الأمان الرقمي للأسرة .. من الوعي إلى الممارسة (1 من 5)

1- التصيّد الإلكتروني: كيف يُصمَّم الطُعم وكيف تتعرف عليه في ثوانٍ

في مساء يوم عادي، تصل رسالة إلى هاتف أم تجلس مع أبنائها: “تم تعليق حسابك البنكي بسبب نشاط مشبوه. لتفادي الإغلاق النهائي، يرجى تأكيد بياناتك خلال 24 ساعة عبر الرابط التالي”. الرسالة تحمل اسم البنك، والرابط يبدو مألوفاً، والتوقيت متأخر بما يكفي لتعذّر الاتصال بأي موظف. تضغط الأم الرابط، تُدخل رقم البطاقة ورمز التحقق، وفي أقل من دقيقة تختفي مدخرات شهر كامل.

هذه القصة تتكرر يومياً بملايين النسخ، وتتغير فيها الأسماء والمبالغ، ولا تتغير الآلية. اسم هذه الآلية هو التصيّد الإلكتروني (Phishing)، وهو المدخل الأول لمعظم عمليات الاحتيال والاختراق التي تصيب الأفراد والمؤسسات على حد سواء. والخبر الجيد أن التصيّد يعتمد على استغلال الإنسان أكثر مما يعتمد على استغلال التقنية، ولذلك فإن أهم أداة للحماية منه هي وعي هذا الإنسان.

ما التصيّد الإلكتروني؟

التصيّد هو محاولة خداعك لتقوم أنت بنفسك بتسليم شيء ثمين: كلمة مرور، رقم بطاقة، رمز تحقق، أو حتى الضغط على رابط يُثبّت برنامجاً خبيثاً على جهازك. الكلمة الإنجليزية مشتقة من “الصيد بالطُعم”، والتشبيه دقيق: المحتال لا يقتحم بيتك، وإنما يُلقي طُعماً ويكتفي بالانتظار.

الفرق الجوهري بين التصيّد والاختراق التقني أن الاختراق يستهدف ثغرة في البرنامج، بينما يستهدف التصيّد ثغرة في التفكير. ولهذا فإن أحدث أجهزة الحماية لا تنفع إذا قام صاحب الحساب بإدخال كلمة مروره طوعاً في صفحة مزيفة.

كيف يُصمَّم الطُعم؟ التشريح النفسي للرسالة المخادعة

تكاد كل رسالة تصيّد ناجحة تجمع بين أربعة مكونات نفسية. تعلّم هذه المكونات يعني أنك تستطيع كشف الرسالة قبل أن تقرأ الرابط أصلاً.

لاحظ أن الاستعجال هو القاسم المشترك الأكبر. الجهات الحقيقية نادراً ما تمنحك مهلة ساعات لاتخاذ قرار مالي، والبنك الذي يريد التحقق من حسابك لن يطلب منك ذلك عبر رابط في رسالة نصية.

أشكال التصيّد التي تصل إلى الأسرة اليوم

لم يعد التصيّد مقتصراً على البريد الإلكتروني. الأشكال الأكثر انتشاراً في منطقتنا العربية حالياً هي:

1. الرسائل النصية (Smishing): رسائل SMS باسم بنك أو شركة توصيل أو جهة حكومية، مع رابط قصير. هذا هو الشكل الأكثر إصابة للأسر لأن الرسالة تصل مباشرة إلى الجيب.
2. المكالمات الهاتفية (Vishing): متصل يدّعي أنه من خدمة العملاء، ويطلب “رمز التحقق الذي وصلك الآن لتأكيد هويتك”. الرمز الذي يطلبه هو ما يحتاجه لسرقة حسابك.
3. تطبيقات المراسلة ووسائل التواصل: رسالة من حساب صديق مخترق: “صوّت لابنتي في المسابقة”، أو “جرّب هذا الرابط”. الثقة بالمرسل هي الطُعم هنا.
4. رموز الاستجابة السريعة (Quishing): ملصق برمز QR على عمود إنارة أو منشور يعد بخصم، ويقود إلى صفحة دفع مزيفة.
5. البريد الإلكتروني المستهدف (Spear Phishing): رسالة مصممة لك أنت تحديداً، تذكر اسمك ووظيفتك ومشروعاً تعمل عليه، وغالباً تستهدف الموظفين في مواقع مسؤولية.
6. الرسائل المولّدة بالذكاء الاصطناعي: كان الخطأ الإملائي علامة تقليدية على الرسالة المزيفة. اليوم يكتب المحتالون رسائل بلغة عربية سليمة، وأحياناً بأصوات مستنسخة لأقارب. لم يعد ضعف اللغة دليلاً يمكن الاعتماد عليه.

اختبار الثواني الخمس

قبل أن تضغط أو تُجيب أو تُرسل، اسأل نفسك هذه الأسئلة الخمسة. إذا كانت إجابة أي منها “نعم” فتوقف:

1. هل تطلب الرسالة تصرفاً فورياً تحت تهديد أو إغراء؟
2. هل تطلب معلومة لا ينبغي لأحد أن يطلبها؟ (كلمة مرور، رمز تحقق OTP، رقم البطاقة كاملاً، الرقم السري)
3. هل كنت تتوقع هذه الرسالة؟ طرد لم تطلبه، جائزة لم تشارك فيها، فاتورة لخدمة لا تستخدمها.
4. هل الرابط أو رقم المرسل يختلف ولو قليلاً عن الرسمي؟
5. هل تشعر بضغط عاطفي (خوف، إحراج، حماس) يدفعك للإسراع؟

القاعدة الذهبية: الرسالة الحقيقية تحتمل الانتظار. المحتال وحده لا يحتمله.

