالين قد أتقنوا حيلهم. من رسائل البريد الإلكتروني التي تحمل شعارات تكاد تكون مطابقة لشعار بنكك، إلى الرسائل المثيرة للذعر التي تستغل عواطفك لخداعك وكشف معلوماتك الشخصية أو المصرفية الحساسة. هنا تكمن أهمية أن تتعلم، بطريقة واضحة وعملية، ما هو التصيّد الاحتيالي، وكيف يعمل، وأفضل الطرق للبقاء متقدمًا بخطوة على المحتالين.

ما هو التصيد الاحتيالي ولماذا يشكل تهديدًا واسع النطاق؟

التصيد الاحتيالي هو أسلوب خداع رقمي يهدف أساسًا إلى الحصول على بيانات المستخدمين السرية . عادةً ما ينتحل المهاجمون صفة الشركات أو الهيئات الحكومية أو البنوك أو الخدمات التي نثق بها. ومن خلال رسائل البريد الإلكتروني أو الرسائل النصية القصيرة أو المكالمات الهاتفية أو الروابط المزيفة، يحاولون خداعنا لحملنا على تقديم معلومات حساسة مثل كلمات المرور أو أرقام بطاقات الائتمان أو بيانات تسجيل الدخول إلى الخدمات الإلكترونية.

مصطلح "التصيد الاحتيالي" مشتق من الكلمة الإنجليزية "fishing"، والتي تشير إلى "اصطياد" الضحايا باستخدام الطعم، وانتظار وقوعهم فيه. يزعم البعض أن الكلمة مشتقة من عبارة "صيد كلمات المرور"، إلا أن هذا التفسير يبدو لاحقاً. على أي حال، الأصل واضح: يسعى التصيد الاحتيالي إلى خداع المستخدمين غير المتوقعين لسرقة معلوماتهم الشخصية.

يحتل هذا التهديد مكانة بارزة في عالم الجرائم الإلكترونية نظراً لفعاليته الهائلة وتكلفته المنخفضة بالنسبة للمهاجمين . يكفي إرسال آلاف الرسائل الإلكترونية أو الرسائل النصية الخبيثة لخداع عدد قليل من الضحايا وحملهم على كشف بيانات قيّمة. علاوة على ذلك، لا يتطلب الأمر اختراق الأنظمة التقنية، بل التلاعب بالأفراد ، مما يجعله أكثر خطورة على أي مستخدم أو شركة أو مؤسسة.

التطور التاريخي وأصل التصيد الاحتيالي

تم رصد أولى محاولات التصيد الاحتيالي في منتصف التسعينيات ، إلا أن انتشارها الواسع لم يبدأ إلا بعد سنوات. وقد استُخدم مصطلح "التصيد الاحتيالي" لأول مرة عام ١٩٩٦ في منتديات القرصنة لوصف عمليات سرقة الحسابات التي استهدفت شركة AOL، وهي شركة رائدة في مجال خدمات الإنترنت آنذاك. انتحل المهاجمون صفة موظفين وأرسلوا رسائل تطلب التحقق من الفواتير، ما مكّنهم من الوصول إلى حسابات الضحايا.

منذ ذلك الحين، تطورت عمليات التصيد الاحتيالي بشكل ملحوظ من حيث الأساليب والانتشار والتعقيد . يستخدم المجرمون اليوم طيفًا واسعًا من الأساليب للهجوم، بدءًا من رسائل البريد الإلكتروني المصممة بدقة متناهية، مرورًا بالرسائل النصية القصيرة والمكالمات الهاتفية (التصيد الصوتي)، وصولًا إلى رموز الاستجابة السريعة (التصيد عبر رموز الاستجابة السريعة)، مستغلين دائمًا العامل البشري باعتباره نقطة ضعفهم الرئيسية. وقد جعل هذا التنوع من التصيد الاحتيالي أكثر أساليب الهجوم انتشارًا لسرقة البيانات والأموال من المستخدمين والشركات.

