يتزايد التصيد الاحتيالي على الشركات، حيث تصدرت العديد من عمليات التصيد الاحتيالي الكبيرة عناوين الصحف العالمية مؤخرا. سرق المتسللون بيانات ملايين مستخدمي روبن هوود في بداية الشهر الجاري، مستخدمين تكتيكات الهندسة الاجتماعية للوصول إلى 5 ملايين عنوان بريد إلكتروني ومليوني اسم كامل من خلال موظف في منصة التداول الرقمية. وفي الوقت نفسه، وجهت الولايات المتحدة تهما في أوائل نوفمبر ضد أوكراني وآخر روسي فيما يتعلق بهجوم برنامج الفدية "ريفيل" المرتبط بروسيا في وقت سابق من هذا العام، والذي استهدف الشركات الأمريكية والكيانات الحكومية، بما في ذلك شركة البرمجيات متعددة الجنسيات كاسيا. أضف إلى ذلك الارتفاع المفاجئ في عمليات الاحتيال المتعلقة بالعملات المشفرة، ومنها عندما سرق المتسللون ملايين الدولارات من منصة التمويل اللامركزي بي زد إكس من خلال مخطط تصيد يستهدف موظفا في الشركة، ويبدو أن عالم الإنترنت يتحول إلى حكاية من حكايات الغرب الأمريكي.

ولكن ما هو بالضبط تصيد الاحتيالي على الشركات؟ يحاول "الأشرار" على الإنترنت اختراق أنظمة الأمان للوصول إلى بيانات الشركات – غالبا من خلال أساليب غير معقدة بالمرة. وغالبا ما تكون رسالة بريد إلكتروني غريبة المظهر تصل إلى البريد الوارد لموظف شركة من جهة اتصال غير معروفة، أو ينتحل صفة جهة اتصال معروفة. سيستخدم البريد الإلكتروني خطط الهندسة الاجتماعية – تقنيات التلاعب النفسي المستخدمة لكسب ثقة شخص ما – لمحاولة حث المستلم على النقر للوصول إلى رابط يبدو أنه سليم. عادة ما يسمح الرابط للمهاجم بتثبيت برامج ضارة على جهاز الموظف، ما يمنحه فرصة للوصول إلى ملفات الشركة من خلال نقاط الضعف في أنظمتهم الرقمية.

يتزايد التصيد الاحتيالي محليا أيضا: سمعنا عن المزيد من هجمات التصيد التي تحدث في مصر، حيث كان المتسللون المحليون يستهدفون أيضا الموظفين عبر الهاتف. يبدو أن المحتالين قد وضعوا أيديهم على واحدة أو أكثر من قوائم التسويق عبر الهاتف وكانوا يجرون مكالمات استخدموا فيها خطط الاحتيال الاجتماعية، متظاهرين بأنهم موظفو البنك المركزي المصري أو أي بنك محلي أخر، في محاولة لاستخلاص معلوماتك الشخصية. تضمنت طرق الاحتيال، في مكالمة تلقاها أحدنا في إنتربرايز، تهديدات شديدة بالغرامات وتجميد الحسابات إذا لم نقدم المعلومات التي يريدونها.

لماذا يقع البعض منا في فخ الاحتيال الإلكتروني؟ علم النفس وراء التصيد بسيط للغاية. يستغل المحتالون ميل الناس الطبيعي للثقة، وميلنا للاستجابة للشعور بالإلحاح. يضغط المحتالون على هدفهم للرد بسرعة على الطلب، ولا يتركون لنا الوقت للتفكير، وغالبا ما يؤكدون على سرية الأمر حتى لا تطلب مشورة أحد من زملائك، وفقا لشركة الأمن السيبراني إيجرس. من المرجح بشكل خاص أن يستهدف المتسللون الموظفين الجدد، وكذلك الأشخاص الذين لديهم وظائف تستهلك وقتا ومرهقة والذين قد يتوقع منهم الاستجابة للاتصالات على مدار الساعة، حسبما ذكرت إيجرس. قد يكون الموظفون الجدد أقل دراية بالممارسات المعتادة ويترددون في طلب المساعدة من الزملاء، في حين أن الموظفين المرهقين أكثر عرضة لفقدان التركيز واتخاذ قرارات متهورة.

ما الذي يحدث في حالة اختراق البيانات أو تسريبها؟ في حالات التصيد الناجحة، يصل القراصنة إلى الضحية المستهدفة ويحصلون على معلومات حساسة أو ينجحون في تثبيت برمجيات خبيثة على أجهزة ضحاياهم، وفق موقع سي إس أو المتخصص في الأبحاث وأمن المعلومات. في حالة السيناريو الأول، يصبح القراصنة، المسلحين الآن ببيانات تسجيل الدخول الخاصة بالموظف، قادرين على اختراق ملفات الشركة وسرقة بياناتها السرية والحساسة أو تسريبها أو بيعها أو استخدامها في شن هجمات إلكترونية تستهدف عملاء الشركة. في حالة السيناريو الثاني، تضر البرمجيات الخبيثة بأنظمة الكمبيوتر بالشركة مع شفرة تخدم أهداف القراصنة. قد تكون هذه البرمجيات إعلانات متسللة أو برامج تجسس أو ما يعرف ببرامج الفدية والتي تحدث عندما يجري إغلاق بيانات الشركة بصورة غير قابلة لاستردادها حتى دفع فدية للمحتالين.

