ما هو التصيد الإلكتروني (Phishing)؟

أصبح التصيد الإلكتروني Phishing واحدًا من أكثر أساليب الهجوم السيبراني انتشارًا لأنه لا يحتاج دائمًا إلى كسر نظام معقد أو استغلال ثغرة تقنية متقدمة؛ ففي كثير من الحالات يكفي أن ينجح المهاجم في إقناعك بأنك تتعامل مع جهة موثوقة حتى تفتح له الباب بنفسك. قد تصل إليك رسالة تبدو كأنها من بنك، أو منصة اجتماعية، أو شركة شحن، أو جهة عمل، وتطلب منك الضغط على رابط أو إدخال كلمة مرور أو تحديث معلومات الدفع، بينما يكون الهدف الحقيقي هو سرقة بياناتك أو السيطرة على حسابك.

المشكلة أن التصيد لم يعد دائمًا واضحًا كما كان في السابق. لم تعد الرسائل الاحتيالية كلها مليئة بالأخطاء أو التصاميم الرديئة؛ بعض الرسائل اليوم تستخدم شعارات حقيقية، وصياغة احترافية، وأسماء خدمات معروفة، بل وقد تعتمد على معلومات عن الضحية لجعل الرسالة أكثر إقناعًا. ولهذا فإن حماية نفسك لا تعتمد فقط على امتلاك برنامج حماية، بل على قدرتك على التوقف والتحقق قبل اتخاذ القرار.

يمكننا تشبيه التصيد بصياد لا يحاول الدخول إلى منزلك بالقوة، بل يرتدي زي موظف صيانة ويحاول إقناعك بأن تفتح له الباب. إذا نجحت الخدعة، لم يحتج إلى كسر القفل أصلًا. وهذا بالضبط ما يجعل التصيد الإلكتروني خطيرًا: الهجوم يستهدف الثقة قبل أن يستهدف الجهاز.

ما هو التصيد الإلكتروني (Phishing)؟

ما معنى التصيد الإلكتروني؟

التصيد الإلكتروني هو أسلوب خداع يعتمد على انتحال صفة جهة أو شخص موثوق بهدف دفع الضحية إلى تنفيذ إجراء يخدم المهاجم. قد يكون الإجراء إدخال كلمة المرور في صفحة مزيفة، أو تحميل ملف خبيث، أو إرسال بيانات بنكية، أو مشاركة رمز تحقق، أو حتى تحويل مبلغ مالي.

الفكرة الأساسية ليست في الرسالة نفسها، بل في التلاعب بقرار المستخدم. المهاجم يريد منك أن تفعل شيئًا لن تفعله لو كنت تعرف هويته الحقيقية.

قد يستخدم البريد الإلكتروني، أو الرسائل النصية، أو تطبيقات المحادثة، أو مواقع التواصل، أو حتى المكالمات الهاتفية. ولهذا فإن كلمة Phishing أصبحت مظلة واسعة تضم عدة صور من الاحتيال الرقمي.

كيف يعمل التصيد الإلكتروني خطوة بخطوة؟

تبدأ معظم عمليات التصيد باختيار قصة مقنعة. قد يدعي المهاجم أن هناك مشكلة في حسابك، أو أنك حصلت على جائزة، أو أن هناك شحنة تحتاج إلى دفع رسوم صغيرة، أو أن مديرك يريد منك تنفيذ إجراء عاجل.

بعد ذلك يرسل رابطًا أو مرفقًا أو طلبًا مباشرًا.

إذا ضغطت على الرابط، قد تنتقل إلى صفحة تشبه الموقع الأصلي. الصفحة تطلب منك تسجيل الدخول. بمجرد إدخال بياناتك، تُرسل إلى المهاجم.

وفي سيناريو آخر قد يحتوي الرابط على ملف أو برنامج خبيث، أو يقود إلى موقع يطلب منك تثبيت تطبيق.

إذن الهجوم يمر عادة بثلاث مراحل: إقناعك، دفعك إلى التصرف، ثم استغلال ما قدمته بنفسك.

لماذا ينجح التصيد رغم أن الناس يعرفون أنه موجود؟

لأن المهاجم لا يحاول دائمًا إقناعك منطقيًا؛ بل يحاول التأثير على مشاعرك.

