قد تكذب رسالة البريد… حتى عندما تقول الفحوص «سليم»
خلف كواليس تقنية عمرها عدة عقود، تعلّم المهاجمون التلاعب بالقواعد. أُضيفت إلى البريد الإلكتروني فحوص للتحقق من الهوية، وهي تعمل فعلًا. لكنها لا تجيب إلا عن سؤال واحد: من أين جاءت هذه الرسالة؟ ولا تجيب أبدًا عن السؤال الأهم: هل تقول الحقيقة؟
الكذبة الأولى: «أنا مصرفك»
تبدأ القصة برسالة بريد إلكتروني، مثل آلاف الرسائل التي تصل كل يوم:
من: support@mybank.example الموضوع: ⚠️ سيُعلَّق حسابك اليوم
كل شيء يبدو طبيعيًا: الشعار، والتوقيع، والعنوان، والأسلوب المهني. لكن من أرسل هذه الرسالة فعلًا؟
هنا نكتشف إرثًا غريبًا من الإنترنت: لم يُصمَّم البريد الإلكتروني في الأصل لإثبات هوية مرسله.
بطاقة بريدية، لا رسالة مسجَّلة
إرسال بريد إلكتروني يشبه قليلًا إرسال بطاقة بريدية: نكتب رسالة، ونكتب اسم المرسل، ثم يتولى ساعي البريد توصيلها. لكن الساعي لا يتحقق من أن الاسم المكتوب يخص فعلًا الشخص الذي أرسل البطاقة. (لمتابعة هذا الساعي خطوة بخطوة، راجع دليل كيف تنتقل رسالة البريد الإلكتروني من المرسِل إلى المستلم.)
وُلدت أولى بروتوكولات البريد في إنترنت صغير جدًا، كان الجميع فيه تقريبًا يعرفون بعضهم. كانت الثقة أمرًا بديهيًا. أما اليوم فتنقل التقنية نفسها جزءًا هائلًا من اتصالاتنا. ولا يمكن إطفاء كل شيء لإعادة بناء البريد كما ينبغي: سيكون ذلك مثل تغيير محركات طائرة وهي في الجو.
ثلاثة مراقبين عند الباب: SPF وDKIM وDMARC
بما أن إعادة البناء مستحيلة، أضاف المهندسون فحوصًا للهوية فوق البريد. وبدل التعريفات التقنية، يمكن تخيّلها كثلاث شخصيات تقف عند مدخل صندوق بريدك.
- SPF، المحقق: «هل يحق لهذا الجهاز إرسال البريد باسم هذا النطاق؟» ينشر النطاق قائمة خوادمه المصرّح لها، ويراجعها المحقق.
- DKIM، حارس الختم: «هل تحمل الرسالة التوقيع الرقمي للنطاق، وهل هو سليم؟» مثل ختم الشمع، يثبت أن الرسالة جاءت فعلًا من البنية التحتية للنطاق وأنها لم تُعدَّل في الطريق.
- DMARC، حارس الباب: «ماذا نفعل إذا لم يتطابق شيء؟» يترك له النطاق تعليمات: السماح بالمرور، أو النقل إلى الرسائل غير المرغوب فيها، أو الرفض.
على الورق، يبدو هذا متينًا. فكيف ما زال المهاجمون يمرّون؟
المفاجأة: رسالة أصلية… لكنها احتيال رغم ذلك
هذا هو لبّ المشكلة. يتحقق المراقبون الثلاثة من الهوية التقنية للرسالة. لكن هناك أربع طرق على الأقل للحصول على هوية تقنية صالحة تمامًا.
الفخ رقم 1: نطاق مزيف يكاد يكون مثاليًا
يشتري المهاجم اسم نطاق خاصًا به، يبدو مطابقًا لنطاق المصرف:
support@mybank-pr1vate.example(بدلًا من mybank-private). رقم «1» بسيط يحل محل حرف «i». يضبط المهاجم SPF وDKIM وDMARC ضبطًا صحيحًا: إنه نطاقه هو، ويحق له ذلك. فيجيب المراقبون بكل صدق: ✅ «هذا النطاق مخوَّل فعلًا بإرسال هذه الرسالة». وفي الوقت نفسه يقرأ دماغ القارئ: 😱 «إنه مصرفي!»
الأدوات تتحقق ممن يرسل، لكنها لا تفهم نية الرسالة.
الفخ رقم 2: الباب المنسي
يملك المصرف الكبير مئات النطاقات الفرعية: واحد للعروض، وآخر لمسابقة قديمة، وثالث لخدمة أُغلقت قبل خمس سنوات… وفي مكان ما ما زال promo.old-bank.example موجودًا، ولم يعد أحد يعتني به حقًا.
إذا كان هذا النطاق الفرعي ما زال يشير إلى خدمة لم تعد موجودة، أو كانت حمايته ضعيفة، فقد يتمكن المهاجم أحيانًا من السيطرة عليه. لا حاجة إلى كسر الباب الرئيسي: يكفي أن يبحث عن باب جانبي نسيه الجميع. وكل ما ينشره هناك يحمل الاسم الحقيقي للمصرف.
الفخ رقم 3: سرقة المفاتيح الحقيقية
وماذا لو لم يصنع المهاجم عنوانًا مزيفًا أصلًا؟ إذا سرق كلمة مرور موظف حقيقي، عبر رسالة تصيّد سابقة مثلًا، فستخرج رسائله من البنية التحتية الحقيقية للشركة. تعمل SPF وDKIM وDMARC بشكل طبيعي، وهذا منطقي: فكل شيء أصلي. هذه المرة لم تعد هوية مزيفة. إنها هوية حقيقية يستخدمها الشخص الخطأ.
