الهندسة الاجتماعية: كيف يخدع المهاجمون فريقك ليحصلوا على كلمات المرور؟

يمكنك أن تنفق الكثير على جدار الحماية وشهادة SSL وكلمات المرور القوية، ثم يضيع كل ذلك في دقيقة واحدة لأن أحد الموظفين أرسل كلمة مرور لوحة التحكم إلى شخص ادعى أنه من «الدعم الفني». هذا ما يسمى الهندسة الاجتماعية: استغلال الثقة والاستعجال والخوف بدلاً من استغلال ثغرة تقنية.

أشهر الأساليب، بأمثلة من الواقع #

1. رسالة التصيد #

بريد يبدو من البنك أو من شركة الاستضافة أو من جوجل، فيه رابط لصفحة دخول مزيفة. الصفحة تشبه الأصلية تماماً، لكن رابطها مختلف بحرف أو حرفين. اقرأ رسائل التصيد الإلكترونية.

2. المكالمة المزيفة #

شخص يتصل ويقول إنه من الدعم الفني، وإن موقعك فيه مشكلة خطيرة، ويحتاج كلمة المرور أو الرمز الذي وصلك على الجوال «لإصلاحها الآن». الاستعجال هنا مقصود، حتى لا تفكر.

3. فاتورة المدير #

رسالة من بريد يشبه بريد مدير الشركة، تطلب من المحاسب تحويل مبلغ لمورد جديد «اليوم قبل نهاية الدوام». غالباً يكون العنوان مختلفاً قليلاً، أو يكون حساب المدير الحقيقي قد اختُرق.

4. تجديد النطاق المزيف #

رسالة تقول إن نطاقك سينتهي خلال ساعات وتطلب الدفع من رابط خارجي. الجهة المرسلة ليست شركتك المسجلة للنطاق أصلاً.

علامات تكشف الخدعة #

• الاستعجال والتهديد: «خلال ساعة»، «سيتم الإيقاف»، «سري جداً».
• طلب شيء لا يُطلب عادة: كلمة مرور، أو رمز تحقق وصلك على الجوال، أو تحويل لحساب جديد.
• عنوان مرسل أو رابط يختلف ولو بحرف عن الأصلي.
• طلب تجاوز الإجراء المعتاد: «لا تخبر أحداً»، «ادفع من هذا الرابط بدل الفاتورة».

قواعد بسيطة تحمي فريقك #

1. لا أحد يحتاج رمز التحقق الذي وصلك: الرمز الذي يصل لجوالك لك وحدك، ولا يطلبه أي دعم فني حقيقي.
2. تأكد بطريقة مستقلة: إذا وصلك طلب حساس، فاتصل برقم تعرفه أنت، أو افتح الموقع الرسمي بكتابة عنوانه بنفسك. لا تستخدم الرابط أو الرقم الموجود في الرسالة.
3. تحويل الأموال يحتاج تأكيداً ثانياً: أي تغيير في حساب مورد أو طلب تحويل عاجل يُؤكد بمكالمة مع شخص تعرفه.
4. حسابات منفصلة وصلاحيات محدودة: لكل موظف حسابه، ولا يأخذ إلا الصلاحية التي يحتاجها. اقرأ أدوار المستخدمين في ووردبريس.
5. التحقق بخطوتين في كل مكان: حتى لو تسربت كلمة المرور، لن تكفي وحدها. اقرأ كيف تصنع كلمة مرور قوية.
6. اجعل الإبلاغ سهلاً: الموظف الذي يضغط على رابط مشبوه يجب أن يبلّغ فوراً دون خوف من اللوم، لأن السرعة تقلل الضرر.

إذا وقع الخطأ #

إذا أعطى أحد كلمة مرور أو ضغط رابطاً مشبوهاً، فغيّر كلمة المرور فوراً من جهاز آخر، وأخرج كل الجلسات المفتوحة، وراجع آخر عمليات الدخول والتغييرات. وإذا كان الحساب حساب بريد، فاتبع خطوات استعادة البريد المخترق.

أسئلة شائعة #