الأمان الرقمي للأسرة..من الوعي إلى الممارسة

[ابوالوليد المسلم]

الأمان الرقمي للأسرة..من الوعي إلى الممارسة (1 من 5)
التصيّد الإلكتروني: كيف يُصمَّم الطُعم وكيف تتعرف عليه في ثوانٍ
أنور فتح الرحمن أحمد دفع الله


في مساء يوم عادي، تصل رسالة إلى هاتف أم تجلس مع أبنائها: “تم تعليق حسابك البنكي بسبب نشاط مشبوه. لتفادي الإغلاق النهائي، يرجى تأكيد بياناتك خلال 24 ساعة عبر الرابط التالي”. الرسالة تحمل اسم البنك، والرابط يبدو مألوفاً، والتوقيت متأخر بما يكفي لتعذّر الاتصال بأي موظف. تضغط الأم الرابط، تُدخل رقم البطاقة ورمز التحقق، وفي أقل من دقيقة تختفي مدخرات شهر كامل.

هذه القصة تتكرر يومياً بملايين النسخ، وتتغير فيها الأسماء والمبالغ، ولا تتغير الآلية. اسم هذه الآلية هو التصيّد الإلكتروني (Phishing)، وهو المدخل الأول لمعظم عمليات الاحتيال والاختراق التي تصيب الأفراد والمؤسسات على حد سواء. والخبر الجيد أن التصيّد يعتمد على استغلال الإنسان أكثر مما يعتمد على استغلال التقنية، ولذلك فإن أهم أداة للحماية منه هي وعي هذا الإنسان.
ما التصيّد الإلكتروني؟

التصيّد هو محاولة خداعك لتقوم أنت بنفسك بتسليم شيء ثمين: كلمة مرور، رقم بطاقة، رمز تحقق، أو حتى الضغط على رابط يُثبّت برنامجاً خبيثاً على جهازك. الكلمة الإنجليزية مشتقة من “الصيد بالطُعم”، والتشبيه دقيق: المحتال لا يقتحم بيتك، وإنما يُلقي طُعماً ويكتفي بالانتظار.

الفرق الجوهري بين التصيّد والاختراق التقني أن الاختراق يستهدف ثغرة في البرنامج، بينما يستهدف التصيّد ثغرة في التفكير. ولهذا فإن أحدث أجهزة الحماية لا تنفع إذا قام صاحب الحساب بإدخال كلمة مروره طوعاً في صفحة مزيفة.
كيف يُصمَّم الطُعم؟ التشريح النفسي للرسالة المخادعة

تكاد كل رسالة تصيّد ناجحة تجمع بين أربعة مكونات نفسية. تعلّم هذه المكونات يعني أنك تستطيع كشف الرسالة قبل أن تقرأ الرابط أصلاً.
مثال من رسالة حقيقية وظيفته في الخداع المكوّن
“خلال 24 ساعة”، “آخر فرصة”، “سيتم الإغلاق اليوم“ تعطيل التفكير الهادئ ودفعك للتصرف الفوري الاستعجال
اسم البنك، الشرطة، وزارة، شركة توصيل، الإدارة في عملك استعارة هيبة جهة تثق بها السلطة
“حسابك مخترق”، “ربحت جائزة”، “طرد بانتظارك“ تحريك عاطفة قوية تسبق العقل الخوف أو الطمع
الشعار، الألوان، رقم مرجعي، توقيع موظف، لغة رسمية إسكات الشك بتفاصيل تبدو رسمية الوهم بالشرعية

لاحظ أن الاستعجال هو القاسم المشترك الأكبر. الجهات الحقيقية نادراً ما تمنحك مهلة ساعات لاتخاذ قرار مالي، والبنك الذي يريد التحقق من حسابك لن يطلب منك ذلك عبر رابط في رسالة نصية.
أشكال التصيّد التي تصل إلى الأسرة اليوم

لم يعد التصيّد مقتصراً على البريد الإلكتروني. الأشكال الأكثر انتشاراً في منطقتنا العربية حالياً هي:

الرسائل النصية (Smishing): رسائل SMS باسم بنك أو شركة توصيل أو جهة حكومية، مع رابط قصير. هذا هو الشكل الأكثر إصابة للأسر لأن الرسالة تصل مباشرة إلى الجيب.
المكالمات الهاتفية (Vishing): متصل يدّعي أنه من خدمة العملاء، ويطلب “رمز التحقق الذي وصلك الآن لتأكيد هويتك”. الرمز الذي يطلبه هو ما يحتاجه لسرقة حسابك.
تطبيقات المراسلة ووسائل التواصل: رسالة من حساب صديق مخترق: “صوّت لابنتي في المسابقة”، أو “جرّب هذا الرابط”. الثقة بالمرسل هي الطُعم هنا.
رموز الاستجابة السريعة (Quishing): ملصق برمز QR على عمود إنارة أو منشور يعد بخصم، ويقود إلى صفحة دفع مزيفة.
البريد الإلكتروني المستهدف (Spear Phishing): رسالة مصممة لك أنت تحديداً، تذكر اسمك ووظيفتك ومشروعاً تعمل عليه، وغالباً تستهدف الموظفين في مواقع مسؤولية.
الرسائل المولّدة بالذكاء الاصطناعي: كان الخطأ الإملائي علامة تقليدية على الرسالة المزيفة. اليوم يكتب المحتالون رسائل بلغة عربية سليمة، وأحياناً بأصوات مستنسخة لأقارب. لم يعد ضعف اللغة دليلاً يمكن الاعتماد عليه.

اختبار الثواني الخمس


قبل أن تضغط أو تُجيب أو تُرسل، اسأل نفسك هذه الأسئلة الخمسة. إذا كانت إجابة أي منها “نعم” فتوقف:

هل تطلب الرسالة تصرفاً فورياً تحت تهديد أو إغراء؟
هل تطلب معلومة لا ينبغي لأحد أن يطلبها؟ (كلمة مرور، رمز تحقق OTP، رقم البطاقة كاملاً، الرقم السري)
هل كنت تتوقع هذه الرسالة؟ طرد لم تطلبه، جائزة لم تشارك فيها، فاتورة لخدمة لا تستخدمها.
هل الرابط أو رقم المرسل يختلف ولو قليلاً عن الرسمي؟
هل تشعر بضغط عاطفي (خوف، إحراج، حماس) يدفعك للإسراع؟

القاعدة الذهبية: الرسالة الحقيقية تحتمل الانتظار. المحتال وحده لا يحتمله.

كيف تقرأ الرابط دون أن تضغطه؟

الرابط هو قلب معظم عمليات التصيّد، وقراءته مهارة يمكن لكل فرد في الأسرة تعلّمها في دقائق.

العنوان الحقيقي هو ما يسبق أول شرطة مائلة “/” بعد “https://”. مثال: في الرابط https://qnb-secure.verify-account.com/login الموقع الحقيقي هو verify-account.com وليس البنك، مهما ظهر اسم البنك في بداية العنوان.
الأحرف المتشابهة: الرقم 0 بدل الحرف O، وحرف l الصغير بدل I الكبير، وrn بدل m. فرق لا تلاحظه العين المستعجلة.
الروابط المختصرة (bit.ly وأمثالها) تخفي الوجهة الحقيقية. تعامل معها بحذر إذا جاءت في سياق مالي.
القفل الأخضر و“https” لا يعنيان الأمان. يعنيان فقط أن الاتصال مشفّر، والمحتال يستطيع الحصول على شهادة تشفير لموقعه المزيف بسهولة.
على الهاتف، اضغط مطولاً على الرابط لعرض عنوانه الكامل قبل الانتقال إليه. على الحاسوب، مرّر المؤشر فوقه واقرأ العنوان أسفل المتصفح.

الأسلم من كل ذلك: لا تدخل إلى أي حساب مالي عبر رابط وصلك. افتح التطبيق الرسمي أو اكتب عنوان الموقع بنفسك.
إذا ضغطت الرابط فعلاً، ماذا تفعل؟

الوقوع في الفخ لا يعني نهاية القصة، والدقائق الأولى هي الأهم:

إذا أدخلت كلمة مرور: غيّرها فوراً من الموقع الرسمي، وغيّر كل حساب يستخدم الكلمة نفسها.
إذا أدخلت بيانات بطاقة: اتصل بالبنك من الرقم المطبوع خلف البطاقة واطلب إيقافها.
إذا أدخلت رمز تحقق: اعتبر الحساب مخترقاً وتواصل مع الجهة فوراً.
إذا ثُبّت تطبيق أو ملف: افصل الجهاز عن الإنترنت واحذف التطبيق، وافحص الجهاز ببرنامج حماية موثوق.
بلّغ الجهة المختصة بالجرائم الإلكترونية في بلدك، وبلّغ الجهة التي انتحل المحتال صفتها. البلاغ يحمي غيرك.
لا تخجل من إخبار أسرتك. الصمت خوفاً من اللوم هو ما يجعل الضحية تُصاب مرة ثانية.

