التصيّد الاحتيالي: كيف يوصل المحتالون رسائلهم إلى بريدك

تصفّي خدمات البريد الإلكتروني كل يوم مليارات الرسائل غير المرغوب فيها. ومع ذلك، ما زالت رسائل الاحتيال تصل إلى صناديق الوارد لدينا. وهذا ليس صدفة: فالمحتالون يعرفون آليات الفحص وتعلّموا كيف يتحايلون عليها. إليك أبرز أساليبهم، مشروحة ببساطة، والأثر الذي يتركه كل أسلوب منها رغم كل شيء.

انتحال شخصية الآخرين

الأسلوب الأول ليس تقنيًا على الإطلاق: إنه التقليد. تنسخ الرسالة شعار مصرف أو شركة شحن أو جهة حكومية، وألوانها وأسلوبها. وتُستخدم عدة تفاصيل لخداع النظرة السريعة:

• الاسم الظاهر: كثيرًا ما يعرض برنامج البريد «خدمة عملاء مصرفي» بخط كبير، والعنوان الحقيقي بخط صغير أو لا يعرضه أصلًا.
• العناوين المتشابهة: حرف مستبدَل (paypa1 بدلًا من paypal)، أو «rn» تقلّد حرف «m»، أو اسم العلامة التجارية في بداية عنوان يملكه شخص آخر، مثل mybank.account-check.example.
• الاستعجال: حساب محظور، أو طرد محتجَز، أو غرامة يجب دفعها خلال 48 ساعة. الهدف من الضغط هو دفعك إلى التصرف قبل التفكير.

الأثر: التقليد يخدع العين لا الخوادم. فالعنوان الحقيقي والخادم المرسِل يبقيان ظاهرين في الترويسة الكاملة للرسالة.

تزييف المرسِل: بسهولة الكتابة على ظرف

يظن كثيرون أن عنوان المرسِل يخضع للتحقق. وهذا غير صحيح. فحقل «من:» في الرسالة يشبه عنوان المرسِل المكتوب على ظهر الظرف: يمكن لأي شخص أن يكتب فيه ما يشاء. ويكفي بضعة أسطر من الشيفرة على خادم ويب لإرسال رسالة تبدو صادرة عن مصرفك أو جهة عملك… أو عنك أنت. وهذه بالضبط حيلة رسائل الابتزاز التي تدّعي اختراق بريدك مع «دليل» على ذلك: تبدو الرسالة وكأنها أُرسلت من عنوانك أنت.

للحدّ من هذا الاستغلال، توجد ثلاث آليات:

• SPF: قائمة الخوادم المسموح لها بإرسال البريد باسم نطاق معيّن؛
• DKIM: توقيع يشبه ختم الشمع، يثبت أن الرسالة صادرة فعلًا عن النطاق وأنها لم تُعدَّل؛
• DMARC: التعليمات التي يعطيها النطاق للمستلمين عند فشل الفحصين السابقين: عدم فعل شيء، أو النقل إلى البريد غير المرغوب فيه، أو الرفض.

هذه الحمايات فعّالة… عندما تكون مفعّلة ومطبّقة. لكن نطاقات كثيرة تنشر سياسة DMARC تقول ببساطة «لا تفعل شيئًا»، وبعض الخوادم المستقبِلة لا تأخذها في الحسبان. والأهم من ذلك أن المحتال يستطيع شراء نطاق مشابه خاص به وإعداده بشكل صحيح: فتجتاز رسائله عندئذ SPF وDKIM وDMARC دون أي خطأ. هذه الفحوص تثبت أن الرسالة صادرة عن نطاق معيّن، لا أن هذا النطاق نزيه.

الأثر: كل خادم ينقل الرسالة يضيف سطر Received في أعلى الترويسة. يستطيع المحتال اختلاق أسطر مزيّفة في أسفلها، لكنه لا يستطيع منع الخوادم التالية من إضافة أسطرها. والسطر الذي تضيفه خدمة بريدك أنت يسجّل بدقة عنوان IP الذي سلّمها الرسالة: وهو ما يبحث عنه Baitback.

استئجار خادم ببضعة دولارات

لإرسال آلاف الرسائل، يحتاج المحتال إلى جهاز متصل بالإنترنت. ولا شيء أسهل من ذلك: يمكن لأي شخص استئجار خادم افتراضي («VPS») ببضعة دولارات شهريًا، يُدفع غالبًا باليوم، وأحيانًا ببطاقة مصرفية مسروقة. يستخدمه المحتال لحملة واحدة، بضع ساعات أو بضعة أيام. وما إن يظهر عنوان IP الخاص بالخادم في القوائم السوداء حتى يتخلى عنه ويستأجر غيره، لدى مزوّد الاستضافة نفسه أو في مكان آخر من العالم.

لهذا لا يكفي حظر عنوان IP في بريدك: فالحملة التالية ستنطلق من عنوان آخر.

