رسالة التصيد الاحتيالي هي رسالة تنتحل صفة جهة تثق بها كي تنقر رابطًا أو تفتح ملفًا أو تسلّم كلمة مرور أو ترسل مالًا. ويمكنك اكتشاف معظمها بالتحقق ممن أرسل الرسالة فعلًا، وإلى أين تشير روابطها حقًا، وهل تدفعك إلى التصرف بسرعة في أمر لم تكن تتوقعه.
- الاسم الظاهر نص حر؛ أما العنوان الذي يليه، وخصوصًا نطاقه، فهو المهم.
- مرّر المؤشر فوق الرابط أو انسخه قبل فتحه، واقرأ النطاق الحقيقي من اليمين إلى اليسار.
- أي طلب لتغيير بيانات الحساب المصرفي أو للموافقة على تسجيل دخول لم تبدأه ينبغي التحقق منه عبر قناة منفصلة ومعروفة.
- يثبت SPF وDKIM وDMARC أي نطاق أرسل الرسالة، لا أن الرسالة صادقة.
- إذا نقرت وكتبت كلمة مرور، فغيّرها فورًا على الموقع الحقيقي وسجّل الخروج من الجلسات الأخرى.
يستعير التصيد ثقة غيره: شعار مصرف، أو اسم زميل، أو نبرة شركة شحن. والعادات التالية تستغرق ثوانيَ وتعمل في أي تطبيق بريد.
علامات التحذير الـ12 في رسالة التصيد الاحتيالي
- الاسم الظاهر والعنوان لا يتطابقان. يمكن إلحاق «PayPal Support» بأي عنوان. اضغط على الاسم أو مرّر المؤشر فوقه لإظهار العنوان الكامل. وكتابة علامة تجارية من حساب بريد مجاني على الويب أو من نطاق لا علاقة له بها علامة تحذير قوية.
- نطاق مشابه أو متنكر. يسجّل المهاجمون نطاقات تختلف بحرف واحد (
rnicrosoft.comبحرفي «r n» بدلًا من «m»)، أو يضيفون كلمات (paypal-secure-login.com)، أو يستخدمون الاسم الحقيقي نطاقًا فرعيًا (paypal.com.account-check.net، وهو يتبعaccount-check.net). وتتيح أسماء النطاقات الدولية (IDN) حروفًا من أبجديات أخرى تبدو مطابقة للحروف اللاتينية، مثل حرف «а» السيريلي بدلًا من «a». ويبدأ شكلها الأساسي بـxn--(punycode)؛ فإذا رأيت هذه البادئة في رابط أو عنوان لم تكن تتوقعه، فعامله على أنه مريب. - الاستعجال أو الخوف أو الضغط. «سيُغلق حسابك خلال 24 ساعة»، «فاتورة غير مدفوعة»، «إجراء قانوني». المهل المصطنعة موجودة لمنعك من التحقق.
- روابط يختلف نصها عن وجهتها. يمكن للنص الظاهر في الرابط أن يقول أي شيء. وتظهر الوجهة الحقيقية عند تمرير المؤشر بالفأرة، في شريط الحالة أو في تلميح أداة. فإذا كان النص يذكر موقعًا والوجهة موقعًا آخر، فلا تنقر.
- مرفقات غير متوقعة. احذر أي ملف لم تكن تتوقعه، وخصوصًا ملفات HTML (فهي قادرة على فتح صفحة تسجيل دخول مزيفة مقنعة مخزّنة على حاسوبك نفسه)، وملفات ZIP وغيرها من الأرشيفات، وصور الأقراص ISO وIMG، والأرشيفات المحمية بكلمة مرور المكتوبة في متن الرسالة، ومستندات Office التي تطلب منك «تمكين المحتوى» أو وحدات الماكرو. والأرشيفات وصور الأقراص رائجة لأنها تستطيع إخفاء نوع الملف الحقيقي عن مرشحات البريد.
- طلب بيانات اعتماد أو بيانات شخصية. لا تطلب الشركات المشروعة منك تأكيد كلمة مرورك أو رمز PIN أو رقم بطاقتك كاملًا أو رمزًا لمرة واحدة عبر البريد الإلكتروني أو عبر رابط فيه.
