موسوعة عربية للمعرفة التقنية والعلمية الموثقة
ما هو التصيد الصوتي (Vishing) والتصيد عبر الرسائل (Smishing)؟
خلاصة سريعة: التصيد الصوتي (Vishing) مكالمة ينتحل فيها المحتال صفة جهة موثوقة ليحصل على بياناتك، والتصيد عبر الرسائل النصية (Smishing) الرسالة النصية التي تفعل الأمر ذاته. وكلاهما يستغل الاستعجال والثقة، ويستهدف رمز التحقق لمرة واحدة. القاعدة: لا تسلّم رمزاً ولا كلمة مرور في مكالمة أو رسالة، وأبلغ عن المحاولة.
ما هو التصيد الصوتي (Vishing)؟
التصيد الصوتي شكل من الهندسة الاجتماعية يجري عبر مكالمة هاتفية أو رسالة صوتية مسجلة. وينتحل المتصل صفة موظف في جهة يعرفها المتلقي، مثل شركة اتصالات أو جهة حكومية أو قسم الدعم في جهة عمله، ثم يطلب معلومة سرية أو إجراءً عاجلاً.
والمصطلح دمج لكلمتي Voice وPhishing، أي التصيد بالصوت. أما هدفه فهو بيانات الدخول أو رمز التحقق أو إقناع الضحية بتثبيت تطبيق يمنح المحتال صلاحية على الجهاز.
ويختلف التصيد الصوتي عن التصيد بالبريد في أمرين: لا يترك أثراً مكتوباً يسهل فحصه ومراجعته، ويحضر فيه الصوت البشري الذي يمنح ثقة زائفة ويصعّب التروي.
ما هو التصيد عبر الرسائل النصية (Smishing)؟
التصيد عبر الرسائل النصية رسالة قصيرة تصل عبر شبكة الهاتف أو تطبيق مراسلة، وتحمل رابطاً أو رقم هاتف أو طلب رد. وقد تظهر ضمن سلسلة رسائل جهة معروفة، أو باسم مرسل تجاري، أو رداً على رسالة أرسلتها أنت.
ولا يعني ظهور اسم المرسل أو رقمه أن المرسل صحيح. فاسم المرسل حقل قابل للتزوير في كثير من الشبكات، والرقم يمكن انتحاله. وقد يستهدف النص تحديث بيانات الحساب، أو تسليم شحنة، أو مكافأة، أو تنبيهاً أمنياً مزعوماً.
لماذا ينجح التصيد الصوتي والتصيد عبر الرسائل؟
- ثقة في القناة: الهاتف قناة شخصية، ويميل الناس إلى تصديق من يتصل بهم مباشرة أو يرسل إليهم رسالة.
- الاستعجال: السيناريو يضع الضحية أمام مهلة قصيرة، فيقل وقت التفكير والتحقق.
- غياب الأدلة البصرية: لا يوجد عنوان بريد أو ترويسة يمكن فحصها، والصوت وحده هو الدليل.
- سهولة الانتحال: يمكن تزوير رقم المتصل واسم المرسل، فيبدو الاتصال صادراً من جهة موثوقة.
- جهل بقيمة الرمز: كثيرون لا يعرفون أن رمز التحقق هو مفتاح الحساب، وأن قراءته بصوت مسموع تسليم له.
ويزيد المحتال الثقة حين يذكر اسم الضحية أو آخر أرقام بطاقته أو بريده، وقد حصل على هذه المعلومات من تسريب سابق. فيبدو السيناريو متماسكاً، مع أن كل عنصر فيه مأخوذ من مصدر آخر.
كيف يعمل التصيد الصوتي؟
يبدأ العمل بانتحال رقم المتصل (Caller ID Spoofing)، أي تغيير الرقم المعروض على شاشة الهاتف ليظهر رقم جهة موثوقة. ولا يثبت الرقم هوية المتصل، لأنه حقل عرض لا حقل تحقق.
