موسوعة عربية للمعرفة التقنية والعلمية الموثقة
ما هي الهندسة الاجتماعية (Social Engineering)؟
خلاصة سريعة: الهندسة الاجتماعية (Social Engineering) استغلال الثقة البشرية، لا ثغرة تقنية، لدفع شخص إلى كشف معلومة أو تنفيذ خطوة تخدم المهاجم. وتعتمد على قصة مقنعة، واستعجال، وانتحال صفة موثوقة، وقد تبدأ بمكالمة قصيرة أو رسالة تبدو عادية. وأفضل دفاع منها عادة تحقق بسيطة عبر قناة مستقلة.
ما هي الهندسة الاجتماعية (Social Engineering)؟
الهندسة الاجتماعية مجموعة أساليب تخاطب الإنسان بدل مخاطبة النظام. فبدلًا من البحث عن ثغرة في الخادم، يبحث المهاجم عن شخص يملك صلاحية، ثم يقنعه بتسليمها أو باستخدامها لصالحه. وقد يكون الطلب كلمة مرور، أو رمز تحقق، أو تحويلًا، أو فتح رابط، أو الموافقة على تثبيت برنامج.
ويُخطئ من يظن أنها مسألة سذاجة. فالهجوم الناجح يستهدف لحظة انشغال، أو ضغط وقت، أو رغبة في مساعدة زميل. وقد يصل المهاجم إلى معلومات حقيقية عن المؤسسة من موقعها الإلكتروني ومن حسابات موظفيها العامة، فيبدو طلبه متسقًا مع السياق، ويصعب على الضحية أن يشك فيه.
لماذا تنجح؟ 4 محركات نفسية
- السلطة: يميل الناس إلى طاعة من يبدو مسؤولًا أو فنيًا أو جهة رسمية، ويقللون من الأسئلة حياءً أو احترامًا.
- الاستعجال: يضغط الوقت على التفكير، فيُتخذ القرار قبل التحقق. وعبارة «الآن أو تُغلق الفرصة» تفعل ما لا تفعله حجة منطقية.
- الألفة: رسالة من اسم يعرفه الضحية، أو من زميل في القسم نفسه، تمر بسهولة أكبر من رسالة من غريب.
- الخوف من الخطأ: قد يخفي الضحية شكه خوفًا من العقاب أو الإحراج، فيستمر في التفاعل بدل أن يتوقف ويسأل.
ويُضاف إلى ذلك مبدأ المعاملة بالمثل: خدمة صغيرة يقدمها المهاجم أولًا تجعل الضحية أكثر استعدادًا للرد بالخدمة. وقد يبدأ الاتصال بمساعدة حقيقية، ثم يطلب معلومة صغيرة، ثم يتوسع الطلب تدريجيًا حتى يصل إلى ما يريد. ولهذا لا يكفي الحكم على الرسالة الأولى وحدها.
كيف يُبنى الهجوم؟ من جمع المعلومات إلى الطلب
يبدأ المهاجم بجمع معلومات متاحة: أسماء الموظفين، ومسمياتهم، وأدوات العمل، وأوقات الاجتماعات، ومزود الخدمة المستخدم. ثم يبني قصة تناسب الهدف، ويختار قناة مناسبة، ثم يطلب ما يريد. وقد تمتد العملية أيامًا، لأن بناء الثقة أبطأ من الاختراق التقني لكنه أقل كلفة.
وتُسمى القصة المصممة «الذريعة» (Pretexting)، وهي العمود الفقري للهجوم. فالفني الذي يطلب التحقق من الحساب، والباحث الذي يجري تدقيقًا داخليًا، والمورد الذي يطلب تأكيد بيانات الشحن، كلها أدوار تُبنى لتبرير الطلب. ولذلك ينبغي أن تواجه أي طلب غير معتاد بسؤال واحد: من يطلبه، ولماذا الآن، وكيف أتحقق منه خارج هذه القناة؟
أشكال شائعة للهندسة الاجتماعية
- التصيد الاحتيالي: رسالة بريد أو رسالة نصية تدفع إلى رابط أو مرفق، وقد تنتحل صفة بنك أو خدمة.
