آخر تحديث 15 أيلول 2020

لنقل أن المهاجم X يريد خداع سعيد من أجل تثبيت برنامج تجسس على جهازه يقوم بالتقاط كل ما يجري حوله في توقيت معين ومن ثم إرسال هذه المعلومات إلى جهاز المهاجم. في هذه الحالة سيقوم المهاجم بجمع بعض المعلومات عن سعيد مثل أصدقاؤه المقربين، اهتماماته، مكان عمله،… إلخ، ومن ثم يجمع معلومات كافية عن أحد أصدقاء سعيد المقربين وليكن هشام. بعدها يقوم المهاجم بإنشاء حساب بريد الكتروني مزيف ينتحل فيه شخصية هشام ويستخدمه لإرسال رسالة بريد إلكتروني إلى سعيد تحتوي ملف خبيث.

بما أن سعيد يثق بصديقه المقرب هشام الذي ظهر اسمه وكنيته في حقل عنوان المرسل لم يلاحظ أن الحساب هو ليس حساب صديقه الحقيقي الذي يستلم منه رسائل في العادة، لذلك قام بفتح الملف الخبيث المرفق بالرسالة وتسبب بإصابة جهازه من دون أن يعلم. ليس البريد الإلكتروني هو الوسيلة الوحيدة التي قد يستخدمها X, فقد يستخدم فيسبوك مسنجر, أو واتس آب, أو سكايب أو قد ينشر رابط في مجموعة على فيسبوك يرتادها سعيد.

هكذا يقوم المهاجمون من خلال الهندسة الاجتماعية باستخدام مجموعة من الحيل والتقنيات المختلفة، الإلكترونية والفيزيائية، لخداع الناس بهدف الحصول منهم على معلومات سرية وشخصية أو دفعهم للقيام بعمل ما كانوا ليقومون به لولا تعرضهم للخداع. تتمثل خطوات الهجوم عبر الهندسة الاجتماعية عادةً بالخطوات التالية:

,

• التصيد الاحتيالي (Phishing): كأن يصلك رابط مخادع يدعي أنه سيأخذك إلى موقع Facebook، ثم تظهر لك صفحة ويب مشابهة تماماً لواجهة Facebook التي تقوم فيها بإدخال معلومات تسجيل الدخول إلى حسابك كما المعتاد، وبعد أن تقوم بتزويد بيانات تسجيل دخولك تكون قد وقعت في الفخ لأنك من دون أن تتحقق من عنوان الصفحة في أعلى النافذة قد زودت هذه المعلومات لموقع آخر يتحكم به المهاجم وله نفس الواجهة الرسومية لـ Facebook.

• التصيد بالرمح (Spear Phishing): تعتبر هذه التقنية من أنجح أشكال الحصول على معلومات سرية على الإنترنت حيث تم استخدامها في 91٪ من الهجمات. وهي عبارة عن محاولة تهدف لسرقة معلومات حساسة مثل بيانات تسجيل الدخول إلى حساب الضحية أو معلوماته المالية واستخدامها غالبًا لأسباب خبيثة. يتم تحقيق ذلك من خلال الحصول على تفاصيل شخصية عن الضحية مثل معرفة أصدقائهم، مسقط رأسهم، صاحب العمل الذي يعملون لديه، المواقع التي يترددون عليها، وما اشتروه مؤخرًا عبر الإنترنت. ثم يتنكر المهاجمون بعد ذلك كصديق أو مؤسسة جديرة بالثقة للحصول على معلومات حساسة من الضحية من خلال البريد الإلكتروني أو منصات التواصل الأخرى عبر الإنترنت.

• الاصطياد بالطعم (Baiting): يستخدم هذا الشكل من هجوم الهندسة الاجتماعية في كل من الفضاء الرقمي والفيزيائي، إذ يعد المهاجم ضحيته بمكافأة للإيقاع به، ومن أحد الأمثلة الشهيرة هي رسائل السبام Spam التي تدعي أنك ربحت مكافأة مالية كبيرة عن طريق القرعة، ولكن هذه الوديعة عالقة في بنك ما وأنك كمستلم الرسالة لديك طريقة وحيدة للإفراج عنها في حال قبلت تقديم معلومات بطاقة الائتمان الخاصة بك، أو إرسال حوالة مالية بمبلغ صغير جداً، مقارنة بالوديعة التي وعدت بها، إلى الحساب البنكي للمهاجم الذي سوف يختفي بالطبع بعد استلام الحوالة.

• برامج الفدية (Ransomware): وهي برامج خبيثة تقيد الوصول إلى نظام الجهاز الذي تصيبه، حيث تطالب بدفع فدية لصانع البرنامج من أجل إمكانية الوصول للملفات. بعض أنواعه تقوم بتشفير الملفات على القرص الصلب للنظام وتعرض رسائل تطلب من المستخدم الدفع.       

