كيف تُبنى رسالة تصيّد فعلاً

ابدأ من القائمة

لا أحد يصطاد الغرباء عشوائياً. أول ما تُنتجه أي حملة حقيقية قائمة، والقائمة تُبنى من أشياء نشرتها أنت بملء إرادتك.

المادة الخام متاحة للعموم. يمنح LinkedIn المسمّيات الوظيفية وتسلسل الإدارة، ومن التحق بالعمل حديثاً — والموظف الجديد لم تتكوّن لديه بعد الحاسّة التي تخبره كيف تبدو الرسالة الداخلية المعتادة. وموقع الشركة يذكر أسماء الناس. وإعلانات التوظيف تُفشي مكوّنات البنية التقنية؛ فعبارة «خبرة في Okta وMicrosoft 365» تدلّ المهاجم بدقة على صفحة الدخول التي عليه استنساخها. ثم كلمات المؤتمرات، والتزامات الشيفرة على GitHub، والبيانات الصحفية، والهيكل التنظيمي الذي يلوح من توقيع تذكرة دعم فنّي.

نادراً ما يحتاج جمع العناوين واحداً واحداً، لأن البريد المؤسسي يتبع نمطاً ثابتاً. اعثر على عنوان واحد تحصل على الصيغة كلها.

firstname.lastname@company.com

الآن صار كل اسم على LinkedIn عنواناً. وأدوات مثل theHarvester تؤتمت الجمع؛ وتسرّبات البيانات و«القوائم المدمجة» تسدّ ما تبقّى، والمطابقة بين كلمة مرور شخصية مسرّبة وعنوان عمل تكشف للمهاجم من يعيد استخدام بياناته قبل أن تُرسَل رسالة واحدة.

الاستطلاع ينتهي قبل أن يصلك أي إنذار بأنه وقع. لا شيء يُكتشَف، لأن لا شيء هُوجم — بل قُرئ فحسب.

الذريعة هي كل شيء

يستغرق الهواة في تجويد الصفحة المزيّفة. أما المحترفون فيستغرقون في السبب الذي قد يدفعك أصلاً لزيارتها.

الذريعة هي القصة التي ترويها الرسالة؛ لماذا وُجدت، ولماذا الآن، ولماذا أنت بالذات. هي الهجوم بأكمله. فاستنساخ لا تشوبه شائبة لبوّابة رواتبك بلا قيمة إن لم يوجد سبب مقنع لتسجيل الدخول اليوم. ورسالة نصّية عادية مصحوبة بسبب وجيه تنجح ولو كانت التقنية بدائية.

الذرائع الجيدة تستعير سلطة قائمة وتضيف ضغطاً زمنياً دون اختلاق شيء يمكنك التحقّق منه. مستند مشترك من زميل تعمل معه فعلاً. فاتورة على مشروع قائم فعلاً. موعد نهائي للتسجيل في المزايا في الأسبوع الذي تدير فيه الموارد البشرية التسجيل فعلاً. لقد قرأ المهاجم استطلاعك؛ والرسالة تنسجم مع شكل أسبوعك. هذا الانسجام هو ما يُبطل الريبة — لا الشعار.

ولهذا يفشل تدريب «اكتشف رسالة التصيّد» في التعميم فشلاً ذريعاً. فهو يعلّم الناس ألّا يثقوا بالرسائل الفجّة العامّة. والرسالة المصنوعة لك خصّيصاً ليست فجّة ولا عامّة.

اختيار نطاق يتجاوز الفحص

يحتاج المرسِل إلى نطاق. وثمة ثلاث طرائق للحصول على نطاق ينجو من نظرة عابرة، ولا واحدة منها تستلزم اختراق أي شيء.

النطاقات المشابهة. سجّل شيئاً مجاوراً. company-support.com، أو company.co بدل .com، أو rn مكان m. أنت تملكه ملكية تامة، وهذا — كما سنرى — يهمّ أكثر مما ينبغي.

المتماثلات الشكلية. بعض المحارف متطابقة بصرياً بين الأبجديات. فحرف «а» السيريلي يُعرَض كحرف «a» اللاتيني نفسه، والنطاقات المُدوّلة تتيح تسجيله.

وقد تصدّت المتصفّحات لهذا، ومن المفيد معرفة حدود ما فعلته بدقّة. فمنذ عام ٢٠١٧ تقريباً تَعرض Chrome وFirefox وSafari اسم النطاق بصيغة punycode الخام كلما خَلَط بين أبجديتين. ولهذا فإن إدخال حرف سيريلي واحد في كلمة لاتينية لا يمنحك عنواناً مقنعاً، بل يمنحك هذا:

المكتوب:   https://cоmpany.com      (حرف «o» سيريلي، U+043E)
المعروض:   https://xn--cmpany-wqf.com

أما ما يصمد فهو التماثل أحادي الأبجدية: أن تُكتب الحروف كلها بأبجدية واحدة غير لاتينية، فلا يبقى خَلطٌ يُكتشف. وقد كُتبت كلمة «apple» بالسيريلية كاملةً في إثبات مفهوم عام ٢٠١٧، فعرضتها المتصفّحات كما لو كانت الأصل:

المسجَّل:   xn--80ak6aa92e.com
المعروض:   https://аррӏе.com       (سيريلية بالكامل — بلا حرف لاتيني واحد)

وهذه يصعب تمييزها فعلاً، لكنها أصعب في التنفيذ أيضاً، لأن الكلمة المستهدفة يجب أن تكون قابلة للكتابة بأبجدية أخرى.

