ما التصيّد وكيف نكشفه

لماذا لا يُحل التصيّد بمزيد من الانتباه

التصيّد لا يهاجم حاسوبك. إنما يهاجم الترتيب الذي تتخذ به قراراتك. ولا اقتحام في الأمر: تصل رسالة فتضعك في حال يصعب فيه التفكير، ثم تطلب منك فعل شيء ما كنت لتفعله عادة.

وكل رسالة تصيّد تحمل ثلاثة أشياء معا. ذريعة معقولة، وسلطة مألوفة، وعجلة تسلب وقت التفكير. سيُعلَّق حسابك، رُفض طلبك، لديك مهلة حتى الليلة. والعجلة ليست زينة؛ إنها الأداة نفسها.

ولنطرح سوء فهم واحدا منذ البداية. لسنوات قيل للناس إن علامة التصيّد لغة رديئة وأخطاء إملائية. تلك العلامة لم تعد تعمل. فالنص السلس الخالي من الأخطاء لا يكلف شيئا اليوم ويستطيع أي أحد إنتاجه. وإن كان كشفك يعتمد على جودة الكتابة فقد راهنت على أسهل شيء يمكن إصلاحه.

وموقفنا: كشف التصيّد ليس إحساسا بل إجراء. فالشخص الدقيق يقع في الفخ في يوم جيد أيضا، لأن أحدا لا ينتبه في يوم سيئ. وما ينفع في اليوم السيئ كذلك هو تسلسل ثابت من الأسئلة يُنفَّذ بالطريقة نفسها في كل مرة، حتى حين تأتي الرسالة من عنوان مألوف.

الأسئلة الأربعة التي نطرحها بالترتيب

الترتيب هنا نصف العمل. فالأسئلة مرتبة من الأرخص إلى الأغلى، أي من سؤال تجيبه بلا فتح أي رابط إلى سؤال يحتاج فحصا. فإن أجاب السؤال الأول فلا حاجة إلى البقية.

الأول: هل كنت أنتظر هذا؟ هذا هو السؤال الوحيد الذي لا تستطيع الرسالة نفسها التأثير فيه. فاتورة لشيء لم تطلبه، طرد لم ترسله، تنبيه حساب من موقع لا حساب لك فيه. فإن كان الجواب لا، فقد كل ما في الرسالة اعتباره من تلك اللحظة، بما في ذلك روابطها ورقم الهاتف المكتوب داخلها.

الثاني: هل يستعجلني؟ المؤسسات الحقيقية تمنح مُهلا وطرقا متعددة لأي أمر مهم. تهديد بإغلاق الحساب الليلة، غرامة تتضاعف بالتأخير، خصم ينتهي خلال ساعة: كلها تؤدي مهمة واحدة، وهي إغلاق نافذة التفكير. والعجلة وحدها لا تثبت شيئا، لكنها متى أضيفت إلى السؤال الأول صار الجواب واضحا في الغالب.

الثالث: هل يذهب الرابط إلى حيث يدّعي؟ هذا السؤال يحتاج مهارة، وهي في القسم التالي. فنص الرابط قد يكون أي شيء؛ والمهم هو نطاق الوجهة.

الرابع: هل يطلب شيئا لا يُعطى أبدا؟ قائمة قصيرة بلا استثناء: كلمات المرور، ورموز التحقق بخطوتين، والرمز خلف البطاقة البنكية، ورموز الدفع لمرة واحدة، ورموز الاستعادة، والوصول عن بعد إلى جهازك. لا بنك ولا مشغّل ولا مكتب دعم يطلب هذه. فإن طلبها أحد، مهما بدت بقية الرسالة صحيحة، انتهى الأمر هناك.

وحالتان تقصّران هذا التسلسل. إن كان جواب السؤال الرابع نعم فلا حاجة إلى طرح البقية. وإن جاءت الرسالة من عنوان مألوف فعلا لكن مضمونها غير معتاد، فاترك الأسئلة واذهب مباشرة إلى ما يصفه القسم الأخير: اتصل بذلك الشخص عبر طريق اخترته أنت.

قراءة العنوان، المهارة التي يعود إليها كل شيء

في العنوان الإلكتروني، الجزء الوحيد الذي لا يكذب هو النطاق، والنطاق يُقرأ من اليمين إلى اليسار: رجوعا من آخر نقطة. ففي example.com/bank النطاق هو example.com وbank مجرد مجلد على ذلك الموقع. وأي أحد يستطيع إنشاء أي مجلد.