التأثير الحالي ونطاق التصيد الاحتيالي

تُسبب عمليات التصيد الاحتيالي خسائر مالية فادحة وأضرارًا جسيمة بسمعة ضحاياها وأمنهم . ووفقًا لتقرير شركة IBM بعنوان "تكلفة اختراق البيانات"، يُعد التصيد الاحتيالي أكثر أساليب اختراق البيانات شيوعًا على مستوى العالم، إذ يُمثل حوالي 15% من الحوادث الأمنية . وتشير التقديرات إلى أن خسائر الشركات في أمريكا الشمالية قد تتجاوز 4,88 مليون دولار أمريكي في المتوسط ​​لكل عملية اختراق . وعلى المستوى الفردي، قد يفقد أي مستخدم إمكانية الوصول إلى حسابات بريده الإلكتروني، أو يتكبد خسائر مالية، أو يقع ضحية لسرقة الهوية.

يستهدف المهاجمون عادةً ضحايا تتراوح بين المستخدمين الأفراد والمنظمات الكبيرة والوكالات الحكومية . ومن الأمثلة البارزة على ذلك اختراق حملة هيلاري كلينتون الرئاسية الأمريكية عام 2016، حيث استُخدمت رسالة بريد إلكتروني مزيفة لإعادة تعيين كلمة المرور لسرقة آلاف الرسائل الإلكترونية السرية.

يكمن سر نجاحها في أن تقنيات وفلاتر الأمان القياسية، مثل برامج مكافحة الفيروسات أو أدوات التحكم في الشبكة، لا تكشف دائمًا هذه الرسائل الاحتيالية . ويُعدّ التلاعب النفسي التكتيك الرئيسي للتصيّد الاحتيالي.

أكثر تقنيات وأساليب التصيد الاحتيالي استخدامًا

تتكيف عمليات التصيد الاحتيالي باستمرار مع العادات الرقمية الجديدة، مما ينتج عنه عدد لا يحصى من الأساليب . ومن بين أكثر الطرق شيوعًا ما يلي:

• التصيد الاحتيالي التقليدي:رسائل البريد الإلكتروني أو الرسائل النصية القصيرة الجماعية التي تنتحل صفة شركات شرعية (بنوك، وشبكات التواصل الاجتماعي، والمتاجر عبر الإنترنت)، وتحث المستخدمين على النقر على الروابط وتقديم معلومات شخصية على مواقع ويب مزيفة.
• Vishing:يتكون هذا من إجراء مكالمات هاتفية تنتحل شخصية موظفين موثوق بهم (بنوك، مشغلين، إلخ) للحصول على بيانات سرية مثل كلمات المرور، أو الرموز، أو رموز الأمان الأخرى.
• Smishing: نوع من الاحتيال يستخدم الرسائل النصية القصيرة أو محادثات الدردشة الفورية لخداع الضحايا. على سبيل المثال، رسائل تحذر من نشاط مشبوه في الحسابات المصرفية وتطلب معلومات للتحقق من الهوية.
• قريشينج:استخدام رموز QR المزيفة لإعادة التوجيه إلى مواقع الويب المزيفة حيث يتم طلب البيانات الشخصية أو تثبيت التطبيقات الضارة.
• تصيد عناوين URL:إنشاء روابط تبدو شرعية ولكنها تعيد التوجيه إلى مواقع ويب مزيفة، وغالبًا ما يتم إخفاء عنوان URL لجعله غير مرئي (أخطاء إملائية، أحرف متشابهة، وما إلى ذلك).
• الرمح التصيد:هجمات تستهدف بشكل خاص أفرادًا أو موظفين محددين، استنادًا إلى أبحاث سابقة حول الضحية لتخصيص الرسالة وزيادة مصداقيتها.
• صيد الحيتان:نسخة موجهة إلى كبار المسؤولين أو الأشخاص الذين لديهم إمكانية الوصول إلى معلومات سرية، باستخدام رسائل أكثر تخصيصًا وتطورًا.
• اختراق البريد الإلكتروني للأعمال (BEC):الهجمات عبر البريد الإلكتروني للشركات لخداع الموظفين وتنفيذ عمليات نقل احتيالية أو سرقة بيانات داخلية رئيسية.
• تزوير العناوين:التلاعب بأنظمة DNS لإعادة توجيه المستخدمين إلى مواقع ويب مزيفة دون علمهم.
• التصيد الاحتيالي القائم على البرامج الضارة:إرفاق ملفات مصابة برسائل البريد الإلكتروني أو الرسائل، والتي عند فتحها تقوم بتثبيت برامج ضارة.
• Tabnabbing:إنهم يستغلون وجود علامات تبويب متعددة مفتوحة في المتصفح لدى الضحايا لتغيير محتوى أحدها ومحاكاة الحاجة إلى تسجيل الدخول مرة أخرى، وبالتالي سرقة بيانات الاعتماد المدخلة.
• فتحة سقي:إصابة المواقع الإلكترونية التي يرتادها موظفو الشركة أو المؤسسة، لمهاجمة الزوار الدائمين والاستيلاء على المعلومات.
• الشر التوأم:إنشاء نقاط اتصال واي فاي وهمية لسرقة المعلومات من الأشخاص الذين يتصلون بها، معتقدين أنهم على شبكة شرعية.

