في أغلب حوادث الاختراق التي تُروى في الأخبار، لا يوجد عبقري يكسر شيفرة معقّدة في الظلام. يوجد موظّف متعب في نهاية يوم طويل، تلقّى رسالة تبدو عادية، ونقر على رابط. هذا كل شيء.
تشير تقديرات القطاع الأمني منذ سنوات إلى أن الغالبية الساحقة من الاختراقات الناجحة تتضمّن عنصراً بشرياً: خطأ، أو ثقة في غير محلّها، أو استجابة لضغط مصطنع. التقنية ليست الحلقة الأضعف؛ نحن الحلقة الأضعف. ومن يفهم هذا يحمي نفسه أكثر ممن يشتري أغلى برنامج حماية.
الهندسة الاجتماعية: اختراق العقل لا الجهاز
«الهندسة الاجتماعية» تسمية أنيقة لفنّ قديم: الاحتيال. جوهرها أن المهاجم لا يحاول تجاوز الدفاعات، بل يقنع من يملك المفتاح بأن يفتح له الباب طوعاً.
وهي تعتمد على نقاط ضعف ثابتة في النفس البشرية، لا على ثغرات برمجية — ولهذا لا يصلحها تحديث. النقاط المستهدفة معروفة ومدروسة:
السلطة: نميل إلى الامتثال لمن يبدو صاحب صلاحية. رسالة باسم المدير العام، أو اتصال من «قسم الأمن»، أو إشعار من «الجهة الضريبية».
الاستعجال: الضغط الزمني يعطّل التفكير النقدي. «حسابك سيُغلق خلال ساعتين»، «الطرد سيُعاد اليوم»، «آخر فرصة للتحديث».
الخوف: تهديد بعقوبة أو فضيحة أو خسارة. الخوف يجعل الضحية تتصرّف قبل أن تتحقّق.
الطمع: جائزة، أو ميراث، أو فرصة استثمارية استثنائية، أو استرداد ضريبي.
الفضول: «شاهد من زار ملفّك»، «صور من الحفلة»، ملفّ باسم «الرواتب النهائية».
المعاملة بالمثل والتعاطف: شخص «يساعدك» فتشعر بواجب مساعدته، أو قصة مأساوية تستدرّ التبرّع.
أشكال الهجوم التي ستقابلها
التصيّد العام: رسائل تُرسل بالملايين، مليئة بالأخطاء غالباً، تراهن على أن نسبة صغيرة ستنقر. الأخطاء اللغوية ليست غباءً بل مرشّحاً متعمّداً: من لا يلاحظها هو الضحية المرجّحة.
التصيّد الموجّه: أخطر بكثير. رسالة مصمّمة لك أنت، تذكر اسمك ومنصبك ومشروعاً تعمل عليه، ومرسلة في توقيت مناسب. المعلومات مستقاة من حساباتك العامة على الشبكات المهنية والاجتماعية.
احتيال المدير التنفيذي: رسالة تبدو من المدير إلى الموظّف المالي، تطلب تحويلاً عاجلاً وسرّياً لإتمام صفقة. خسائر هذا النوع وحده تُقدَّر بمليارات سنوياً.
التصيّد الصوتي: مكالمة هاتفية من «البنك» أو «شركة الاتصالات»، مع خلفية صوتية توحي بمركز اتصال حقيقي. وقد صار انتحال رقم المتّصل سهلاً، فيظهر على شاشتك الرقم الرسمي فعلاً.
التصيّد بالرسائل النصية: إشعار شحنة، أو غرامة مرور، أو رابط تحديث بيانات. قصر الرسالة يخفي عنوان الموقع الحقيقي.
رمز الاستجابة السريعة الملغوم: ملصق يُلصق فوق رمز حقيقي على موقف سيارات أو قائمة مطعم، فيوجّهك إلى صفحة دفع مزوّرة.
إرهاق المصادقة: يرسل المهاجم عشرات طلبات الموافقة على هاتفك حتى تضغط «موافق» لتتخلّص من الإزعاج.
ما الذي تغيّر مع الذكاء الاصطناعي؟
حتى وقت قريب، كانت الأخطاء اللغوية أسهل علامة على الاحتيال، وكان القارئ العربي محميّاً نسبياً بضعف الترجمة الآلية. هذا الحاجز سقط.
صار بإمكان المحتال أن يكتب رسالة بعربية سليمة، بأسلوب مؤسسي مقنع، بل وبلهجة محلية إن أراد. وصار بإمكانه أن يولّد الرسالة نفسها بمئة صيغة مختلفة، فيتجاوز مرشّحات البريد التي تعتمد على تكرار النصّ.
والأخطر هو استنساخ الصوت. عيّنة صوتية قصيرة — من مقطع مصوّر، أو رسالة صوتية، أو ردّ على مكالمة — قد تكفي لتوليد صوت يشبه صوت شخص تعرفه. وقد وقعت حوادث موثّقة حُوِّلت فيها مبالغ كبيرة بناءً على مكالمة مصوّرة بدا فيها المديرون التنفيذيون حقيقيين، وكانوا جميعاً مولَّدين.