• الانتحال (Pretexting): كما في الواقع، يستخدم المهاجمون عبر الإنترنت هوية مزيفة لخداع الضحايا من أجل دفعهم لتقديم معلومات سرية وشخصية. كأن يقوم المهاجم بانتحال صفة موظف الـ IT المسؤول عن صيانة الأجهزة والحسابات الرقمية للموظفين بالاتصال بك وطلب كلمة المرور الخاصة بحسابك متذرعاً بغرض القيام بصيانة ما، وبعد أن تشارك معه كلمة المرور يقوم بإنشاء باب خلفي لحسابك بحيث يمكنه الدخول إليه ثانية متى أراد حتى لو قمت بتغيير كلمة السر. يقوم المهاجم، كما في جميع تقنيات الهندسة الاجتماعية، بجمع المعلومات الكافية عنك قبل القيام بتنفيذ هذه التقنية، كأن يعرف اسم مديرك في العمل ليخبرك بأنه من فوضه للاتصال بك، واسم موظف الـ IT الحقيقي الذي انتحل شخصيته في المؤسسة التي تعمل بها، وربما رقم هاتفك ليتصل بك بعد أن ينتهي من سرقة بيانات حسابك ليخبرك بإنتهاء الصيانة وليشكرك على لطفك.

تقوم خدع الهندسة الاجتماعية بشكل أساسي على استغلال مشاعر الضحية لجرهم للقيام بعمل ما والإيقاع بهم.  فيما يلي بعض المشاعر والعواطف، على سبيل المثال لا الحصر، التي يستخدمها المهاجمون من أجل تنفيذ هجمات الهندسة الاجتماعية:

1. 1. الخوف Fear: كأن تتلقى رسالة صوتية تفيد بأنك قيد البحث بتهمة خطيرة وأنه يجب عليك الاتصال فورًا برقم معين (رقم المهاجم) لمنع الاعتقال والتحقيق الجنائي. يحدث هجوم الهندسة الاجتماعية هذا خلال فترة الاعتقالات التي تنفذها السلطات القمعية عندما يكون الناس بالفعل متوترين بشأن أمنهم الفيزيائي. لذلك يفترس مجرمو الإنترنت التوتر والقلق الذي يصاحب حملة الاعتقالات ويستخدمون مشاعر الخوف هذه لخداع الناس للامتثال للبريد الصوتي.

1. 1. الجشع Greed: يستغل مجرمو الإنترنت المشاعر الإنسانية في الجشع لإقناع الضحايا بأن لديهم فرصة للحصول على مبلغ خيالي مقابل دفعهم مبلغ بسيط أو اتصالهم برقم معين أو تزويدهم بمعلومات شخصية. تخيل لو وصلتك رسالة بريد إلكتروني أو رسالة SMS نصية مكتوبة بعناية واحترافية تفيد بأنك إذا قمت بتحويل مبلغ 10 دولار إلى حساب “مستثمر” معين سوف تنمو أرباحك لتصل إلى 10000 دولار في يوم واحد وأنك سوف تستلم المبلغ في نفس اليوم. ربما تقنعك هذه الرسالة بتحويل 10 دولار من رصيدك. وقد تصلك رسالة SMS تفيد بوصول مبلغ 3000 دينار إلى رصيدك مع رقم هاتف المرسل للاتصال والتزويد بمعلومات حسابك المصرفي للاستلام.                                                           

1. 1. حب الاستطلاع Fascination: يهتم مجرمو الإنترنت بالأشخاص أو الأحداث التي تستحوذ على الكثير من التغطية الإخبارية ثم يستغلون الفضول البشري لخداع ضحايا الهندسة الاجتماعية من أجل الحصول على المعلومات الشخصية منهم. على سبيل المثال، قام مهاجم من مؤيدي النظام السوري باختراق صفحة الفيسبوك الخاصة بـ “ائتلاف شباب الثورة في الساحل السوري”، ونشر رابطًا خبيثًا متنكراً في شكل تحقيق في مقتل قيادي معروف في النظام. أدى الضغط على هذا الرابط إلى تنزيل برنامج خبيث على جميع أجهزة الضحايا الذين دفعهم حب الاستطلاع إلى الضغط على الرابط. يقوم هذا البرنامج الخبيث بتسجيل ضربات لوحة المفاتيح في أجهزة الضحايا ويأخذ لقطات للشاشة ليرسلها جميعاً إلى جهاز المهاجم. لم يكتف بذلك، بل قام المهاجم أيضاً بحذف جميع التعليقات التي تحذر المستخدمين من البرامج الضارة.             
      وفي مثال آخر يحاول المهاجمون التأثير على الغرائز الجنسية للضحايا من خلال نشر روابط لشخصيات معروفة، قد لا يكون الموقع الذي يحاول المهاجم إقناع الضحية بالدخول إليه خبيث، ربما يكون موقع إباحي يريد فقط زيادة عدد زواره من أجل رفع العائدات الدعائية فيه.