- رمز QR يُطلب منك مسحه. يضع التصيد عبر QR («quishing») الرابط داخل صورة فلا تستطيع المرشحات قراءته، وتفتحه على هاتفك، وهو غالبًا أقل حماية من حاسوب العمل. كن مرتابًا من رموز QR في رسائل البريد عن إعداد المصادقة متعددة العوامل (MFA) أو توقيع المستندات أو مشكلات الحساب.
- عنوان رد (Reply-To) مختلف. قد يبدو سطر From صحيحًا بينما تذهب الردود إلى مكان آخر. عند الضغط على «رد»، تحقق من العنوان الذي يظهر في حقل «إلى». والتباين شائع في احتيال الفواتير.
- تحية عامة أو بيانات خاطئة. «عزيزي العميل» أو «عزيزي المستخدم» أو استخدام عنوان بريدك الإلكتروني بدل اسمك يوحي بحملة جماعية. لكن الاسم الصحيح لا يثبت شيئًا.
- عرض أفضل من أن يكون حقيقيًا. المبالغ المستردة غير المتوقعة والجوائز والميراث وعوائد العملات المشفّرة ووظيفة لم تتقدم إليها طُعم. وكذلك رسم صغير مطلوب لإطلاق دفعة كبيرة.
- تغيير في بيانات الدفع أو الحساب المصرفي. في اختراق البريد الإلكتروني للأعمال، «يحدّث» مورّد أو زميل أو مسؤول تنفيذي حسابه المصرفي أو يطلب تحويلًا عاجلًا أو بطاقات هدايا. وقد تأتي الرسالة من حساب مخترَق فعلًا، لذا قد تجتاز كل الفحوص التقنية.
- طلبات أو رموز مصادقة متعددة العوامل لم تطلبها. سيل من طلبات الموافقة على هاتفك، أو رسالة بريد تطلب منك قراءة رمز، يعني أن شخصًا ربما يملك كلمة مرورك أصلًا ويحاول تجاوز العامل الثاني. ارفض الطلب وغيّر كلمة مرورك.
مرجع سريع: أين تنظر
| جزء الرسالة | ما الذي تتحقق منه | علامة التحذير |
|---|---|---|
| سطر From | العنوان والنطاق كاملين، لا الاسم فقط | بريد مجاني على الويب، أو نطاق بتهجئة خاطئة أو لا صلة له، أو xn-- |
| Reply-To | العنوان الذي يظهر عند الرد | نطاق مختلف عن المرسل |
| الروابط | الوجهة الحقيقية عند تمرير المؤشر أو عند النسخ | اختلاف النص عن الوجهة، أو مختصِرات الروابط، أو نطاقات غريبة |
| المرفقات | نوع الملف وهل كنت تتوقعه | .html و.htm و.zip و.iso و.img، أو وحدات ماكرو، أو كلمة مرور في الرسالة |
| الطلب | ما تريده الرسالة منك | تسجيل الدخول، أو الدفع، أو تغيير بيانات الحساب المصرفي، أو الموافقة على MFA، أو مسح رمز QR |
| الترويسات | نتائج SPF وDKIM وDMARC | الفشل، أو النجاح لنطاق غير نطاق العلامة التجارية نفسها |
كيف تفحص رابطًا دون فتحه
- على الحاسوب، مرّر المؤشر فوق الرابط وانتظر ظهور العنوان الحقيقي أسفل النافذة أو في تلميح أداة.
- على الهاتف، اضغط على الرابط مطولًا لترى العنوان. وتعرض بعض الهواتف معاينة حية للصفحة، لذا فنسخ الرابط ولصقه في تطبيق ملاحظات أكثر أمانًا.
- اعثر على النطاق المسجَّل: اقرأ اسم المضيف من اليمين، حتى أول شرطة مائلة مفردة. ففي
https://login.example.com.secure-verify.io/accountالنطاق هوsecure-verify.io، لا example.com. - إذا كنت تحتاج إلى زيارة الخدمة، فاكتب عنوانها بنفسك أو استخدم إشارة مرجعية أو التطبيق الرسمي بدلًا من الرابط.
يفحص محلل رسائل التصيد الاحتيالي لدينا النص أو الترويسات التي تلصقها بحثًا عن روابط خادعة ومرسلين منتحلين وعلامات تحذير أخرى دون أن تضطر إلى فتح أي شيء.
