قد تنفق الشركات الكثير على أنظمة الحماية، ثم يبدأ الاختراق من رسالة واحدة تبدو طبيعية أو مكالمة بسيطة، هنا تكمن خطورة الهندسة الاجتماعية؛ فبدل البحث عن ثغرة تقنية في انظمة الشركات، يبحث المخترق عن لحظة مناسبة تدفع الموظف إلى اتخاذ القرار الخطأ يساعده للتسلل إلى أنظمة الشركات.
ولم تعد هذه الهجمات تعتمد عبر الطرق التقليدية مثل البريد الإلكتروني فقط، بل أصبحت تصل إلى الموظفين عبر المكالمات والرسائل النصية أيضًا، وقد سجلت هذه الهجمات معدل نقر أعلى بنحو 40% مقارنة بمحاكاة التصيد عبر البريد الإلكتروني.
ولذلك، من المهم التعرف على الطريقة التي تعمل بها الهندسة الاجتماعية، والحيل التي يستخدمها المهاجمون لاستغلال الموظفين، والعلامات التي تساعد على اكتشاف الهجوم مبكرًا، إلى جانب الخطوات التي يمكن للشركات اتخاذها للحد من فرص نجاحه.
ما هي الهندسة الاجتماعية؟
الهندسة الاجتماعية هى طريقة يعتمد فيها المهاجم على خداع الأشخاص والتأثير في قراراتهم للوصول إلى معلومات أو أموال أو أنظمة، بدل أن يحاول اختراق أنظمة الشركة بشكل مباشر.
وغالبًا ما يستغل المهاجم مواقف عادية داخل بيئة العمل، مثل الثقة في المدير، أو الاستجابة لطلب عاجل، أو الرغبة في مساعدة زميل، ثم يستخدم ذلك لإقناع الموظف بفتح رابط، أو مشاركة بيانات تسجيل الدخول، أو تنفيذ تحويل مالي، أو منح صلاحية لا ينبغي منحها.
ولهذا قد ينجح الهجوم من دون استغلال ثغرة تقنية واضحة، لأن المهاجم يحصل على ما يريده من خلال تصرف يقوم به الموظف بنفسه وهو يعتقد أن الطلب حقيقي.
لماذا يستهدف المهاجمون الموظفين بدلًا من أنظمة الشركات؟
تتطور أنظمة الحماية باستمرار، لكن يظل الموظف أمام عشرات القرارات اليومية التي قد تبدو بسيطة، مثل فتح ملف بريدي، أو الرد على مكالمة من شخص يدّعي أنه من الدعم الفني، أو تنفيذ طلب عاجل لتحويل أموال، وهنا يجد قراصنة الإنترنت فرصتهم، لأن قرارًا واحدًا يتم اتخاذه بسرعة أو من دون تحقق قد يمنحهم مدخلًا إلى بيانات أو أنظمة الشركة.
وتوضح البيانات حجم هذا الخطر، إذ أظهر تقرير نُشر عام 2025 أن التصرفات والأخطاء البشرية كان لها دور في نحو 60% من حوادث اختراق البيانات، مثل استخدام بيانات مسروقة أو الوقوع في فخ رسائل وروابط خادعة، وهذا لا يعني أن الموظف هو الحلقة الضعيفة دائمًا، بل يوضح مدى قدرة المهاجم على استغلال سلوكيات طبيعية داخل بيئة العمل، مثل الرغبة في إنجاز المهام بسرعة أو مساعدة الآخرين.
ما هي أشهر أنواع هجمات الهندسة الاجتماعية؟
تختلف أساليب الهندسة الاجتماعية حسب الطريقة التي يحاول بها المهاجم خداع الموظف والوصول إلى ما يريده، فقد ينتحل شخصية جهة موثوقة، أو يستغل الفضول والاستعجال، أو يستخدم رسائل ومكالمات مزيفة، ومن أشهر هذه الأساليب:
- التصيد الاحتيالي (Phishing):
يعتمد على إرسال رسائل أو إنشاء مواقع مزيفة تبدو وكأنها تابعة لجهة موثوقة، بهدف سرقة بيانات تسجيل الدخول أو المعلومات المالية، أو دفع المستخدم إلى فتح رابط أو ملف ضار، ويشمل صورًا مختلفة مثل التصيد الموجّه (Spear Phishing)، والتصيد الذي يستهدف القيادات (Whaling)، والتصيد عبر المكالمات (Vishing) أو الرسائل النصية (Smishing).
- اختلاق قصة مقنعة (Pretexting):
يبني المهاجم موقفًا أو سببًا يبدو حقيقيًا حتى يقنع الضحية بمشاركة معلومات لا يحق له الوصول إليها، مثل الادعاء بأنه يجري مراجعة داخلية أو يحتاج إلى بيانات معينة لإتمام إجراء ما.