1. 1. التسرع Urgency : يميل البشر إلى منح الثقة الفورية لمساعدة بعضهم البعض. بعد أن قام المهاجمون بإجراء جمع معلومات في شركة ما، قاموا باستهداف اثنين أو ثلاثة موظفين في الشركة من خلال إرسال رسالة بريد إلكتروني يبدو أنها واردة من مدير هؤلاء الموظفين. يطلب منهم البريد الإلكتروني إرسال كلمة المرور الخاصة بقاعدة بيانات المحاسبة إلى المدير – مشددًا على أن المدير يحتاج إليها للتأكد من حصول الجميع على رواتبهم في الوقت المحدد. تمت صياغة البريد الإلكتروني بنبرة ملحة بحيث تخدع الضحايا للاعتقاد بأنهم يساعدون مديرهم من خلال التصرف بسرعة.

1. 1. الثقة Trust: كأن تشارك كلمات المرور الخاصة بجهازك أو هاتفك المحمول مع أحد أصدقائك ليكون هو نفسه من يسرق بياناتك المخزنة على الجهاز أو ينصب برنامجاً خبيثاً عليه. ومن الأمثلة الأخرى على استغلال المهاجمين لسرعة البشر في منح الثقة للآخرين هو عندما تتلقى بريدًا إلكترونيًا بشكل متكرر من أحد موظفي قسم الـ IT في مؤسستك التي تعمل بها لإعلامك بضرورة تأكيد معلومات تسجيل دخولك لحماية حسابك بحيث تحثك لغة البريد الإلكتروني على الرد بسرعة لضمان عدم سرقة معلومات حسابك من قبل المجرمين. وبما أنك تثق بقسم الـ IT في مؤسستك ستقوم دون تفكير ليس بإرسال معلومات تسجيل الدخول إلى حسابك فقط وربما أيضًا عنوانك البريدي ورقم هاتفك. بعد بضعة أيام، يكتشف قسم الـ IT أن حسابات المؤسسة قم تم اختراقها وتمت سرقة المعلومات منها.

1. 1. الحاجة Poverty: يستغل المهاجمون بؤس الناس وحاجتهم الماسة للعمل أو المال من خلال إرسال رسائل تحثهم على الاتصال برقم معين أو إرسال بيانات شخصية خاصة بهم إلى جهة معروفة بأنها ذات سمعة جيدة. ومن ثم يتم سرقة هذه المعلومات أو ابتزازهم بها.
      مثلاً يقوم المهاجم عبر منشور على موقع Facebook باستغلال بؤس الناس وحاجتهم للمساعدة المالية مدعيا أن الموقع تابع لمؤسسة UNESCO الأممية ذات الصيت الحسن، لكي يحث الضحايا على دخول الموقع الخبيث الذي أعده للإيقاع بهم.

1. 1. حب المساعدة: يعتبر التأثير على هذه المشاعر من أكثر هجمات الهندسة الاجتماعية شيوعاً خلال فترة الأعياد والمناسبات الدينية وتطال معتنقي جميع الديانات إذ يستغل المهاجمون انتشار حملات الأعمال الخيرية التي تهدف إلى جمع التبرعات من أجل المحتاجين وذلك عبر استغلال عواطف الضحايا ورغبتهم بالعطاء ليتم الاحتيال عليهم وإقناعهم بإرسال التبرعات ليتم إيصالها إلى المحتاجين والتي بالطبع تصل في النهاية إلى حسابات المهاجمين الشخصية.

• • راجع المعلومات الشخصية التي تنشرها في ملفاتك الشخصية على الإنترنت لكي تعرف مقدار المعلومات الشخصية المتاحة للمهاجمين المحتملين لعرضها. وفي حال كان هناك أي شيء لا تريد أن يراه المحتال المحتمل ، فلا تنشره – أو على الأقل تأكد من ضبط إعدادات الخصوصية للحد مما يمكن للآخرين رؤيته من معلومات عنك. تعرف على كيفية حماية خصوصيتك على شبكات التواصل الاجتماعي من خلال هذه المقالات.

