ما هو التصيد الاحتيالي؟
تقنية تُستخدم للحصول على بيانات المستخدمين القيّمة، والتي يمكن للمهاجمين بيعها أو إساءة استخدامها لأغراض خبيثة، مثل الابتزاز، أو السرقة المالية، أو سرقة الهوية.
هل سبق لك أن تلقيت بريدًا إلكترونيًا أو رسالة نصية أو أي شكل آخر من أشكال التواصل الإلكتروني، يبدو أنه صادر من بنك أو خدمة إلكترونية شهيرة أخرى، يطلب منك "تأكيد" بيانات حسابك، أو رقم بطاقة ائتمان، أو معلومات حساسة أخرى؟ إذا كان الأمر كذلك، فأنت تعرف بالفعل شكل هجوم التصيد الاحتيالي الشائع.
أصل المصطلح
وُصِفَ هذا المفهوم لأول مرة في ورقة بحثية قُدِّمت في مؤتمر عام 1987 من قِبَل جيري فيليكس وكريس هوك بعنوان "أمن الأنظمة: منظور المخترق" (وقائع مؤتمر Interex لعام 1987، المجلد 1، العدد 6). ناقشت الورقة أسلوب المهاجم في انتحال صفة كيان أو خدمة موثوقة. الكلمة نفسها متجانسة صوتيًا مع كلمة "fishing" (صيد) للأهداف، إذ تستخدم نفس منطق "الطعم والصيد". أما المقطع "ph-" في البداية فهو إشارة إلى "phreaks، وهي مجموعة من المخترقين الذين قاموا بتجارب واستكشاف غير قانوني لحدود أنظمة الاتصالات في التسعينيات.
كيف تعمل عمليات التصيد الاحتيالي؟
انتشر التصيد الاحتيالي منذ سنوات، وخلال تلك الفترة، طور المهاجمون مجموعة واسعة من الأساليب لاستهداف الضحايا.
إن أكثر أساليب التصيد الاحتيالي شيوعاً هو انتحال صفة بنك أو مؤسسة مالية عبر البريد الإلكتروني، وذلك لإغراء الضحية إما بملء نموذج مزيف داخل رسالة البريد الإلكتروني أو مرفق بها، أو لزيارة صفحة ويب تطلب إدخال تفاصيل الحساب أو بيانات تسجيل الدخول.
اقرأ المزيد
عادةً ما تُساء استخدام المعلومات المسروقة من الضحايا لسحب أموالهم من حساباتهم المصرفية أو بيعها عبر الإنترنت.
يمكن أيضًا تنفيذ هجمات مماثلة عبر المكالمات الهاتفية (التصيد الصوتي) وكذلك الرسائل النصية القصيرة (التصيد عبر الرسائل النصية).
التصيد الموجه
أسلوب تصيد أكثر تطورًا، حيث تصل رسائل تصيد تبدو أصلية إلى صناديق بريد مجموعات أو منظمات أو حتى أفراد محددين.
يقوم مُرسلو رسائل التصيد الاحتيالي المُوجّهة بإجراء بحث مُفصّل مُسبقًا عن هدفهم (أهدافهم)، مما يُصعّب تحديد ما إذا كان المحتوى احتياليًا.
الاستهداف المُركّز على شخصيات بارزة في عالم الأعمال - مثل كبار المديرين أو المالكين - يُطلق عليه اسم "الاستهداف المُركّز على الشخصيات البارزة"، نظرًا لحجم العائد المُحتمل (حيث يستهدف المُهاجمون "الشخصيات المهمة").
كيفية التعرف على التصيد الاحتيالي
في الماضي، كان يُستخدم غالبًا اسم نطاق به أخطاء إملائية أو أسماء نطاقات مضللة لهذا الغرض. أما اليوم، فيستخدم المهاجمون أساليب أكثر تطورًا، تجعل الروابط والصفحات المزيفة تُشبه إلى حد كبير نظيراتها الشرعية.
قد تحتوي رسالة بريد إلكتروني أو رسالة إلكترونية على شعارات رسمية أو علامات أخرى لمنظمة ذات سمعة طيبة، ومع ذلك قد تكون من مُحتالين. فيما يلي بعض التلميحات التي قد تُساعدك على كشف رسائل التصيد الاحتيالي.
علامات مشبوهة
- التحيات العامة أو غير الرسمية - إذا كانت الرسالة تفتقر إلى التخصيص (مثل "عميلنا العزيز") والرسمية، فمن المحتمل وجود خلل ما. وينطبق الأمر نفسه على التخصيص الزائف باستخدام أرقام مرجعية عشوائية ومزيفة.
