"Phishing-as-a-Service": الوقود الذي يُغذّي انتشار التّصيد الإلكتروني.. كيف أصبح متاحاً للجميع؟
رغم أن البرمجيات الخبيثة لا تزال تشكل تهديداً كبيراً، فإن مجرمي الإنترنت باتوا اليوم يركزون تركيزاً متزايداً على استهداف بيانات المستخدمين بدلاً من أجهزتهم فقط. فسرقة كلمات المرور أو المعلومات المصرفية أو البيانات الحساسة الأخرى قد تمنح المهاجمين القدرة على الوصول إلى الأموال أو الحسابات أو حتى استخدام المعلومات للابتزاز.
هنا يأتي دور التصيّد الإلكتروني (Phishing)، وهو أسلوب يعتمد على الهندسة الاجتماعية لخداع الضحايا وسرقة بياناتهم. يستخدم المهاجمون رسائل نصية أو بريدية، أو مكالمات صوتية، أو مواقع إلكترونية مزيفة، أو تطبيقات ضارة لإقناع المستخدمين بالكشف عن معلوماتهم الشخصية. وكما في عملية الصيد التقليدية، يكون المستخدم هو الهدف، بينما تشكل الرسائل والمواقع والروابط المزيفة الطُعم.
ومع ظهور نماذج جاهزة للهجمات، أصبح تنفيذ عمليات التصيّد أكثر سهولة من أي وقت مضى.
يريدون بياناتك أكثر من جهازك
يعتمد التصيّد الإلكتروني على انتحال المهاجمين هوية جهات يثق بها المستخدم، مثل البنك، أو جهة العمل، أو شركة توصيل، أو حتى أحد الأصدقاء أو أفراد العائلة. وقد يصل الطُعم عبر البريد الإلكتروني، أو الرسائل النصية، أو رموز QR، أو مكالمة هاتفية.
ضغطة واحدة على رابط مزيف أو مشاركة معلومة حساسة قد تؤدي إلى سرقة الحسابات، أو تنفيذ عمليات شراء احتيالية، أو سرقة الهوية الرقمية.
ورغم أن التصيّد الإلكتروني ليس ظاهرة جديدة، فإن طرق تنفيذه تطورت تطوراً كبيراً. ومن أبرز التطورات ظهور نموذج إجرامي يعرف باسم "التصيّد كخدمة" (Phishing-as-a-Service أو PhaaS)، الذي جعل إطلاق حملات احتيالية متطورة متاحاً حتى للأشخاص الذين لا يمتلكون خبرة تقنية كبيرة.
كيف يعمل "التصيّد كخدمة"؟
يعتمد هذا النموذج على فكرة مشابهة لخدمات البرمجيات التجارية، لكن في عالم الجريمة الإلكترونية. فبدلاً من بناء أدوات الاحتيال من الصفر، يستطيع المهاجمون شراء حزم جاهزة تساعدهم على تنفيذ حملات تصيّد مقنعة بأقل جهد تقني.
وقد تتضمن هذه الحزم:
- صفحات تسجيل دخول مزيفة تحاكي مواقع موثوقة.
- قوالب بريد إلكتروني مصممة لتبدو شرعية.
- استضافة لمواقع التصيّد.
- قوائم بأهداف محتملة.
- أدلة إعداد وتشغيل للهجمات.
- خدمات دعم فني يقدمها بعض مزودي هذه الأدوات.
النتيجة هي أن أشخاصاً محدودي الخبرة التقنية أصبح بإمكانهم تنفيذ هجمات كانت تتطلب سابقاً معرفة متقدمة، ما أدى إلى زيادة عدد حملات التصيّد وتعقيدها.
لماذا يزيد "التصيّد كخدمة" من المخاطر؟
الخطر الأكبر لا يكمن بالضرورة في أن كل عملية احتيال أصبحت أكثر إقناعاً، بل في أن عدد هذه العمليات ارتفع ارتفاعاً كبيراً. فعندما تصبح أدوات التصيّد رخيصة وسهلة الاستخدام، يصبح بإمكان عدد أكبر من الأشخاص إطلاق حملات احتيالية.
وبدلاً من وجود مجموعة صغيرة من المجرمين ذوي المهارات التقنية العالية، أصبح هناك عدد أكبر من الأشخاص الذين يشترون الأدوات نفسها ويستخدمون الأساليب نفسها لاستهداف المستخدمين.
كما ساهم الذكاء الاصطناعي في جعل اكتشاف رسائل التصيّد أكثر صعوبة. فلم تعد الأخطاء اللغوية أو الإملائية الواضحة مؤشراً كافياً على الاحتيال، إذ يمكن لأدوات الذكاء الاصطناعي إنتاج رسائل احترافية خلال ثوانٍ.
لذلك، أصبح السؤال الأهم ليس: "لماذا يطلب مني هذا الشخص الضغط على رابط أو فتح ملف أو مشاركة معلومات شخصية؟"
كيف تحمي نفسك من هجمات التصيّد؟
رغم تطور أساليب المحتالين، فإن قواعد الحماية الأساسية لم تتغير كثيراً. معظم هجمات التصيّد تعتمد على دفع الضحية إلى اتخاذ قرار سريع قبل التفكير.
ومن أبرز الإجراءات الوقائية:
- التمهل قبل الرد على رسائل أو مكالمات غير متوقعة.
- التحقق من الروابط قبل الضغط عليها والتأكد من أن العنوان يقود إلى الموقع الصحيح.
- كتابة عناوين المواقع المهمة يدوياً في المتصفح بدلاً من الدخول إليها عبر الروابط.
- الحذر من الطلبات العاجلة المتعلقة بالأموال أو كلمات المرور أو رموز التحقق.
- تجنب فتح المرفقات غير المتوقعة.
- استخدام أدوات موثوقة لفحص الروابط المشبوهة.
- تحديث نظام التشغيل والمتصفح وبرامج الحماية باستمرار.
كما تساعد المتصفحات الحديثة وبرامج مكافحة الفيروسات في حجب العديد من المواقع والملفات الضارة، لكنها لا تغني عن الحذر والانتباه.