عندما تُسقط رسالة بسيطة العمالقة

من صناديق بريد مخترقة إلى كازينوهات مشلولة، لم تبدأ بعض أكثر الهجمات إثارة في السنوات الأخيرة ببرمجية خبيثة متطورة. بل بدأت بحيلة: رسالة، أو مكالمة، أو كلمة مرور حُصل عليها. أربع قصص حقيقية لفهم لماذا يفضّل المهاجمون أحيانًا الحيلة على القوة.

ماذا لو كانت أفضل طريقة للدخول هي أن تطلب بأدب؟

تخيّل هذه الرسالة:

مرحبًا، رُصد نشاط غير معتاد على حسابك.
انقر هنا لتأمينه.

نقرة واحدة. اسم مستخدم. كلمة مرور. وفجأة لم يعد المهاجم بحاجة إلى كسر الباب: لقد حصل على المفتاح.

هذا هو كل منطق التصيّد الاحتيالي والهندسة الاجتماعية (فن التلاعب بالبشر بدل الآلات):

• خلق موقف مقنع؛
• إثارة شعور: الخوف، أو الإلحاح، أو الفضول، أو الرغبة في المساعدة؛
• دفع شخص ما إلى التصرف بسرعة ومن دون تفكير؛
• الحصول على المعلومات أو صلاحيات الوصول اللازمة.

الأكثر إثارة ليس دائمًا التصيّد نفسه، بل ما يحدث بعده. فحساب واحد مخترق قد يطلق سلسلة ردود فعل حقيقية.

أربع قصص حقيقية، أربع طرق لخداع البشر

🇫🇷 FICOBA: الحساب المسروق الذي فتح بابًا إلى 1.2 مليون حساب مصرفي

FICOBA هو السجل الوطني الفرنسي للحسابات المصرفية المفتوحة في فرنسا. ملف شديد الحساسية، مخصص للموظفين المخوَّلين فقط.

منذ أواخر يناير 2026 وحتى 13 فبراير، استخدم طرف خبيث بيانات دخول موظف حكومي (من خارج الإدارة العامة للمالية العامة DGFiP) كان يملك صلاحية الوصول إلى هذا الملف لتبادل المعلومات بين الوزارات. وبذلك تمكن من الاطلاع على جزء من FICOBA. ووفقًا للبيان الرسمي لوزارة الاقتصاد الفرنسية (بالفرنسية)، تأثر نحو 1.2 مليون حساب، أي أقل من 1% من الملف: البيانات المصرفية (RIB وIBAN)، والهوية، والعنوان، وأحيانًا الرقم الضريبي.

لماذا تلفت هذه القضية الانتباه؟ لأنه لا يوجد فيها مشهد سينمائي لقرصان «يكسر» خادمًا. بل أوضحت الإدارة أن الحادث لم ينتج عن ثغرة في التطبيق نفسه. كل شيء بدأ بأمر أكثر عادية بكثير: حساب مشروع استخدمه الشخص الخطأ.

حتى الآن، تُثبت المصادر الرسمية إساءة استخدام بيانات الدخول، لكنها لا تبيّن كيف حُصل عليها. لذلك لا يمكن الجزم بأن الأمر يتعلق بالتصيّد الاحتيالي في هذه الحالة.

السؤال الذي ينبغي طرحه: ماذا لو لم يكن المهاجم بحاجة إلى اختراق قاعدة البيانات… لأنه كان يملك بالفعل مفاتيح مستخدم مخوَّل؟

🪟 مايكروسوفت: الدخول من باب قديم منسي

في أواخر نوفمبر 2023، استهدفت المجموعة التي تسميها مايكروسوفت Midnight Blizzard (المرتبطة بالاستخبارات الروسية بحسب الحكومتين الأمريكية والبريطانية)… حسابَ اختبار قديمًا. وكانت طريقتها رشّ كلمات المرور (password spraying): تجربة عدد قليل من كلمات المرور الشائعة جدًا على حسابات كثيرة، بدل تجربة كلمات مرور كثيرة على حساب واحد، كي لا يُطلق أي إنذار. وانتهى الأمر بسقوط هذا الحساب القديم الأقل حماية من غيره.