- الإغراء (Baiting):
يستغل المهاجم فضول الضحية أو رغبتها في الحصول على شيء مفيد، مثل برنامج مجاني أو ملف باسم عنوان جذاب أو وحدة تخزين USB، بهدف دفعها إلى تشغيل محتوى ضار.
- المقايضة (Quid Pro Quo):
يعرض المهاجم خدمة أو مساعدة أو منفعة مقابل الحصول على معلومات حساسة أو صلاحية للوصول إلى حساب أو نظام.
- التسلل خلف شخص مصرح له (Tailgating / Piggybacking):
هجوم يحدث داخل مقر الشركة، حيث يدخل شخص غير مصرح له خلف موظف يستخدم بطاقته لفتح باب مخصص للموظفين، فيصل إلى المكان من دون امتلاك تصريح دخول.
كيف غيّر الذكاء الاصطناعي هجمات الهندسة الاجتماعية؟
لم يغيّر الذكاء الاصطناعي كثيرًا من أساليب الهندسة الاجتماعية، لكنه جعل تنفيذها أسرع وأكثر دقة؛ فبدل أن يقضي المهاجم وقتًا طويلًا في إعداد رسالة أو تقليد شخص معين، أصبح قادرًا على إنشاء محتوى أكثر إقناعًا وتخصيصه لعدد كبير من الأشخاص بجهد وتكلفة أقل.
- تخصيص الهجوم على نطاق واسع:
كان إعداد رسالة مقنعة لموظف بعينه يحتاج وقتًا في البحث وجمع التفاصيل، أما الآن فيمكن تحليل كميات كبيرة من المعلومات العامة بسرعة، ثم استخدامها لإنشاء محتوى يتناسب مع وظيفة الشخص وطبيعة عمله وسياق الشركة، ما يسمح بتنفيذ عدد أكبر من الهجمات المخصصة في وقت أقصر.
- تقليل العلامات التي كانت تكشف الاحتيال:
في السابق، كانت الأخطاء اللغوية والصياغة غير الطبيعية من العلامات التي قد تثير الشك في رسائل التصيد، أما اليوم فيستطيع الذكاء الاصطناعي إنشاء رسائل سليمة ومقنعة، وتخصيص أسلوبها بما يناسب الشخص أو الجهة المستهدفة، ما يجعل اكتشافها من طريقة الكتابة وحدها أكثر صعوبة.
- جعل الانتحال أكثر واقعية:
يمكن لأدوات الذكاء الاصطناعي تقليد الصوت والصورة بدرجة مقنعة، لذلك عند تلقي طلب حساس لا يكفي التعرف على الشخص من صوته أو صورته فقط، بل يجب التأكد من الطلب عبر وسيلة أخرى، مثل الاتصال به على رقم معروف مسبقًا أو طلب موافقة ثانية.
كيف تحمي الشركة موظفيها من الهندسة الاجتماعية؟
- درّب الموظفين على مواقف حقيقية:
بدل الاكتفاء بتدريب سنوي نظري، من الأفضل استخدام جلسات قصيرة ومتكررة ومحاكاة واقعية لرسائل التصيد والمكالمات والرسائل النصية، مع ربط السيناريوهات بطبيعة عمل كل قسم، ثم استخدام نتائج المحاكاة لتحسين التدريب.
- ضع إجراء ثابتًا للتحقق من الطلبات:
أي طلب يتعلق بتحويل أموال، أو تغيير بيانات مورد، أو مشاركة بيانات دخول، أو منح صلاحيات يجب ألا يُنفذ اعتمادًا على رسالة أو مكالمة واحدة، بل يتم التأكد منه عبر وسيلة أخرى معروفة مسبقًا، مثل الاتصال برقم مسجل في دليل الشركة أو الحصول على موافقة ثانية.
- قلّل صلاحيات الوصول:
امنح كل موظف فقط الصلاحيات التي يحتاجها لأداء عمله، لأن زيادة الصلاحيات يعني أن اختراق حساب واحد قد يفتح للمهاجم أبوابًا أكثر داخل الشركة، ويمكن تقليل هذا الخطر باستخدام المصادقة متعددة العوامل ومتابعة الحسابات التي تملك صلاحيات حساسة.
- استخدم أدوات تقلل وصول الهجمات إلى الموظفين:
يمكن للشركة استخدام أنظمة تكشف رسائل البريد المزيفة أو الروابط والملفات المشبوهة قبل وصولها إلى صندوق الوارد، مع تفعيل المصادقة متعددة العوامل حتى لا تكون كلمة المرور وحدها كافية للدخول إلى الحساب إذا حصل عليها المهاجم.
- لا تهمل الأمن داخل مقر الشركة:
يجب أن يعرف الموظفون أن الهندسة الاجتماعية لا تحدث عبر الإنترنت فقط، لذلك من المهم ضبط دخول الزوار، وعدم السماح لأشخاص غير معروفين بالدخول خلف الموظفين، وقفل الشاشات وعدم ترك المعلومات الحساسة مكشوفة.