إذا وصلك إشعار عادي يقول "يرجى تحديث كلمة المرور"، قد تتجاهله. لكن إذا قال: "سيتم إيقاف حسابك خلال 30 دقيقة"، قد تتصرف بسرعة.

المهاجم يستغل الخوف، والاستعجال، والطمع، والفضول، والسلطة.

رسالة مثل "راجع صورتك المسربة" تستغل الفضول.

ورسالة "مدير الشركة يطلب منك التحويل فورًا" تستغل السلطة.

ورسالة "ربحت هاتفًا جديدًا" تستغل الطمع.

المشكلة: التصرف قبل التفكير

هذه هي النقطة التي يعتمد عليها معظم المهاجمين.

الحل

اجعل لديك قاعدة ثابتة: أي رسالة تطلب إجراءً حساسًا بسرعة تستحق توقفًا إضافيًا.

لا تضغط فورًا. اقرأ الرسالة مرة أخرى، افحص المرسل، وافتح الخدمة من التطبيق الرسمي إذا كان الأمر متعلقًا بحسابك.

ما أشهر أنواع التصيد الإلكتروني؟

التصيد ليس نوعًا واحدًا. توجد عدة أشكال تختلف حسب وسيلة الهجوم والضحية المستهدفة.

التصيد عبر البريد الإلكتروني

وهو النوع الأكثر شهرة. تصل رسالة تبدو كأنها من شركة أو خدمة معروفة وتطلب الضغط على رابط أو فتح ملف.

التصيد عبر الرسائل النصية

يسمى أحيانًا Smishing، ويستخدم رسائل SMS أو تطبيقات المحادثة. قد تكون الرسالة قصيرة مثل:

"تعذر توصيل شحنتك، حدّث العنوان هنا."

التصيد عبر المكالمات

قد يتصل المهاجم ويتظاهر بأنه موظف بنك أو دعم فني، ثم يطلب منك رمز تحقق أو معلومات شخصية.

التصيد عبر وسائل التواصل الاجتماعي

قد يأتي الرابط من حساب صديق تعرض للاختراق، أو من حساب ينتحل صفة شركة.

التصيد الموجّه

هنا تكون الرسالة مخصصة لشخص أو مؤسسة بعينها، وتحتوي أحيانًا على معلومات حقيقية تزيد الثقة.

وسيأتي هذا النوع بالتفصيل في المقالة التالية الخاصة بالفرق بين Phishing وSpear Phishing.

كيف تبدو رسالة التصيد النموذجية؟

ليست هناك صيغة واحدة، لكن كثيرًا من الرسائل تحتوي على عناصر مشتركة.

قد تبدأ بعبارة رسمية، ثم تخبرك بمشكلة، وبعدها تطلب منك اتخاذ إجراء سريع، ثم تضع رابطًا أو زرًا.

مثلًا:

"تم تعليق حسابك بسبب نشاط غير معتاد. قم بتأكيد هويتك الآن لتجنب الإغلاق."

هذه الصياغة مصممة بعناية لتدفعك إلى التفكير في المشكلة لا في الرابط.

المشكلة: الشعار والتصميم يبدوان حقيقيين

بعض المستخدمين يقول: "الرسالة تحمل شعار البنك، إذن هي حقيقية."

لكن الشعار صورة يمكن لأي شخص نسخها.

الحل

لا تستخدم التصميم كدليل على المصداقية. افحص عنوان المرسل والرابط والسياق، وادخل إلى الخدمة من التطبيق الرسمي إذا كانت الرسالة حساسة.

كيف تعرف أن البريد الإلكتروني مشبوه؟

ابدأ من عنوان المرسل وليس الاسم الظاهر فقط.

قد يظهر الاسم:

Support Team

لكن البريد الفعلي يكون من نطاق غريب لا علاقة له بالشركة.

قد تجد أيضًا اختلافًا بسيطًا في اسم النطاق، أو حروفًا زائدة، أو نطاقًا عامًا بدل النطاق الرسمي.