انطلاقًا من موطئ القدم الأول هذا، وصل المهاجمون إلى جزء صغير من صناديق بريد مايكروسوفت، منها صناديق أعضاء في الإدارة العليا وفرق متخصصة، ولا سيما في الأمن السيبراني. وأعلنت مايكروسوفت لاحقًا أن معلومات عُثر عليها في هذه الرسائل استُخدمت لمحاولة الوصول إلى أنظمة داخلية أخرى.

التفصيل المثير: لم يهاجموا حسابات المسؤولين مباشرة. بل وجدوا أولًا بابًا جانبيًا، ثم استخدموه للتوغل أكثر. في الأمن السيبراني، ليس الباب الأهم دائمًا هو الباب الرئيسي: أحيانًا يكون الحساب القديم الذي لم يعد أحد ينظر إليه.

🎰 MGM Resorts: كيف انتهت حيلة بضرب لاس فيغاس

سبتمبر 2023، لاس فيغاس. تنطفئ آلات القمار. تتوقف بطاقات مفاتيح الغرف عن العمل. تضطرب الحجوزات. مرحبًا بك في الحادث الذي ضرب MGM Resorts، أحد عمالقة الكازينوهات الأمريكية.

كيف يُدخَل إلى عملاق كهذا؟ ليس بالضرورة بمهاجمة خوادمه وجهًا لوجه. فبحسب ما نشرته الصحافة، استهدف المهاجمون مكتب الدعم الفني: انتحلوا صفة موظف، مستعينين بمعلومات وجدوها على الإنترنت، فحصلوا على مساعدة للوصول إلى حسابه. وقدّرت MGM لاحقًا أثر الحادث بنحو 100 مليون دولار.

الدرس: قد يصبح مكتب الدعم هدفًا لا يقل أهمية عن الخادم. فالفني موجود أصلًا ليساعد. وإذا أقنعه أحدهم بأنه المستخدم الصحيح، فسينتهي النظام إلى فعل ما صُمّم له بالضبط: المساعدة.

📨 جون بوديستا: البريد الذي بدا تنبيهًا من غوغل

مارس 2016. يتلقى جون بوديستا، رئيس حملة هيلاري كلينتون الرئاسية آنذاك، رسالة تبدو تنبيهًا أمنيًا من غوغل: «Someone has your password» («شخص ما يعرف كلمة مرورك»). تزعم الرسالة أنه رُصد تسجيل دخول مشبوه، وتدعو إلى تغيير كلمة المرور فورًا.

في الحقيقة يقود الرابط إلى صفحة مزيفة يتحكم فيها المهاجمون. ووفقًا لوكالة أسوشيتد برس، أتاح هذا الفخ الوصول إلى صندوق بريده ونحو 50 ألف رسالة، نُشر بعضها لاحقًا خلال الحملة.

التفصيل الذي يجعل القصة مدهشة: كانت الرسالة قد أُحيلت إلى الدعم الفني للحملة للتحقق منها. والرد؟ أنها رسالة «مشروعة». وأوضح كاتب الرد لاحقًا أنه كان يقصد كتابة «غير مشروعة». خطأ مطبعي، في أسوأ لحظة ممكنة.

السؤال الذي ينبغي طرحه: إذا كان حتى المسؤولون عن الأمن قد يقعون في الفخ، فما الذي يجعل التصيّد مقنعًا إلى هذا الحد؟

ما الذي يجمع كل هذه القصص

لا تستخدم هذه الهجمات كلها الآلية نفسها. وهذا تحديدًا ما يجعلها مثيرة للاهتمام.

إذن القاسم المشترك ليس «رسالة بريد». القاسم المشترك الحقيقي هو الحصول على الثقة أو الصلاحيات اللازمة كي يفتح النظام الباب بنفسه.

لماذا يزداد التصيّد الاحتيالي خطورة

في الماضي كان التصيّد يُعرف غالبًا من عيوبه: «Dear Sir, your account is blocked, please click»، وأخطاء في كل مكان، وعنوان غريب.

