هل يمكنك ان تتذكر أسوأ المحاولات الخمس للصيد الاحتيالي التي جاءت عبر بريدك الالكتروني؟ وهل بمقدورك ان تحدد بريدا الكترونيا حقيقيا مصدره المؤسسة المالية التي تتعامل معها، او هيئة حكومية؟
لا تشعر انك محرج تقنيا اذا كان جوابك بالنفي على احد هذين السؤالين، او كليهما، فحتى الخبراء الامنيون يصعب عليهم تحديد الأسوأ من انواع الصيد الاحتيالي. وافضل هذه المحاولات الاحتيالية لا يمكن تقفي اثرها عادة عن طريق الخبراء الامنيين، كما هي العادة مثلا بالنسبة الى فيروسات الكومبيوتر.
وخلافا الى أغلبية الهجمات الفيروسية الكومبيوترية فان هجمات الصيد الاحتيالي هي اكثر ذكاء ولا يمكن التعرف عليها او منعها او ازالتها عن طريق برنامج مضاد للتطفل، كذلك الذي يقاوم الفيروسات ومنتجات البرامج المضادة للتجسس.
ومحترفو الصيد الاحتيالي يعتمدون على مستلمي الرسائل الالكترونية غير اليقظين الذين يستجيبون الى طلباتهم السريعة في ما يتعلق بتأكيد المعلومات. فرسائل الاحتيال التي تعد وتنص بذكاء من شأنها ان تخدع متلقيها وتجعلهم يبتعدون عن الحذر عن طريق جعل هذه الرسائل تبدو شرعية وقانونية. والهدف طبعا جعل الناس يقدمون بطوع ارادتهم معلومات عن هوياتهم الشخصية. والمستهلكون الذين يبتلعون هذا الطعم يجعلون انفسهم ضحايا لسرقة الهويات عن طريق ادخال معلومات شخصية حيوية تمكن لصوص الشبكة من سرقة كلمات المرور وارقام الحسابات الشخصية.
ويقول بول بيكارد مدير ابحاث التهديدات والاخطار في «ويبروت» «اننا لا نرى الكثير من الابتكارات في ما يخص الهجمات الاحتيالية، فغالبيتها شبيهة بصور ورسومات غرافية التي تبدو كما لو انها موقع اصلي على الشبكة. في اي حال نرى بعض عمليات التقليد لرسوم الغرافيكس الجيدة بالاضافة الى بعض الرسائل المنمقة».
* تعريف الصيد الاحتيالي
* وعلى صعيد التعريف، فان الصيد الاحتيالي عبارة عن عملية خداع بحيث يجري جر مستخدم البريد الالكتروني للكشف عن معلوماته الشخصية والسرية التي يمكن للمحتال استخدامها بطريقة غير شرعية. وعندما يقوم المستخدمون بالاستجابة الى المعلومات المطلوبة، كالكشف عن اسمائهم مثلا، وعن كلمات المرور الخاصة بهم يمكن للمهاجمين استخدامها للدخول الى حساباتهم الشخصية.
ويعتمد الصيد الاحتيالي على صيغ الهندسة الاجتماعية التي تأسست منذ زمن طويل. واغلبية رسائل الصيد الاحتيالي يجري تسليمها في مستندات مرسلة بالبريد الالكتروني تبدو وكأن مصدرها شركات فعلية، او من عناوين الكترونية شرعية. وبعض هذه الهجمات تستخدم مواقع شبكية خبيثة للحصول على معلومات شخصية، غالبا ما تكون مالية. ويقع هذا الاحتيال في صنف التهم الاجرامية، «فعندما رصدت المؤسسات الامنية لاول مرة، استخدام البريد الالكتروني لخداع المستخدمين بهدف الكشف عن معلوماتهم الشخصية، اخذت تدعو ذلك بـ«جرائم الكومبيوتر»، او «جرائم الفضاء المعلوماتي»، على حد قول بولا غريف مديرة الابحاث الامنية في «سيكيور كومبيوتينغ» في حديث لها لمجلة «تك نيوز» الالكترونية..
