التصيّد الاحتيالي: لعبة القط والفأر بين الباحثين والقراصنة
يصمّم باحثون في أنحاء العالم خوارزميات قادرة على تحليل ملايين الرسائل. ومع ذلك، ما زالت رسالة عادية، حسنة الصياغة، تصل في اللحظة المناسبة، قادرة على خداع أحدهم. لماذا ما زالت رسالة بسيطة تنجح رغم كل هذه التقنية؟ جولة في سباق لا ينتهي أبدًا.
المفارقة: نعرف كيف نكشف الفخاخ… فلماذا ما زالت تنجح؟
السيناريو بسيط. تصل رسالة بريد. تبدو آتية من المصرف، أو المدير، أو صديق، أو خدمة معروفة. صياغتها ممتازة، ومقنعة، وتصل في الوقت المناسب تمامًا. إذا كانت الخوارزميات قادرة على غربلة ملايين الرسائل، فكيف أفلتت هذه من الشبكة؟
جزء من الإجابة موجود في الميدان، بعيدًا عن المختبرات:
- يعمل الباحثون بتقنيات متقدمة، لكن كثيرًا من الشركات والإدارات مضطرة للعمل ببنى تحتية قديمة؛
- بعض خوادم البريد مضبوطة بالحد الأدنى فقط؛
- أدوات الكشف ليست دائمًا متصلة ببعضها؛
- والأهم: لا بد أن يراقب أحدٌ التنبيهات ويحدّثها ويفسّرها. الأداة التي لا ينظر إليها أحد لا تحمي كثيرًا.
الخادم «العاري»: مركز فرز لا يقرأ الرسائل
يشبه خادم البريد مركز فرز في مكتب البريد: يعرف كيف يستقبل الرسائل ويفرزها ويوجهها إلى العنوان الصحيح. لكنه، من دون أدوات إضافية، لا يستطيع التعرف على رسالة مفخخة. إنه ينقل البريد فحسب. (الرحلة الكاملة لرسالة البريد مروية في دليل كيف تنتقل رسالة البريد الإلكتروني من المرسِل إلى المستلم.)
تحمل «مراكز الفرز» هذه أسماء مثل Postfix وSendmail وExim. ولجعلها أذكى، يُضاف إليها مساعدون متخصصون:
- يؤدي Amavis دور الموزِّع: يمرّر كل رسالة على برنامج مكافحة الفيروسات ومرشِّح الرسائل المزعجة؛
- يمنح SpamAssassin أو Rspamd الرسالة درجة اشتباه بناءً على مئات المؤشرات: المحتوى، والروابط، وسمعة الخادم المرسِل، ونتائج SPF وDKIM وDMARC…
من دون هؤلاء المساعدين، ومن دون شخص يضبطهم، يبقى الخادم «عاريًا»: يسلّم كل ما يُعهد إليه.
الباحثون يصنعون محققين رقميين
لننتقل من المشكلة إلى الحلول. في المختبرات تغيّر الكشف كثيرًا: لم يعد يقتصر على البحث عن كلمات محظورة.
1. الذكاء الاصطناعي يتعلم قراءة ما بين السطور
في الماضي كان السؤال: «هل تحتوي الرسالة على كلمة مال؟» أما اليوم، بفضل معالجة اللغة الطبيعية (NLP) والذكاء الاصطناعي، فالأسئلة أقرب إلى أسئلة محقق:
- لماذا يكتب هذا الشخص بهذه الطريقة؟
- لماذا يطلب هذا الإجراء، ولماذا الآن؟
- هل تشبه هذه الرسالة عادات مرسلها الحقيقي؟
لم يعد الكاشف ينظر إلى الكلمات فقط، بل إلى السياق: النبرة، والإلحاح، والاتساق مع الرسائل السابقة.
2. رصد السلوك غير المعتاد
موظف لم يرسل قط طلبات تحويل مالي. فجأة، في الساعة 3:17 فجرًا، يخرج من حسابه طلب عاجل، عبر اتصال من الطرف الآخر من العالم. مجرد خلل… أم أن أحدًا استولى للتو على الحساب؟
هذا هو التحليل السلوكي: يتعلم النظام ما هو «طبيعي» لشخص أو خدمة، ثم ينبّه إلى ما يخرج عن ذلك. الميزة هائلة: حتى الرسالة المصاغة بإتقان قد تكشف سلوكًا غير طبيعي.