احذر مما تتلقاه في صندوق بريدك الإلكتروني: جرى استهدف أكثر من 35% من أكثر من 10 آلاف شركة شملهم استطلاع لشركة "باراكودا" للحماية من برامج الفدية من خلال ما يسمى بهجمات "الطعم" خلال سبتمبر الماضي، إذ تلقت كل شركة متوسط ثلاث رسائل بريد إلكتروني من فئة هذا النوع من الهجمات. عبر هذه الهجمات، يرسل القراصنة رسائل بريد إلكتروني قصيرة أو فارغة إلى الأهداف المحتملة والتي تهدف إلى معرفة مدى إحتمالية أن يرد مُستقبل الرسالة. بمجرد أن يضغط الموظف المستهدف على زر الإرسال، يقع في مأزق. ستتلقى الضحية رسائل أخرى تقنعها بالكشف عن معلومات مالية أو أخرى حساسة استعدادا لمحاولة اختراق. عادة ما يجري إرسال هذه الرسائل من عناوين بريد إلكترونية منشأة حديثا. ومن الصعب تتبع هذه الهجمات، ولأنها لا تحتوي على الكثير من المعلومات فإنه من المستحيل تقريبا اكتشافها.

لكن التصيد الاحتيالي تطور إلى أكثر من ذلك: الكثير منا يعرف أنه ينبغي أن نفكر مرتين قبل الضغط على أي رابط أو الرد على رسائل بريد إلكتروني مرسلة من جهات غير معلومة، لكن لدى القراصنة الآن طرق أخرى للهجمات. يمتلك الموظفون الآن حسابات مختلفة على المنصات الإلكترونية المتعددة، والكثير منا يقعون في خطأ استخدام كلمة السر نفسها لعناوين البريد الإلكتروني ومنصات العمل وتطبيقات الرسائل ومكالمات الفيديو وملفات العمل المعتمدة على الحوسبة السحابية وحتى الحسابات البنكية. إذا وقعت كلمة سر واحدة في أيادي خاطئة، فيمكن للمحتالين اختراق نقاط دخول متعددة للشركة.

البشر هم الحلقة الأضعف: وصفت شركة سلاش نيكست الناشئة في مجال الأمن الرقمي الهجمات الرقمية المتعددة القنوات بأنها "قرصنة بشرية" وذلك في تقريرها الصادر هذا العام حول القرصنة البشرية. وذكرت الشركة أن البشر هم أسهل الوسائل لاختراق بيانات أي منظمة. شهد يوليو الماضي ذروة عدد الروابط النشطة والخبيثة المستخدمة في عمليات التصيد الاحتيالي، إذ تخطت مليون رابط، بزيادة بلغت أكثر من 40% على أساس سنوي، حيث سعى القراصنة إلى الاستفادة من أولمبياد طوكيو من خلال تقديم عروض لتذاكر مزيفة بهدف سرقة بيانات الدخول للأشخاص، وفق التقرير. في هذه غضون ذلك، تضمنت 85% من اختراقات وتسريبات البيانات عبر الإنترنت تفاعلا بشريا، وفقا تقرير فيريزون عن تحقيقات اختراق البيانات لعام 2021.

كيف يمكنك اكتشاف التصيد ومنعه؟ ابحث عن أي شيء يبدو غير طبيعي، مثل الأخطاء الكتابية واللغوية، أو أن يطلب منك البنك معلومات معينة عن حسابك، الرسائل الواردة من جهات ليست مسجلة لديك، أو جهات تعرفها لكنها تتواصل معك في العادة بطرق أخرى، كما ينقل موقع ذا كونفرسيشن عن خبراء الأمن السيبراني. ويمكنكم الاطلاع على هذا المستند لمعرفة المزيد عن رسائل البريد الإلكتروني المشتبه بها.

لكن هذا ليس مسؤولية فردية، بل يجب على مديري الشركات أيضا أن يعملوا على حماية مؤسساتهم من هجمات التصيد الاحتيالي قبل وقوع الكارثة. يوصي المركز القومي للأمن السيبراني التابع للحكومة البريطانية جميع الشركات بأن تضع خطة استجابة للكوارث، وأن تجري تدريبات لممارستها. ويؤكد المركز أن الخطة يجب أن تغطي كل شيء، بدءا بإعادة تعيين كلمات المرور سريعا في حالة اختراق البيانات، وحتى تحديد موظف معين لإزالة البرامج الضارة من النظام باستمرار. ويرشح المركز أداة Exercise In A Box، التي تتيح للشركات اختبار مرونتها ضد الهجمات في بيئة آمنة.

الوعي أفضل طريقة للدفاع: الخطوة الأولى والأكثر أهمية هي التأكد من أن جميع موظفي شركتك يعرفون معنى التصيد الاحتيالي. هذه المعلومات ستجعلهم في حالة تأهب للخطر حين تصل أحدهم رسالة غريبة على بريده الإلكتروني أو أي منصة اتصال إلكترونية.

الخلاصة.. لا تضغط أبدا على أي روابط تبدو مشبوهة في أي رسالة واردة، ولا تعط معلومات حساسة لأي شخص عبر قناة مشكوك فيها أبدا، بما في ذلك معلوماتك الشخصية وكلمات المرور ومعلومات أي حساب. وتذكر دوما أن تتأكد من هوية من يطالبك بتلك المعلومات قبل تنفيذ طلبه. لو ساورتك أي شكوك استمع إلى قلبك، واطلب المساعدة من مديرك أو القسم المختص في شركتك.