الإبلاغ عن هجوم تصيد احتيالي: من البلاغ إلى الإيقاف
العثور على مزود الاستضافة أو المسجّل لموقع تصيد احتيالي (راجع من يمكنه فعليًا التصرف وكيفية العثور على عنوان الإبلاغ الخاص به) ليس سوى نصف الطريق. لا يزال يجب كتابة بلاغ يمكن لشخص ما معالجته في دقائق، وفهم ما يحدث بعد الإرسال، ومتابعة الحالة حتى يختفي الموقع فعليًا. يغطي هذا الدليل الأمور الثلاثة: الإبلاغ بشكل جيد، معرفة ما يجب توقعه، والمثابرة حتى الإيقاف.
تشريح بلاغ فعّال
يُعالج بلاغ إساءة الاستخدام من قبل شخص واحد، غالبًا وسط عشرات البلاغات الأخرى التي يجب معالجتها في نفس اليوم. كلما زادت العناصر القابلة للتحقق منذ البداية، صعد البلاغ بشكل أسرع في الأولوية. تظهر سبع معلومات دائمًا تقريبًا:
- الرابط الدقيق لصفحة التصيد الاحتيالي، وليس فقط اسم النطاق: يمكن أن يستضيف نفس العنوان عشرات الصفحات المختلفة.
- النطاق المعني، للمسجّل.
- عنوان IP للخادم، لمزود الاستضافة (راجع كيفية تتبعه حتى عنوان الإبلاغ).
- الترويسات الكاملة، إذا كانت الوسيلة رسالة بريدية: الأثر الحقيقي موجود هنا، وليس في المُرسِل الظاهر.
- تاريخ ووقت الاكتشاف، بتوقيت UTC أو مع تحديد المنطقة الزمنية، لتجنب أي لبس لمن يستلم البلاغ من بلد آخر.
- لقطة شاشة للصفحة، مفيدة إذا اختفت قبل أن يتمكن أحد من التحقق منها.
- وصف واقعي للهجوم: ما يُنتحل، وما يُطلب من الضحية (بيانات اعتماد، بطاقة مصرفية...)، دون تخمين أو اتهام.
الفخ الأكثر شيوعًا هو تقرير غامض جدًا: "هذا الموقع تصيد احتيالي، يرجى اتخاذ إجراء". دون رابط دقيق أو طابع زمني، يجب على مستلم الرسالة أولًا البحث عن المعلومات التي كانت أمام عيني المُبلِّغ أصلًا، مما يؤخر كل شيء، أو يُترك البلاغ دون متابعة إذا اعتُبر غير دقيق بما يكفي للتحقق منه.
هذا بالضبط ما يُعِدّه Baitback: انطلاقًا من رسالة بريدية أو رابط، تجمع الأداة تلقائيًا هذه العناصر السبعة وتحرر رسالة جاهزة للإرسال، موجهة إلى المستلم الصحيح.
ماذا يحدث بعد إرسال بلاغ إلى عنوان الإبلاغ؟
نادرًا ما يختفي بلاغ مُعَد جيدًا في الفراغ. لدى معظم مزودي الاستضافة، يتبع مسارًا مشابهًا إلى حد ما، حتى لو لم تكن النتيجة دائمًا نفسها.
لا يوقف مزود الاستضافة الخادم بناءً على بلاغ فقط تقريبًا أبدًا: يتحقق أولًا من الأدلة، ثم يحدد أي عميل معني (يؤجّر مزود الاستضافة الجهاز لطرف ثالث، ونادرًا ما يكون هو مؤلف الموقع). يُوجَّه طلب الإزالة أو التعليق أولًا إلى هذا العميل، مع مهلة استجابة. إذا لم يستجب العميل أو لم يتعاون، يمكن لمزود الاستضافة الإيقاف من تلقاء نفسه، وفقًا لشروط استخدامه الخاصة.
الإنذارات الكاذبة موجودة فعلًا: مواقع شرعية مصنفة خطأً، صفحات اختبار، أدوات أمنية أُخذت خطأً على أنها تهديدات. لهذا يتم التحقق قبل أي إجراء، ولهذا تُعالج البلاغات المصحوبة بأدلة قوية (الشكل 1) بشكل أسرع من مجرد شك.
