ما هو التصيد الاحتيالي (Phishing)؟ وكيف تحمي نفسك من سرقة بياناتك

خلاصة سريعة: التصيد الاحتيالي (Phishing) هو هجوم إلكتروني يعتمد على الخداع (عبر البريد الإلكتروني أو الرسائل النصية أو المكالمات) لحمل الضحية على الكشف عن بيانات حساسة (كلمات المرور، أرقام البطاقات، معلومات شخصية) أو تثبيت برمجيات خبيثة. أفضل حماية تجمع بين الوعي (التحقق من المرسل والروابط)، والتوثيق (MFA)، والتحديث والنسخ الاحتياطي، والإبلاغ الفوري عند الشك.

ما هو التصيد الاحتيالي (Phishing)؟

التصيد الاحتيالي (Phishing) هو شكل من أشكال الهندسة الاجتماعية (Social Engineering)، إذ ينتحل المهاجم شخصية جهة موثوقة (بنك، شركة تقنية، زميل عمل، خدمة توصيل) لخداع المستخدم. الهدف قد يكون سرقة بيانات اعتماد (اسم المستخدم وكلمة المرور)، أو بيانات مالية (أرقام بطاقات، IBAN)، أو معلومات شخصية (رقم الهوية، تاريخ الميلاد) تُستخدم لاحقًا في انتحال الهوية. وقد يهدف أيضًا إلى تثبيت برمجيات خبيثة (مثل Keylogger أو برامج الفدية) عبر مرفق أو رابط.

لا يعتمد التصيد على “اختراق” تقني معقد، بل على استغلال ثقة الإنسان. لذلك حتى الأنظمة المحمية جيدًا قد تُخترق إذا أُعطي المهاجم “مفتاح” الدخول (بيانات اعتماد) طوعًا. وغالبًا ما تبدأ المحاولة برسالة عاجلة («حسابك موقوف»، «تم كشف نشاط مشبوه»، «لقد ربحت جائزة») لدفع الضحية إلى رد فعل سريع دون تحقق.

أنواع التصيد الاحتيالي

• التصيد بالبريد (Email Phishing): رسائل جماعية تبدو من جهات معروفة، وتحتوي على روابط لمواقع مزيفة أو مرفقات خبيثة.
• التصيد بالرسائل النصية (Smishing): رسائل SMS/WhatsApp تطلب النقر على رابط أو إدخال رمز (OTP).
• التصيد الصوتي (Vishing): مكالمات هاتفية (أو رسائل صوتية) تدّعي أنها من البنك/الدعم الفني، وتطلب معلومات أو رموز تحقق.
• التصيد المُستهدف (Spear Phishing): هجوم مخصص لشخص أو مؤسسة، باستخدام معلومات (اسم، منصب، مشاريع) لزيادة المصداقية.
• التصيد (Whaling): استهداف كبار المسؤولين/المدراء (CEO fraud) لتنفيذ تحويلات مالية أو الكشف عن بيانات.
• التصيد بالاستنساخ (Clone Phishing): نسخ رسالة شرعية (فاتورة/إشعار) مع استبدال الرابط/المرفق بنسخة خبيثة.
• التصيد (Angler Phishing): انتحال حسابات دعم العملاء على منصات التواصل (ردود على شكاوى) لجذب الضحايا.

علامات التعرف على محاولة التصيد

• عنوان المرسل (From): نطاق (domain) مشابه (مثلاً paypa1.com بدل paypal.com) أو بريد عام (gmail/yahoo) لجهة “رسمية”.
• الإلحاح/الугрозة: «خلال 24 ساعة»، «سيُعلق حسابك»، «إجراء ضروري» لمنع التحقق.
• روابط مشبوهة: النص (anchor) يقول “تسجيل الدخول” لكن الرابط (URL) مختلف؛ أو استخدام مُقصّرات (shorteners) أو أحرف Unicode (IDN homograph).
• أخطاء لغوية: إملاء/قواعد/تنسيق غير معتاد (ليس دليلاً قاطعًا، لكن إشارة).
• مرفقات غير متوقعة: .zip, .exe, .js, .docm, .xlsm، أو “فاتورة” لم تطلبها.
• طلب معلومات حساسة: bank/OTP/كلمة مرور/رقم هوية عبر البريد (الجهات الشرعية لا تطلبها هكذا).
• تحية عامة: مخاطبة «Dear customer» بدل اسمك، أو توقيع/ branding غير مطابق.

