ما الفرق بين التصيد الاحتيالي والهندسة الاجتماعية؟
الهندسة الاجتماعية هي أي محاولة للتلاعب بشخص لدفعه إلى الإفصاح عن معلومات أو تسليم أموال أو منح صلاحية وصول. والتصيد الاحتيالي هو أكثر أشكالها شيوعًا، ويجري عبر البريد الإلكتروني أو موقع إلكتروني مزيف. وتشير CISA أيضًا إلى التصيد الصوتي والتصيد عبر الرسائل النصية.
تخيّل شركة هندسة معمارية افتراضية تضم 30 شخصًا، اسمها كالواي بارتنرز. في أحد أيام الثلاثاء، تتلقى ليا، مساعدة الشؤون المالية، ثلاثة أشياء. رسالة بريد إلكتروني من 'المدير العام' أُرسلت الساعة 7.58 صباحًا: 'ليا، سأكون في اجتماع طوال اليوم، أحتاج منك سداد مستحقات المورّد المرفقة اليوم، هناك بيانات مصرفية جديدة، أبقي الأمر بيننا'. ورسالة نصية: 'طردك محتجز، ادفعي رسوم إعادة التوصيل البالغة £1.45 هنا'. ومكالمة من شخص يقول إنه من مزوّد خدمات تقنية المعلومات للشركة، ويطلب منها أن تقرأ له رمزًا من ستة أرقام أرسله للتو 'لإصلاح صندوق بريدك'. تبدو كل واحدة مختلفة. لكنها الخدعة نفسها.
ما أساليب الضغط التي تستخدمها رسائل التصيد الاحتيالي؟
تستخدم رسائل التصيد الاحتيالي خمسة أساليب شائعة للضغط، يحددها NCSC بأنها السلطة، والاستعجال، والعاطفة، والندرة، والأحداث الجارية. والتعرف على أسلوب الضغط أكثر موثوقية من البحث عن خطأ مطبعي.
المرجعية
تزعم الرسالة أنها من مدير أو بنك أو جهة حكومية أو مورّد، لتشعر بأن عليك الامتثال.
الإلحاح
مهلة ضيقة أو تهديد بعقوبة، لدفعك إلى التصرف قبل التحقق.
العاطفة
الخوف أو الذعر أو الفضول أو الأمل، لتندفع إلى رد فعل بدلًا من التفكير.
الندرة
شيء متاح بشكل محدود، مثل مهلة لاسترداد الأموال أو تذاكر محدودة العدد.
الأحداث الجارية
إشارة إلى الأخبار أو المواعيد النهائية للضرائب أو انقطاع خدمة معروف، حتى تبدو الرسالة متوقعة.
كيف غيّر الذكاء الاصطناعي التصيّد الاحتيالي؟
جعل الذكاء الاصطناعي رسائل التصيّد أكثر إتقانًا، لذا لم تعد سلامة الإملاء والقواعد دليلًا على أن الرسالة أصلية. وتنص إرشادات CISA الآن على ذلك صراحةً. يستطيع المهاجمون أيضًا الكتابة بأسلوب زميل، أو تخصيص رسالة لتناسب وظيفتك، أو تقليد صوت مألوف في مكالمة. وهذا يقلل من فائدة قائمة التحقق القديمة التي تعتمد على الأخطاء الإملائية والتحيات الغريبة، ويزيد أهمية التحقق من الطلب نفسه. يجب التحقق من أي طلب لتحويل أموال أو تغيير بيانات بنكية أو مشاركة رمز أو تجاوز إجراء معتاد، مهما بدا مقنعًا.
كيف تتحقق من رسالة مشبوهة خطوة بخطوة؟
تتحقق من رسالة مشبوهة بالخروج من قنواتها: لا تستخدم مطلقًا الروابط أو أرقام الهاتف أو عنوان الرد الواردة فيها، وتواصل مع الشخص أو المؤسسة عبر بيانات اتصال تثق بها مسبقًا.
1. توقّف مؤقتاً وحدّد الأسلوب المستخدم
اسأل عن نوع الضغط الممارَس. السرية مع الاستعجال والمال هي النمط المعتاد للاحتيال في المدفوعات.
2. تحقّق من الطلب، وليس من المُرسِل فقط
يمكن تزوير أسماء العرض ومعرّف المتصل. تغيير البيانات المصرفية أو طلب رمز هو علامة التحذير، أيًّا كانت الجهة التي يبدو أنه صادر عنها.
3. تحقّق عبر قناة مستقلة
اتصل بالشخص على رقم موجود في سجلاتك، أو اكتب عنوان موقع المؤسسة بنفسك. تقدّم كل من CISA وNCSC هذه النصيحة.