الأسرة: الحلقة الأضعف هي الحلقة التي لم تُدرَّب

في البيت الواحد تتفاوت درجات الوعي كثيراً. الشاب المتمرس تقنياً قد يسخر من رسائل التصيّد، بينما يكون جدّه أو والدته الهدف الأسهل. بعض العادات العملية التي تصنع فرقاً:

قاعدة “اسأل قبل أن تضغط“: اتفقوا أن أي رسالة تطلب مالاً أو بيانات تُعرض على فرد آخر في الأسرة قبل التصرف. رأي ثانٍ يكسر الاستعجال.
جلسة عائلية قصيرة كل شهر: اعرضوا معاً أمثلة لرسائل مزيفة وصلت إلى أي منكم. التعلّم من النماذج الحقيقية أبقى أثراً من أي محاضرة.
كبار السن تحديداً: اضبط لهم الحسابات البنكية بحيث تصل إشعارات العمليات إلى هاتف أحد الأبناء أيضاً، واتفق معهم أن أي مكالمة تطلب رمزاً تُغلق ثم يُتصل بك.
الأطفال: علّمهم أن “الجائزة المجانية” و”شحن اللعبة مجاناً” في الرسائل هي أقدم الطعوم وأكثرها فعالية عليهم.

خاتمة: التثبّت عبادة وحماية

أمرنا القرآن الكريم بالتثبت من الخبر قبل التصرف بناء عليه، وهو منهج وقائي كامل لعصر الرسائل الفورية. المحتال يراهن على أن تتصرف قبل أن تتثبت، والوعي يعني ببساطة أن تعكس الترتيب: تثبّت أولاً، ثم تصرّف. الثواني القليلة التي تقضيها في قراءة الرابط، أو في الاتصال بالجهة من رقمها الرسمي، هي أرخص تأمين تشتريه لمدخراتك وأمان أسرتك.

في المقال القادم من هذه السلسلة نتناول الوجه الأكثر جرأة للتصيّد: المحتال الذي يتصل بك بصوته مدّعياً أنه من البنك أو من جهة رسمية، وكيف تميّز الجهة الحقيقية من المنتحل.

[ابوالوليد المسلم]

الأمان الرقمي للأسرة..من الوعي إلى الممارسة (2 من 5)
“أنا من البنك”: انتحال صفة الجهات الرسمية والاحتيال المالي
أنور فتح الرحمن أحمد دفع الله

يرن الهاتف من رقم يبدأ بالمفتاح المحلي. صوت هادئ ومهني: “معك أحمد من إدارة مكافحة الاحتيال في البنك. رصدنا محاولة سحب من بطاقتكم بمبلغ ثلاثة آلاف من دولة أخرى. هل قمتم بهذه العملية؟”. تُنكر بطبيعة الحال، فيطمئنك: “لا تقلق، سنوقف العملية الآن، فقط أحتاج تأكيد هويتك. سيصلك رمز على هاتفك، أرجو قراءته لي”.

الرمز الذي وصلك هو رمز تحويل من حسابك، والصوت الهادئ كان ينفّذ عملية السرقة بيديك.

تناولنا في المقال السابق التصيّد عبر الرسائل والروابط. في هذا المقال ننتقل إلى الشكل الأكثر جرأة وربحاً للمحتالين: انتحال صفة جهة رسمية، سواء كانت بنكاً أو جهة حكومية أو شركة كبرى، عبر الهاتف أو الرسائل أو حتى بمقابلة شخصية. هذا الشكل يستهدف أغلى ما تملكه الأسرة: مدخراتها، وثقتها بالمؤسسات.
لماذا ينجح انتحال الصفة؟

تربّينا على احترام الجهات الرسمية والاستجابة لها، وهذا سلوك صحيح ومطلوب في المجتمع. المحتال يعرف ذلك ويستثمره. عندما يقول “أنا من الشرطة” أو “من البنك المركزي”، فإنه يستعير في لحظة واحدة سلطة مؤسسة كاملة، ويضعك في موقع من يُطلب منه الامتثال لا التساؤل.