بعض البلاغات تستغرق وقتًا أطول من غيرها: مزود استضافة يكون في الواقع مجرد وسيط إعادة بيع يجب أن يحيل الطلب إلى المشغل الحقيقي؛ تذكرة فُتحت مساء الجمعة تنتظر يوم العمل التالي؛ مزود استضافة في منطقة زمنية بعيدة يستجيب بتأخير مماثل. لا شيء من هذا يعني أن البلاغ ضاع: تُعاد زيارة الرابط بعد أيام، وتُتابع بأدب إذا بقيت التذكرة دون رد بعد المهلة المُعلنة.
من البلاغ إلى الإيقاف: تتبّع بنية تحتية على المدى الطويل
بلاغ واحد أحيانًا ليس سوى خطوة واحدة. يمكن للبنية التحتية للتصيد الاحتيالي أن تنجو من الإيقاف الأول بالانتقال: عنوان IP جديد، نطاق جديد، مزود استضافة جديد. لذلك لا يتوقف العمل عند لحظة الإرسال.
تبقى الطريقة نفسها في كل مرحلة: تحديد النطاق، تحديد عنوان IP للخادم، تحديد المشغل الذي يديره (راجع من يتحكم بماذا بين المسجّل ومزود الاستضافة وشبكة توصيل المحتوى وسلسلة IP ← WHOIS/RDAP ← ASN ← عنوان الإبلاغ)، ثم الإبلاغ لكل طرف عمّا يخصه.
ماذا نفعل إذا بقي الموقع نشطًا؟
عدم وجود تغيير لأيام لا يعني فشل البلاغ: يُتابَع مع ذكر رقم التذكرة الموجودة بدلًا من فتح تذكرة جديدة. إذا استمر الصمت بعد مدة معقولة، تبقى منصة رسمية (في فرنسا، على سبيل المثال، PHAROS) أو فريق الاستجابة لطوارئ الحاسوب الوطني سبيلًا إضافيًا.
ماذا نفعل إذا غيّر النطاق عنوان IP الخاص به؟
من المرجح أن نطاقًا يشير فجأة إلى عنوان IP جديد قد غيّر مزود استضافته، سواء عن قصد (لتجنب البلاغات) أو دون قصد. يجب إعادة سلسلة التحديد بأكملها لهذا العنوان الجديد: WHOIS جديد، مشغل جديد، عنوان إبلاغ جديد. أما النطاق نفسه، فغالبًا ما يبقى الهدف الأكثر استقرارًا: يبقى للإبلاغ إلى المسجّل قيمته حتى لو انتقل الخادم.
ماذا نفعل إذا ظهر نطاق جديد؟
غالبًا ما تعيد الحملات النشطة استخدام نفس قالب الصفحة، وأحيانًا نفس مزود الاستضافة، بنطاق جديد. التعرف على التشابه العائلي (نفس التخطيط، نفس الخادم، نفس بنية الرابط) يسمح بتوقع ما سيحدث بدلًا من البدء من الصفر في كل مرة يظهر فيها متغير جديد.
- يحتوي البلاغ الفعّال على الرابط الدقيق، النطاق، عنوان IP، الترويسات، الوقت بتوقيت UTC، لقطة الشاشة، ووصف واقعي.
- عند الاستلام، يتحقق مزود الاستضافة من الأدلة، يحدد عميله المعني، ثم يطلب منه إزالة الصفحة أو تعليق الحساب.
- مهلة استجابة من 24 إلى 72 ساعة أمر طبيعي؛ يجب المتابعة بدلًا من الاستسلام.
- يمكن أن تنتقل البنية التحتية للتصيد الاحتيالي بعد الإيقاف: التتبع (الحالة، عنوان IP، نطاق جديد) دورة وليس إجراءً لمرة واحدة.
يتكفّل Baitback بكل هذه الخطوات: إعداد بلاغ كامل وفعّال، موجه إلى الجهة الصحيحة، بحيث لا يبقى إلا إرساله.
لمعرفة المزيد: المسجّل، مزود الاستضافة، شبكة توصيل المحتوى: من يمكنه فعليًا التصرف، العثور على عنوان الإبلاغ الخاص بمزود الاستضافة، أو تحليل حملة تصيد احتيالي من الرسالة إلى البنية التحتية.