انتبه كذلك إلى أسلوب الرسالة. الأخطاء اللغوية قد تكون علامة، لكنها ليست شرطًا؛ الرسائل الحديثة يمكن أن تكون مكتوبة بلغة ممتازة.

علامات تستحق الانتباه

• رسالة لم تكن تتوقعها.

• تهديد بإغلاق الحساب بسرعة.

• طلب كلمة مرور أو رمز تحقق.

• رابط لا يطابق الموقع الرسمي.

• ملف مرفق غير متوقع.

• عنوان مرسل غير طبيعي.

• طلب مالي غير معتاد.

• دعوة إلى تجاوز إجراء أمني.

كل علامة وحدها لا تثبت أن الرسالة مزيفة، لكن اجتماع عدة علامات يرفع مستوى الشك كثيرًا.

كيف يستخدم التصيد صفحات تسجيل الدخول المزيفة؟

هذه واحدة من أشهر الحيل.

يضغط المستخدم على رابط، فيظهر أمامه موقع يشبه Microsoft أو Google أو البنك أو منصة اجتماعية.

قد يكون التصميم مطابقًا تقريبًا للموقع الأصلي.

المستخدم يرى الشعار ويبدأ إدخال البيانات.

لكن البيانات لا تذهب إلى الخدمة الحقيقية؛ بل إلى المهاجم.

كيف تكتشف الصفحة المزيفة؟

ركز على اسم النطاق في شريط العنوان.

لا تنشغل فقط بالشعار والألوان.

إذا لم تكن متأكدًا، أغلق الصفحة وافتح الخدمة من التطبيق أو الموقع الرسمي بنفسك.

هل وجود HTTPS يعني أن صفحة التصيد آمنة؟

لا.

وجود HTTPS يعني أن الاتصال بالموقع مشفر، لكنه لا يؤكد أن صاحب الموقع جهة موثوقة.

يمكن للمهاجم إنشاء موقع احتيالي واستخدام HTTPS عليه.

إذن القفل الصغير لا يقول لك: "هذا البنك الحقيقي"، بل يقول فقط إن الاتصال بهذا الموقع مشفر.

الحل

استخدم HTTPS كجزء من التحقق، لا كدليل نهائي.

النطاق والسياق وطريقة الوصول إلى الموقع أهم بكثير.

كيف يعمل التصيد لسرقة رمز التحقق؟

قد يحصل المهاجم على كلمة مرورك أولًا، ثم يحتاج إلى العامل الثاني.

فيتصل بك أو يرسل رسالة ويقول:

"للتأكد من هويتك، أرسل الرمز الذي وصلك الآن."

في الحقيقة، الرمز الذي وصلك هو رمز تسجيل الدخول الذي يحتاج إليه هو.

المشكلة

قد يذكر المهاجم معلومات حقيقية عنك، ما يجعله يبدو موظفًا رسميًا.

الحل

لا تشارك رموز تسجيل الدخول أو المصادقة مع أي شخص. الرمز مخصص للجهاز أو الجلسة التي بدأت عملية الدخول، وليس لموظف الدعم.

إذا طلب منك شخص رمزًا حساسًا، أوقف التواصل وارجع إلى الجهة عبر قناتها الرسمية.

التصيد عبر رسائل الشحن والفواتير

هذا من أكثر السيناريوهات شيوعًا لأن المستخدمين معتادون على الشراء عبر الإنترنت.

تصلك رسالة:

"تعذر توصيل الطرد بسبب نقص العنوان. ادفع رسومًا بسيطة لإعادة التوصيل."

المبلغ قد يكون صغيرًا جدًا، مثل رسوم رمزية، حتى لا تتردد.

لكن الهدف الحقيقي قد يكون سرقة بيانات البطاقة.

الحل

افتح تطبيق شركة الشحن أو المتجر مباشرة وتحقق من رقم الطلب.

إذا لم تجد المشكلة داخل حسابك، لا تدفع من الرابط.

التصيد باسم البنوك والخدمات المالية

هنا تعتمد الرسالة على الخوف.

"محاولة سحب مشبوهة."

"تم تجميد حسابك."

"أكد بياناتك فورًا."

المشكلة

قد يضغط المستخدم بسرعة لأنه يخاف على أمواله.