وامتدّ ذلك إلى الاحتيال العائلي: مكالمة بصوت ابن أو قريب في ورطة يطلب مالاً عاجلاً. صوت تعرفه، ونبرة خوف، وضغط زمني — تركيبة تعطّل الحكم عند أكثر الناس حذراً.
الدفاع: كلمة سرّ عائلية وقاعدة واحدة
لأن الصوت لم يعد دليل هوية، صار من المعقول أن تتّفق العائلة على كلمة تحقّق — كلمة بسيطة يعرفها أفرادها ولا تُكتب في أي مكان — تُطلب في أي مكالمة طارئة تتضمّن مالاً أو معلومات حسّاسة. الأمر يبدو مبالغاً فيه حتى تحتاج إليه.
وفي العمل، القاعدة المقابلة هي التحقّق عبر قناة ثانية: أي طلب مالي أو طلب بيانات وصل عبر البريد يُؤكَّد باتصال هاتفي على رقم معروف مسبقاً، لا على رقم ورد في الرسالة نفسها. هذه القاعدة وحدها تُبطل أغلب هجمات احتيال التحويلات.
أنماط احتيال منتشرة في المنطقة العربية
لكل بيئة أنماطها، وثمة صيغ تتكرّر في العالم العربي بما يستحقّ التنبيه إليها بالاسم.
احتيال الوظائف. عرض عمل عن بُعد براتب مغرٍ، يتبعه طلب رسم تسجيل، أو رسم «تأشيرة»، أو نسخة من جواز السفر والبطاقة. الضحية هنا شابّ عاطل، والاستغلال مضاعف: مالي ومعنوي. القاعدة: صاحب العمل الشرعي لا يطلب مالاً من المتقدّم، أبداً.
الاستثمار الوهمي. مجموعات على تطبيقات المراسلة تعرض أرباحاً يومية مضمونة في تداول أو عملات رقمية، بشهادات مصوّرة من «مستفيدين». وتنجح المنظومة في البداية بدفع أرباح صغيرة لبناء الثقة، حتى يودع الضحية مبلغاً كبيراً فيختفي كل شيء. القاعدة: العائد المضمون المرتفع لا وجود له في أي سوق شرعية.
انتحال الجهات الحكومية. رسالة عن غرامة مرورية، أو مخالفة، أو استرداد ضريبي، أو تحديث بيانات في منصّة حكومية، مع رابط لبوّابة دفع مزوّرة تحاكي الموقع الرسمي بدقّة. القاعدة: ادخل إلى الخدمة الحكومية بكتابة عنوانها بنفسك أو من تطبيقها، لا من رابط وصلك.
الابتزاز الرقمي. علاقة تُبنى عبر حساب مزيّف، ثم تصوير أو انتحال صور، ثم تهديد بالنشر. وهو من أكثر الأنماط إيلاماً لأنه يستثمر في الخوف من الفضيحة، وضحاياه يمتنعون عن الإبلاغ لهذا السبب بالذات. والنصيحة الحاسمة هنا: لا تدفع — فالدفع يفتح باب طلبات لا تنتهي — وأبلغ الجهة المختصّة فوراً، فقد صار في معظم البلدان العربية وحدات متخصّصة تتعامل مع هذه القضايا بسرّية.
احتيال التبرّعات. حملات باسم منكوبين أو مرضى أو مناطق أزمات، تنشط بعد كل كارثة. القاعدة: تبرّع عبر جهة معروفة ومرخّصة، لا عبر حساب شخصي ورد في منشور.
علامات تكشف الرسالة المزوّرة
افحص عنوان المرسل كاملاً، لا الاسم المعروض. الاسم المعروض يمكن كتابته كما يشاء المرسل. وانتبه إلى النطاقات المتشابهة بحرف واحد أو بحروف من أبجديات أخرى تشبه اللاتينية.
مرّر المؤشّر فوق الرابط قبل النقر لترى وجهته الحقيقية، وعلى الهاتف اضغط مطوّلاً لمعاينة العنوان. وانظر إلى ما قبل أول شرطة مائلة، فهناك النطاق الحقيقي؛ كل ما بعده قابل للتزوير.
اشكّ في المرفقات غير المتوقّعة، خصوصاً ملفّات المكتب التي تطلب «تفعيل المحتوى»، وملفّات الاختصار والملفّات المضغوطة المحميّة بكلمة مرور مذكورة في الرسالة — وهي حيلة لتجاوز الفحص الآلي.
انتبه إلى الطلب نفسه لا إلى شكل الرسالة. لا جهة شرعية تطلب كلمة مرورك أو رمز التحقّق. ولا بنك يطلب تحويل أموالك إلى «حساب آمن». هذه الطلبات وحدها كافية للحكم، مهما بدت الرسالة متقنة.
لاحظ المشاعر التي تثيرها الرسالة فيك. إن شعرت بخوف مفاجئ أو استعجال أو حماس، فهذه بذاتها إشارة إنذار. المشاعر القوية هي أداة العمل الأساسية للمحتال.
