«SUPPORT IT: حسابك على Microsoft 365 ينتهي خلال 12 ساعة. أعد تعيين كلمة المرور قبل الحجب: portail-rh-connexion[.]net»
تصل الرسالة يوم الخميس الساعة 8:47 صباحاً. أنت في منزلك، وأول اجتماع يبدأ بعد ثلاث عشرة دقيقة، وآلة القهوة تعمل، وحاسوبك المهني يعرض بالفعل طلب تسجيل دخول. أنت لا تعرف هذا الرقم، لكنك لا تعرف كذلك رقم قسم تقنية المعلومات عن ظهر قلب — فأنت لم تحصل عليه قطّ. فتضغط على الرابط.
هنا يكمن الفرق مع الرسالة المزيفة بشأن شحنة بريدية أو غرامة وهمية: هذه الحيلة لا تعتمد على الخوف من خسارة مالية، بل على الخوف من تعطيل عملك. وهي تستهدف شخصاً بملامح محددة: الموظف المعزول في منزله، الذي لا يوجد أحد في المكتب المجاور ليسأله «هل وصلتك هذه الرسالة أنت أيضاً؟».
لماذا انتقل المحتالون من الأفراد إلى الموظفين
الحساب المصرفي المخترق يعني بضعة آلاف من اليوروات في أفضل الأحوال، ومصرفاً كثيراً ما يوقف العملية. أما الحساب المهني المخترق فالأمر مختلف تماماً: وصول إلى البريد الداخلي، وإلى الملفات المشتركة، وإلى أدوات الفوترة، وأحياناً إلى شبكة VPN الخاصة بالشركة. بالنسبة للمهاجم، لا وجه للمقارنة في المردود.
وتوثّق الوكالة الوطنية لأمن أنظمة المعلومات ANSSI (Agence nationale de la sécurité des systèmes d'information) ذلك عاماً بعد عام في تقريرها Panorama de la cybermenace: لا تزال سرقة بيانات الدخول واحدة من أكثر بوابات الولوج شيوعاً في هجمات برامج الفدية التي تستهدف الشركات والهيئات المحلية الفرنسية. كما تضع cybermalveillance.gouv.fr، المنصة العمومية للمساعدة، التصيّد في صدارة طلبات المساعدة الواردة من المهنيين منذ سنوات متتالية.
وقد فرضت الرسائل النصية نفسها كقناة مفضّلة لسبب بسيط ومُحرج قليلاً لإدارات تقنية المعلومات: الهاتف الشخصي يفلت من مرشّحات الشركة. فالبريد المهني محمي ببوابة لمكافحة الرسائل المزعجة، ومضاد للفيروسات، وقواعد حجر صحي، وأحياناً شريط أحمر يحمل تنبيه «مُرسِل خارجي». أما الرسالة النصية التي تصل إلى هاتف ذكي شخصي فلا تحظى بأي من ذلك. إنها تصل خاماً، في المحادثة ذاتها التي تضم رسائل العائلة.
تشريح رسالة نصية مزيفة من «قسم تقنية المعلومات»
تتبع هذه الحملات البنية نفسها تقريباً في كل مرة. ومعرفة كيفية التعرف عليها كافية لتحييد 90٪ من المحاولات.
1. مُرسِل يبدو داخلياً
تظهر الرسالة تحت اسم مُرسِل أبجدي-رقمي — «SupportIT» أو «MS-Securite» أو «DSI-Alerte» — أو تحت رقم محمول عادي يبدأ بـ06/07. تذكير جوهري: اسم المُرسِل المعروض في رسالة نصية ليس دليل هوية. فهو يُصرَّح به من قِبل المُرسِل عند الإرسال. في فرنسا، أطلقت Arcep والاتحاد الفرنسي للاتصالات (Fédération française des télécoms) منذ 2023-2024 آلية لتصفية أسماء المُرسِلين المنتحَلة (ما يُعرف بـ«MEF»، آلية المصادقة على المُرسِلين)، وقد قلّصت إلى حد كبير انتحال العلامات المُصرَّح بها. لكن شركة يعمل فيها 200 موظف لم تُصرّح عادةً باسمها المختصر لدى مشغّلي الاتصالات: وحينها لا يملك المحتال شيئاً لينتحله، فيخترعه.
