ما تعريف التصيد الاحتيالي
التصيد الاحتيالي (Phishing): أحد أنواع الجرائم الإلكترونية التي تقوم على انتحال المخترق أو المحتال لحساب شخصية أو جهة رسمية موثوقة مثل خدمة العملاء لدى شركة ما، من أجل سرقة البيانات الشخصية للمستخدم (أو المستخدمين).
يستهدف المحتالون في غالب الأحيان بيانات مثل رقم بطاقة الإئتمان، أو كلمة المرور لحساب شخصي، أو أرقام الحسابات البنكية؛ ومن أشهر الوسائل المستخدمة في التصيد الاحتيالي البريد الإلكتروني، والروابط الجاهزة لمواقع إنترنت معينة؛ لكن يمكن أن يتم أيضاً بواسطة الرسائل النصية وحتى المكالمات الهاتفية.
التصيد الاحتيالي عبر البريد الإلكتروني
من الأمثلة الشائعة لطلبات رسائل البريد الإلكتروني الاحتيالي ما يلي:
- تحديث معلومات الاتصال لدى جهة رسمية؛
- إعادة تفعيل بطاقة الائتمان أو الحساب البنكي؛
- تأكيد استلام طرد بريدي؛
- إعادة تفعيل حساب أو عضوية في موقع ما؛
- تسهيل التحويلات البنكية؛
- إرسال طلب لاسترداد نقود؛
- طلب ملء استبيانات معينة.
أنواع التصيد الاحتيالي
على الرغم من أن هدف المحتالين النهائي هو نفسه، إلا أن هناك طرق عديدة لتنفيذ التصيد الاحتيالي، من أكثرها شيوعاً نذكر:
- هجمات التصيد الاحتيالي عبر البريد الإلكتروني: يقوم المحتال بتسجيل مجال وهمي يقلد مؤسسة حقيقية ويرسل الآلاف من الطلبات العامة.
- هجمات التصيد الاحتيالي بالرمح: يكون لدى المحتال الذين يتبع هذه الطريقة معلومات عن الضحية بما في ذلك الاسم والمنصب الوظيفي وغيره من المعلومات، ويرسل البريد الإلكتروني الضار على نحو مخصص.
- هجمات التصيد الاحتيالي بالحيتان: تستهدف هذه الهجمات كبار المدراء التنفيذيين، وتعد عمليات الاحتيال التي تنطوي على إقرارات ضريبية مزيفة من الأنواع الشائعة لصيد الحيتان وذلك لاحتوائها على مجموعة من المعلومات المفيدة: الأسماء والعناوين وأرقام الضمان الاجتماعي ومعلومات الحساب المصرفي.
- هجمات الرسائل القصيرة والتصيّد الصوتي: تحل الهواتف محل رسائل البريد الإلكتروني كطريقة للاتصال، وينطوي على إرسال المحتال رسائل نصية مشابهة للتي تُرسل عبر البريد الإلكتروني، ويتضمن التصيد الاحتيالي محادثة هاتفية تخبر الضحية أن حسابه مخترق ثم يطلب المحتال تقديم تفاصيل بطاقة الدفع للتحقق من هويته أو تحويل الأموال إلى حساب "آمن" ويكون حساب المحتال.
- هجمات التصيد الاحتيالي بالسنارة: نوع هجمات جديد نسبياً، يعتمد على استخدام البيانات التي ينشرها الأشخاص عن طيب خاطر على وسائل التواصل الاجتماعي لإنشاء هجمات شديدة الاستهداف، باستخدام عناوين مواقع إلكترونية وهمية، ومنشورات أو تغريدات منسوخة بهدف إقناع الأشخاص بالكشف عن معلومات حساسة أو تنزيل برامج ضارة.
الحماية من التصيد الاحتيالي
تشير الحماية من التصيد الاحتيالي إلى الإجراءات الأمنية التي يمكن للشركات اتخاذها لمنع هجمات التصيد الاحتيالي على موظفيها. وهناك مجموعة متنوعة من حلول الحماية من التصيد الاحتيالي التي يمكن للشركات تنفيذها لحماية الموظفين والشركة، من أهمها:
- إخضاع الموظفين لبرامج التدريب على الوعي الأمني التي توضح كيفية اكتشاف البريد الإلكتروني المزيف، وطرق التعامل معه، وآلية التجاوب عند مواجهة هجوم معين.
- اعتماد حلول مسح البريد الإلكتروني وتصفيته التي توفر الحماية للبريد الإلكتروني عن طريق مسح كل رابط وكل مرفق في كل بريد إلكتروني ومنع المستخدمين من فتحها إذا كان يُعتقد أنها خطيرة.
- استخدام برامج مكافحة انتحال الهوية التي توفر حماية من التصيد الاحتيالي ضد الهجمات التي لا تحتوي على برامج ضارة وإنما تستخدم تقنيات قائمة على الهندسة الاجتماعية لانتحال شخصية مصادر موثوقة.
- استخدام برامج مكافحة البرامج الضارة والبريد العشوائي على مستوى شبكة الشركة للحماية من الهجمات، وإيقاف رسائل البريد الإلكتروني المخادعة قبل أن تصل إلى علب بريد المستخدم.
على الصعيد الفردي؛ من أهم نصائح الخبراء لكشف هجمات التصيد الاحتيالي ضرورة الانتباه للعروض غير المنطقية، إذ يجب التدقيق في الرسائل المتعلقة بالأموال، والتحقق من روابط المواقع وعناوين البريد الإلكتروني بدقة، والتأكد من مصداقية المرسِل قبل إرسال أي معلومات حساسة إليه، وتثبيت مضادات الفيروسات التي توفر الحماية ضد التصيد الاحتيالي، واستخدام متصفح بريد إلكتروني ذو مصداقية عالية.