الحل

لا تستخدم رابط الرسالة. افتح تطبيق البنك أو اتصل بالرقم الرسمي.

إذا كانت هناك مشكلة حقيقية، تستطيع التعامل معها من القناة الرسمية دون الحاجة إلى الرابط.

التصيد داخل بيئة العمل

في الشركات يمكن أن تكون الرسائل أكثر تعقيدًا.

قد ينتحل المهاجم صفة المدير أو قسم الموارد البشرية أو قسم التقنية.

مثلًا:

"راجع كشف الرواتب الجديد."

أو:

"يجب إعادة تسجيل الدخول إلى Microsoft 365."

أو:

"أرسل هذه الفاتورة للمحاسبة فورًا."

لماذا هذا النوع خطير؟

لأن الموظف معتاد على تنفيذ تعليمات المدير أو قسم التقنية.

وقد تكون الرسالة مبنية على معلومات حقيقية جمعها المهاجم من LinkedIn أو موقع الشركة.

الحل

إذا كان الطلب غير عادي أو يتعلق بتحويل مالي أو بيانات حساسة، تحقق عبر قناة أخرى. اتصل بالشخص أو استخدم نظام التواصل الداخلي بدل الاعتماد على نفس الرسالة.

التصيد عبر ملفات PDF وWord والمرفقات

ليس كل تصيد يحتوي على رابط واضح داخل الرسالة. أحيانًا يأتي المرفق نفسه كطُعم.

قد يكون اسم الملف:

Invoice.pdf

أو:

Salary_Update.docx

الهدف هو أن تفتحه، وبعدها قد يطلب منك الملف الضغط على رابط أو تمكين وظيفة ما أو تثبيت شيء.

الحل

لا تفتح مرفقًا غير متوقع حتى لو كان اسم المرسل معروفًا. يمكن أن يكون حسابه مخترقًا.

تحقق من سبب إرسال الملف، وإذا كان مرتبطًا بالعمل استخدم إجراءات المؤسسة الرسمية.

ماذا تفعل إذا ضغطت على رابط تصيد دون إدخال بيانات؟

أولًا، لا تفترض أن الكارثة حدثت بمجرد الضغط.

إذا فتحت الصفحة فقط ولم تدخل شيئًا ولم تحمل ملفًا ولم تمنح أذونات، فقد يكون الضرر محدودًا.

أغلق الصفحة ولا تتفاعل معها.

تأكد أن المتصفح والنظام محدثان.

إذا كان الجهاز تابعًا للعمل وكانت الصفحة مشبوهة جدًا، أبلغ فريق التقنية أو الأمن.

ماذا تفعل إذا أدخلت كلمة المرور؟

هنا يجب التصرف على أساس أن كلمة المرور أصبحت مكشوفة.

ابدأ من الموقع الرسمي، وليس من نفس الرابط.

غير كلمة المرور فورًا.

إذا كنت تستخدم نفس الكلمة في خدمات أخرى، غيّرها هناك أيضًا.

راجع الأجهزة والجلسات النشطة.

فعّل المصادقة متعددة العوامل.

وتأكد أن بريد الاسترداد ورقم الهاتف لم يتغيرا.

ماذا تفعل إذا شاركت رمز التحقق؟

إذا أعطيت رمز المصادقة لشخص آخر، فقد يكون قد أكمل تسجيل الدخول بالفعل.

غيّر كلمة المرور فورًا، وأنهِ الجلسات غير المعروفة، وراجع الأجهزة ووسائل تسجيل الدخول.

إذا كان الحساب متعلقًا بالعمل أو بالمال، أبلغ الجهة المختصة بسرعة.

ماذا تفعل إذا أدخلت بيانات البطاقة؟

تواصل مع البنك أو الجهة المصدرة للبطاقة من الرقم الرسمي.

لا تنتظر ظهور عملية غير معروفة.

قد يحتاج البنك إلى إيقاف البطاقة أو استبدالها أو مراقبة العمليات.

إذا أدخلت كذلك بيانات دخول إلى الحساب البنكي، غيّرها من القناة الرسمية وتواصل مع البنك.