2. استعجال محدّد بموعد
«خلال 12 ساعة»، «قبل هذا المساء»، «تذكير أخير». المهلة القصيرة ليست تفصيلاً أسلوبياً: إنها جوهر الحيلة. فهي تمنع الخطوة الوحيدة التي تحمي فعلاً — الاتصال بأحد للتحقق.
3. ذريعة مقنعة وذات طابع إداري
أكثر الذرائع تكراراً في الحملات المُبلّغ عنها:
| ذريعة الرسالة النصية | ما يريده المحتال فعلاً |
|---|---|
| «كلمة مرورك تنتهي صلاحيتها» | بيانات دخولك على صفحة تسجيل دخول مزيفة |
| «سياسة أمنية جديدة، أعد تسجيل جهازك» | دفعك لتثبيت ملف تعريف أو تطبيق تحكّم عن بُعد |
| «أكّد عملية الدخول غير المعتادة» | دفعك للموافقة على عملية دخول خاصة به عبر مصادقتك الثنائية |
| «تحديث بياناتك البنكية الخاصة بالرواتب» | بياناتك المصرفية، لتحويل راتبك إليه |
| «المدير العام يحتاجك، أجب على هذا الرقم» | فتح حوار والانتقال إلى احتيال انتحال شخصية المدير |
4. رابط طويل
يحاكي النطاق مفردات مؤسسية — portail-rh، intranet-connexion، sso-securite — متبوعة بامتداد غير مألوف. وعلى شاشة هاتف ذكي، يظهر العنوان مقتطعاً. ولهذا السبب تحديداً تنجح الحيلة على الهاتف أكثر من الحاسوب: أنت لا ترى سوى بداية الرابط.
إنهاك المصادقة الثنائية: عندما تتحول الحماية المزدوجة إلى سلاح
هذه أخطر الآليات خفاءً في 2025-2026، وأقلّها شيوعاً في وعي الجمهور.
لقد نشّطت المصادقة الثنائية على حسابك المهني. خطوة ممتازة. إلا أن المحتال يملك كلمة مرورك أصلاً — مستخرجة من تسريب بيانات، مُشتراة ببضعة يوروات. فيحاول تسجيل الدخول. يتلقى هاتفك إشعاراً: «هل توافق على عملية الدخول هذه؟». فترفض.
يعيد المحاولة. ثلاث مرات. عشر مرات. في الثانية صباحاً. ثم تصل الرسالة النصية: «Support IT: نقوم باختبار أمان حسابك، نرجو الموافقة على الإشعار الجاري.»
ومُنهَكاً ومنفعلاً، ومطمئناً إلى رسالة تبدو كأنها تفسّر الخلل، يضغط المستخدم على «موافقة». وهكذا يصبح المهاجم في الداخل. ولهذه التقنية اسم: MFA fatigue أو push bombing. وقد استُخدمت في عدة عمليات اختراق كبرى موثّقة في السنوات الأخيرة، وتوصي اليوم كلٌّ من CISA الأميركية وANSSI بالتخلي عن التأكيد بزر واحد لصالح number matching — أي الرمز الذي يجب نسخه والمعروض على شاشة تسجيل الدخول.
قاعدة مطلقة: أي إشعار دخول لم تُطلقه أنت بنفسك في تلك اللحظة يُرفض دائماً. دون استثناء، ودون أي تفسير يصل عبر رسالة نصية.
أما بالنسبة للحسابات الأكثر حساسية، فيبقى الحل الأمتن مادّياً: مفتاح أمان FIDO2 يُوصل عبر USB أو يُقرَّب عبر NFC لا يمكن التصيّد عليه، لأنه يتحقق تشفيرياً من عنوان الموقع قبل أن يستجيب. وأي صفحة دخول مزيفة، مهما بلغت دقتها، لا تحصل على شيء.
العمل عن بُعد، ساحة اللعب المثالية
تتراكم ثلاثة عوامل عندما تعمل من منزلك.
العزلة الاجتماعية. في المكتب، التحقق فوري ومجاني: تستدير إلى زميلك. في المنزل، يعني التحقق فتح Teams، والبحث عن الشخص المناسب، وانتظار الرد. تزداد الكلفة الذهنية، وتنخفض اليقظة.