كيف تقرأ الرابط دون أن تضغطه؟

الرابط هو قلب معظم عمليات التصيّد، وقراءته مهارة يمكن لكل فرد في الأسرة تعلّمها في دقائق.

• العنوان الحقيقي هو ما يسبق أول شرطة مائلة “/” بعد “https://”. مثال: في الرابط https://qnb-secure.verify-account.com/login الموقع الحقيقي هو verify-account.com وليس البنك، مهما ظهر اسم البنك في بداية العنوان.
• الأحرف المتشابهة: الرقم 0 بدل الحرف O، وحرف l الصغير بدل I الكبير، وrn بدل m. فرق لا تلاحظه العين المستعجلة.
• الروابط المختصرة (bit.ly وأمثالها) تخفي الوجهة الحقيقية. تعامل معها بحذر إذا جاءت في سياق مالي.
• القفل الأخضر و“https” لا يعنيان الأمان. يعنيان فقط أن الاتصال مشفّر، والمحتال يستطيع الحصول على شهادة تشفير لموقعه المزيف بسهولة.
• على الهاتف، اضغط مطولاً على الرابط لعرض عنوانه الكامل قبل الانتقال إليه. على الحاسوب، مرّر المؤشر فوقه واقرأ العنوان أسفل المتصفح.

الأسلم من كل ذلك: لا تدخل إلى أي حساب مالي عبر رابط وصلك. افتح التطبيق الرسمي أو اكتب عنوان الموقع بنفسك.

إذا ضغطت الرابط فعلاً، ماذا تفعل؟

الوقوع في الفخ لا يعني نهاية القصة، والدقائق الأولى هي الأهم:

1. إذا أدخلت كلمة مرور: غيّرها فوراً من الموقع الرسمي، وغيّر كل حساب يستخدم الكلمة نفسها.
2. إذا أدخلت بيانات بطاقة: اتصل بالبنك من الرقم المطبوع خلف البطاقة واطلب إيقافها.
3. إذا أدخلت رمز تحقق: اعتبر الحساب مخترقاً وتواصل مع الجهة فوراً.
4. إذا ثُبّت تطبيق أو ملف: افصل الجهاز عن الإنترنت واحذف التطبيق، وافحص الجهاز ببرنامج حماية موثوق.
5. بلّغ الجهة المختصة بالجرائم الإلكترونية في بلدك، وبلّغ الجهة التي انتحل المحتال صفتها. البلاغ يحمي غيرك.
6. لا تخجل من إخبار أسرتك. الصمت خوفاً من اللوم هو ما يجعل الضحية تُصاب مرة ثانية.

الأسرة: الحلقة الأضعف هي الحلقة التي لم تُدرَّب

في البيت الواحد تتفاوت درجات الوعي كثيراً. الشاب المتمرس تقنياً قد يسخر من رسائل التصيّد، بينما يكون جدّه أو والدته الهدف الأسهل. بعض العادات العملية التي تصنع فرقاً:

• قاعدة “اسأل قبل أن تضغط“: اتفقوا أن أي رسالة تطلب مالاً أو بيانات تُعرض على فرد آخر في الأسرة قبل التصرف. رأي ثانٍ يكسر الاستعجال.
• جلسة عائلية قصيرة كل شهر: اعرضوا معاً أمثلة لرسائل مزيفة وصلت إلى أي منكم. التعلّم من النماذج الحقيقية أبقى أثراً من أي محاضرة.
• كبار السن تحديداً: اضبط لهم الحسابات البنكية بحيث تصل إشعارات العمليات إلى هاتف أحد الأبناء أيضاً، واتفق معهم أن أي مكالمة تطلب رمزاً تُغلق ثم يُتصل بك.
• الأطفال: علّمهم أن “الجائزة المجانية” و”شحن اللعبة مجاناً” في الرسائل هي أقدم الطعوم وأكثرها فعالية عليهم.

خاتمة: التثبّت عبادة وحماية

أمرنا القرآن الكريم بالتثبت من الخبر قبل التصرف بناء عليه، وهو منهج وقائي كامل لعصر الرسائل الفورية. المحتال يراهن على أن تتصرف قبل أن تتثبت، والوعي يعني ببساطة أن تعكس الترتيب: تثبّت أولاً، ثم تصرّف. الثواني القليلة التي تقضيها في قراءة الرابط، أو في الاتصال بالجهة من رقمها الرسمي، هي أرخص تأمين تشتريه لمدخراتك وأمان أسرتك.

في المقال القادم من هذه السلسلة نتناول الوجه الأكثر جرأة للتصيّد: المحتال الذي يتصل بك بصوته مدّعياً أنه من البنك أو من جهة رسمية، وكيف تميّز الجهة الحقيقية من المنتحل.