كيف تقرأ ترويسات البريد الإلكتروني بأمان
تحمل كل رسالة بريد إلكتروني ترويسات مخفية تسجّل الخوادم التي تعاملت معها وهل اجتازت المصادقة. وعرضها آمن لأنك تقرأ نصًا فقط. وهذه أماكنها:
- Gmail: افتح الرسالة، واختر قائمة النقاط الثلاث، ثم عرض الرسالة الأصلية.
- Outlook على الويب وOutlook الجديد: افتح الرسالة، واختر قائمة النقاط الثلاث، ثم عرض وعرض تفاصيل الرسالة.
- Outlook الكلاسيكي لنظام Windows: افتح الرسالة، ثم ملف وخصائص، وانظر في رؤوس إنترنت.
- Apple Mail: عرض ثم الرسالة ثم كل الرؤوس أو المصدر الخام.
أكثر الأسطر فائدة هو عادةً Authentication-Results، الذي يضيفه مزوّد بريدك أنت:
Authentication-Results: mx.example.net;
spf=pass smtp.mailfrom=bounce.example-shop.com;
dkim=pass header.d=example-shop.com;
dmarc=pass header.from=example-shop.comتحقق من أن النطاقات هنا تطابق العلامة التجارية التي تتوقعها. وقارن أيضًا عناوين From وReply-To وReturn-Path، واقرأ أسطر Received من الأسفل إلى الأعلى لترى من أين بدأت الرسالة. ويعرض لصق الترويسات في محلل ترويسات البريد الإلكتروني لدينا كل قفزة ونتيجة مصادقة بصورة مقروءة.
ما الذي يستطيع SPF وDKIM وDMARC إخبارك به وما الذي لا يستطيع
تتيح هذه المعايير الثلاثة لخادم الاستقبال أن يتحقق من أن الرسالة جاءت فعلًا من النطاق الذي تدّعيه:
- SPF يسرد الخوادم المسموح لها بإرسال البريد عن نطاق ما، ويُتحقق منه مقابل مرسل المظروف (
Return-Path). - DKIM يضيف توقيعًا تشفيريًا يثبت أن نطاقًا ما تحمّل مسؤولية الرسالة وأن الأجزاء الموقَّعة لم تتغير.
- DMARC يشترط نجاح SPF أو DKIM لنطاق يتوافق مع عنوان From الظاهر، ويخبر المستقبِلين بما يفعلونه عند عدم النجاح: لا شيء، أو الحجر، أو الرفض.
عندما تنشر علامة تجارية سياسة DMARC صارمة، لا يستطيع المجرمون بسهولة وضع هذا النطاق بعينه في سطر From. ولهذا يستخدم التصيد في الغالب نطاقات مشابهة أو حيل الاسم الظاهر أو حسابات مخترَقة بدلًا من ذلك. فقد تجتاز رسالة من paypa1-billing.com فحوص SPF وDKIM وDMARC على أكمل وجه لنطاقها هي. النجاح يثبت من أرسل الرسالة، لا أن المرسل صادق. أما الفشل في رسالة تدّعي أنها من علامة تجارية كبيرة فهو، في المقابل، سبب قوي للريبة.
إذا كنت تدير نطاقًا، فتحقق من وجود سجلاتك بواسطة أداة فحص SPF وDMARC لدينا، واقرأ شرح SPF وDKIM وDMARC لتفاصيل الإعداد.
ماذا تفعل برسالة مريبة
- لا تنقر الروابط ولا تفتح المرفقات ولا تمسح رموز QR ولا تردّ.
- تحقق عبر قناة منفصلة: اتصل بالشخص على رقم لديك أصلًا، أو سجّل الدخول إلى الخدمة بكتابة عنوانها.
- أبلغ عنها. في العمل، استخدم زر «الإبلاغ عن التصيد الاحتيالي» أو أعد توجيهها بحسب طلب فريق تقنية المعلومات. وفي Gmail وOutlook، استخدم خيار الإبلاغ عن التصيد الاحتيالي المدمج. وفي المملكة المتحدة يمكنك إعادة توجيه الرسائل المريبة إلى NCSC (المركز الوطني للأمن السيبراني) على
report@phishing.gov.uk؛ وفي الولايات المتحدة يمكنك الإبلاغ عن الاحتيال إلى FTC (لجنة التجارة الفيدرالية) على reportfraud.ftc.gov.