تأطير النطاق الفرعي. يقرأ الناس النطاق من اليسار إلى اليمين ويتوقّفون عند أول كلمة مألوفة. ضع العلامة التجارية على اليسار ونطاقك أنت على اليمين.

https://company.com.account-verify.net/login

النطاق القابل للتسجيل هنا هو account-verify.net. أما company.com فمجرد نطاق فرعي أنشأه المهاجم. يبدو كالشيء الحقيقي لكل من لا يحلّل العنوان من اليمين إلى اليسار.

استغلال الخدمات المشروعة هو الخيار الأقوى، لأنه يُزيل مشكلة النطاق من أساسها. أرسِل الطُّعم في صورة إشعار مشاركة أصلي من Google Docs، أو ظرف DocuSign حقيقي، أو حملة عبر SendGrid أو Mailchimp، أو من صندوق بريد سبق أن اخترقه المهاجم. الرسالة تأتي من بنية تحتية تثق بها الشبكة بأسرها. وكل فحوص المصادقة تنجح، لأن البريد — من الناحية التقنية — حقيقي.

ما الذي تفعله SPF وDKIM وDMARC فعلاً

هذه الثلاثة هي ردّ عالم البريد على الانتحال، ويُساء فهمها على نطاق واسع بوصفها مرشِّح رسائل مزعجة للأكاذيب. وهي ليست كذلك. إنها تصادق نطاقاً. ولا تقول شيئاً عمّا إذا كان هذا النطاق نطاقاً جديراً بثقتك.

| الآلية | ما الذي تفحصه | |---|---| | SPF | هل أُرسل هذا من عنوان IP خوّله النطاق؟ تفحص نطاق Return-Path المخفي. | | DKIM | هل ثمة توقيع تعمية صالح يثبت أن الرسالة لم تُعدَّل أثناء النقل؟ | | DMARC | هل تتطابق النطاقات المُصادَقة مع عنوان From: الظاهر، وماذا يفعل المستقبِل إن لم تتطابق؟ |

وهنا الجزء الذي يهمّ. حين يُرسل المهاجم من نطاق سجّله بنفسه، فإنه يضبط SPF وDKIM وDMARC لذلك النطاق ضبطاً سليماً. إنه نطاقه هو. وكل شيء ينجح.

From: security@company-support.com
spf=pass  dkim=pass  dmarc=pass

ثلاث علامات خضراء، على نطاق لا صلة له بالشركة الحقيقية.

وضبط DMARC على p=reject يمنع أمراً واحداً بعينه: أن يرسل أحدهم بريداً يستخدم نطاقك أنت بالضبط في سطر From:. وهذا جدير بالفعل — فهو يغلق انتحال النطاق المطابق. لكنه لا يفعل شيئاً حيال نطاق مشابه، أو متماثل شكلي، أو حيلة نطاق فرعي، أو خدمة مشروعة مُستغلَّة. فهذه لا تنتحل نطاقك؛ إنها تستخدم نطاقاً مختلفاً يشبهه، والمصادقة لم تُصمَّم قط لتكون لها آراء في التشابه.

تثبت SPF وDKIM وDMARC أن الرسالة جاءت من حيث تقول. لكنها عاجزة عن إخبارك بأن ذلك «الحيث» موضع جدير بأي ثقة.

صفحة الدخول صارت وسيطاً الآن

كانت العُدّة القديمة نسخة محفوظة من صفحة دخول. تكتب كلمة مرورك في شيفرة HTML ميّتة، فتُكتَب في ملف، ثم يستخدمها المهاجم لاحقاً. وقد قتلت المصادقة الثنائية هذا الأسلوب قتلاً مبرماً: لم تعد كلمة المرور وحدها كافية، ولم يكن المهاجم حاضراً حين حان وقت الرمز.

فتغيّرت العُدّة. صفحة الدخول الحديثة ليست نسخة. إنها وسيط عكسي يقف بينك وبين الموقع الحقيقي — تُسمّى التقنية «الخصم في المنتصف»، والأدوات المفتوحة لها (Evilginx وأمثالها) ناضجة ومتاحة للعموم.