ثم يبني المحتال سيناريو مألوفاً: نشاط مشبوه على الحساب، أو تحديث أمني مطلوب، أو مشكلة في الفاتورة، ثم يعرض المساعدة. وفي اللحظة الحاسمة يطلب رمز التحقق الذي وصل إلى هاتف الضحية، أو كلمة المرور، أو تثبيت تطبيق دعم عن بُعد.
وقد يحوّل المكالمة إلى زميل يقدم نفسه بصفة «القسم الأمني»، فيطول السيناريو وتضعف حاسة الشك. وهنا تحدث سرقة رمز التحقق لمرة واحدة (OTP): يبدأ المحتال عملية الدخول إلى الحساب بكلمة المرور المسربة، فتصل الرسالة إلى الضحية، ثم يطلب منه قراءتها، وحين يقرأها يكمل الدخول ويغيّر كلمة المرور.
كيف يعمل التصيد عبر الرسائل النصية؟
تعتمد الرسالة على رابط قصير يخفي الوجهة، أو على نطاق يشبه النطاق الأصلي بحرف زائد أو شرطة أو امتداد مختلف. وعند فتح الرابط تظهر صفحة دخول مقلدة تطلب كلمة المرور ثم الرمز، فتصل البيانات إلى المحتال مباشرة.
وقد لا تحمل الرسالة رابطاً أصلاً، بل تطلب رداً بكلمة أو اتصالاً برقم. وفي هذه الحالة يكون الرد نفسه إشارة إلى أن الرقم نشط، ويُستخدم لاحقاً في مكالمة تصيد صوتي أكثر إقناعاً.
كيف تحمي نفسك؟ 6 خطوات
- لا تسلّم رمز التحقق لأي متصل. الجهة الحقيقية لا تطلبه، ولا تحتاجه لتنفيذ أي إجراء.
- أنهِ المكالمة ثم اتصل بالجهة على الرقم المنشور في موقعها الرسمي أو تطبيقها، لا على الرقم الذي اتصل بك.
- افحص النطاق قبل الضغط، واكتب عنوان الموقع يدوياً بدل اتباع رابط في رسالة.
- لا تثبت تطبيقات بطلب هاتفي أو رسالة، خصوصاً تطبيقات الدعم عن بُعد وإدارة الأجهزة.
- فعّل التحقق بخطوتين بتطبيق مصادقة أو مفتاح أمان بدل الرسائل النصية حيث أمكن.
- استخدم مدير كلمات مرور، فهو يرفض الملء التلقائي في نطاق مقلد، ويكشف الاختلاف قبل أن تدخل بياناتك.
وتُضاف خطوة سابعة في بيئة العمل: اتفاق مسبق على قناة تحقق داخلية. فإذا اتصل «المسؤول» يطلب صلاحية أو بيانات، يُعاد الاتصال به عبر الرقم الداخلي المعروف، لا عبر الرقم الوارد.
كيف تبلّغ عن محاولة تصيد؟
أبلغ مزود خدمة الاتصالات عن الرسالة أو الرقم. وتدعم بعض البلدان إعادة توجيه الرسائل المزعجة إلى الرقم 7726، فتحقق من توفره في شبكتك. وأبلغ الجهة التي انتحل المحتال اسمها، لأنها تجمع البلاغات وتتابعها مع مزودي الشبكات.
وفي جهة العمل، أبلغ فريق الأمن السيبراني فوراً، ولا تحذف الرسالة قبل أن يراها. وقدّم بلاغاً إلى الجهة الوطنية للأمن السيبراني أو الشرطة في بلدك، مع الاحتفاظ بالرقم والنص والوقت.
وإذا أدخلت بياناتك فعلاً، فغيّر كلمة المرور من جهاز موثوق، وأنهِ الجلسات النشطة، وراجع سجل الدخول والأجهزة المرتبطة، وفعّل التحقق بخطوتين. وتابع الحساب أياماً، لأن بعض المحاولات تعود بعد أسابيع.
ما حدود هذه الحماية ومتى تقلق؟
لا يكفي رفض الرد على الأرقام المجهولة، لأن الانتحال يظهر الرقم باسم جهة معروفة. كما أن التحقق من الرقم عبر البحث في الإنترنت لا يحسم الأمر، فقد يكون الرقم صحيحاً والمتصل محتالاً.