ماذا لو حمّلت ملفًا من رسالة تصيد؟

إذا حمّلت الملف ولم تفتحه، لا تشغله.

احذفه أو افحصه باستخدام أدوات الحماية الموثوقة وفق سياق جهازك.

إذا فتحته أو شغّلته وبدأ الجهاز يتصرف بطريقة غير طبيعية، افصل الجهاز عن الأنظمة الحساسة عند الحاجة واطلب مساعدة تقنية.

في جهاز العمل، لا تحاول إخفاء الخطأ؛ الإبلاغ المبكر يساعد فريق الأمن على تقليل الضرر.

لماذا لا يكفي برنامج مكافحة الفيروسات ضد التصيد؟

لأن التصيد غالبًا لا يحتاج إلى فيروس.

إذا دخلت بنفسك إلى صفحة مزيفة وكتبت كلمة المرور، قد لا يوجد برنامج ضار أصلًا حتى يكتشفه مضاد الفيروسات.

هذا هو السبب في أن الوعي الأمني جزء أساسي من الدفاع.

الأداة التقنية تستطيع إغلاق بعض الأبواب، لكن المستخدم يحتاج إلى معرفة متى لا يفتح الباب أصلًا.

كيف تحمي نفسك عمليًا من التصيد؟

أفضل حماية تتكون من مجموعة عادات تعمل معًا:

• لا تضغط على الروابط الحساسة فورًا.

• افحص النطاق قبل تسجيل الدخول.

• افتح التطبيقات الرسمية بدل الروابط عندما يكون ذلك ممكنًا.

• فعّل المصادقة متعددة العوامل.

• استخدم كلمات مرور مختلفة.

• لا تشارك رموز التحقق.

• لا تفتح مرفقات غير متوقعة.

• حدّث النظام والمتصفح.

• تحقق من طلبات الدفع والتحويل من قناة أخرى.

• بلّغ عن الرسائل الاحتيالية بدل تجاهلها فقط.

هذه الإجراءات لا تضمن منع كل هجوم، لكنها تقلل فرص نجاح عدد كبير من محاولات التصيد.

قاعدة الخمس ثواني قبل الضغط

يمكنك تبني عادة بسيطة جدًا: عندما تصل رسالة غير متوقعة تحتوي على رابط، توقف خمس ثوانٍ فقط.

اسأل:

من أرسلها؟

لماذا الآن؟

هل كنت أتوقعها؟

هل يمكنني الدخول إلى الخدمة من التطبيق بدل الرابط؟

هل هناك استعجال غير طبيعي؟

هذه الثواني القليلة تفصل بين التصرف التلقائي والقرار الواعي، وهي فكرة تتماشى مع التوعية الأمنية الحديثة التي تركز على أن الاستعجال يزيد قابلية الوقوع في التصيد. National Cybersecurity Authority

كيف تتعامل المؤسسات مع التصيد؟

الشركات لا تستطيع الاعتماد فقط على إرسال رسالة سنوية تقول للموظفين "احذروا الروابط".

التوعية الفعالة تحتاج إلى تدريب مستمر ومحاكاة واقعية ومتابعة مستوى الجاهزية.

تستخدم المؤسسات أحيانًا حملات محاكاة ترسل رسائل تصيد تدريبية لقياس قدرة الموظفين على اكتشافها، ثم تستخدم النتائج لتحسين التدريب. وهذا الاتجاه أصبح جزءًا من برامج التوعية المؤسسية الحديثة. National Cybersecurity Authority

لكن الهدف من المحاكاة يجب أن يكون التعليم لا الإحراج. الموظف الذي يخاف من الإبلاغ قد يخفي الخطأ الحقيقي لاحقًا، وهذا أخطر بكثير.

لماذا الإبلاغ عن رسائل التصيد مهم؟

قد تعتقد أن حذف الرسالة يكفي، لكن الإبلاغ عنها قد يساعد على حماية مستخدمين آخرين.

في بيئة العمل يستطيع فريق الأمن استخدام البلاغ لحظر الرابط أو النطاق أو البحث عن رسائل مماثلة وصلت إلى موظفين آخرين.

وفي الخدمات العامة، تساعد البلاغات على تحسين أنظمة الكشف.