الأثر: كل خادم مستأجَر يعود إلى مزوّد استضافة يمكن تحديده، وشروط استخدامه تمنع إرسال البريد المزعج. وعندما يُبلَّغ عبر عنوان البلاغات الخاص به (جهة الاتصال «abuse»)، يمكنه إيقاف الخادم. وهذا أنجع إجراء لوقف حملة جارية.

استخدام خادم يملكه شخص آخر

وأكثر خفاءً من ذلك: الإرسال من جهاز لا يملكه المحتال. وهناك حالتان شائعتان:

• موقع ويب مخترَق: موقع لا يُحدَّث بانتظام (نسخة قديمة من WordPress، أو إضافة منسية) يُزرَع فيه برنامج صغير للإرسال دون علم صاحبه.
• حساب بريد مسروق: بكلمة مرور حصل عليها من عملية تصيّد سابقة، يرسل المحتال رسائله من صندوق بريد حقيقي لدى مزوّد حقيقي، وقد يكون أحيانًا حساب شركة أو جامعة.

في هذه الحالة، تخرج الرسالة من خادم نزيه ذي سمعة جيدة. وغالبًا ما يكون SPF وDKIM صالحين. فيصعب على المرشّحات كثيرًا تمييزها عن رسالة مشروعة.

الأثر: عنوان IP والخادم المرسِل يبقيان ظاهرين في الترويسة. والإبلاغ إلى مزوّد الاستضافة أو مزوّد البريد يساعد أيضًا المالك الشرعي، الذي كثيرًا ما يجهل أن موقعه أو حسابه يُستغل.

ليست كل الخوادم بالصرامة نفسها

يطبّق المزوّدون الكبار، مثل Gmail، قواعد صارمة: حدود للإرسال، وعمليات تحقق، وحظر سريع للحسابات المسيئة. أما خوادم أخرى، كمزوّدي الاستضافة الصغار أو الأجهزة سيئة الإعداد، فهي أكثر تساهلًا بكثير. وكذلك الأمر عند الاستقبال: بعض خدمات البريد ترفض كل ما هو مريب، وبعضها يسمح بمرور الكثير.

لا يحتاج المحتالون إلى هزيمة أشدّ الخوادم صرامة: يكفيهم العثور على الحلقة الأضعف. ومع ملايين الخوادم في العالم، هناك دائمًا واحد في مكان ما.

روابط تختبئ من الروبوتات

عندما تصل رسالة، تزور خدمات بريد كثيرة روابطها تلقائيًا للتأكد من أنها لا تقود إلى صفحة خطيرة. والمحتالون يعرفون ذلك، فيضعون حارسًا على الباب:

• الرابط في الرسالة يقود أولًا إلى صفحة تبدو بريئة، أو إلى خدمة إعادة توجيه؛
• تعرض هذه الصفحة تحققًا من نوع «هل أنت إنسان؟»، مثل خانات الاختيار التي نراها في مواقع كثيرة، أو تفحص الزائر خفية؛
• روبوت التحليل لا يجتاز التحقق: لا يرى إلا صفحة فارغة أو غير ضارة، فيستنتج أن الرابط آمن؛
• أما الإنسان فيجتاز التحقق دون تفكير… ليصل إلى صفحة تسجيل الدخول المزيّفة.

وبعض الروابط تُفعَّل لاحقًا: تكون نظيفة تمامًا لحظة تسليم الرسالة وفحصها، ولا تبدأ بإعادة التوجيه إلى الصفحة الفخ إلا بعد بضع ساعات.

الأثر: الرابط الأصلي يبقى في الرسالة. يتتبّعه Baitback ويعرض عمليات إعادة التوجيه، ويمكن الإبلاغ عن عنوان البداية حتى عندما تختبئ الصفحة النهائية.

لماذا يستمر ذلك: الإبلاغ معقّد جدًا

لكل هذه الأساليب نقطة ضعف مشتركة: فهي تعتمد على خوادم وعناوين IP وأسماء نطاقات تعود إلى مزوّدي استضافة يمكن تحديدهم. وبلاغ موجَّه إلى الجهة الصحيحة يمكن أن يؤدي إلى إيقاف خادم في غضون ساعات.

المشكلة هي الجهد المطلوب. تؤدي المنصات الرسمية دورًا مهمًا، خصوصًا في الملاحقة القضائية. لكن على منصة PHAROS، وهي منصة الإبلاغ الرسمية في فرنسا، قد يضطر المرء مثلًا إلى تصفّح أكثر من عشر صفحات قبل العثور على الفئة المناسبة. ولإيقاف الخادم المرسِل، لا بد بعد ذلك من العثور على مزوّد الاستضافة وعنوان البلاغات الخاص به، ثم كتابة رسالة واضحة مع الأدلة المناسبة. قلّة من الناس يصلون إلى النهاية، والمحتالون يستغلون ذلك.

لهذا وُجد Baitback: تلصق الرسالة، فتعثر الأداة على الخادم المرسِل ومزوّد استضافته وعنوان بلاغاته، ثم تُعدّ الرسائل جاهزة للإرسال. خطوة واحدة بدلًا من سباق حواجز.