TOAD: حين يطلب منك التصيّد أن تتصل هاتفيًا

لا تحتوي الرسالة على أي رابط أو مرفق خطير. فقط فاتورة: «تجديد اشتراكك: ‎$399.99. لست أنت؟ اتصل بخدمة العملاء لدينا.» لا يرتاب أي فلتر، وهنا بيت القصيد. تُسمّى هذه الحيلة TOAD، اختصارًا لـTelephone-Oriented Attack Delivery: هجوم يمرّ عبر الهاتف. ويُسمّى أيضًا callback phishing، أي التصيّد بمعاودة الاتصال.

ما هجوم TOAD؟

التصيّد التقليدي يريد منا أن ننقر. أما TOAD فيريد منا أن نتصل. الرسالة ليست إلا طُعمًا؛ والفخ الحقيقي هو المحادثة التي تليها، مع موظف مزيّف مدرَّب جيدًا.

اشتهرت هذه الحيلة عام 2021 مع حملة سُمّيت «BazarCall»: فواتير اشتراك مزيّفة دفعت المستلمين إلى الاتصال بمركز اتصال، حيث أُقنعوا بتثبيت برنامج خبيث ظنًّا منهم أنهم يلغون الاشتراك. ومنذ ذلك الحين تكاثرت أشكالها.

السيناريو المعتاد: فاتورة لم نطلبها قط

تبدو الرسالة كتأكيد طلب أو فاتورة: اشتراك مكافحة فيروسات، أو برنامج، أو خدمة دعم تقني، أو شراء عبر الإنترنت. ولها ثلاثة مكوّنات:

• مبلغ يدفع إلى التصرّف، مرتفع بما يكفي لإثارة القلق؛
• مخرج: «لست أنت؟ ألغِ خلال 24 ساعة»؛
• وسيلة تواصل وحيدة: رقم هاتف.

على الطرف الآخر من الخط، يكون الموظف المزيّف لطيفًا ومطمئِنًا. ولكي «يلغي» أو «يعيد المبلغ»، يطلب تثبيت برنامج تحكّم عن بُعد، ثم فتح الحساب المصرفي على الإنترنت. والبقية معروفة: «استرداد» أكبر من اللازم بالخطأ يجب «إرجاعه» بحوالة، أو برنامج تجسّس يُثبَّت خفية أثناء العملية.

لماذا يصعّب غياب الرابط الاكتشاف

تعرف فلاتر البريد كيف تزور الروابط، وتحلّل الصفحات، وتفحص المرفقات. في رسالة TOAD لا يوجد ما يُزار. النص عادي، واللهجة تجارية، ورقم الهاتف بالنسبة إلى الروبوت مجرد سلسلة أرقام. ولزيادة الصعوبة، كثيرًا ما يضع المحتالون الفاتورة في صورة أو ملف PDF، ويكتبون الرقم بمسافات أو بمحارف غير مألوفة، ويغيّرون الرقم من موجة إلى أخرى.

بل قد تُرسل الرسالة أحيانًا من خدمة فوترة حقيقية على الإنترنت: ينشئ المحتال حسابًا، ويحرّر فاتورة مزيّفة، ويدسّ رقمه في خانة «ملاحظة». فتخرج الرسالة من خوادم الخدمة نفسها وتجتاز كل فحوص المصادقة، كما يشرح بالتفصيل دليل قد تكذب رسالة البريد… حتى عندما تقول الفحوص «سليم».

رقم الهاتف: القطعة المحورية

في TOAD يؤدي الرقم الدور الذي يؤديه الرابط في التصيّد التقليدي. هو ما يقود إلى الفخ، وهو إذن ما يجب فحصه. بعض المؤشرات:

• غالبًا ما يكون رقمًا أرضيًا عاديًا أو رقمًا يُحصل عليه عبر الإنترنت، ويمكن أن يرنّ في أي مكان من العالم؛
• لا يظهر في أي مكان على الموقع الرسمي للشركة المذكورة؛
• يتغيّر كثيرًا: قد تستخدم حملة واحدة عشرات الأرقام.