ماذا تفعل إذا نقرت بالفعل
المهم هو ما حدث بعد النقرة. تصرّف بسرعة:
- إذا أدخلت كلمة مرور، فغيّرها فورًا على الموقع الحقيقي، بكتابة عنوانه يدويًا، وعلى أي حساب آخر يستخدم كلمة المرور نفسها. ثم سجّل الخروج من كل الجلسات الأخرى، وتتيح ذلك معظم الخدمات الكبرى في إعدادات الأمان.
- فعّل المصادقة متعددة العوامل (MFA) أو راجعها. أزل أي أجهزة أو كلمات مرور تطبيقات أو تسجيلات تطبيقات مصادقة لا تتعرف عليها. وتقاوم مفاتيح المرور (passkeys) ومفاتيح الأمان المادية التصيد لأنها لا تعمل إلا على الموقع الحقيقي.
- افحص إعدادات صندوق بريدك. المهاجمون الذين يدخلون حساب بريد إلكتروني كثيرًا ما يضيفون قواعد إعادة توجيه أو عوامل تصفية تخفي الردود. ابحث عن قواعد لم تنشئها أنت.
- إذا فتحت مرفقًا أو شغّلت ملفًا، فافصل الجهاز عن الشبكة وتواصل مع فريق تقنية المعلومات، أو شغّل فحصًا كاملًا ببرنامج أمان محدَّث إذا كان جهازًا شخصيًا.
- إذا أرسلت مالًا أو بيانات بطاقة، فاتصل بمصرفك أو مزوّد بطاقتك فورًا على الرقم المطبوع على بطاقتك أو في موقعه الرسمي. فالسرعة ترفع فرصة إيقاف الدفعة.
- أخبر من قد يستهدفهم المهاجم بعدك، مثل الزملاء أو جهات الاتصال، إذا استُخدم حسابك لإرسال رسائل.
الأسئلة الشائعة
هل يمكن اختراقي بمجرد فتح رسالة تصيد؟
بالنسبة إلى المستخدمين العاديين على تطبيقات بريد محدَّثة، نادرًا ما يكفي مجرد فتح الرسالة. فالخطر يأتي من النقر على الروابط أو فتح المرفقات أو إدخال البيانات أو الرد. وتحميل الصور البعيدة قد يؤكد للمرسل أن عنوانك نشط.
ما الفرق بين التصيد والتصيد الموجَّه (spear phishing)؟
يُرسَل التصيد إلى أعداد كبيرة من الناس بطُعم عام. أما التصيد الموجَّه فيستهدف شخصًا أو مؤسسة بعينها ويستخدم أسماءً وأدوارًا ومشاريع أو موردين حقيقيين ليبدو موثوقًا، وهذا يجعل اكتشافه أصعب.
إذا اجتازت الرسالة SPF وDKIM وDMARC، فهل هي آمنة؟
لا. النجاح لا يثبت إلا أن النطاق في عنوان From قد أجاز الرسالة. ويستطيع المجرمون تسجيل نطاقاتهم المشابهة بسجلات صالحة، وتجتاز الحسابات الحقيقية المخترَقة الفحص أيضًا. احكم دائمًا على النطاق نفسه وعلى ما تطلبه منك الرسالة.
كيف أتحقق من أن الرابط في رسالة بريد آمن؟
مرّر المؤشر فوقه أو انسخه دون فتحه، وحدد النطاق المسجَّل بالقراءة من اليمين، وقارنه بالنطاق الحقيقي للمؤسسة. وإذا شككت، فانتقل إلى الموقع مباشرةً بدلًا من استخدام الرابط.
لماذا تستخدم رسائل التصيد رموز QR؟
يخفي رمز QR الرابط داخل صورة لا تفك كثير من المرشحات ترميزها، وينقلك إلى هاتفك الذي قد يفتقر إلى حماية حاسوب العمل المُدار، ويصعب فيه فحص العنوان الكامل.
التعليقات
سجّل الدخول لتقييم هذه الأداة.
شارك نصيحة أو اطرح سؤالًا أو أخبر الآخرين كيف عملت الأداة معك.
لا توجد تعليقات بعد. كن أول من يشارك تجربته.