4. لا تشارك الرموز أو كلمات المرور مطلقًا
لا تطلب منك فرق تقنية المعلومات أو البنوك الحقيقية قراءة رمز يُستخدم لمرة واحدة أو كلمة مرور بصوت عالٍ.
5. أبلغ عنه
استخدم زر الإبلاغ في بريدك الإلكتروني وأبلغ مسؤول تقنية المعلومات لديك. في المملكة المتحدة، يمكنك إعادة توجيه الرسائل المشبوهة إلى [email protected]؛ وفي الولايات المتحدة، تتلقى وكالة الأمن السيبراني وأمن البنية التحتية البلاغات عبر خدمتها للإبلاغ عن مشكلة سيبرانية.
كيف تبدو الاستجابة الضعيفة والاستجابة القوية؟
تثق الاستجابة الضعيفة بالمظاهر. ترى ليا اسم المدير العام، فترد لتسأل إن كان الدفع عاجلًا حقًا، وتتلقى ردًا سريعًا يقول 'نعم، يُرجى الدفع الآن' من العنوان المزيف نفسه، فتدفع. وتتجاهل الرسالة النصية، لكنها رغبةً في المساعدة تقرأ الرمز للمتصل، فيستخدمه لتسجيل الدخول إلى صندوق بريدها.
الاستجابة الجيدة تتحقق من الطلب. تلاحظ ليا اجتماع ادعاء السلطة والاستعجال والسرية، فتتصل بالمدير العام على رقم هاتفه المحمول من قائمة الموظفين؛ ويتبين أنه لم يرسل شيئًا. وتحذف رسالة الطرد النصية دون الضغط على الرابط. وتخبر المتصل بأنها ستعاود الاتصال بمزوّد خدمات تقنية المعلومات، ثم تنهي المكالمة وتتصل بالمزوّد على الرقم الوارد في عقد الشركة؛ فيتضح أنه لم يتصل بها. وتبلّغ قسم تقنية المعلومات بالمحاولات الثلاث، وتعيد توجيه البريد الإلكتروني إلى عنوان الإبلاغ. لم يُدفع أي مبلغ ولم تُشارَك أي شيفرة.
ماذا ينبغي أن تفعل إذا كنت قد نقرت على الرابط أو رددت على الرسالة بالفعل؟
إذا كنت قد نقرت بالفعل أو رددت أو شاركت شيئًا، فأبلغ جهة الاتصال المسؤولة عن تقنية المعلومات فورًا، لأن السرعة تحدّ من الضرر، ولا ينبغي لوم أي شخص على الإبلاغ. غيّر كلمة مرور أي حساب أدخلت بياناته، باستخدام جهاز آخر، وفعّل المصادقة متعددة العوامل. وإذا تعلّق الأمر بأموال أو بيانات مصرفية، فاتصل بمصرفك فورًا باستخدام الرقم الموجود على موقعه الإلكتروني أو على بطاقتك.
ما الأخطاء الشائعة المتعلقة بالتصيد الاحتيالي؟
الخطأ الأكثر شيوعاً هو الرد على الرسالة المشبوهة للتحقق منها، فهذا لا يفعل سوى مطالبة المهاجم بالتأكيد. ومن الأخطاء الأخرى: الثقة بالاسم الظاهر أو معرّف المتصل، والاعتماد على الأخطاء الإملائية لاكتشاف الاحتيال، والنقر على روابط إلغاء الاشتراك، وقراءة رموز الاستخدام لمرة واحدة بصوت مسموع، والتزام الصمت بعد ارتكاب خطأ بسبب الإحراج.
أين يقع هذا الدرس ضمن Tosheo.ai؟
يندرج هذا الدرس ضمن فئة الأمن السيبراني ودورتها. في Tosheo.ai، تعطيك المهمة التطبيقية مجموعة رسائل افتراضية، وتطلب منك تسمية الأسلوب المستخدم في كل منها، وكتابة خطوة التحقق وصياغة بلاغ، ويوضح دليل معايير التقييم علامة التحذير التي فاتتك. إنه تدريب توعوي للموظفين والمديرين، وليس دورة تقنية في أمن البريد الإلكتروني.
المصادر والنطاق
NCSC، الإبلاغ عن رسالة بريد إلكتروني احتيالية (تم التحقق في 19 أكتوبر 2026) ↗
CISA، التعرف على التصيد الاحتيالي والإبلاغ عنه (تم التحقق في 19 أكتوبر 2026) ↗
CISA، تجنب هجمات الهندسة الاجتماعية والتصيد الاحتيالي (تم التحقق في 19 أكتوبر 2026) ↗