تشريح 3 هجمات سيبرانية حقيقية من عام 2026

لم يعد المجرمون السيبرانيون يقضون ساعات في محاولة تخمين كلمة مرور معقّدة. فمن الأسهل بكثير بناء موقف مقنع وترك الضحية تفتح الباب بنفسها. في شهر سبتمبر 2026 وحده، تُظهر ثلاث قضايا موثّقة جيدًا إلى أي درجة أصبحت هذه المسرحيات متقنة. إليك تشريحها، خطوة بخطوة، مع الأثر الذي يتركه كل منها رغم كل شيء.

الحالة الأولى: عرض العمل الذي يُثبِّت جاسوسًا

السيناريو يكاد يكون عاديًا: رسالة على LinkedIn أو عبر البريد الإلكتروني تعرض منصبًا مصمَّمًا خصيصًا، بأجر مرتفع جدًا. وللانتقال إلى «الخطوة التالية»، يكفي فتح وصف الوظيفة المرفق، أو إجراء اختبار تقني صغير. هذا النوع من الحملات، الذي وثّقته عدة شركات أمنية والذي يُنسب إلى مجموعات منظمة (من بينها عملية يُطلق عليها اسم Contagious Interview، والتي طالت وفق تحليلات نُشرت هذا الصيف أكثر من 30 ألف جهاز)، تستهدف بشكل خاص المطورين والعاملين في قطاع التقنية.

ما يحدث فور فتح الملف:

• ديكور مقنع: تصل الرسالة من حساب مخترَق أو من نطاق يكاد يكون مطابقًا لنطاق شركة حقيقية، ما يسمح لها بتجاوز الفلاتر المعتادة.
• وعاء لا يُكسر: يصل وصف الوظيفة في أرشيف ZIP محمي بكلمة مرور، أو في ملف قرص .ISO. فمن دون كلمة المرور، لا يستطيع برنامج مكافحة الفيروسات في خدمة البريد فحص ما بداخله، فيسمح للملف بالمرور.
• زناد غير مرئي: داخل الأرشيف يوجد ملف باسم، مثلًا، وصف_الوظيفة.pdf. في الواقع، هذا ليس ملف PDF، بل اختصار ويندوز (.LNK) يخفي أمرًا غير مرئي.
• سرقة المفاتيح من دون كلمة مرور: بمجرد فتح الاختصار، ينسخ برنامج غير ملحوظ ملفات تعريف الارتباط (كوكيز) الخاصة بالجلسة المحفوظة أصلًا في المتصفح. عندها يستطيع المهاجم الدخول إلى Slack أو Gmail أو شبكات التواصل الاجتماعي من دون أن يحتاج أبدًا إلى كلمة مرور الضحية أو رمز المصادقة الثنائية (MFA) الخاص بها.

الأثر: الأرشيف المقفل يخدع برنامج مكافحة الفيروسات، لا الخوادم. فالرسالة مرّت رغم ذلك عبر مُرسِل وخادم إرسال يمكن التعرف عليهما، تمامًا كما هو موضح في دليل التصيّد الاحتيالي: كيف يمرّر المحتالون رسائلهم الإلكترونية. ملف تعريف الارتباط المسروق يمنح وصولًا مؤقتًا، لا وصولًا دائمًا: قطع الجلسة عن بُعد وتغيير كلمات المرور يبقيان فعّالين بمجرد اكتشاف الحيلة.

الحالة الثانية: هدية «Claude Max» المزيفة، نافذة داخل نافذة

في منتصف سبتمبر 2026، انتشرت صفحة تدّعي أن Anthropic، الشركة المطورة لـ Claude، تحتفل بوصولها إلى 100 مليون مستخدم من خلال إهداء 10 آلاف اشتراك مجاني في Claude Max. لا تُطلب أي بطاقة مصرفية: فقط تسجيل الدخول بحساب Google. وثّق هذا الفخ عدة باحثين أمنيين، من بينهم Malwarebytes، قبل أيام قليلة فقط من كتابة هذا الدليل.