- التصيد الموجه: رسالة مخصصة لشخص بعينه بعد دراسة دوره واهتماماته، فتبدو أكثر إقناعًا.
- التصيد الصوتي (Vishing): مكالمة هاتفية بانتحال صفة موظف دعم أو جهة رسمية، مع ضغط نفسي مباشر.
- التصيد عبر الرسائل النصية (Smishing): رابط قصير في رسالة SMS يوحي بأنه من جهة موثوقة.
- الطعم (Baiting): إغراء بملف أو برنامج مجاني أو وحدة تخزين متروكة، يدفع الضحية إلى التجربة.
- الدخول بالتطفل (Tailgating): دخول مكان محمي بصحبة شخص يملك صلاحية، بحجة حمل أشياء أو نسيان بطاقة.
- انتحال صفة المسؤول: رسالة من مدير تنفيذي تطلب تحويلًا عاجلًا أو بيانات، وتُسمى «اختراق البريد التجاري».
- إجهاد الموافقة: تكرار طلبات التحقق حتى يوافق الضحية على أحدها دون قراءة.
وتتعدد القنوات، لكن النمط واحد: طلب يتجاوز الإجراء المعتاد، وسبب يبرر التجاوز، ووقت ضيق يمنع التحقق. وكلما زادت حساسية الصلاحية المطلوبة، زادت عناية المهاجم ببناء القصة. ولهذا يُراقب أحداث الموافقة نفسها لا محتوى الرسائل فقط.
لماذا تحتاج المؤسسات إلى أكثر من توعية؟
التوعية ضرورية، لكنها ليست كافية، لأنها تفرض يقظة دائمة، واليقظة تتراجع مع التعب. ولهذا تُبنى الدفاعات على افتراض أن خطأً سيقع: صلاحيات محدودة، وموافقة إضافية للعمليات الحساسة، وفصل المهام، وتحقّق مزدوج من طلبات الدفع وتغيير بيانات الحساب. فحين يقع الخطأ، تقل مساحة الضرر بدل أن تمتد.
ويساعد أيضًا تقليل المعلومات المتاحة للعامة عن الأدوات والهياكل الداخلية، لا إخفاؤها كليًا بل عدم نشر تفاصيل تسهل بناء ذريعة مقنعة. ويُكمل ذلك التحقق بخطوتين الذي يقلل أثر كلمة المرور المسروقة، ومدير كلمات المرور الذي يرفض تعبئة بيانات الدخول في نطاق مختلف عن المسجل.
كيف تتحقق من الطلب المشبوه؟ 5 عادات
- قناة مستقلة: أعد الاتصال برقم مسجل لديك، لا بالرقم الوارد في الرسالة أو المكالمة.
- توقف قصير: امنح نفسك دقيقة قبل أي إجراء، فمعظم الهجمات تعتمد على منع التفكير.
- قاعدة عدم المشاركة: لا تشارك رمز التحقق أو كلمة المرور مع أي شخص، مهما كانت صفته.
- التحقق من العنوان: افحص النطاق الكامل في البريد والرابط، لا اسم المرسل الظاهر فقط.
- الإبلاغ: أبلغ فريق الأمن عن الرسالة المشبوهة، فالإبلاغ المبكر يحمي غيرك أيضًا.
وإذا وقعت في الفخ، فالتصرف السريع يحد من الضرر: غيّر كلمة المرور من جهاز آخر، وألغِ الجلسات النشطة، وأبلغ المسؤول فورًا، وراقب الحساب في الأيام التالية. ولا تخفِ ما حدث، لأن إخفاء الخطأ يمنح المهاجم وقتًا إضافيًا، ويصعّب احتواء الحادثة.
حدود الحماية: ما لا تكفيه الأدوات
لا يوجد نظام يمنع الهندسة الاجتماعية بنسبة 100%، لأنها تستهدف قرارًا بشريًا في لحظة معينة. وقد تنجح رسالة واحدة موفقة رغم كل الأدوات. ولهذا تُقاس المتانة بالقدرة على الاكتشاف والاحتواء السريع، لا بعدد الرسائل المحجوبة فقط، ويُعد التصيد الاحتيالي من أكثر المداخل شيوعًا إلى بقية الهجمات.