ماذا تفعل إذا وقع موظفك في الفخ؟
- أبلغ فريق الأمن فورًا:
وضّح ما حدث، ومتى حدث، وما إذا تم إدخال كلمة مرور أو مشاركة رمز تحقق أو فتح ملف مشبوه.
- احتفظ بالأدلة قبل حذف أي شيء:
احتفظ بالرسالة المشبوهة، والرابط، والمرفقات، وسجل المكالمات أو الرسائل، لأنها تساعد فريق الأمن على معرفة طريقة الهجوم وما الذي يجب البحث عنه.
- أمّن الحساب المتأثر:
غيّر كلمة المرور، وألغِ جميع الجلسات ورموز الدخول النشطة، وراجع وسائل المصادقة المسجلة وأي تطبيقات أو صلاحيات جديدة لم يضفها الموظف.
- تحقق مما فعله المهاجم داخل الحساب:
راجع عمليات تسجيل الدخول، والرسائل المرسلة، وقواعد تحويل البريد، والتغييرات في الصلاحيات، وأي وصول غير معتاد إلى الملفات أو الأنظمة.
- افحص الجهاز إذا تم تشغيل ملف أو برنامج:
إذا فتح الموظف مرفقًا، أو ثبّت برنامجًا، أو نفّذ أمرًا مشبوهًا، يجب فحص الجهاز وعزله عند الحاجة قبل إعادته إلى العمل.
- حدد حجم الضرر وتابع الحساب بعد استعادته:
تأكد من الأنظمة والبيانات التي تم الوصول إليها، وأزل أي وسيلة تركها المهاجم للعودة، ثم راقب الحساب لفترة بعد الحادث للتأكد من عدم ظهور نشاط مشبوه مرة أخرى.
وإذا شمل الهجوم تحويل أموال أو تسريب بيانات حساسة، يجب التواصل فورًا مع الجهة المالية أو الفريق القانوني والجهات المختصة وفق إجراءات الشركة.
أسئلة شائعة
- هل المصادقة متعددة العوامل تمنع الهندسة الاجتماعية نهائيًا؟
لا، فالمصادقة متعددة العوامل (MFA) تقلل كثيرًا من فرص استخدام كلمة مرور مسروقة، لكنها لا تمنع جميع أشكال الهندسة الاجتماعية، فقد يحاول المهاجم خداع الموظف للموافقة على طلب المصادقة متعددة العوامل أو مشاركة رمز تحقق مؤقت، كما أن بعض الهجمات المالية وعمليات انتحال الهوية قد لا تحتاج إلى تسجيل الدخول من الأساس لذلك، يُفضل استخدام مصادقة متعددة العوامل مقاومة للتصيد، إلى جانب إجراءات تحقق مستقلة.
- ضغطت على رابط تصيد لكنني لم أدخل كلمة المرور، هل يجب الإبلاغ؟
نعم، لأن الضغط على الرابط وحده قد يعرّض الجهاز أو الحساب للخطر، حتى لو لم تُدخل أي بيانات. فقد يحتوي الرابط على محتوى ضار أو يُستخدم لجمع معلومات عن الجهاز والمتصفح. لذلك، من الأفضل الإبلاغ فورًا حتى يتمكن فريق الأمن من فحص الرابط والجهاز، والتأكد من عدم وجود نشاط مشبوه، ومنع وصول الهجوم إلى موظفين آخرين.
- هل يمكن أن تحدث الهندسة الاجتماعية بدون إنترنت؟
نعم، فالهندسة الاجتماعية لا تقتصر على البريد الإلكتروني فقط، بل قد تشمل التسلل خلف الموظفين إلى المناطق المقيدة (Tailgating)، وانتحال صفة مورد أو موظف، وسرقة المستندات، أو الاطلاع على شاشات الموظفين، وهى كلها أساليب تعتمد على استغلال السلوك البشري والوصول المباشر إلى الأشخاص أو الأماكن.
في النهاية، السقوط في فخ الهندسة الاجتماعية لا يعتمد فقط على مدى براعة المهاجم، بل على المساحة التي تتركها له إجراءات العمل اليومية، كل طلب حساس لا يمر بخطوة تحقق، وكل صلاحية أوسع من الحاجة، يمكن أن تتحول إلى فرصة يستغلها المهاجم.
لذلك، لا يكفي أن تعرف الشركة أشكال هذه الهجمات، بل يجب أن تراجع باستمرار الطريقة التي تُنفذ بها الطلبات وتُمنح بها الصلاحيات ويتم التعامل بها مع المواقف غير المعتادة، لأن أفضل دفاع هو أن يصبح التحقق المستمر جزءًا من طريقة العمل نفسها.
شارك هذا المقال
