ما هو التصيد الاحتيالي؟ دليل الأعمال لفرق أكثر أمانًا

يتلقى مدير مالي بريدًا إلكترونيًا يبدو أنه من مورد موثوق. الشعار صحيح، والنبرة مألوفة، والرسالة تطلب تحديثًا عاجلًا لتفاصيل البنك قبل دفع الفاتورة. يمكن أن يؤدي نقرة واحدة أو رد واحد إلى تحويل دفعة مشروعة إلى حساب مجرم. هذا هو الواقع التجاري وراء السؤال، ما هو التصيد؟

التصيد هو هجوم هندسة اجتماعية يقوم فيه المجرمون بانتحال شخصية شخص موثوق، أو شركة، أو منصة، أو سلطة للتلاعب بشخص ما لمشاركة معلومات، أو إرسال أموال، أو تثبيت برامج ضارة، أو منح وصول. قد يصل الهجوم عبر البريد الإلكتروني، أو رسالة نصية، أو مكالمة هاتفية، أو وسائل التواصل الاجتماعي، أو موقع ويب مقنع.

بالنسبة للمنظمات، لا يعد التصيد مشكلة تقنية فحسب. إنه خطر تشغيلي ومالي وسمعي. يستهدف المهاجمون عملية صنع القرار البشري، وغالباً ما يستخدمون الإلحاح، أو السلطة، أو الفضول، أو الخوف لتجاوز الضوابط التي تحمي الأنظمة.

ما هو التصيد ولماذا ينجح؟

ينجح التصيد لأنه مصمم ليبدو عادياً. لا يحتاج المهاجم دائمًا إلى اختراق جدار الحماية أو اكتشاف ثغرة برمجية. في العديد من الحالات، كل ما يحتاجونه هو أن يعتقد الموظف أن الطلب حقيقي.

غالباً ما يقلد رسالة التصيد الهوية البصرية ولغة علامة تجارية معروفة. قد يدعي أن الحساب سيتم تعليقه، أو أن كلمة المرور قد انتهت صلاحيتها، أو أن الشحنة متأخرة، أو أن التنفيذي يحتاج إلى مستند عاجل. الهدف هو خلق ضغط كافٍ لكي يتصرف المستلم قبل التحقق من الطلب.

تعتمد العواقب على ما يسعى إليه المهاجم. يمكن أن يوفر كلمة مرور مسروقة الدخول إلى بريد إلكتروني تجاري، أو تخزين سحابي، أو أدوات مالية، أو سجلات عملاء. يمكن أن يتسبب طلب دفع احتيالي في خسارة مالية فورية. يمكن أن يؤدي المرفق الخبيث إلى إدخال برامج الفدية، وتعطيل العمليات، وإنشاء عملية استرداد مكلفة.

تكون محاولات التصيد الأكثر إقناعًا مخصصة. يمكن للمجرمين جمع الأسماء، والألقاب الوظيفية، والموردين، ومعلومات الشركة العامة من المواقع، ومنصات التواصل الاجتماعي، والإصدارات الصحفية، والبيانات المخترقة. يجعل هذا البحث البريد الإلكتروني من الرئيس التنفيذي المفترض أو المورد يبدو أكثر مصداقية من عملية احتيال عامة.

الأنواع الشائعة من هجمات التصيد

يظل التصيد عبر البريد الإلكتروني هو الشكل الأكثر شيوعًا. قد تحتوي الرسالة على رابط ضار، أو صفحة تسجيل دخول مزيفة، أو مرفق متنكر على أنه فاتورة، أو اقتباس، أو تقرير، أو ملف مشترك. حتى عندما تكون الرسالة مكتوبة بشكل سيء، يمكن لشعار معروف أو سطر موضوع عاجل أن يشجع على الاستجابة المتسرعة.

التصيد المستهدف أكثر تركيزًا. بدلاً من إرسال نفس الرسالة إلى الآلاف من الأشخاص، يركز المهاجم على موظف معين، أو إدارة، أو منظمة. قد يتلقى مسؤول التسويق اقتراحًا لحملة مزيفة، في حين قد يتلقى مسؤول تكنولوجيا المعلومات إخطارًا أمنيًا مزيفًا.

التصيد الاحتيالي للأعمال، والذي يُطلق عليه غالبًا BEC، ضار بشكل خاص للشركات. قد ينتحل المهاجم شخصية تنفيذي، أو مورد، أو ممثل قانوني، ويطلب تحويلًا سلكيًا، أو تغييرًا في الرواتب، أو وثيقة حساسة. في بعض الحالات، يحصل المجرم على الوصول إلى صندوق بريد حقيقي ويراقب المحادثات قبل إرسال طلب في أكثر لحظة مقنعة.