والأشكال الثلاثة التي تحصد أكثر الضحايا تتاجر كلها بهذه النقطة وحدها. الأول، الاسم الحقيقي كنطاق فرعي: شيء مثل bankname.example.com، حيث ترى العين الاسم المألوف ولا تقرأ النطاق الفعلي الواقع بعد آخر نقطة. والثاني، الاسم الحقيقي كمسار: example.com/bankname/login. والثالث، نطاق يختلف بحرف واحد أو يلبس لاحقة أخرى. وثلاثتها تبدو صحيحة في نظرة سريعة، والنظرة السريعة هي كل ما يلزم.

والطريقة العملية للقراءة خطوتان لا أكثر. جد آخر نقطة واقرأ كلمة على كل جانب منها؛ فهاتان القطعتان هما هوية الموقع الحقيقية. أما بقية العنوان، مهما طالت ومهما امتلأت بكلمات مألوفة، فليست إلا ما كتبه صاحب ذلك النطاق. وبنية العنوان كاملة وما تفعله كل قطعة فيه لها درس خاص في مسار الإنترنت والشبكات، وقراءته قبل المضي هنا تستحق العناء.

وعلى الهاتف يصعب هذا، وينبغي أن نقول ذلك: شريط العنوان قصير، والعناوين الطويلة تُعرَض مقتطعة، وحتى الضغط المطوّل على الرابط لا يكشف دائما الوجهة كاملة. والقاعدة التي تظل تعمل على الهاتف هي: بدل فحص الرابط، لا تستعمل الرابط. افتح تطبيق البنك أو الموقع بنفسك. فإن كان ثمة خبر فهو هناك أيضا.

وأمر نادرا ما يُقال: القفل بجوار العنوان لا علاقة له بصدق الموقع. فذلك القفل يقول فقط إن الاتصال مشفَّر، والصفحة المزيفة يمكن أن تكون مشفَّرة بالسهولة نفسها. القفل يعني أن لا أحد في الطريق يقرأ ما تقول؛ ولا يقول من على الطرف الآخر.

الأنماط الأكثر شيوعا في إيران

رسائل التصيّد المحلية تأتي في قوالب ثابتة قليلة، ومعرفة القالب أنفع من حفظ الأمثلة. فالأمثلة تتغير كل شهر؛ أما القوالب فثابتة منذ سنوات. ولا نعيد هنا إنتاج النص الفعلي لأي منها، لأن الهدف الكشف لا البناء.

القالب البنكي. الادعاء: ثمة خلل في حسابك أو بطاقتك. المطلوب: الدخول إلى بوابة للتحقق من هويتك أو لإعادة التفعيل. العلامة البنيوية: صفحة تطلب رقم البطاقة والرمز الثاني ورمز الرسالة القصيرة في نموذج واحد. فبوابة بنكية حقيقية لا تجمع ذلك كله من صفحة غير بنكية، ولا تسأل عن كلمة مرورك المصرفية على الإنترنت.

قالب الدعم والأسهم. الادعاء: ثمة مبلغ مستحق لك، دعم أو أسهم أو مبلغ مسترد. المطلوب: تسجيل بياناتك البنكية ليُودَع. العلامة البنيوية: لا مؤسسة تحتاج رمز بطاقتك كي ترسل لك مالا. فرقم الحساب يكفي للإيداع، والرمز لازم للسحب فقط. وهذه الجملة وحدها تُعطّل القالب كله.

قالب الطرد والجمارك. الادعاء: ثمة طرد ينتظرك وبقيت رسوم صغيرة. المطلوب: دفع المبلغ الصغير عبر رابط. العلامة البنيوية: المبلغ زهيد عمدا كي لا تظن أنه يستحق الفحص، بينما ما يريدونه فعلا هو بيانات البطاقة لا ذلك المبلغ.

قالب العمل. الادعاء: رسالة من زميل أو مدير، بنبرة عادية تماما في الغالب. المطلوب: تغيير رقم الحساب في دفعة، أو فتح ملف. وهذا القالب هو الأخطر لأنه لا يحمل أيا من العلامات أعلاه. والشيء الوحيد الذي يوقفه هو عادة التأكيد عبر طريق ثانٍ: الاتصال بذلك الشخص على رقم كان لديك أصلا.

ونقطة عن الرسائل القصيرة تُسأل باستمرار: اسم المرسل أو رقمه الذي تراه على الشاشة ليس دليلا. فحتى حين يكون الرقم المعتاد، تحط الرسالة الجديدة في خيط المحادثة نفسه وتبدو مألوفة. والقاعدة التي تغطي الحالتين بسيطة: لا تصل إلى بنكك أبدا من داخل رسالة.