الآلية، المُعدّة بعناية شديدة:

• إحساس زائف بالأمان: يستعيد الموقع الشعار والألوان الحقيقية، ويعرض تقييمات وهمية بخمس نجوم، وتشير روابط تذييله بشكل شبه كامل إلى صفحات Anthropic الحقيقية. غياب أي طلب لبطاقة مصرفية يبعث الطمأنينة في نفس الضحية.
• استعجال مزيف مُبرمَج: يعرض عداد عددًا متناقصًا من الأماكن المتبقية. وهو مجرد سكريبت بسيط يعمل داخل المتصفح: يعود إلى الرقم نفسه في كل مرة يُعاد فيها تحميل الصفحة، من دون أن يحسب أي شيء حقيقي.
• نافذة مرسومة لا مفتوحة («Browser-in-the-Browser»): عند النقر على «تسجيل الدخول عبر Google»، لا تُفتح أي نافذة نظام حقيقية. بل ترسم الصفحة نفسها نافذة مزيفة داخل الشاشة، بشريط عنوان مزيف يعرض accounts.google.com ورمز قفل أمني.
• الاعتراض: تُرسَل بيانات الدخول المُدخَلة في هذه النافذة مباشرة إلى خوادم المهاجمين، الذين يستحوذون بذلك على حساب Google، وغالبًا معه على الوصول إلى Gmail والمستندات وأي خدمة مرتبطة عبر Google، بما في ذلك حسابات ذكاء اصطناعي أخرى.

أبسط طريقة للتحقق من نافذة تسجيل دخول مشبوهة: محاولة سحبها خارج المتصفح بالفأرة. تخرج نافذة النظام الحقيقية من دون أي مشكلة؛ أما النافذة التي رسمتها الصفحة فقط فتبقى محاصَرة بداخلها.

سرقة ملفات تعريف ارتباط الجلسة (الحالة الأولى) أو اعتراض كلمة مرور خلف نافذة مزيفة (الحالة الثانية) يستهدفان النقطة نفسها: الالتفاف حول تسجيل الدخول بدل كسره. يفصّل دليل AiTM: عندما يسرق التصيّد جلستك، لا كلمة مرورك فقط نسخة أخرى قريبة جدًا، قادرة على الالتفاف حول المصادقة الثنائية في الوقت الفعلي.

الحالة الثالثة: Revolut، حين يتحول تسريب البيانات إلى احتيال مصمَّم خصيصًا

في 12 سبتمبر 2026، أكد المصرف الرقمي Revolut أنه أفصح عن بيانات بعض عملائه لطرف ثالث غير مخوَّل. لا اختراق للأنظمة هنا: اكتفى المهاجم بإرسال طلب معلومات رسمي مزيف، من عنوان بريد إلكتروني يعود إلى نطاق حقيقي لجهة حكومية، يبدو أنه اختُرق أو انتُحل. وإذ كان فريق Revolut مقتنعًا بأنه يستجيب لطلب مشروع، سلّم ملفات عملاء تتضمن الأسماء وتواريخ الميلاد والعناوين وأرقام الهواتف، وأحيانًا نسخًا من وثائق الهوية.

بعد أيام قليلة، تلقى العملاء المتضررون رسائل نصية قصيرة دقيقة جدًا، تُشير إلى عملية مشبوهة على حساباتهم:

• الرسالة النصية المفخخة (Smishing): مسلَّحين ببيانات حقيقية مسروقة، يرسل المهاجمون رسائل مخصَّصة. بعضها يظهر مباشرة ضمن المحادثة النصية نفسها الخاصة برسائل Revolut الحقيقية على هاتف الضحية، ما يجعلها أكثر إقناعًا.
• المستشار المزيف (Vishing): يتبع ذلك أحيانًا اتصال هاتفي يتظاهر بأنه من قسم مكافحة الاحتيال. وبما أن المتصل يعرف مسبقًا اسم الضحية وآخر عملياتها، تتأسس الثقة بسرعة. عندها قد يطلب تأكيد إشعار فوري (push) أو نطق رمز وصل عبر رسالة نصية، بذريعة «إلغاء تحويل احتيالي».
• الانقلاب: في الواقع، تأكيد هذا الرمز أو هذا الإشعار يُصرِّح مباشرة بتحويل أموال الضحية نفسها إلى حساب يتحكم فيه المهاجم.