كيف يتم الهجوم؟ (المراحل)

1) الإعداد: إعداد نطاق/موقع مزيف (مطابق بصريًا)، ورسالة مقنعة. 2) التسليم: إرسال (بريد/رسالة/مكالمة) إلى أهداف (جماعية أو مُستهدفة). 3) التفاعل: الضحية تفتح الرابط/المرفق وتدخل البيانات (أو تُنزّل برمجية). 4) الجمع: المهاجم يحصل على بيانات الاعتماد/الملفات/الجلسة (session). 5) الاستغلال: دخول الحساب، تحويل أموال، انتحال هوية، نشر برمجيات خبيثة، أو “التحرك جانبيًا” (lateral movement) داخل المؤسسة. 6) الإخفاء: حذف آثار، إعادة توجيه البريد (rules)، أو الإبقاء على وصول (persistence).

كيف تحمي نفسك (أفضل الممارسات)

• تحقق قبل النقر: مرِّر مؤشر الفأرة فوق الرابط (hover) لرؤية URL؛ اكتب العنوان يدويًا أو استخدم تطبيق/إشارة مرجعية (bookmark) بدل النقر.
• التوثيق متعدد العوامل (MFA): فعّل MFA (تطبيق تحقق/مفتاح أمان) لجميع الحسابات (بريد، بنك، سحابة). فضّل MFA “resistant to phishing” (FIDO2/WebAuthn) عند الإمكان.
• مدير كلمات المرور: يملأ بيانات الاعتماد فقط على النطاق (domain) الصحيح؛ إذا لم يملأ تلقائيًا، suspect.
• تحديثات وتصحيحات: حدّث نظام التشغيل والمتصفح والتطبيقات؛ فلتر البريد/anti-phishing.
• شبكات Wi-Fi: على شبكات عامة استخدم VPN لحماية حركة المرور، وتجنب إدخال بيانات حساسة.
• Cookies/الجلسات: سرقة Cookies قد تسمح “اختطاف جلسة” (session hijacking). راجع Cookies، وامسح cookies/تسجيلات الدخول عند الشك، وسجّل خروجًا من الأجهزة غير المعروفة.
• النسخ الاحتياطي: نسخ احتياطي 3-2-1 (3 نسخ، 2 وسائط، 1 خارج الموقع) للحماية من ransomware.
• تدريب/ثقافة: تدريب دورات (phishing simulations) في المؤسسات؛ تشجيع الإبلاغ (report) بدل العقاب.
• تصفية البريد: SPF/DKIM/DMARC (للمنظمات)؛ فلاتر البريد (quarantine)؛ تحذيرات external sender.

ماذا تفعل إذا وقعت ضحية؟

1) لا الذعر: تصرف بسرعة. 2) غيّر كلمات المرور (بدءًا بالبريد (email) لأن “إعادة تعيين” الحسابات الأخرى يعتمد عليه). 3) أوقف الجلسات (sign out all devices) وألغِ tokens. 4) فعّل/أعد MFA. 5) أبلغ (البنك، IT في العمل، منصة الخدمة). 6) البطاقة: إذا أدخلت بيانات بطاقة، ألغِ/أوقف (block) وأطلب بديلة. 7) فحص الجهاز (antivirus/EDR) للبحث عن malware/keyloggers. 8) راقب الحسابات (statements) وتنبيهات الائتمان. 9) أبلغ authorities (الجهات المختصة) (حسب الدولة) واحتفظ بالأدلة (screenshots/headers).

ملاحظة: إذا أدخلت بيانات على موقع مزيف، قد يحاول المهاجم تسجيل الدخول فورًا. MFA (especially number matching/FIDO2) يقلل خطر “MFA fatigue” (push bombing). تحقق أيضًا من قواعد إعادة توجيه البريد (mail rules) و”التفويض” (delegated access).

الأسئلة الشائعة

المصادر

• CISA – Recognize and Report Phishing
• FTC – Phishing (Business Guidance)
• FTC – How to Recognize and Avoid Phishing Scams
• NCSC – Phishing
• Kaspersky – Phishing (definition)
• OWASP – Phishing

صورة الغلاف: Richard Nowell / Wikimedia Commons، بموجب رخصة CC BY-SA 4.0.