كيف نتحقق من الرقم ومن الشركة المنتحَلة

القاعدة الذهبية: لا نستخدم أبدًا الرقم الوارد في الرسالة للتحقق من الرسالة. فذلك أشبه بأن نطلب من المشتبه به تأكيد حجّة غيابه بنفسه.

1. نتحقق من المصدر. نكتب بأنفسنا عنوان الموقع الرسمي للشركة، أو نفتح تطبيقها، ونرى هل الاشتراك أو الطلب موجود فعلًا في حسابنا.
2. نبحث عن الرقم على الإنترنت. كثيرًا ما يكون آخرون قد أبلغوا عنه. انتبه: غياب النتائج لا يثبت شيئًا، فقد يكون الرقم جديدًا تمامًا.
3. نقارن بوسائل التواصل الرسمية للشركة، التي نجدها بأنفسنا.
4. نتمسّك بمبدأ بسيط: لا توجد خدمة عملاء حقيقية تطلب تثبيت برنامج تحكّم عن بُعد لإلغاء اشتراك، ولا إجراء حوالة لاستلام مبلغ مسترد.

وللتحقق من بقية الرسالة (المرسِل الحقيقي، خادم الإرسال)، يبيّن دليل التصيّد الاحتيالي: كيف يوصل المحتالون رسائلهم إلى بريدك أين ننظر.

ما الذي يمكن الإبلاغ عنه حين لا يوجد موقع احتيالي؟

غياب الموقع لا يعني غياب ما يُبلَّغ عنه. تبقى ثلاثة أهداف مفيدة:

• الخادم الذي أرسل الرسالة. رسالة TOAD تبقى رسالة بريد، أرسلها جهاز يملكه أحد ما. نلصق مصدرها الكامل في Baitback: تعثر الأداة على خادم الإرسال واستضافته وعنوان الإبلاغ، وتجهّز رسائل بلاغ جاهزة للإرسال. وإن جاءت الرسالة من خدمة فوترة حقيقية أُسيء استخدامها، نبلّغ تلك الخدمة عن الحساب الاحتيالي: فبإمكانها إغلاقه.
• رقم الهاتف. في فرنسا مثلًا، تستقبل خدمة 33700 بلاغات الرسائل النصية والمكالمات غير المرغوب فيها، وتقبل المنصة الرسمية للبلاغات (PHAROS) حالات الاحتيال أيضًا. ولكل بلد جهاته المماثلة، ومن المفيد أيضًا إبلاغ شركة الاتصالات.
• الشركة المنتحَلة. لدى معظم العلامات الكبرى عنوان مخصّص لمحاولات الاحتيال باسمها. يمكنها تحذير عملائها واتخاذ إجراءات قانونية.

حدود البلاغ التقليدي

لنكن صريحين: إيقاف TOAD أصعب من إيقاف موقع مزيّف. يُعلَّق النطاق لدى المسجِّل في ساعات قليلة؛ أما رقم الهاتف الذي يُحصل عليه عبر الإنترنت، وأحيانًا من الخارج، فيُستبدل في دقائق، ولا يوجد «دليل لعناوين الإبلاغ» بسيط كما في حالة الخوادم. يبقى خادم الإرسال أسهل حلقة يمكن قطعها، ولذلك يستحق الإبلاغ عنه دائمًا. وكل رقم يُبلَّغ عنه، ولو منفردًا، يغذّي قواعد البيانات التي تتيح لشركات الاتصالات وتطبيقات الفلترة عرض «مكالمة مشبوهة».

إذا كنا قد اتصلنا بالفعل

إذا جرت المحادثة: نُنهي المكالمة، ونفصل الحاسوب عن الإنترنت، ونزيل برنامج التحكّم عن بُعد، ونتصل بالمصرف على رقمه الرسمي، ونغيّر كلمات المرور من جهاز آخر. في فرنسا، ترافق منصة Cybermalveillance.gouv.fr الضحايا خطوة بخطوة؛ ولدى معظم البلدان جهات دعم مماثلة.