• • استخدم كلمات مرور قوية ولا تكرر كلمة واحدة لجميع حساباتك حيث أن إعادة استخدام كلمات المرور أو أشكالها المختلفة تعني أنه إذا تمكن المهاجم من الوصول إلى إحدى كلمات المرور الخاصة بك، فسيكون بإمكانه الوصول بشكل قطعي إلى جميع حساباتك. تعلم المزيد عن كلمات السر من هذا المقال.

• • قم بتحديث نظام التشغيل والتطبيقات الأخرى على جهازك بشكل دوري عندما يصلك إشعار بوجود تحديث جديد. تتضمن غالبية أنظمة البرامج تحديثات برامج الأمان التي من المفترض أن تساعد في حمايتك من الهجمات الشائعة. حيثما أمكن، قم بتمكين تحديثات البرامج التلقائية.

• • لا تنقر على الروابط التي تصلك عبر رسائل البريد الإلكتروني قبل فحصها باستخدام https://www.virustotal.com/ar/  حتى لو كانت ضمن رسالة واردة من جهة تثق بها، فإذا أرسلت إليك وكالة الأنباء التي تتابع الأخبار منها، رابطاً، فقم بتشغيل متصفحك وانتقل مباشرةً إلى موقع الوكالة بدلاً من النقر على الرابط نفسه. يمكنك أيضًا التحقق من وجهة الارتباط عن طريق تمرير مؤشر الماوس فوقها. فإذا كان عنوان URL لا يتطابق مع نص الرابط أو الوجهة المحددة للبريد الإلكتروني، فهناك احتمال كبير أن يكون ضاراً. إذ يحاول العديد من مهاجمي التصيد الاحتيالي خداع الضحية باستخدام رابط له نص يبدو كعنوان URL آمن.

• • لا تقم بتسجيل الدخول إلى حساباتك من خلال روابط تصلك عبر رسائل البريد الإلكتروني أو الرسائل النصية بل قم بكتابة الرابط بنفسك وسجل الدخول إلى الحساب حسب الأصول للتأكد من وجود إشعارات مثلا.

• • الزم الشك عند فتح رسائل البريد الإلكتروني: فإذا تلقيت بريدًا إلكترونيًا من “صديق” يطلب منك معلومات شخصية مثل كلمة المرور الخاصة بأحد حساباتك أو أجهزتك، فتحقق بعناية لمعرفة ما إذا كان عنوان بريده الإلكتروني هو نفسه الذي يستخدمه في العادة للتواصل معك، أو اتصل به لتتأكد من أنه هو المرسل الحقيقي قبل التزويد بالمعلومات المطلوبة. ضع في اعتبارك أن الشركات الحقيقية لن ترسل لك بريدًا إلكترونيًا لتطلب منك اسم المستخدم أو كلمة المرور لأي سبب كان.

• • التزم بتعليمات أمن البيانات في مؤسستك تفادياً لفقدان البيانات بسبب هجمات التصيد الاحتيالي. هناك برامج تستخدمها الشركات المتوسطة إلى كبيرة الحجم من أجل حماية البيانات الحساسة من الوصول أو الخروج غير المصرح به، حتى إذا وقع المستخدم في عملية تصيد احتيالي.

• • تريث إذا كانت الرسالة تنقل لك إحساسًا بالإلحاح فدائمًا ما يريد مرسلي الرسائل غير المرغوب فيها أن تتصرف أولاً وأن تفكر لاحقًا، فتشكك. ولا تدعهم يمنعوك من المراجعة الدقيقة.

• • قم بحذف أي شخص يطلب الحصول على معلومات مالية أو كلمات مرور: إذا طُلب منك الرد برسالة تحتوي على معلومات شخصية، فهذا يعني أنها عملية احتيال واضحة لأن الشركات الحقيقية لن ترسل لك مثل هذا الطلب قطعاً.

• • لا تدع الروابط او Links تتحكم فيك: بمعنى أن تعثر على مواقع الويب التى تريدها بنفسك باستخدام محركات البحث للتأكد من وصولك إلى الموقع الذي تنوي الوصول إليه أفضل من الاعتماد على الراوبط التي تصلك عبر البريد الالكتروني او أي من منصات التواصل الإلكتروني والتي قد توجهك إلى مواقع مزورة ومن ثم الوصول إلى بياناتك من خلالها.

• • حذار من أي تنزيل: إذا كنت لا تعرف المرسل شخصيا ولم تتوقع ارساله لملف معين، فإن تنزيل أي شيء يصلك منه يعد خطأ.

• • تأكد أن عروض المساعدة الخارجية مزيفة: فإذا تلقيت بريدًا إلكترونيًا من يانصيب أو إشعاراً لاستلام أموالًا من قريب غير معروف أو طلبات تحويل أموال من بلد أجنبي للحصول على نصيب من المال، فتأكد انها عملية احتيال.