بالإضافة إلى ذلك، ظهرت في السنوات الأخيرة خدمات التصيد الاحتيالي كخدمة (PHaaS) ، وهي منصات تسمح لأي مجرم إلكتروني، حتى بدون معرفة تقنية واسعة، بشن حملات تصيد احتيالي تلقائيًا عن طريق دفع رسوم.

كيفية التعرف على رسالة التصيد الاحتيالي: العلامات والأمثلة

ليس من السهل دائمًا اكتشاف رسائل البريد الإلكتروني أو الرسائل النصية الاحتيالية ، ولكن هناك العديد من المؤشرات التي يمكن أن تنبهنا:

• الأخطاء النحوية والإملائية:نادراً ما ترتكب الشركات الكبيرة أخطاءً فادحة في اتصالاتها، لكن الرسائل الاحتيالية غالباً ما تكون مليئة بالعيوب الواضحة.
• شعارات وصور رديئة الجودة:في كثير من الأحيان، تكون الصور غير واضحة أو لا تحترم نسبة التصميم الأصلي.
• روابط مشبوهةإذا قمت بالتمرير فوق رابط ولم يتطابق عنوان URL الذي يعرضه مع الكيان الفعلي، فمن المرجح أن يكون ذلك عملية تصيد احتيالي.
• الطلبات العاجلة أو المثيرة للقلق:الرسائل التي تصر على ضرورة التصرف بسرعة، مع التهديد بحظر الحساب، والخسارة المالية، والمشاكل القانونية، وما إلى ذلك.
• طلبات الحصول على معلومات شخصية حساسةإذا طُلب منك معلومات مثل كلمات المرور أو أرقام البطاقات أو أسئلة الأمان، فكن متشككًا على الفور.

وتشمل الأمثلة النموذجية إشعارات تعليق الحسابات المصرفية المزيفة، واسترداد الضرائب المزعومة، وتأكيدات المشتريات أو المعاملات غير المكتملة، والرسائل التي تزعم أنها قادمة من المسؤولين التنفيذيين في الشركة أو الموظفين.

الأهداف الرئيسية وعواقب التصيد الاحتيالي

الهدف الرئيسي من التصيد الاحتيالي هو سرقة المعلومات الشخصية لاستخدامها في عمليات احتيالية . ويمكن ترجمة ذلك إلى ما يلي:

• سرقة الأموال من خلال التحويلات المصرفية الاحتيالية أو المشتريات غير المصرح بها.
• انتحال للوصول إلى خدمات أخرى، أو ارتكاب جرائم، أو بيع البيانات المسروقة في السوق السوداء.
• ابتزاز من خلال التهديد أو الابتزاز إذا تم الحصول على بيانات حساسة.
• الضرر الذي يلحق بالسمعة الشخصية والتجاريةفقدان الثقة والمشاكل القانونية أو الضريبية.

في عالم الأعمال، قد يؤدي التصيد الاحتيالي إلى خسائر مالية فادحة وفقدان معلومات استراتيجية بالغة الأهمية. وفي أسوأ الأحوال، قد يُعرّض استمرارية الأعمال للخطر.