من المرسل حقا، وما يفضحه البريد نفسه

سطر From في بريد إلكتروني نص كتبه المرسل بنفسه. تماما كاسم المرسل على ظرف ورقي: يمكن كتابة أي شيء هناك. ولهذا بُنيت ثلاث آليات كي يتحقق الخادم المستقبِل مما إذا كان البريد قد جاء فعلا من ذلك النطاق، ويكتب النتيجة في ترويسات الرسالة نفسها.

SPF يقول أي الخوادم مسموح لها بالإرسال نيابة عن هذا النطاق. وDKIM يضع توقيعا تشفيريا على الرسالة نفسها يُتحقق منه بمفتاح عام منشور في DNS. وDMARC يقول ماذا يفعل المستقبِل إن لم ينجح الاثنان: لا شيء، أو ضعها في البريد المزعج، أو ارفضها تماما. ولآلية عملها درس خاص في مسار الإنترنت والشبكات نفسه؛ ولا يعنينا هنا سوى نتيجتها الأمنية.

والنتيجة العملية هي: في أي بريد يمكنك فتح ترويسة Authentication-Results ورؤية ما خلص إليه الخادم المستقبِل. فإن قالت spf=fail أو dkim=fail أو dmarc=fail فقد ادّعت الرسالة ما لم تستطع إثباته. وهذه إشارة قوية تُرى في ثوانٍ.

والآن أهم جملة في هذا القسم، وهي جملة لا تكاد تُقال في أي مكان: نجاح الثلاثة جميعا لا يثبت الصدق. فهذه الآليات الثلاث تجيب عن سؤال واحد لا غير: هل جاءت هذه الرسالة فعلا من هذا النطاق؟ ومن يسجّل نطاقا شبيها هذا الصباح يستطيع ضبط السجلات الثلاثة بحلول المساء، ومن ثم يصل بريده بنجاح تام. فالنجاح يعني أن المرسل يملك هذا النطاق بعينه، ويبقى عليك أن تقرأ بنفسك هل هو النطاق الذي تظنه أم ذاك الذي غُيّر فيه حرف.

فالترتيب الصحيح إذن: انظر إلى الترويسة أولا، لأن الفشل ينهي الأمر هناك. فإن نجحت، فقارن النطاق الناجح حرفا بحرف بالنطاق الحقيقي. والخطوة الثانية لا يمكن تسليمها إلى أي نظام؛ فهي بالضبط موضع العين البشرية.

نقرت الرابط؛ ماذا أفعل الآن بالترتيب

أولا شيء يطمئنك وهو صحيح أيضا: فتح صفحة وحده ليس حدثا كبيرا عادة. فالخطر يبدأ من حيث كتبت شيئا أو فتحت ملفا. فأول عمل أن تعرف بالضبط ماذا فعلت.

إن كانت الصفحة قد فُتحت فقط ولم تدخل شيئا: أغلقها وانتهى الأمر. ولا حاجة لإطفاء الجهاز ولا لإلغاء بطاقة بنكية.

إن أدخلت كلمة مرور: ادخل إلى تلك الخدمة من طريق آخر لا من الرابط؛ اكتب العنوان بنفسك أو افتح التطبيق الرسمي. غيّر كلمة المرور، وإن كانت الكلمة نفسها مستعملة في مكان آخر فغيّرها هناك أيضا. ثم انظر في إعدادات ذلك الحساب إلى الجلسات النشطة وأخرج كل الأجهزة الأخرى. والترتيب مهم: فما دامت جلسة أحدهم مفتوحة، لا يخرجه تغيير كلمة المرور وحده.

وإن أدخلت رمز التحقق بخطوتين أيضا: افترض أن أحدا داخل الحساب الآن. امضِ في المسار أعلاه بسرعة وأعد توليد رموز الاستعادة فورا، فقد تكون القديمة قد رُئيت.

وإن أعطيت بيانات بطاقة: اتصل بالبنك، على الرقم المطبوع خلف البطاقة لا الرقم الذي كان في الرسالة، واحجب البطاقة. والسرعة هنا مهمة فعلا.

وإن وقع هذا على حساب عمل: أخبر من يدير الموقع أو الشبكة في اللحظة نفسها، مهما بدا ذلك محرجا. فالتأخير هو ما يحوّل خطأ صغيرا إلى حادثة، إذ يستطيع أحد في تلك الفجوة أن يراسل بقية زملائك من حسابك.