الآلية بسيطة وتستحقّ أن تبقى ماثلة في ذهنك:

1. تصل إلى نطاق التصيّد. يجلب الوسيط صفحة الدخول الحقيقية ويعرضها عليك. وهي حقيقية، لأنها تُمرَّر إليك من الموقع الأصلي في الزمن اللحظي.
2. تكتب كلمة مرورك. يمرّرها الوسيط إلى الموقع الحقيقي، ويمرّر ردّ الموقع إليك.
3. يطلب الموقع الحقيقي رمز المصادقة الثنائية. تُدخله. يرحّله الوسيط. الرمز صحيح، لأنك تصادِق فعلاً أمام الخدمة الحقيقية.
4. يُصدر الموقع الحقيقي، وقد اطمأنّ، ملفّ ارتباط جلسة. ويحتفظ الوسيط بنسخة منه.

ذلك الملف جلسة مسجَّل دخولها. يحمّله المهاجم في متصفّحه هو فيجد نفسه داخل حسابك، متجاوزاً كلمة المرور والعامل الثاني، دون أن يعرف أياً منهما أو يحتاجه فيما بعد.

ولهذا لا تنقذك رموز الرسائل النصية ولا تطبيقات المصادقة هنا. فهي تثبت أن إنساناً أتمّ تحدّياً؛ لكنها لا تربط ذلك الإثبات بالصفحة التي كان الإنسان عليها فعلاً. الرمز الآني يُستهلك في الزمن اللحظي، ورمز الجلسة الدائم هو ما يُسرَق.

ما الذي ينجو فعلاً

اثنان يهزمان هذا الهجوم، ويهزمانه للسبب نفسه.

مفاتيح المرور ومفاتيح الأمان العتادية — عائلة FIDO2/WebAuthn. حين تسجّل واحداً منها، يخزّن جهازك مفتاحاً خاصاً. وفي مفاتيح العتاد والمفاتيح المرتبطة بالجهاز لا يغادره أبداً؛ أما المفاتيح المُزامَنة فتنتقل بين أجهزتك مشفّرةً من الطرف إلى الطرف عبر حساب المنصّة، ولا تمرّ سافرةً في أي لحظة. وحين تسجّل الدخول، يوقّع المتصفّح تحدّياً ويُضمّن فيه المصدر بالضبط — النطاق الحقيقي — ضمن ما يوقّعه. ولن ينتج المفتاح توقيعاً صالحاً إلا للنطاق الذي سُجّل له.

ضع ذلك في مواجهة الوسيط. الضحية على company.com.account-verify.net. يوقّع المتصفّح بأمانة لـذلك المصدر. والتوقيع بلا قيمة عند company.com، لأنه يشهد للنطاق الخطأ. لا سرّ مشترك يُرحَّل، ولا رمز يُكتَب، ولا شيء يستطيع الوسيط تمريره. الشيء الوحيد الذي يحتاجه المهاجم — تأكيد صالح للموقع الحقيقي — هو الشيء الوحيد الذي ترفض التعمية إنتاجه على النطاق الخطأ.

تُسمّى هذه الخاصية «الربط بالمصدر»، وهي سبب كون هذه الفئة وحدها من الدفاعات هي الصامدة. لا يمكن خداع المستخدم لتجاوزها، لأن الفحص لا يُجريه المستخدم.

والآن النصائح التي لا تنجو، ولماذا:

• «ابحث عن القفل». القفل يعني أن الاتصال مُعمّى، لا أكثر. مواقع التصيّد تحصل على شهادات مجانية صالحة في دقائق. القفل موجود على الصفحة المزيّفة، وكان موجوداً دوماً.
• «تحقّق من الأخطاء الإملائية». العُدّة الجادّة خالية منها. والنطاقات المتماثلة شكلياً مكتوبة إملائياً بلا خطأ بحكم تعريفها.
• «تأكّد من صحة الرابط». حيلة النطاق الفرعي والمتماثل الشكلي مصنوعتان تحديداً لتجاوز هذا الفحص.
• «كن حذراً فحسب». هذه هي التي ينبغي التقاعد بها. الهجوم مهندَس ليتجاوز كل فحص يُطلَب من الشخص الحذر إجراؤه. وحين تكون إشارة الفشل هي إشارة النجاح نفسها، لا يشتري لك الانتباه شيئاً.

في الختام

لا شيء في هذا غريب. إنه تسجيل نطاق، ووسيط مستأجَر، وجملة معقولة، وصبر — وهو مصمَّم تحديداً ليهزم قائمة التحقّق التي سُلّمت لأكثر الناس. وهذا هو السبب الصادق وراء فشل القائمة: إنها تطلب من إنسان أن يتفوّق في التفتيش على شيء صُمّم ليُفتَّش.

الدفاع الذي ينجح هو الذي يُزيل الإنسان من نقطة الانكسار. فعّل مفاتيح المرور حيثما استطعت، واحمل مفتاح أمان عتادياً للحسابات التي تهمّ، وعامِل أي تسجيل دخول بلغته عبر نقرة كأنه تسجيل لم تُتمّه بعد حقاً. أما بقية ما سبق فيستحقّ أن يُعرَف قبل كل شيء لتكفّ عن لوم من يقعون في الفخّ.