* احتيال مبتكر
* كانت اغلبية الرسائل من هذا القبيل عمليات احتيال واضحة في الايام الاولى لعمليات الصيد الاحتيالي، اذ ان استخدام القواعد اللغوية الخاطئة والعبارات الغريبة كان عادة براهين ثابتة على ان الرسائل كاذبة، وغالبا ما تكون بلدان غريبة هي أصلها استنادا الى الخبراء الامنيين. لكن حتى مستخدمي الكومبيوتر من اولئك الذين يفتقدون الى الخبرة تعلموا بسرعة اهمال مثل هذه الرسائل.
في اي حال، فان السيل الثابت المتدفق من المستخدمين الجدد للبريد الالكتروني وفروا للصيادين المحتالين امدادا جديدا ثابتا من الضحايا المحتملين الذين لا يزالون يقعون في الاخطاء القديمة ذاتها، كالوقوع ضحية قصة غريبة تغري بأرباح كبيرة من دون القيام فورا بشطب هذه الرسالة.
لكن الهجمات الفعالة جدا، هي تلك التي تستهدف العلب البريدية تحت غطاء اسباب مقنعة وشرعية. وآخر هذه المحاولات تتناول عادة مجموعات معينة من مديري الشركات التنفيذيين الذين تبشرهم الرسائل بأنهم قد يستعيدون عادة جزءا من ضرائبهم المدفوعة الى السلطات الحكومية.
وتوضح غريف انه «في كل مرة يذهب فيها الصيادون المحتالون الى مستوى جديد من الفعالية في الاداء، فان ذلك يجري عن طريق ابتكارات جديدة. فهدف مثل هؤلاء الصيادين هو الوصول الى الضحايا قبل ان تعلم وسائل الاعلام بالاساليب الجديدة هذه، لان هدفهم هو الاطباق على الضحية قبل ان يعلم بأي شيء».
* قصص نجاح
* - في عام 2005 وقعت كل من «دي إس دبليو شو وايرهاوس»، و«تشويس بوينت»، و«ليكسس نيكسس»، ضحية لعمليات سرقة هويات عالية النوعية، ورفعت هذه الابتكارات الخاصة في توجيه الرسائل الاحتيالات الى مستوى جديد كلية.
- في ربيع 2007 قامت مجموعة من المهاجمين باستهداف موظفين من ذوي الرواتب العالية العاملين في شركات مختارة عن طريق بريد الكتروني متنكر تحت قناع رسائل عادية من شركة بيتر بيزينيز بيرو BBB، ومكتب الايرادات الداخلية IRS ولجنة التجارة الاتحادية FTC الاميركية.
ويقدم موسم الضرائب للسنة الحالية المزيد من الفرص لعمليات الصيد الاحتيالي، فقد تمكن الصيادون المحتالون من تزوير مواقع شبكة خدمات الدخل. وتعمل مثل هذه المواقع المزورة من روسيا، ومن بعض اقطار الاتحاد السوفياتي السابق، استنادا الى خبراء الامن على الانترنت.
وغالبا ما يستغل المحتالون اهتمامات متلقي البريد الالكتروني في الاحداث الجارية التي تجعل الرسائل الاحتيالية اكثر صدقا. وهذا الوقت هو مناسب جدا للمحتالين الذين باتوا ماهرين جدا. فالغش مثلا في عمليات الضرائب يحصل 12 مرة في السنة، على عدد اشهر السنة، وبذلك اصبح اكثر تكرارا. وليس هناك في الواقع حل سحري لإنهاء تهديدات الصيد الاحتيالي، غير ان المنطق العام والاجراءات الامينة السليمة تلعب دورا كبيرا في الحيلولة دون وقوع المستهلكين ضحايا الصيد الاحتيالي. «وعلى المستخدمين ان يكونوا اكثر مهارة في ما يتعلق بالامور التي ينقرون عليها»، كما تحذر غريف. «لذلك ينبغي اعتبار جميع المعلومات التي تدخل على الانترنت حساسة، بما فيها كيفية تخزين رقم حسابك. وحاول دائما ان تزيل تواريخ تصفح الشبكة» على حد قولها.
وعلى المستهلكين ايضا ان يدركوا كيفية عمل الوكالات الحكومية ودوائر الضرائب والدخل، مع تحديد المعلومات الشخصية المعروضة على «فايسبوك» و«ماي سبايس».