يستخدم التصيد الاحتيالي عبر الرسائل القصيرة (SMS) أو تطبيقات المراسلة. قد توجيه رسالة نصية حول تسليم فائت، أو التحقق من الحساب، أو غرامة وقوف السيارات، أو دفع عاجل، المستلم إلى موقع مزيف. يستخدم التصيد الاحتيالي عبر الهاتف المكالمات الهاتفية، حيث يتظاهر المهاجمون بأنهم ممثلو بنك، أو وكلاء دعم فني، أو مسؤولون حكوميون، أو مدراء تنفيذيون في الشركة.

التصيد الاحتيالي المنسوخ ينسخ رسالة مشروعة شاهدها المستلم من قبل، ولكن يستبدل المرفق الأصلي أو الرابط بإصدار خبيث. التصيد الاحتيالي عبر رمز الاستجابة السريعة، والذي يُطلق عليه أحيانًا quishing، يضع رمز الاستجابة السريعة في البريد الإلكتروني، أو الملصق، أو الوثيقة حتى يقوم الضحية بمسحه ضوئيًا باستخدام جهاز محمول، حيث قد تكون ضمانات البريد الإلكتروني التقليدية أقل وضوحًا.

كيفية التعرف على محاولة التصيد

لا يوجد علامة تحذير واحدة تثبت أن الرسالة احتيالية. يمكن للشركات المشروعة إرسال إشعارات عاجلة، ويمكن للجهات الموثوقة تقديم طلبات غير متوقعة. النهج الأقوى هو البحث عن مجموعات من التفاصيل غير العادية والتحقق من الإجراءات المهمة من خلال قناة منفصلة.

انتبه عندما تطلب الرسالة بيانات اعتماد، أو دفع، أو معلومات سرية، أو تغيير في العملية. طلب إعادة تعيين كلمة مرور، أو الموافقة على فاتورة، أو شراء بطاقات هدايا، أو الكشف عن رمز التحقق، أو تحديث تفاصيل البنك يستحق التدقيق، خاصة إذا كان يخلق موعدًا نهائيًا أو يطلب من المستلم إبقاء الأمر سراً.

تحقق بعناية من عنوان المرسل، وليس فقط الاسم المعروض. غالبًا ما يستخدم المهاجمون مجالات تختلف بحرف واحد، أو يضيفون كلمة إضافية، أو يستخدمون حرفًا شبيهًا. قد يتم إرسال رسالة تبدو وكأنها تأتي من زميل من عنوان شخصي أو مجال غير مألوف.

قبل تحديد رابط، تفتيش إلى أين يؤدي. على سطح المكتب، يمكن أن يكشف التمرير فوقه عن الوجهة. على جهاز محمول، قد يظهر الضغط الطويل العنوان الكامل. ليست الصفحة التي تبدو آمنة شرعية بالضرورة فقط لأنها تستخدم رمز القفل أو لديها تصميم أنيق. يمكن للمجرمين إنشاء صفحات تبدو احترافية بسرعة.

تتطلب المرفقات حذرًا متساويًا. الملفات ذات الامتدادات غير المتوقعة، أو الوثائق المحمية بكلمة مرور، أو الرسائل التي تطلب من المستخدمين تمكين الماكرو يجب التعامل معها بعناية. إذا أرسل المورد فاتورة غير متوقعة، اتصل بمورد معروف باستخدام الرقم المخزن بالفعل في سجلاتك بدلاً من الرد على البريد الإلكتروني.

تكلفة الأعمال تتجاوز كلمة المرور المسروقة

يمكن أن يسبب هجوم التصيد الناجح اضطرابًا لأكثر من حساب موظف واحد. إذا قام المهاجم بتعطيل صندوق بريد، فقد يقوم بإعادة تعيين كلمات المرور للخدمات المتصلة، وإرسال رسائل احتيالية إلى العملاء، والوصول إلى العقود أو السجلات المالية، ودراسة تدفقات العمل الداخلية.

بالنسبة للشركات التي تتعامل مع العملاء، يمكن أن يكون تأثير الثقة كبيرًا. يمكن أن يعرض الحساب المخترق البيانات الشخصية أو يسمح للمهاجمين بالتواصل مع العملاء باستخدام هوية منظمتك. حتى إذا تم احتواء المشكلة الفنية بسرعة، قد يتساءل العملاء عما إذا كانت معلوماتهم ومعاملاتهم محمية بشكل صحيح.

الوقت غير المتاح عامل آخر. يمكن أن تؤثر برامج الفدية المقدمة من خلال مرفق التصيد على الأقراص المشتركة، والأجهزة، والتطبيقات، والنسخ الاحتياطي. تشمل التكلفة أعمال الاسترداد، وفقدان الإنتاجية، واستجابة الحادث، والالتزامات القانونية المحتملة، ووقت الإدارة المطلوب للتواصل مع العملاء وأصحاب المصلحة.