يضاف إلى ذلك ثلاثة عوامل تقنية جعلت الانتحال أسهل من أي وقت مضى:

تزييف رقم المتصل (Caller ID Spoofing): يستطيع المحتال أن يجعل رقم البنك الحقيقي يظهر على شاشتك أثناء المكالمة. ظهور الرقم الرسمي لم يعد دليلاً على شيء.
تسريبات البيانات: كثير من المحتالين يبدأ المكالمة وهو يعرف اسمك الكامل، والأرقام الأخيرة من بطاقتك، وأحياناً آخر عملية شراء قمت بها، لأن هذه البيانات سُرّبت من جهة ما. معرفته بتفاصيلك لا تعني أنه من الجهة التي يدّعيها.
الأصوات المستنسخة بالذكاء الاصطناعي: ظهرت حالات لمكالمات بصوت قريب يطلب مالاً عاجلاً، وأخرى بأصوات تحاكي موظفي خدمة العملاء بلهجات محلية متقنة.

السيناريوهات الأكثر تكراراً

بحكم عملي في تدريب الكوادر الأمنية على الجرائم الإلكترونية، تتكرر أمامي مجموعة محدودة من السيناريوهات بنسخ مختلفة. معرفة هذه القوالب تعني أنك ستتعرف على المحتال من جملته الأولى.
ما يريده المحتال فعلاً الجملة المفتاحية السيناريو
رمز التحقق OTP أو بيانات البطاقة “رصدنا عملية مشبوهة، نحتاج تأكيد هويتك” إيقاف البطاقة أو الحساب
تسجيل دخول على صفحة مزيفة “بطاقتك ستتوقف ما لم تحدّث بياناتك اليوم” تحديث البيانات
تحويل مالي “لإثبات حسن النية” أو بيانات شخصية “هناك بلاغ أو قضية باسمك، لتسوية الأمر اليوم…” الشرطة أو النيابة
مبلغ صغير يفتح الباب لسرقة بيانات البطاقة “طردك محتجز، ادفع رسوماً بسيطة للإفراج عنه” الجمارك والطرود
بيانات الحساب البنكي “لديك مبلغ مسترد أو دعم حكومي، أدخل بيانات حسابك لاستلامه” الجهات الحكومية والمكافآت
رمز يُستخدم لاختطاف رقمك أو حسابات مرتبطة به “هناك مشكلة في خطك، سنرسل رمزاً لتفعيله” شركة الاتصالات
استغلال الرغبة في الخير لسرقة الأموال “حملة إغاثة عاجلة، تبرّع عبر هذا الرابط” الجهات الخيرية
رسوم مقدمة ثم بيانات شخصية للاحتيال لاحقاً “وظيفة عن بعد براتب مجزٍ، فقط ادفع رسوم التسجيل” العروض الوظيفية والاستثمار

يلاحظ القارئ أن معظم هذه السيناريوهات ينتهي إلى مطلبين لا ثالث لهما: رمز التحقق، أو تحويل مالي. أي مكالمة تنتهي إلى أحدهما هي احتيال حتى يثبت العكس.

ما تفعله الجهات الرسمية، وما لا تفعله أبداً


هذا الجدول يستحق أن يُطبع ويُعلّق في البيت. السطر الأيمن منه هو خط الدفاع الأول للأسرة كلها.
الجهة الحقيقية قد تفعل الجهة الحقيقية لا تفعل أبداً
تتصل لتنبيهك بعملية مشبوهة وتطلب منك التوجه إلى الفرع أو التطبيق تطلب رمز التحقق OTP أو الرقم السري بأي وسيلة
ترسل إشعاراً عبر التطبيق الرسمي تطلب تحويل أموال إلى “حساب آمن” أو “حساب مؤقت”
تطلب منك الاتصال بها على رقمها المعلن تهددك بالسجن أو الإغلاق خلال ساعات إذا لم تتصرف فوراً
تمنحك وقتاً للتحقق والمراجعة تطلب منك السرية وعدم إخبار أحد
تخاطبك من قنواتها الرسمية ترسل روابط تسجيل دخول عبر رسائل نصية أو واتساب
تسمح لك بإنهاء المكالمة والعودة إليها تصرّ على بقائك على الخط أثناء تنفيذ الخطوات

قاعدة تختصر الجدول كله: الجهة الحقيقية لا تحتاج منك شيئاً لا تملكه هي أصلاً. البنك يعرف رقم بطاقتك، والشرطة لا تحصّل غرامات عبر واتساب، والجهة الحكومية لا تطلب كلمة مرور حسابك البنكي لتودع فيه مبلغاً.
قاعدة الإغلاق والعودة

هناك سلوك واحد يُبطل كل سيناريوهات الانتحال مهما بلغت إتقاناً:

أغلق المكالمة، بأدب إن شئت: “سأتصل بكم من الرقم الرسمي”.
لا تعاود الاتصال على الرقم الذي اتصل بك، ولا على رقم ذكره المتصل.
ابحث عن الرقم الرسمي بنفسك: من خلف البطاقة، أو من التطبيق الرسمي، أو من الموقع الإلكتروني الذي تكتب عنوانه بيدك.
اتصل واسأل إن كان هناك فعلاً ما يستدعي التواصل معك.