- طلب معلومات شخصية - يستخدمه المحتالون بكثرة، وتتجنبه عادةً البنوك والمؤسسات المالية ومعظم الخدمات الإلكترونية
- ضعف القواعد - الأخطاء الإملائية والطباعية والصياغة غير المألوفة غالبًا ما تشير إلى رسالة مزيفة (لكن غياب أي منها لا يُعد دليلًا على صحتها)
- مراسلات غير متوقعة - يُعد التواصل غير المرغوب فيه من بنك أو مزود خدمة إلكترونية أمرًا غير معتاد ومثيرًا للريبة
- شعور بالإلحاح - غالبًا ما تحاول رسائل التصيد الاحتيالي حثّ المستخدمين على اتخاذ إجراءات سريعة وغير مدروسة
- عرض لا يُمكن رفضه؟ - إذا بدت الرسالة جيدة لدرجة يصعب تصديقها، فمن شبه المؤكد أنها كذلك
- نطاق مشبوه - هل يُعقل أن يرسل بنك أمريكي أو ألماني بريدًا إلكترونيًا من نطاق صيني؟
كيفية حماية نفسك من التصيد الاحتيالي
لتجنب الوقوع ضحية لرسائل التصيد الاحتيالي، انتبه للمؤشرات المذكورة أعلاه التي تكشف عادةً عن هذه الرسائل.
اتبع هذه الخطوات البسيطة:
كن على دراية بأساليب التصيد الاحتيالي الجديدة
تابع وسائل الإعلام للاطلاع على تقارير هجمات التصيد الاحتيالي، فقد يبتكر المهاجمون أساليب جديدة لخداع المستخدمين.
لا تُفصح عن معلوماتك الشخصية
كن حذرًا دائمًا إذا طلبت منك رسالة إلكترونية من جهة تبدو موثوقة بيانات اعتمادك أو أي معلومات حساسة أخرى.
فكّر مليًا قبل النقر
إذا احتوت رسالة مشبوهة على رابط أو مرفق، فلا تنقر عليه أو تُنزّله. فقد يُؤدي ذلك إلى توجيهك إلى موقع ويب خبيث أو إصابة جهازك ببرامج ضارة.
راجع حساباتك الإلكترونية بانتظام
حتى لو لم تكن تشك في محاولة سرقة بياناتك، تحقق من حساباتك المصرفية وغيرها من الحسابات الإلكترونية بحثًا عن أي نشاط مشبوه. تحسبًا لأي طارئ.
استخدم حلاً موثوقاً لمكافحة التصيد الاحتيالي.
طبّق هذه التقنيات واستمتع بتقنية أكثر أماناً.
أمثلة بارزة
بدأ التصيد الاحتيالي المنهجي في شبكة أمريكا أونلاين (AOL) عام ١٩٩٥. لسرقة بيانات اعتماد حسابات حقيقية، تواصل المهاجمون مع الضحايا عبر برنامج AOL للمراسلة الفورية (AIM)، متظاهرين غالبًا بأنهم موظفون في AOL يتحققون من كلمات مرور المستخدمين. ظهر مصطلح "التصيد الاحتيالي" في مجموعة أخبار Usenet التي ركزت على أداة تُسمى AOHell تُشغّل هذه الطريقة تلقائيًا، وظلّ هذا الاسم مستخدمًا. بعد أن أطلقت AOL إجراءات مضادة عام ١٩٩٧، أدرك المهاجمون إمكانية استخدام نفس الأسلوب في مجالات أخرى من عالم الإنترنت، فاتجهوا نحو انتحال هوية المؤسسات المالية.
أمثلة سابقة أخرى
وقعت إحدى أولى المحاولات الكبيرة، وإن كانت فاشلة، في عام ٢٠٠١، مستغلةً فوضى هجمات ١١ سبتمبر الإرهابية. أرسل مُحتالون رسائل بريد إلكتروني يطلبون فيها من بعض الضحايا التحقق من هوياتهم، في محاولة لاستغلال البيانات المُجمعة لسرقة تفاصيل مالية من خدمة العملات الرقمية "إي-جولد".
لم يستغرق الأمر سوى ثلاث سنوات أخرى حتى ترسخت عمليات التصيد الاحتيالي في عالم الإنترنت، وبحلول عام 2005 كانت قد كلفت المستخدمين في الولايات المتحدة أكثر من 900 مليون دولار أمريكي.
وفقًا لمسح APWG العالمي للتصيد الاحتيالي، رُصد أكثر من 250,000 هجوم تصيد احتيالي فريد في عام 2016، باستخدام عدد قياسي من أسماء النطاقات المسجلة بشكل ضار، متجاوزًا حاجز 95,000. في السنوات الأخيرة، ركز مُحتالو الإنترنت على الخدمات المصرفية والمالية والنقدية، وعملاء التجارة الإلكترونية، وبيانات اعتماد شبكات التواصل الاجتماعي والبريد الإلكتروني.
تحميك ESET من التصيد الاحتيالي
ESET HOME Security Premium
حماية قوية وسهلة الإدارة، تمنع عمليات الاحتيال، وتشفير البيانات الحساسة، وتؤمّن المجلدات والمعاملات الإلكترونية. يتضمن شبكة VPN مدمجة لتعزيز الخصوصية. يؤمن أجهزة Windows وmacOS وAndroid وiOS.
