دورة حياة حملة التصيد الاحتيالي
حتى الآن، ركّز كل دليل على جزء واحد من المشكلة: قراءة الترويسات، تحديد مزود الاستضافة، كتابة بلاغ فعّال. يتراجع هذا الدليل خطوة إلى الوراء ليعرض الحملة بأكملها، من إنشائها إلى نهايتها، والتي غالبًا ما تُتبع بحملة جديدة تبدأ من مكان آخر. إنها خريطة: تضع كل دليل في مكانه الصحيح من الرحلة.
المرحلة الأولى — بناء البنية التحتية
قبل أن يرى أي ضحية أي شيء، يجب إعداد أربعة عناصر:
- تسجيل النطاق: يُشترى اسم من أي مسجّل، ويُختار أحيانًا ليكون مطابقًا تقريبًا لعلامة تجارية معروفة، باستخدام أحرف تحاكي الأبجدية اللاتينية (راجع بونيكود والنطاقات المتشابهة بصريًا).
- إعداد DNS: يُوجَّه النطاق نحو الخادم المستقبلي في غضون دقائق فقط.
- الاستضافة: يُستأجر خادم بضعة يوروهات، أو يُختطف موقع شرعي مخترق مسبقًا؛ تُضاف أحيانًا شبكة توصيل محتوى في المقدمة لإخفاء العنوان الحقيقي (راجع من يتحكم بماذا بين المسجّل ومزود الاستضافة وشبكة توصيل المحتوى).
- نشر الموقع المزيف: تُوضع على هذا الخادم نسخة أكثر أو أقل دقة من صفحة تسجيل الدخول الأصلية.
المرحلة الثانية — إطلاق الهجوم
بمجرد جاهزية البنية التحتية، يمكن أن تبدأ الحملة:
- إرسال الرسائل: تُوزَّع رسالة بشكل جماعي، غالبًا من نفس الخادم المستأجر أو من صندوق بريد مخترق (راجع كيف يرسل المحتالون رسائلهم).
- جمع البيانات: كل ضحية يُدخل بياناته على الموقع المزيف يرسلها مباشرة إلى المحتال في الوقت الفعلي.
المرحلة الثالثة — الرد
هذه هي المرحلة الأطول، والمرحلة التي يمكن فيها لكل طرف معني التأثير على ما يحدث لاحقًا:
- الاكتشاف: يلاحظ ضحية الخدعة، أو يكتشف مرشح تقني شذوذًا، أو يعثر باحث على الحملة بالصدفة (راجع لعبة القط والفأر بين الباحثين والمخترقين).
- الإبلاغ: تُجمع العناصر الصحيحة (الرابط، عنوان IP، الترويسات، الطابع الزمني) وتُرسل إلى الجهة الصحيحة (راجع تشريح بلاغ فعّال)، بعد العثور مسبقًا على عنوان الإبلاغ الخاص بها (راجع العثور على عنوان الإبلاغ الخاص بمزود الاستضافة).
- التعليق: يوقف المسجّل الاسم، ويوقف مزود الاستضافة الجهاز — يعمل كل طرف على حلقته الخاصة فقط، وتتوقف الحملة فعليًا عندما يحدث كلاهما.
- استبدال البنية التحتية: إذا كانت الحملة مربحة، فإنها لا تتوقف بالضرورة عند هذا الحد. نطاق جديد، أحيانًا لدى مسجّل آخر، يعيد بدء الدورة من الخطوة ①.
هذه الخطوة الأخيرة بالذات هي ما تفسر لماذا نادرًا ما ينجح الإبلاغ لمرة واحدة وإلى الأبد: تعليق نطاق ينهي هذه الحملة المحددة، لكن ليس بالضرورة المنظمة التي تقف وراءها. لهذا السبب يستحق الأمر البقاء يقظًا بعد أول عملية إيقاف.
- تتبع حملة التصيد الاحتيالي مسارًا من عشر خطوات، مجمّعة في ثلاث مراحل: البناء، الهجوم، الرد.
- تترك كل خطوة أثرًا مختلفًا: نطاق، إعداد DNS، خادم، ترويسة بريد إلكتروني.
- يعمل الرد على رافعتين مختلفتين، اسم النطاق والخادم، تكمّلان بعضهما البعض بدل أن تحل إحداهما محل الأخرى.
- لا يوقف إيقاف حملة بالضرورة مرتكبيها: يمكن أن تبدأ دورة جديدة ببنية تحتية جديدة.
يتدخل Baitback بالضبط في الخطوة ⑧ من هذه الخريطة: انطلاقًا من رسالة بريدية أو رابط، تُعيد الأداة بناء الخطوات السابقة (النطاق، عنوان IP، مزود الاستضافة) لإعداد البلاغ الذي يُطلق عملية التعليق.