أوضحت Revolut أن أنظمتها وأموال عملائها لم تتعرض لاختراق مباشر بسبب هذا التسريب، وأنها لا تطلب أبدًا رمز دخول عبر رسالة نصية أو هاتفيًا. وهذه بالتحديد هي النقطة التي تحاول حملات الـ Vishing جعل الضحية تنساها في خضم اللحظة.

ثلاثة عناصر موثّقة علنًا حول هذه القضية: تأكيد التسريب من Revolut، بحسب ما نقلته TechCrunch، وتحليل Malwarebytes للرسائل النصية التصيّدية، ومتابعة Infosecurity Magazine لموجة التصيّد عبر الرسائل النصية.

الأثر: بيانات سُرقت عبر إساءة استخدام ثقة إدارية تبقى بيانات مسروقة: يمكن أن تغذي رسائل موجَّهة لأشهر. كون الطلب صادرًا عن نطاق حقيقي لا يضمن أبدًا نزاهة مُرسِله، تمامًا كما يمكن لرسالة تجتاز فحصَي SPF وDKIM أن تعود لمحتال (انظر التصيّد الاحتيالي: كيف يمرّر المحتالون رسائلهم الإلكترونية).

ما تشترك فيه هذه القضايا الثلاث

ثلاث آليات مختلفة تمامًا، لكن هدفًا واحدًا مشتركًا: استعارة إشارة ثقة لا تستطيع الضحية التحقق منها بنظرة واحدة.

لا يقوم أي من هذه الهجمات الثلاثة «بكسر» أي شيء تقنيًا: بل يخطف كل منها عنصرًا تعلّمنا اعتباره مطمئنًا (برنامج مكافحة فيروسات يسمح بالمرور، نافذة تبدو رسمية، نطاق مؤسساتي)، للحصول على ما لم تعد كلمة مرور قوية وحدها كافية لحمايته.

كيفية تفادي هذه الفخاخ والتصرف عمليًا

أمام هجمات يكاد مظهرها يكون مُزوَّرًا بالكامل، لم يعد الاعتماد على العينين وحدهما كافيًا:

• النظر إلى المصدر الحقيقي لا إلى ما يظهر على الشاشة: اسم المُرسِل أو النطاق الظاهر على الشاشة يسهل تجميلهما. لصق الرسالة كاملة في Baitback يتيح استرجاع خادم الإرسال الحقيقي، ومزوّد استضافته، وعنوان التبليغ الخاص به، إلى جانب فحوصات SPF وDKIM وDMARC.
• اختبار السحب والإفلات على أي نافذة تسجيل دخول تظهر بعد نقرة (انظر الشكل 2): إن رفضت الخروج من المتصفح، فهي ليست نافذة نظام حقيقية.
• تغيير القناة قبل التصرف بناءً على اتصال أو رسالة نصية غير متوقعة، حتى لو وقّعتها «البنك» أو «الموارد البشرية»: الاتصال مجددًا بنفسك برقم رسمي، من دون المرور عبر الرسالة المستلمة.
• عدم نطق أي رمز أو تأكيد أي إشعار فوري أبدًا بناءً على طلب محاور، مهما بدا الأمر عاجلاً: فهذه الحركة وحدها كافية لتُرخِّص العملية.
• الإبلاغ، حتى بعد وقوع الحادثة: هذا لا يُصلح ما حدث، لكنه يساعد على قطع البنية التحتية التي لا تزال تُستخدم ضد ضحايا آخرين. يفصّل دليل كيفية الإبلاغ الفعّال عن التصيّد الاحتيالي، خطوة بخطوة الإجراءات المتّبعة.