إذا كان المتصل حقيقياً، فلن يضيرك التأخر خمس دقائق. وإذا كان محتالاً، فقد أفسدت عليه كل شيء. المحتال يعرف ذلك، ولهذا يبذل أقصى جهده لإبقائك على الخط: “لا تغلق، العملية جارية الآن”، “إذا أغلقت سيضيع حقك”. هذا الإلحاح على البقاء هو بحد ذاته الدليل الأوضح على الاحتيال.
إذا وقع الضرر: الدقائق الأولى تحدد حجم الخسارة

سرعة التصرف في الساعة الأولى قد تسترد المبلغ أو معظمه، لأن التحويلات بين البنوك تمر غالباً بمراحل يمكن إيقافها.

اتصل بالبنك فوراً من الرقم الرسمي، واطلب إيقاف البطاقة وتجميد العملية والإبلاغ عن احتيال. اطلب رقماً مرجعياً للبلاغ.
غيّر كلمات المرور لحساب البنك والبريد الإلكتروني وأي حساب ذكرت للمحتال أي شيء عنه.
بلّغ الجهة المختصة بالجرائم الإلكترونية في بلدك عبر قنواتها الرسمية، فمعظم دول المنطقة توفر خطاً ساخناً أو خدمة إبلاغ إلكتروني. احتفظ بسجل المكالمة والرسائل وأرقام المتصل كأدلة.
بلّغ الجهة التي انتُحلت صفتها، فهي معنية بملاحقة من يسيء لاسمها.
احذر “موجة الاحتيال الثانية”: بعد أيام قد يتصل بك شخص يدّعي أنه من “فريق استرداد الأموال” ويطلب رسوماً. هو المحتال نفسه أو شريكه.

الأسرة: من يحمي من؟

الاحتيال بانتحال الصفة يستهدف بالدرجة الأولى من يشعر بالمسؤولية ويخشى العواقب: ربّ الأسرة الذي يخاف على راتبه، والأم التي تخاف على مستحقات الأبناء، والجدّ الذي يحترم “الجهة الرسمية” احتراماً لا يحتمل التساؤل. بعض الترتيبات العملية:

اتفاق أسري صريح: لا أحد في البيت يحوّل مالاً أو يعطي رمزاً استجابة لمكالمة، مهما كانت الجهة، قبل استشارة فرد آخر.
كلمة سر عائلية: اتفقوا على كلمة أو سؤال لا يعرفه غيركم، يُستخدم عند أي مكالمة طارئة تطلب مالاً بصوت قريب. الأصوات المستنسخة لا تعرف الكلمة.
حدود التحويل: فعّل في التطبيق البنكي حداً يومياً منخفضاً للتحويلات وإشعارات فورية لكل عملية، خاصة لحسابات كبار السن.
لا لوم بعد الوقوع: الضحية التي تُلام تكتم الحادثة القادمة. اجعلوا الحديث عن محاولات الاحتيال أمراً عادياً على مائدة العشاء.

خاتمة: الحذر لا ينقص من الاحترام

قد يتساءل البعض: أليس في إغلاق الخط في وجه “موظف البنك” أو “ضابط الشرطة” قلة احترام؟ الجواب أن الجهات الرسمية الحقيقية هي أول من ينصح بهذا السلوك، وتعلن ذلك في حملاتها التوعوية. الاحترام الحقيقي للمؤسسة يكون بحماية اسمها من أن يُستغل، وبالتواصل معها عبر قنواتها الصحيحة. أما الثقة العمياء، فهي ما يراهن عليه المحتال في كل مكالمة.

في المقال القادم نتناول خط الدفاع الذي يجعل سرقة كلمة المرور وحدها بلا قيمة: المصادقة متعددة العوامل، وكيف تفعّلها لكل فرد في الأسرة في أقل من ساعة.