وتبقى الرسائل النصية أضعف من تطبيقات المصادقة ومفاتيح الأمان، لأنها قابلة للاعتراض وقد تُسرق عبر استبدال الشريحة. ويضاف إلى ذلك تطور الأصوات المولدة آلياً، وهو ما يجعل التمييز بالسمع أقل موثوقية.
أما إذا شاركت رمزاً أو كلمة مرور، فتعامل مع الحساب كأنه مخترق، ولا تكتف بتغيير كلمة المرور وحدها. راجع أيضاً إعدادات نطاقك وسجلاته في نظام أسماء النطاقات (DNS)، فقد يستخدمها المحتال في رسائل تصيد تحمل اسم نطاقك.
ولتقوية طبقات الدفاع وحماية الأنظمة، يتكامل هذا الجانب مع الهندسة الاجتماعية وإدارة الهوية والوصول (IAM) واختراق البيانات.
تشخيص هجمات التصيد الصوتي والنصي والاستجابة الدفاعية الفورية
استجابة سيبرانية
مؤشرات الخطورة في الاتصال والرسائل (Red Flags)
- خلق حالة استعجال مصطنعة والتهديد بتجميد الحساب البنكي أو اتخاذ إجراء قانوني فوري.
- طلب الإفصاح عن رمز التحقق لمرة واحدة (OTP) أو كلمة المرور السرية هاتفياً.
- إرسال روابط مختصرة ومشبوهة أو انتحال أرقام هواتف رسمية عبر تقنية تزييف هوية المتصل.
الإجراء الدفاعي المباشر (Active Defense)
- إنهاء المكالمة فوراً وإعادة الاتصال بالرقم الرسمي المطبوع خلف البطاقة البنكية أو الموقع الموثق.
- الامتناع القاطع عن مشاركة رموز التحقق (OTP)؛ فالمؤسسات الحقيقية لا تطلبها هاتفياً إطلاقاً.
- حظر الرقم المشبوه فوراً وإبلاغ منصات مكافحة الاحتيال والبنك المعني لتجميد أي وصول غير مصرح به.
أسئلة شائعة عن التصيد الصوتي والتصيد عبر الرسائل
ما الفرق بين التصيد الصوتي والتصيد عبر الرسائل؟
التصيد الصوتي يجري عبر مكالمة أو رسالة صوتية، ويستغل الصوت والاستعجال. أما التصيد عبر الرسائل فيجري عبر رسالة نصية أو تطبيق مراسلة، ويستغل رابطاً أو طلب رد. والهدف في الحالتين واحد: بيانات الدخول أو رمز التحقق.
هل يمكن انتحال رقم جهة رسمية؟
نعم. حقل رقم المتصل قابل للتزوير في شبكات كثيرة، فيظهر رقم الجهة على الشاشة وإن لم يكن المتصل منها. ولا يثبت الرقم هوية المتصل، لذا تحقق عبر قناة مستقلة قبل تنفيذ أي طلب.
هل يكفي عدم الرد على الأرقام المجهولة؟
لا. قد يظهر الرقم باسم جهة معروفة أو ضمن سلسلة رسائل سابقة، وقد يبدأ المحتال برسالة ثم يتصل. والأهم هو قاعدة عدم تسليم الرمز أو كلمة المرور، والتحقق عبر رقم منشور رسمياً.
ماذا أفعل إذا أعطيت رمز التحقق للمحتال؟
غيّر كلمة المرور فوراً من جهاز موثوق، وأنهِ الجلسات النشطة، وراجع الأجهزة المرتبطة وسجل الدخول. ثم فعّل التحقق بخطوتين، وأبلغ الجهة صاحبة الحساب وفريق الأمن في عملك.
هل رسائل SMS مناسبة للتحقق بخطوتين؟
هي أفضل من كلمة المرور وحدها، لكنها أضعف من تطبيقات المصادقة ومفاتيح الأمان، لأنها قابلة للاعتراض أو السرقة عبر استبدال الشريحة. استخدمها عند عدم توفر بديل، وارفع المستوى في الحسابات الحساسة.