ويُستكمل هذا الوعي بفهم أدوات المراقبة: فبرامج تسجيل لوحة المفاتيح قد تجمع ما تكتبه بعد نجاح الخدعة، وهو ما يجعل التحقق بخطوتين وحده غير كافٍ إن كان الجهاز نفسه مصابًا. وتظل القاعدة العملية: ثق في الإجراء، لا في الصفة التي ينتحلها المتصل.
ولتقوية طبقات الدفاع وحماية الأنظمة، يتكامل هذا الجانب مع البرمجيات الخبيثة واختراق البيانات.
تحليل المخاطر: الحيل النفسية للهندسة الاجتماعية مقابل بروتوكول التحقق
حواجز وقائية
المحركات النفسية التي يستغلها المهاجم
- ادعاء سلطة عليا زائفة أو انتحال صفة المدير التنفيذي لإرباك الضحية وإجباره على التجاوب.
- خلق شعور وهمي بالعجلة المفرطة مثل التهديد بإيقاف الحساب المالي فوراً لتجاوز التدقيق.
- بناء الثقة المصطنعة والتدرج في طلب المعلومات الحساسة خطوة بخطوة (Pretexting).
عادات الحماية الإلزامية في المؤسسات
- التحقق عبر قناة اتصال مستقلة تماماً (Out-of-Band) قبل تنفيذ أي تحويل مالي أو مشاركة بيانات.
- إلزامية الموافقة الثنائية من مسؤولين مستقلين على طلبات تغيير الحسابات البنكية للموردين.
- محاكاة دورية لهجمات التصيد وتدريب الموظفين دون لوم على الإبلاغ الفوري عن الرسائل المشبوهة.
أسئلة شائعة عن الهندسة الاجتماعية
ما الفرق بين الهندسة الاجتماعية والتصيد الاحتيالي؟
التصيد الاحتيالي أسلوب واحد من أساليب الهندسة الاجتماعية، يعتمد على رسالة مزيفة تدفعك إلى رابط أو مرفق. أما الهندسة الاجتماعية فهي الإطار الأوسع، ويشمل مكالمة هاتفية، أو زيارة شخصية، أو محادثة قصيرة، أو انتحال صفة زميل داخل المؤسسة.
هل يمكن أن أكون هدفًا وأنا لست مشهورًا؟
نعم. لا يستهدف المهاجم الشهرة بل الوصول، فأي حساب بريد أو لوحة تحكم أو اتصال بشبكة مؤسسة له قيمة. وكثير من الحملات آليّة تبحث عن أي حساب يمكن اختراقه، لا عن شخص بعينه.
ما المقصود بالذرائع (Pretexting)؟
بناء قصة مقنعة تشرح سبب الطلب، مثل فني دعم يحتاج إلى التحقق من حسابك، أو مدير يطلب ملفًا عاجلًا. وتُصمم القصة لتجعل الطلب منطقيًا في سياقه، فتنخفض مقاومة الهدف قبل أن يفكر في التحقق.
هل يمنع التحقق بخطوتين الهندسة الاجتماعية؟
لا يمنعها، لكنه يقلل أثرها بدرجة كبيرة. فإذا سرق المهاجم كلمة المرور وحدها، فلن يكمل الدخول دون العامل الثاني. ويبقى الخطر في الأساليب التي تقنع الضحية بالموافقة على الطلب أو بتمرير الرمز، ولهذا تُستخدم المفاتيح الأمنية والتطبيقات التي تربط الموافقة بالموقع الفعلي.
ما أول خطوة إذا شككت في رسالة أو مكالمة؟
توقف عن التفاعل، ولا تضغط رابطًا ولا تفتح مرفقًا ولا تشارك رمزًا. ثم تحقق من هوية المرسل عبر قناة مستقلة تعرفها مسبقًا، مثل رقم هاتف مسجل أو زيارة مباشرة. وأبلغ فريق الأمن أو مزود البريد بعد ذلك، حتى لو تبيّن أنها رسالة سليمة.