ماذا لو نقرت بالفعل؟
الوقوع في الفخّ ليس نهاية العالم، والسرعة أهمّ من الندم:
إن أدخلت كلمة مرور: غيّرها فوراً، وغيّرها في كل موضع استعملتها فيه، وأنهِ الجلسات النشطة من إعدادات الحساب.
إن كان الحساب عملياً: أبلغ قسم تقنية المعلومات فوراً، ولا تخفِ الأمر خوفاً من اللوم. التأخير ساعةً واحدة قد يكون الفارق بين حادث محدود وكارثة.
إن كان مالياً: اتّصل بالبنك مباشرة لإيقاف العملية؛ التحويلات يمكن أحياناً استرجاعها إن أُبلغ عنها خلال ساعات.
إن نزّلت ملفّاً: افصل الجهاز عن الشبكة، ولا تحاول «التنظيف» بنفسك إن كان الجهاز يحوي بيانات مهمّة.
وفي كل الأحوال: أبلغ. الجهات المختصّة في معظم البلدان العربية صار لديها منصّات للإبلاغ عن الجرائم الإلكترونية، والبلاغ يحمي غيرك حتى لو لم يستردّ لك شيئاً.
الفئات الأكثر عرضة
لا يوزّع المحتالون جهدهم بالتساوي؛ يستهدفون من تجتمع فيهم ثلاثة عوامل: امتلاك شيء ذي قيمة، وضعف الخبرة التقنية، وعزلة تمنع التشاور قبل القرار.
كبار السنّ يتصدّرون القائمة عالمياً. يملكون مدّخرات، ودخلوا العالم الرقمي متأخّرين، وكثيرون منهم يعيشون وحدهم فلا يجدون من يستشيرونه في اللحظة الحرجة. وأنجع حماية لهم ليست محاضرة تقنية بل اتفاق بسيط: لا قرار مالي دون مكالمة مع فرد من الأسرة، أياً كان الطرف الآخر وأياً كانت درجة الاستعجال.
الشباب الباحثون عن عمل أو دخل إضافي، وهم الفئة الأكثر استهدافاً في المنطقة العربية، لأن الحاجة تخفض عتبة الحذر.
أصحاب المشاريع الصغيرة، لأنهم يديرون مالاً حقيقياً بلا قسم تقنية معلومات ولا إجراءات موافقة مزدوجة. صاحب المحلّ الذي يوقّع تحويلاً بنفسه لا يملك الطبقة الثانية التي تحمي المؤسسات الكبيرة.
العاملون في المنظمات الإنسانية والصحفيون والناشطون، وهم مستهدفون بهجمات موجّهة أكثر تعقيداً، أهدافها معلوماتية لا مالية، وتُنفَّذ أحياناً بموارد تفوق قدرات المحتال العادي.
ثقافة الأمان في المؤسسة
الخطأ الشائع في المؤسسات هو معاقبة من يقع في الفخّ. النتيجة أن الموظّفين يخفون الحوادث، فتتحوّل الحادثة الصغيرة إلى اختراق كامل عبر أيام من الصمت.
المؤسسة الذكية تفعل العكس: تكافئ الإبلاغ السريع، وتعتبر البلاغ الخاطئ سلوكاً محموداً لا إزعاجاً، وتجري تمارين تصيّد داخلية بهدف التعلّم لا الإحراج، وتجعل قناة الإبلاغ في متناول اليد بضغطة واحدة.
وتضيف إلى ذلك إجراءات لا تعتمد على يقظة الإنسان: مصادقة ثنائية مقاومة للتصيّد، وحدود على التحويلات، وموافقات مزدوجة، وصلاحيات محدودة لكل موظّف. لأن الرهان على أن ينتبه كل موظّف في كل مرّة رهان خاسر بالضرورة.
خلاصة
المحتال لا يخترق نظاماً؛ يخترق لحظة. لحظة تعب، أو انشغال، أو خوف، أو رغبة في إنهاء المهمّة بسرعة. ولهذا فإن أفضل دفاع ليس معرفة تقنية بل عادة ذهنية بسيطة: أن تتوقّف ثانيتين قبل أن تنقر، وأن تسأل نفسك سؤالاً واحداً — لماذا وصلني هذا الآن؟
ومن المفيد أن نعامل الرسائل الواردة كما نعامل الطارق على الباب: لا نفتح لمجرّد أنه طرق، ولا نرفض كل طارق، بل ننظر من العين السحرية ونسأل قبل أن نفتح. الفارق أن الباب الرقمي يُطرق مئة مرّة في اليوم، فيتآكل حذرنا بالتكرار، وهذا بالضبط ما يراهن عليه المهاجم: أنه لن يحتاج إلى إقناعك مئة مرّة، بل مرّة واحدة في لحظة سهو.
ومن الحكمة أن نتخلّى عن فكرة أن الضحايا سذّج. الوقوع في الاحتيال لا علاقة له بالذكاء أو التعليم؛ له علاقة بالتوقيت والسياق والحالة النفسية. من يظنّ نفسه محصّناً هو تحديداً أسهل هدف، لأنه لا يتحقّق. والاعتراف بأننا جميعاً قابلون للخداع في لحظة ما هو أول خطوة في بناء عادات تحمينا حين تأتي تلك اللحظة.