تشوّش المجالات. الهاتف الذكي نفسه يتلقى رسالة طبيب الأطفال، وإشعار مجموعة الرياضة، وتنبيه «أمن المعلومات». والدماغ لا ينتقل إلى الوضع المهني، بل يعالج كل شيء بالدرجة ذاتها من الانتباه — أي بشرود.
الجهاز الشخصي. كثير من الموظفين يطّلعون على بريدهم المهني من هاتف يملكونه، دون أي إعداد أمني يفرضه صاحب العمل. وهنا يُحدث هاتف Android حديث بتحديثات أمنية مضمونة لعدة سنوات فرقاً حقيقياً: فالجهاز الذي لم يعد يتلقى تصحيحات يصبح غربالاً، أياً كان مستوى حِرص مستخدمه.
ولنضف عاملاً زمنياً: حملات التصيّد عبر الرسائل النصية الموجّهة إلى الموظفين تُرسَل بكثافة صباح الاثنين، ونهاية يوم الجمعة، وخلال العطل المدرسية. فهذه هي اللحظات التي تكون فيها أقسام تقنية المعلومات مشبعة أو بطاقم مُصغّر، والتي تبدو فيها رسالة الاستعجال أكثر قابلية للتصديق.
خمسة أسئلة قبل أن تلمس الشاشة
لا يتطلب أي منها كفاءة تقنية.
- هل راسلني قسم تقنية المعلومات عبر رسالة نصية من قبل؟ في الغالبية العظمى من المؤسسات، الجواب لا. فالاتصالات تمر عبر البريد الداخلي أو الإنترانت أو الهاتف.
- هل تطلب منّي الرسالة القيام بشيء على عجل؟ المعلومة الأمنية الحقيقية تُبلِغ. أما الحيلة فتأمر.
- هل يؤدي الرابط إلى مكان غير النطاق المعتاد لشركتي؟ إن لم تستطع قراءة العنوان كاملاً، فاعتبر أن الجواب نعم.
- هل أطلقتُ أنا بنفسي الإجراء المذكور؟ لا طلب لإعادة التعيين من جهتي = لا إعادة تعيين مشروعة.
- ماذا سيحدث إن تجاهلت هذه الرسالة لساعتين؟ في الغالب الأعم: لا شيء. هذا السؤال وحده يُبطل الاستعجال.
ما يجب فعله إذا كنت قد ضغطت على الرابط فعلاً
أسوأ ردّ فعل هو الصمت خجلاً. الوقوع في الفخ ليس خطأً مهنياً: إنه النتيجة المتوقعة لهجمات صمّمها مهنيون. فالإبلاغ خلال عشر دقائق يحدّ من الأضرار؛ أما الإبلاغ بعد ثلاثة أيام فيأتي بعد وقوع السرقة.
بالترتيب:
- غيّر فوراً كلمة المرور المعنية، من جهاز آخر إن أمكن، وخصوصاً من العنوان الرسمي الذي تكتبه يدوياً — لا من رابط الرسالة النصية أبداً.
- أبلِغ قسم تقنية المعلومات أو مسؤولك، حتى لو كنت مجرّد متردد، وحتى لو لم تُدخل أي بيانات. فهم وحدهم القادرون على إلغاء الجلسات المفتوحة.
- تحقق من قواعد بريدك الإلكتروني: كثيراً ما ينشئ المهاجمون قاعدة إعادة توجيه تلقائية غير مرئية لمواصلة قراءة رسائلك بعد تغيير كلمة المرور.
- أبلِغ عن الرسالة إلى 33700 بإعادة توجيه الرسالة، ثم إرسال رقم المُرسِل. هذه الخدمة، التي يديرها الاتحاد الفرنسي للاتصالات، تتيح حجب أرقام المُرسِلين.
- قدّم شكوى إذا تم الاستيلاء على بيانات، وأبلِغ عن الحادث على cybermalveillance.gouv.fr، الذي يوجّهك إلى مزوّدين حاملين لعلامة ExpertCyber.
وإذا تعرّضت الشركة لانتهاك يخص بيانات شخصية، فعليها أيضاً التزام قانوني: إبلاغ CNIL خلال 72 ساعة، وفقاً للمادة 33 من اللائحة العامة لحماية البيانات (RGPD). وإبلاغك السريع جزء من هذه السلسلة.