إذن المستخدم لا يحمي نفسه فقط؛ قد يصبح بالفعل جزءًا من خط الدفاع الأول.

الوعي بالتصيد في السعودية

تولي الجهات الوطنية في السعودية اهتمامًا واضحًا برفع الوعي تجاه التصيد، خصوصًا مع التوسع الكبير في الخدمات الرقمية. وتؤكد الحملات الحديثة على التحقق من الروابط، والانتباه للرسائل والمكالمات المشبوهة، وعدم الاستعجال، ورفع وعي الطلاب والموظفين والمستخدمين بمخاطر التصيد. National Cybersecurity Authority

كما أصبحت هناك خدمات مخصصة تساعد المستخدم على التحقق من موثوقية الروابط المتداولة قبل زيارتها، وهو مثال عملي على الانتقال من التوعية النظرية إلى أدوات تساعد المستخدم في اتخاذ قرار أكثر أمانًا. National Cybersecurity Authority

أخطاء شائعة تجعل التصيد أكثر نجاحًا

بعض الأخطاء تتكرر بصورة كبيرة:

• الثقة بالرسالة بسبب وجود شعار رسمي.

• الضغط بسبب الخوف من إغلاق الحساب.

• إعطاء رمز التحقق لشخص يدعي أنه موظف.

• استخدام الرابط بدل فتح التطبيق الرسمي.

• إدخال بيانات البطاقة مقابل رسوم صغيرة غير متوقعة.

• تجاهل اسم النطاق والتركيز على تصميم الصفحة.

• فتح المرفقات لأن المرسل معروف.

• استخدام كلمة المرور نفسها في أكثر من خدمة.

• تجاهل إشعارات تسجيل الدخول الغريبة.

• عدم إبلاغ فريق الأمن بعد الضغط على رابط في جهاز العمل.

كل خطأ من هذه الأخطاء يعطي المهاجم جزءًا من الطريق.

كيف تبني عادة تجعل التصيد أصعب عليك؟

لا تحتاج إلى دراسة الأمن السيبراني سنوات حتى تصبح أكثر مقاومة للتصيد.

كل ما تحتاج إليه هو تحويل التحقق من سلوك استثنائي إلى عادة يومية.

عندما ترى رابطًا، انظر إلى النطاق.

عندما يأتيك طلب مالي، تحقق عبر قناة أخرى.

عندما يطلب أحد رمزًا، ارفض.

عندما تظهر رسالة عاجلة، تباطأ بدل الإسراع.

ومع الوقت تصبح هذه التصرفات طبيعية تمامًا مثل النظر يمينًا ويسارًا قبل عبور الطريق.

الخلاصة: ما هو التصيد الإلكتروني ولماذا يجب أن تنتبه إليه؟

التصيد الإلكتروني Phishing هو محاولة لخداع المستخدم حتى يقدم بنفسه شيئًا ذا قيمة للمهاجم، مثل كلمة مرور أو رمز تحقق أو بيانات مالية، أو حتى صلاحية للوصول إلى جهاز أو نظام.

قوة التصيد لا تأتي من التقنية فقط، بل من قدرته على استغلال الإنسان. الخوف والاستعجال والفضول والثقة كلها أدوات يستخدمها المهاجم.

ولهذا فإن الحماية لا تبدأ من برنامج معقد، بل من عادة بسيطة: تحقق قبل أن تتفاعل.

إذا وصلتك رسالة عن مشكلة في حساب، افتح التطبيق الرسمي.

إذا وصلك رابط من شخص، تأكد منه إذا كانت الرسالة غريبة.

إذا طلب أحد رمز تحقق، لا ترسله.

إذا دخلت كلمة مرور في صفحة مشبوهة، غيّرها فورًا.

وإذا وقعت في الفخ، لا تخف من الإبلاغ؛ سرعة التصرف قد تقلل الضرر بدرجة كبيرة.

التصيد يشبه فخًا موضوعًا في طريق مزدحم. أنت لا تحتاج إلى أن تعرف كيف صُنع الفخ بالتفصيل حتى تتجنبه؛ تحتاج فقط إلى أن تتعلم كيف تراه قبل أن تخطو داخله.