3. ترك الآلات تنقر نيابةً عنا
رابط يبدو طبيعيًا تمامًا؟ لا مجال لأن يخاطر إنسان. تفتحه آلة في بيئة معزولة تُسمّى صندوق الرمل (sandbox)، وتراقب:
- إلى أين يقود بعد كل عمليات إعادة التوجيه؟
- ماذا يحمّل؟
- هل يحاول سرقة بيانات الدخول؟
- هل يُنزّل شيئًا مشبوهًا؟
والقراصنة يعرفون ذلك بالطبع: يضع بعضهم «حارس باب» أمام صفحتهم المفخخة كي لا ترى الروبوتات إلا صفحة بريئة. تُشرح هذه الحيلة في دليل التصيّد الاحتيالي: كيف يوصل المحتالون رسائلهم إلى بريدك. أما Baitback فيتتبّع عمليات إعادة توجيه الروابط في الرسالة ويعرض كل مرحلة، لترى إلى أين تقود فعلًا دون الحاجة إلى النقر.
لكن القراصنة فهموا: أحيانًا يكفي اختراق أدمغتنا
وهنا المفارقة: كلما ازدادت الآلات ذكاءً، ازدادت الهجمات «إنسانية».
يرصد المرشِّح جيدًا رابطًا مشبوهًا أو مرفقًا مفخخًا. لكن من الأصعب بكثير رصد رسالة كهذه:
مرحبًا سامي، أنا مديرك. أنا في اجتماع ولا أستطيع الاتصال. هل يمكنك تنفيذ هذا التحويل قبل الساعة 4 عصرًا؟ الأمر عاجل، أعتمد عليك.
قد لا تحتوي هذه الرسالة على أي فيروس، ولا رابط، ولا خطأ إملائي، ولا كلمة مشبوهة. ومع ذلك قد تكلّف غاليًا: هذا هو مبدأ الاحتيال باسم المدير (CEO fraud). كل شيء يقوم على السلطة والإلحاح والسرية. ومن الناحية التقنية، لا شيء يشبه الهجوم.
ذكاء اصطناعي ضد ذكاء اصطناعي… وإنسان ضد إنسان
يحسّن الباحثون كاشفاتهم. ويحسّن المهاجمون رسائلهم. ويمدّ الذكاء الاصطناعي التوليدي لهم يد العون: إذ يساعد على إنتاج نصوص أكثر إقناعًا، وأكثر تخصيصًا، خالية من الأخطاء، ومكيَّفة مع مهنة كل هدف ولغته.
لذلك على البحث العلمي أن يجيب عن سؤال يزداد صعوبة: كيف نتعرف على هجوم يشبه تمامًا رسالة حقيقية؟ تجمع المقاربات بين عدة إشارات بدل إشارة واحدة: النص، وسلوك المرسل، وسمعة الخوادم، ووجهة الروابط… وبلاغات المستخدمين.
وماذا عنا نحن؟
تتعلم الكاشفات من الأمثلة. كل رسالة تصيّد يُبلَّغ عنها مثال إضافي: تساعد المرشِّحات على التعرف على الموجة التالية، وتتيح إيقاف الخادم الذي أرسلها. الإبلاغ ليس تصرفًا بلا جدوى: إنه إطعام للقط.
هذه هي فكرة Baitback: تلصق رسالة مشبوهة، فيُعثر تلقائيًا على خادم الإرسال ومزوّد استضافته، ثم يُرسَل ببضع نقرات بلاغ واضح إلى الجهة الصحيحة.
ربما ليست المشكلة الحقيقية في البريد الإلكتروني
في النهاية، البريد الإلكتروني مجرد باب دخول. خلفه خوارزميات وخوادم وباحثون وقراصنة… وقبل كل شيء بشر. وهذا ما يجعل الأمن السيبراني مجالًا فريدًا: فكلما تعلّمت تقنية التعرف على فخ، حاول أحدهم ابتكار فخ لا تعرفه بعد.
وعندما تستهدف الحيلة البشر مباشرة، قد تكون العواقب مذهلة. تبيّن ذلك أربع قصص حقيقية في دليل عندما تُسقط رسالة بسيطة العمالقة.
- خادم البريد وحده لا يفعل سوى التسليم: يحتاج إلى أدوات (مكافحة الفيروسات، مكافحة الرسائل المزعجة) وإلى من يراقبها.
- يجمع الكشف الحديث بين تحليل النص بالذكاء الاصطناعي، وتحليل السلوك، وفتح الروابط في صندوق رمل.
- أصعب الهجمات كشفًا قد لا تحتوي أحيانًا على رابط ولا فيروس: إنها تراهن على السلطة والإلحاح.
- يخدم الذكاء الاصطناعي الطرفين: يساعد على الكشف، لكنه يساعد أيضًا على كتابة رسائل أكثر إقناعًا.
- كل بلاغ يساعد المرشِّحات على التعلم، وقد يؤدي إلى إيقاف خادم إرسال.