الهندسة الاجتماعية: كيف يخترق المهاجمون العقول قبل الأجهزة

الهندسة الاجتماعية (Social Engineering) هي فن التلاعب بالطبيعة البشرية لدفع الأشخاص لتقديم معلومات سرية أو اتخاذ إجراءات تُخدم المهاجم. إنها قديمة قدم الإنسان، لكنها وجدت في الفضاء الرقمي أرضاً خصبة لا مثيل لها.

المهاجم يُوظّف نقاط ضعف نفسية راسخة: السلطة، الإلحاح، الخوف، الطمع، الفضول، والمعاملة بالمثل.

التصيد هو أشيع أدوات الهندسة الاجتماعية وأكثرها تطوراً:

• Email Phishing: رسائل جماعية تنتحل هوية بنوك أو شركات كبرى بروابط مزيفة.
• Spear Phishing: هجوم مُخصَّص يستهدف شخصاً بعينه باستخدام معلوماته الشخصية.
• Whaling: استهداف المديرين التنفيذيين بهجمات مُصمَّمة بعناية فائقة.
• Smishing: تصيد عبر الرسائل النصية القصيرة (SMS) بروابط خبيثة.
• Vishing: تصيد صوتي عبر مكالمات هاتفية لانتزاع معلومات حساسة.
• Quishing: إخفاء روابط خبيثة في رموز QR يُمسح بالهاتف.

الذريعة هي بناء سيناريو كاذب مُقنع لاستدراج الضحية لتقديم المعلومات أو الوصول:

• انتحال هوية موظف IT: الادعاء بالحاجة لكلمة المرور لإصلاح مشكلة عاجلة.
• انتحال هوية المدير: طلب تحويل مالي عاجل بتوجيه مباشر مزيف من "المدير العام".
• انتحال هوية المورّد: التظاهر كمورد موثوق لإرسال فاتورة بيانات بنكية مُزيَّفة.
• انتحال هوية جهات حكومية: ادعاء الهوية الحكومية لاستخراج بيانات حساسة.

أساليب أخرى تستغل الفضول والطمع البشري:

• الطُعم الرقمي: وعود بمحتوى مجاني أو برامج مُقرصنة تحتوي على برامج خبيثة.
• USB Dropping: ترك وسائط USB مُصابة في أماكن عامة آملاً أن يُوصلها أحدهم بجهازه.
• المقايضة: تقديم خدمة ظاهرية مجانية مقابل معلومات أمنية (دعم تقني وهمي).
• الجوائز الوهمية: إخبار الضحية بفوزها بجائزة مقابل تقديم بياناتها الشخصية.

لا تقتصر الهندسة الاجتماعية على الفضاء الرقمي، بل تمتد للعالم الفيزيائي:

• Tailgating: الدخول وراء موظف مُصرَّح له بدون بطاقة وصول بذريعة حمل الأكياس.
• Shoulder Surfing: التجسس على الشاشات أو لوحات المفاتيح في الأماكن العامة.
• Dumpster Diving: البحث في مخلفات المؤسسة عن وثائق سرية لم تُتلَف بشكل صحيح.
• انتحال الزوار: التظاهر بالعمال أو المندوبين للوصول للمناطق الحساسة.

تعلّم رصد هذه الإشارات التحذيرية قبل الوقوع في الفخ:

• الإلحاح والضغط الزمني: "تصرّف الآن أو ستخسر حسابك!" — الإلحاح يُعطّل التفكير النقدي.
• طلبات غير عادية: أي طلب لكلمة مرور أو بيانات سرية عبر البريد أو الهاتف.
• العروض التي تبدو رائعة جداً: جائزة لم تشترك بها، أو عرض بسعر لا يُصدَّق.
• الأخطاء الإملائية والنحوية: رغم تحسنها بالذكاء الاصطناعي، لا تزال تُشير أحياناً.
• عناوين بريد أو مواقع مشبوهة: تحقق من الدومين بدقة: support@microsøft.com ليست مايكروسوفت.

مبدأ التحقق المزدوج هو السلاح الأمضى ضد الهندسة الاجتماعية:

• اتصل مباشرة: إذا تلقيت طلباً مريباً، تحقق بالاتصال المباشر على الرقم الرسمي المعروف.
• لا تُكمل الرابط: اكتب عنوان الموقع يدوياً بدلاً من النقر على رابط في الرسالة.
• قاعدة الأربع عيون: أي تحويل مالي كبير يتطلب موافقة شخصين لا شخص واحد.
• خذ وقتك: المشروع لا يتسرّع. الضغط الزمني هو خدعة للمنع من التفكير.

لا تقنية تحمي بشكل كامل دون وعي بشري حقيقي:

• محاكاة هجمات التصيد: إرسال رسائل تصيد وهمية لقياس استجابة الموظفين وتدريبهم.
• ورش العمل الحية: تجسيد سيناريوهات الهجوم بشكل تفاعلي لا محاضرات نظرية جافة.
• التغذية الراجعة الفورية: من يقع في فخ المحاكاة يتلقى تدريباً فورياً، لا عقاباً.
• الإبلاغ بلا خوف: ثقافة "لا بأس إذا أخطأت، البأس في عدم الإبلاغ" تُنقذ المؤسسات.

تُوفّر منصات التواصل الاجتماعي كنزاً من المعلومات للمهاجمين:

• OSINT (استخبارات المصادر المفتوحة): جمع معلوماتك من منشوراتك العامة لبناء هجمات مُخصَّصة.
• حسابات مزيفة: انتحال هوية زملاء أو رؤساء لاستخراج معلومات في المحادثات.
• LinkedIn Phishing: عروض عمل وهمية تحمل ملفات خبيثة مُلصقة بفرص مغرية.
• Water Holing: اختراق مواقع يرتادها الهدف لنشر إصابات انتقائية.

قصص حقيقية تُبرز أن الضحايا ليسوا دائماً غير مؤهلين:

• Twitter Hack 2020: تلاعب بموظفي Twitter عبر الهاتف للوصول لأدوات الإدارة واختراق حسابات المشاهير.
• RSA Security 2011: موظف فتح مرفق بريد "فرصة عمل" ضمن جدول بيانات Excel أصاب المؤسسة بأكملها.
• Sony Pictures 2014: بدأ بـ Spear Phishing استهدف موظفين بعينهم وانتهى بتسريب ضخم تاريخي.
• البنك البنغلاديشي 2016: خداع موظفين لتحويل 81 مليون دولار عبر شبكة SWIFT المصرفية.