التصيد والهندسة الاجتماعية: الهجوم الذي يستهدف الموظف لا النظام

أغلب الاختراقات تبدأ برسالة مقنعة لا بثغرة تقنية. كيف تتعرف على أنماط التصيد، وتبني إجراء تحقق يحمي الشركة حتى حين ينخدع أحدهم.

أغلب الاختراقات التي تصيب الشركات الصغيرة والمتوسطة لا تبدأ بثغرة برمجية معقدة، بل برسالة بسيطة أقنعت موظفًا بأن يفتح ملفًا أو يدخل كلمة مروره في صفحة مزيفة. المهاجم لا يحتاج كسر جدار الحماية إن استطاع إقناع من يملك المفتاح بفتح الباب — وهذا ما يجعل الهندسة الاجتماعية أكثر أساليب الهجوم فعالية وأقلها كلفة.

افهم آلية الإقناع لا شكل الرسالة

الرسائل تتغير باستمرار، لكن آليات الإقناع ثابتة: خلق استعجال يمنع التفكير، انتحال سلطة يصعب مراجعتها، إثارة الخوف من عاقبة، أو استغلال الرغبة في المساعدة. الموظف الذي يتعرف على هذه الآليات يحمي نفسه من أشكال جديدة لم يرها من قبل، بينما من حفظ قائمة بعلامات الرسائل القديمة سينخدع بأول رسالة مصاغة بشكل مختلف.

احذر الهجمات الموجّهة لا العامة فقط

التصيد الجماعي مليء بالأخطاء اللغوية وسهل الكشف نسبيًا. الخطر الحقيقي في الهجوم الموجّه: رسالة مكتوبة خصيصًا لموظفك، تذكر اسم مديره ومشروعًا حقيقيًا تعمل عليه الشركة، مبنية على معلومات جُمعت من موقعكم وحسابات فريقكم العامة. لا تعتمد على «الرسالة تبدو مريبة» كخط دفاع؛ الرسالة الموجّهة تبدو طبيعية تمامًا.

الاحتيال على التحويلات المالية هو الأكثر كلفة

النمط الأخطر ماليًا هو انتحال شخصية مدير أو مورّد لطلب تحويل عاجل أو تغيير رقم حساب. غالبًا لا يحمل أي رابط أو ملف، فلا تكتشفه أدوات الفحص التقنية. الدفاع الوحيد الفعّال هنا إجرائي لا تقني: قاعدة ثابتة بأن أي تحويل أو تغيير بيانات بنكية يُؤكَّد عبر قناة ثانية مستقلة وبرقم معروف مسبقًا، مهما كان الطلب عاجلًا أو صادرًا عن جهة عليا.

درّب بالمحاكاة لا بالمحاضرة

محاضرة سنوية عن الأمن يُنسى معظمها خلال أسبوع. المحاكاة العملية — رسالة اختبارية تُرسل للفريق مع تدريب فوري لمن ينقر — أكثر فعالية بمراحل. لكن الشرط الأساسي أن تكون بيئتها آمنة: الهدف قياس وتحسين لا معاقبة. فريق يخاف الاعتراف بأنه نقر رابطًا سيخفي الحوادث الحقيقية، وهذا أسوأ بكثير من نسبة نقر مرتفعة في اختبار.

اجعل الإبلاغ أسهل شيء يفعله الموظف

الوقت بين النقر والإبلاغ هو ما يحدد حجم الضرر. وفّر طريقة إبلاغ من نقرة واحدة، وحدد جهة واضحة تستقبل البلاغات، والأهم: اشكر كل من يبلّغ حتى لو تبيّن أن الرسالة سليمة. الثقافة التي تكافئ الإبلاغ المبكر تكتشف الحوادث في دقائق؛ الثقافة التي تلوم المخدوع تكتشفها بعد أسابيع من خزانة شخص خائف.

ضع طبقات تحدّ من أثر النجاح

افترض أن أحدهم سينخدع يومًا ما، وصمّم دفاعك على هذا الأساس. المصادقة الثنائية تمنع كلمة مرور مسروقة من أن تكفي، وحصر صلاحيات كل موظف في حدود عمله يقلص ما يمكن الوصول إليه، وتصفية الرسائل ومراقبة الدخول غير المعتاد تكشف الاختراق مبكرًا. الوقاية وحدها ليست استراتيجية؛ تقليل أثر الاختراق الناجح جزء أصيل منها.

اربط التدريب بالسياق لا بالعموميات

الموظف في المحاسبة يواجه تهديدات مختلفة عن موظف الدعم الفني أو المبيعات. اجعل الأمثلة التدريبية مأخوذة من سياق عمل كل فريق: فاتورة مورّد معدّلة لقسم المشتريات، طلب دعم مزيف لفريق الدعم، سيرة ذاتية بمرفق خبيث لقسم الموارد البشرية. المثال القريب من العمل اليومي يُتذكَّر ويُطبَّق؛ المثال العام يُنسى فور انتهاء الجلسة.