تنوع تقنيات الهجوم وتطورها المتزايد

يُواصل مجرمو الإنترنت تطوير أساليبهم باستمرار لتجاوز أنظمة الأمان وخداع حتى أكثر المستخدمين حذرًا . ومن بين أكثر التقنيات تطورًا ما يلي:

• الروابط التي تبدو شرعية ولكنها تحتوي على وجهات احتيالية، والتي غالبًا ما تكون مضمنة في صور أو نصوص تبدو غير ضارة.
• المرفقات الخبيثة الذي عند فتحه يقوم بتثبيت البرامج الضارة على جهاز الضحية.
• نماذج التقاط البيانات على مواقع الويب التي تحاكي تمامًا مظهر الصفحات الرسمية.
• تقنيات متقدمة للتهرب من مرشحات البريد العشوائي ومكافحة الفيروساتمثل تضمين الرسالة الضارة في الصور، أو حماية المرفقات بكلمات مرور، أو اكتشاف عمليات المسح على الأجهزة الافتراضية لإخفاء المحتوى الحقيقي للهجوم.

إن تطور عمليات التصيد الاحتيالي سريع للغاية لدرجة أنه في بعض الأحيان يكون من المستحيل عمليًا التمييز بين الرسالة المشروعة والرسالة المزيفة بنظرة سريعة.

التصيد الاحتيالي عبر الهاتف المحمول وشبكات التواصل الاجتماعي: طرق هجوم جديدة

أدى ازدياد استخدام الهواتف الذكية ووسائل التواصل الاجتماعي إلى فتح آفاق جديدة لعمليات التصيد الاحتيالي . يستغل مجرمو الإنترنت الرسائل النصية القصيرة، ومنصات المراسلة الفورية، وتطبيقات الهاتف المحمول الخبيثة، ومنشورات وسائل التواصل الاجتماعي الخادعة لسرقة المعلومات أو إصابة الأجهزة.

تتضمن الأمثلة الشائعة الرسائل التي تبدو وكأنها من البنوك تطلب منك تأكيد عملية دفع مشبوهة، أو التنبيهات حول جوائز مزعومة أو مشكلات في حسابك، أو روابط احتيال في تطبيقات البيع والشراء، أو مراجعات المطاعم، أو حتى محادثات الألعاب عبر الإنترنت.

وتؤدي سرعة هذه القنوات وطبيعتها غير الرسمية إلى دفع العديد من الضحايا إلى خفض حذرهم عندما يواجهون رسالة تبدو "طبيعية"، وهو ما يزيد من نجاح الهجمات.

كيفية حماية نفسك من التصيد الاحتيالي: التدابير والنصائح الرئيسية

إلى جانب المنطق السليم والحذر، توجد العديد من العادات والأدوات التي ستساعدك على الحماية من التصيد الاحتيالي . لحماية نفسك بفعالية، ينبغي عليك:

• تحقق دائمًا من أصل الرسائل، وتجنب النقر على الروابط أو تنزيل الملفات من مرسلين غير معروفين أو مشبوهين.
• احذر من أي رسالة تصر على الاستعجال أو تحتوي على أخطاء واضحة.: إملائيًا أو بصريًا أو في بنية الرابط.
• لا تقدم أبدًا معلومات سرية عبر البريد الإلكتروني أو الرسائل النصية القصيرة.الشركات الشرعية لا تطلب هذه المعلومات أبدًا من خلال هذه الوسائل.
• استخدم المتصفحات المحدثة وبرامج مكافحة الفيروسات وفعّل جميع طبقات الحماية الموصى بها. بعض المتصفحات، مثل Edge على نظام ويندوز أو Safari على نظام آبل، تتضمن فلاتر خاصة للتصيد الاحتيالي، مع أنها ليست معصومة من الخطأ.
• حماية كلمات المرور الخاصة بك استخدام مديري كلمات المرور وتمكين المصادقة بخطوتين دائمًا إذا كانت متاحة.
• تحقق من عنوان url من الصفحات التي تقوم بالوصول إليها، والتحقق بعناية من العنوان قبل إدخال أي بيانات.

في حالة الشك، اتصل بالشركة أو الكيان مباشرة من خلال قنواتها الرسمية ، دون استخدام معلومات الاتصال الواردة في الرسالة المشبوهة نفسها.