الفخ رقم 4: الذوبان في الأدوات التي يستخدمها الجميع
ترسل الشركات نشراتها وحملاتها عبر منصات متخصصة معروفة وتحظى بتقييم جيد لدى المرشِّحات. وقد يحاول المهاجمون إساءة استخدام هذه المنصات إذا كانت مضبوطة بشكل سيئ أو إذا اختُرق حساب أحد العملاء عليها. إذن لا يبني المهاجم دائمًا نظامه الخاص: أحيانًا يتسلل إلى نظام غيره، حيث لا يلفت الانتباه. يشرح دليل التصيّد الاحتيالي: كيف يوصل المحتالون رسائلهم إلى بريدك تقنيات الإرسال هذه بالتفصيل.
تساعد SPF وDKIM وDMARC على التحقق من الهوية التقنية للرسالة. لكنها وحدها لا تستطيع أن تقول إن كان محتواها صحيحًا. الأمر أشبه بالتحقق من أن الظرف أصلي دون القدرة على ضمان أن الرسالة التي بداخله لا تكذب.
أحيانًا تبدأ المشكلة قبل أن يظهر المهاجم أصلًا
لنعد إلى أرض الواقع. خادم البريد ليس آمنًا لمجرد أنه يعمل.
فخ النسخ واللصق
يبحث مسؤول نظام عن «تثبيت خادم Postfix بسرعة». يجد درسًا تعليميًا، وينسخ الأوامر، و… يعمل الخادم. هل انتهت القصة؟ ليس بالضرورة. الإعداد الذي يتيح البدء بسرعة ليس بالضرورة إعدادًا مُحصَّنًا، أي مضبوطًا لمقاومة الهجمات.
الخادم الذي يتحول إلى آلة للرسائل المزعجة
قد يحوّل الإعداد السيئ الخادم إلى مُرحِّل مفتوح (open relay): جهاز يقبل تمرير رسائل أي شخص، مع أنه يُفترض أن يخدم مستخدميه فقط. بالنسبة إلى المهاجم، هذه فرصة ذهبية: خادم نزيه وذو سمعة جيدة يرسل رسائله نيابةً عنه.
ولا حاجة إلى البحث يدويًا. الدورة بسيطة: مسح → اختبار → عثور → استغلال، ويسهل جدًا أتمتتها. لذلك لم يعد الأمر بالضرورة مهاجمًا جالسًا أمام شاشته يبحث عن ضحايا. غالبًا ما تكون آلات تبحث عن آلات أخرى، ليلًا ونهارًا.
بينما نفكر، تكون الآلة قد بدأت الهجوم
يمكن لرسالة خبيثة أن تُرسَل → تُستقبَل → تُفتَح → يُنقَر عليها → تُستغَل في غضون دقائق. وفي الأثناء، على جانب الدفاع، يجب أن تحلل الأنظمة الرسالة، وأن تتلقى الفرق التنبيهات، وأن يفسرها أحد، ثم يجب تحديث قواعد التصفية. كل دقيقة لها ثمن.
ومن هنا فكرة بسيطة: نظام الأمان الذي لا يراقبه أحد يكفّ في النهاية عن أن يكون آمنًا حقًا. تتقادم القواعد، ويتكيف المهاجمون، وتتراكم التنبيهات دون أن تُقرأ.
ولكسب هذه الدقائق أيضًا وُجد Baitback: تلصق البريد المشبوه، فتعثر الأداة على الخادم الذي أرسله فعلًا وعلى مزوّد استضافته، وتُعِدّ البلاغ. كلما أُبلغ عن خادم الإرسال مبكرًا، أمكن إيقافه أسرع.
هل يمكن جعل البريد الإلكتروني معصومًا من الخطأ؟
على الأرجح لا بتقنية واحدة، لأن للمشكلة عدة طبقات:
- 📨 البروتوكول: صُمِّم في عصر آخر، لإنترنت آخر.
- 🔐 البنية التحتية: أحيانًا سيئة الضبط، وأحيانًا قديمة، وأحيانًا منسية.
- 🤖 أنظمة الكشف: قادرة على رصد أشياء كثيرة جدًا، لكن ليس كل شيء.
- 🧑 الإنسان: قادر على استشعار الفخ… وعلى الوقوع ضحية التلاعب.
إذا لم تكن التقنية وحدها كافية، فماذا يفعل الباحثون لجعل الكشف أذكى؟ هذا موضوع الدليل التالي: التصيّد الاحتيالي: لعبة القط والفأر بين الباحثين والقراصنة.
- لم يُصمَّم البريد الإلكتروني لإثبات هوية المرسل: أُضيفت SPF وDKIM وDMARC لاحقًا.
- تتحقق هذه الفحوص من الهوية التقنية للرسالة (الظرف)، لا من صدق محتواها (الرسالة نفسها).
- يمكن لنطاق شبيه، أو نطاق فرعي منسي، أو حساب مسروق، أو منصة إرسال مُساء استخدامها أن تنتج بريدًا «صالحًا».
- قد يصبح الخادم سيئ الضبط مُرحِّلًا لمرسلي الرسائل المزعجة، تعثر عليه الروبوتات تلقائيًا.
- السرعة مهمة: الإبلاغ المبكر عن خادم الإرسال، باستخدام Baitback مثلًا، يقصّر عمر الحملة.