تقليص مساحة التعرّض، من جانب الموظف
أنت لا تتحكم في السياسة الأمنية لصاحب عملك، لكنك تتحكم في عدة أمور.
فصل الاستخدامات. يبقى الحل الأوضح هو الخطان: بطاقة SIM مسبقة الدفع مخصصة للتسجيلات وعمليات التوصيل والخدمات الإلكترونية، والأخرى محفوظة لجهات الاتصال الموثوقة. وعلى الهواتف المتوافقة مع eSIM، لم يعد هذا الفصل يكلّف شيئاً من حيث الحجم. وكلما قلّ تداول رقمك المهني، قلّ احتمال انتهائه في قواعد البيانات المُعاد بيعها.
عدم ترك رقمك في كل مكان. ذكّر مقال WeLiveSecurity عن كيفية جمع المحتالين للأرقام بذلك هذا الربيع: تسريبات بيانات المواقع التجارية، والمسابقات، ونماذج التسجيل تغذّي معظم القوائم المستخدمة في التصيّد عبر الرسائل النصية. كل نموذج تملؤه هو تعرّض إضافي.
حماية الجهاز نفسه. الهاتف الذي يُستخدم لتأكيد عمليات دخول مهنية هو عنصر حيوي. وغلاف حماية معزّز وزجاج مقوّى ليسا من باب الترف: فالشاشة المشقوقة التي يتأخر إصلاحها تعني جهازاً يُستبدل على عجل، مع نقل حسابات بشكل مرتبك وجلسات منسية على الجهاز القديم. وبالمثل، تحمي بطارية خارجية صغيرة من السيناريو الكلاسيكي: هاتف مُطفأ في اللحظة ذاتها التي ينبغي فيها تأكيد — أو رفض — عملية دخول.
إدارة كلمات المرور بشكل سليم. إعادة استخدام كلمة المرور نفسها بين منتدى ترفيهي وحساب مهني هي السبب الأول لهذه الهجمات. ومدير كلمات المرور، مجاناً كان أو مدفوعاً، يُنهي المشكلة في أمسية واحدة من التثبيت. ولمن يفضّلون الأسلوب التقليدي، يبقى دفتر كلمات المرور الموضوع في درج مغلق أكثر أماناً بما لا يُقاس من كلمة سرّ واحدة تُستخدم في كل مكان — بشرط ألا يخرج من المنزل أبداً.
ما ينبغي لصاحب العمل فعله (وما يمكنك طلبه)
إن كنت في موقع يسمح لك باقتراح ذلك، فثلاثة تدابير تُغيّر كل شيء، ولا شيء منها مكلف:
- نشر قناة تحقق وحيدة ومعروفة للجميع: رقم داخلي، عنوان، عبارة نموذجية. فعبارة «لن يراسلك قسم تقنية المعلومات أبداً عبر رسالة نصية» يجب أن تُعلَّق بوضوح لا يقلّ عن وضوح تعليمات الحماية من الحرائق.
- تحويل المصادقة الثنائية إلى number matching بدلاً من زر موافقة بسيط، ونشر مفاتيح مادية للحسابات ذات الصلاحيات الموسّعة.
- إرساء ثقافة الإبلاغ دون عقاب. فالمؤسسة التي تعاقب الموظف الذي أُوقِع به تضمن ألا تُبلَّغ إلا بعد تثبيت برنامج الفدية.
أما الأدلة المجانية الصادرة عن ANSSI وcybermalveillance.gouv.fr — وخصوصاً Guide des bonnes pratiques de l'informatique وحِزم التوعية الموجّهة للمؤسسات الصغيرة والمتوسطة — فتوفّر مواد قابلة لإعادة الاستخدام مباشرة، دون أي ميزانية.
الخلاصة في جملة واحدة
قسم تقنية المعلومات الشرعي لا يضعك أبداً في موقف يدفعك إلى التصرف بهلع من هاتفك الشخصي. وكلما جمعت رسالة بين الاستعجال والرابط والحساب المهني، فالرد الصحيح الوحيد هو إغلاق الرسالة والاتصال برقم كنت تعرفه قبل أن تتلقاها.
وإذا ظل الشك قائماً، فاحفظ في ذهنك هذا الميزان غير المتكافئ: المحتال يحتاج أن تجيب خلال خمس دقائق. أما أنت، فمن حقك أن تنتظر إلى الغد.