ماذا تفعل إذا وقعت ضحية للتصيد الاحتيالي

إذا كنت تعتقد أنك وقعت ضحية لعملية تصيد احتيالي وقمت بتقديم معلومات حساسة، فبادر بالتصرف بسرعة :

• قم بتغيير كلمة المرور الخاصة بك على الفور من الخدمة المتأثرة وتفعيل المصادقة ذات الخطوتين إذا كان ذلك ممكنًا.
• اتصل بالمصرف الذي تتعامل معه أو مؤسسة مالية للإبلاغ عن الحادثة، وحظر البطاقات، والإبلاغ عن النفقات غير المصرح بها. تذكر أن اللوائح تُلزم البنوك بتحمل المسؤولية عن هذا النوع من الاحتيال في حال الإبلاغ عنه فورًا.
• قم بإجراء فحص شامل لجهازك باستخدام برنامج مكافحة الفيروسات المحدث للكشف عن العدوى المحتملة والقضاء عليها.
• أبلغ جهات الاتصال الخاصة بك إذا قمت بتوفير إمكانية الوصول إلى البريد الإلكتروني أو حسابات وسائل التواصل الاجتماعي، لمنع الآخرين من الوقوع في فخ رسائل البريد الإلكتروني المرسلة من ملفاتك الشخصية.

إذا كان الضرر كبيرًا ولم تتمكن من الحصول على استرداد للمبلغ، فاطلب المشورة القانونية للدفاع عن حقوقك.

التصيد الاحتيالي والقانون: الوضع القانوني في إسبانيا وحول العالم

يُعدّ التصيّد الاحتيالي جريمةً في العديد من الدول ، مع اختلاف الملاحقة القضائية والعقوبات باختلاف الأنظمة القضائية. ففي إسبانيا، يُجرّم القانون انتحال صفة المواقع الإلكترونية لسرقة البيانات الشخصية، ويعاقب عليه بالسجن وغرامات باهظة. وقد سنّت دول أخرى كثيرة (كالولايات المتحدة وكولومبيا والأرجنتين وغيرها) تشريعاتٍ خاصة أو اقترحت تشريعاتٍ لمعاقبة التصيّد الاحتيالي، بينما تستخدم دول أخرى الجرائم التقليدية كالاحتيال لمقاضاة هذه الحالات.

هناك أيضًا منظمات ومجموعات عمل دولية مخصصة لمكافحة التصيد الاحتيالي، مثل مجموعة عمل مكافحة التصيد الاحتيالي، والتي تتعاون مع جهات إنفاذ القانون وشركات التكنولوجيا لإغلاق المواقع الإلكترونية الاحتيالية والتحذير من التهديدات الجديدة.

أهمية التدريب والتوعية

يبقى أفضل سلاح ضد التصيد الاحتيالي هو المعرفة والوقاية . تقوم العديد من المؤسسات بتدريب موظفيها على التعرف على محاولات الاحتيال، وتُجري محاكاة لحملات تصيد احتيالي داخلية لاختبار يقظة فرق العمل وسرعة بديهتها. وقد أثبتت هذه الإجراءات فعاليتها العالية، إذ أن معظم هجمات التصيد الاحتيالي لا تنجح إلا عندما يتهاون المستخدمون في الحذر أو يجهلون المخاطر.

علاوة على ذلك، تتطور التكنولوجيا باستمرار وتتضمن حلولاً ذكية لكشف التهديدات (مثل فلاتر مكافحة التصيد الاحتيالي، وتحليل الروابط، والتحقق من هوية المرسل، وغيرها)، ولكن لا يوجد حاجز فعال بنسبة 100% ضد براعة المجرمين. لذا، يُعدّ الحفاظ على نظرة نقدية ومواكبة أحدث التوجهات أمراً بالغ الأهمية للحماية.

التصيد الاحتيالي تهديد رقمي لا يفرق بين الأفراد والشركات، ويؤثر على جميع الأجهزة بالتساوي. يتطور هذا التهديد مع التقدم التكنولوجي، ويستغل أي إهمال أو نقص في الوعي لسرقة بياناتنا أو أموالنا أو حتى راحة بالنا. مع ذلك، من خلال المعلومات الحديثة، وأفضل الممارسات، والمنطق السليم، يُمكن تقليل المخاطر والبقاء متقدمًا على مجرمي الإنترنت . ابقَ على اطلاع، وراجع الرسائل التي تتلقاها بعناية، وتذكر: عند الشك، لا تُشارك معلوماتك الشخصية أبدًا. الخطوة الأولى لحماية خصوصيتك بين يديك.