أما اليوم فقد تكون رسالة التصيّد متقنة الصياغة، ومخصصة، ومكيَّفة مع مهنة الضحية، ومغذّاة بمعلومات عامة (الشبكات الاجتماعية، موقع الشركة)، ومرسلة في أكثر اللحظات إقناعًا. ويجعل الذكاء الاصطناعي التوليدي هذا التخصيص أسرع من أي وقت مضى (انظر التصيّد الاحتيالي: لعبة القط والفأر بين الباحثين والقراصنة).

مثال: في أواخر أكتوبر 2024، وصفت مايكروسوفت حملة تصيّد موجَّه نفذتها المجموعة نفسها، Midnight Blizzard، واستهدفت آلاف الأشخاص في أكثر من 100 مؤسسة. انتحلت بعض الرسائل صفة موظفين في مايكروسوفت وذكرت مزوّدي خدمات إلكترونية آخرين.

التحوّل عميق: لم يعد التصيّد يسعى فقط إلى إرسال كثير من الرسائل الرديئة؛ بل يسعى إلى إرسال الرسالة المناسبة إلى الشخص المناسب.

الآلية نفسها في حياتنا اليومية

لا يلزم أن تكون شركة متعددة الجنسيات لتصبح هدفًا. الحيل نفسها تظهر في كل مكان:

• البريد الإلكتروني: «سيُحذف حسابك خلال 24 ساعة».
• الرسائل النصية: «تعذّر توصيل طردك».
• Discord: «شاهد هذا الفيديو 😂».
• Instagram: «سيُعلَّق حسابك قريبًا».
• المدرسة: «يجب تسليم واجبك قبل هذا المساء».
• الصديق المزيف: «هل يمكنك أن ترسل لي الرمز الذي وصلك للتو؟».

يتغير الديكور، وتتغير الهوية، وتتغير درجة الإلحاح. لكن الرسالة الخفية تبقى هي نفسها دائمًا: «افعل شيئًا الآن، من دون أن تأخذ وقتك في التفكير».

القاعدة الذهبية: اكسر السيناريو

بدل قائمة من عشر قواعد، فكرة واحدة: يريد المهاجم أن يتحكم في إيقاعك. يريدك أن ترى → تذعر → تنقر → تنفّذ. والهدف كسر هذه السلسلة: ترى → قف → تتحقق → تقرّر.

ثلاث عادات سهلة

1. انظر إلى العنوان الحقيقي، لا إلى الاسم المعروض فقط. عبارة «خدمة العملاء» بخط كبير لا تثبت شيئًا؛ أما العنوان الكامل، وخاصة النطاق بعد علامة @، فيقول أكثر بكثير.
2. غيّر القناة. رسالة تزعم أنها من معلّم أو من المصرف أو من صديق؟ لا ترد على الرسالة نفسها للتحقق: تواصل مع الشخص بطريقة أخرى (الهاتف، التطبيق الرسمي، شخصيًا).
3. لتسجيل الدخول، ابدأ من الموقع الرسمي. إذا طلبت منك رسالة تسجيل الدخول، افتح الموقع أو التطبيق بنفسك بدل اتباع الرابط الموجود في الرسالة.

وإذا كانت الرسالة فخًا فعلًا، فهناك عادة أخيرة مفيدة: الإبلاغ عنها. مع Baitback يكفي أن تلصق الرسالة: تعثر الأداة على الخادم الذي أرسلها ومزوّد استضافته، ثم تُعِدّ البلاغ لإيقاف الحملة. ولفهم لماذا يمكن لرسالة تبدو مثالية أن تكذب رغم ذلك، راجع أيضًا قد تكذب رسالة البريد… حتى عندما تقول الفحوص «سليم».

لا يحتاج المهاجم إلى هزيمتك

لا يحتاج المهاجم إلى كسر الباب إذا كان هناك من يفتحه له.

لا تعتمد أكثر الهجمات إبهارًا دائمًا على تقنية مجهولة أو فيروس مذهل. أحيانًا يبدأ كل شيء برسالة. بمكالمة. بحساب. بخطأ لا يدوم إلا ثوانيَ. وخلف هذا الخطأ الصغير قد تكمن ملايين البيانات، أو شركة كبرى مشلولة، أو معلومات سرية مكشوفة.

في الأمن السيبراني، ليست الحلقة الأضعف بالضرورة هي الحاسوب. أحيانًا تكون القصة التي تُروى للشخص الجالس أمام الشاشة.