يختلف مستوى الخطر حسب المنظمة. قد يكون لدى شركة صغيرة عدد أقل من الأنظمة، ولكن أيضًا عدد أقل من موارد الأمن المخصصة. قد يكون لدى المنظمات الأكبر ضوابط أكثر طبقية، ولكن حجم معاملاتها، وموظفيها، والبائعين الخارجيين يزيد من مساحة الهجوم. تحتاج كل شركة تستخدم البريد الإلكتروني، أو التطبيقات السحابية، أو المدفوعات الرقمية إلى خطة دفاع عملية.

بناء دفاع عملي ضد التصيد

تتضمن الحماية الفعالة الأشخاص، والعملية، والتكنولوجيا. التدريب على الوعي الأمني ضروري، لكن التدريب وحده ليس كافيًا. يحتاج الموظفون إلى مسار واضح للإبلاغ، وسياسات تدعم التحقق، وضوابط تقنية تقلل من تأثير الخطأ الصادق.

ابدأ بإنشاء ثقافة بسيطة: لا ينبغي معاقبة أي شخص على التوقف للتحقق من طلب مشبوه. يجب على فرق المالية التأكيد بشكل مستقل على تغييرات تعليمات الدفع. يجب على الموظفين التحقق من طلبات التنفيذيين غير العادية من خلال رقم هاتف معروف، أو محادثة مباشرة، أو قناة داخلية معروفة. الرد على رسالة مشبوهة ليس تحققًا مستقلاً.

استخدم المصادقة متعددة العوامل عبر البريد الإلكتروني، ومنصات السحابة، والأنظمة المالية، وحسابات المسؤولين. لا تقضي المصادقة متعددة العوامل على كل تهديد، خاصة إذا وافق المستخدمون على المحفزات الاحتيالية أو أدخلوا التفاصيل في موقع مزيف، ولكنها تجعل كلمات المرور المسروقة أقل فائدة بكثير بمفردها.

تصفية البريد الإلكتروني، وحماية النطاق، وأمن الطرفية، والترقيع المنتظم، وامتيازات الوصول المتحكم فيها تشكل الأساس التقني. يجب على الشركات أيضًا الحفاظ على نسخ احتياطية موثوقة واختبارها يتم فصلها عن الأنظمة الأساسية. النسخ الاحتياطية قيمة فقط عندما يكون الاستعادة ممكنًا في ظروف الحادث الفعلية.

بالنسبة للفرق التي تتعامل مع المدفوعات أو البيانات الحساسة، حدد تدفقات عمل الموافقة مع فصل الواجبات. يجب ألا تكون رسالة بريد إلكتروني واحدة كافية لتفويض تحويل ذي قيمة عالية أو تغيير تفاصيل مصرفية للبائع. قد يشعر هذا أبطأ من العملية غير الرسمية، ولكن التأخير الصغير غالبًا ما يكون أقل تكلفة بكثير من التعافي من الاحتيال.

أخيرًا، قم بإعداد عملية استجابة للحادث قبل حدوث هجوم. يجب أن يعرف الموظفون من يجب الاتصال به، وكيفية الإبلاغ عن رسالة مشبوهة، والإجراءات الفورية التي يجب اتخاذها إذا قاموا بالنقر فوق رابط أو إدخال بيانات اعتماد. يمكن أن يسمح الإبلاغ السريع لفرق تكنولوجيا المعلومات بإعادة تعيين الوصول، وعزل الأجهزة، وإلغاء الجلسات، والحد من الضرر قبل أن ينتقل المهاجم أكثر إلى البيئة.

عقلية أمنية تدعم النمو

يزيد التحول الرقمي من الكفاءة، والوضوح، وملاءمة العملاء، ولكنه أيضًا ينشئ أنظمة أكثر اتصالاً لحمايتها. يجب تصميم مواقع الويب، والتطبيقات المحمولة، ومنصات البريد الإلكتروني، وبيئات الاستضافة، وأدوات السحابة وإدارتها كمتطلب تجاري، وليس كفكرة لاحقة.

DATA تساعد المنظمات على مواءمة البنية التحتية الرقمية الآمنة مع أهدافها للنمو الأوسع، من الاستضافة والصيانة الموثوقة إلى حلول الويب والتكنولوجيا المخصصة. يعتمد النهج الصحيح على أنظمتك، وصناعتك، وتعرض البيانات، وتدفقات العمل الداخلية، ولكن المبدأ يظل ثابتًا: يجب أن تدعم ضوابط الأمان الأشخاص في اتخاذ قرارات أكثر أمانًا.

قد تبدو الرسالة المشبوهة التالية مألوفة، وعاجلة، وروتينية تمامًا. يعطي الفريق الذي يعرف كيفية التوقف، والتحقق، والإبلاغ المهاجمين فرصًا أقل بكثير لتحويل تلك الرسالة إلى أزمة تجارية.