التصيّد الإلكتروني: كيف تتعرف عليه وتبلّغ عنه؟

مقدمة: الهجوم الأكثر شيوعاً

إذا سألت خبراء الأمن السيبراني عن أكثر أنواع الهجمات انتشاراً، سيذكر أغلبهم التصيّد الإلكتروني (Phishing). فهو لا يحتاج إلى مهارات تقنية عالية، بل يعتمد على الخداع: رسالة تبدو من بنك أو شركة توصيل أو زميل في العمل، تدفعك إلى الضغط على رابط أو إدخال بياناتك أو فتح مرفق.

والمفارقة أن أغلب الناجحين في هذه الهجمات ليسوا جاهلين، بل أشخاص مشغولون يتصرفون بسرعة. لذلك فهم الأساليب الشائعة وتعوّد التوقف لحظة قبل الضغط هما أهم مهارات الحماية.

ما هو التصيّد؟

التصيّد محاولة خداع يقوم فيها المهاجم بانتحال جهة موثوقة لدفع الضحية إلى كشف معلومات حساسة، مثل كلمة المرور أو رمز التحقق أو بيانات البطاقة البنكية، أو إلى تنزيل برمجية خبيثة.

ويمكن أن يأتي التصيّد عبر البريد الإلكتروني أو الرسائل النصية أو وسائل التواصل أو المكالمات الهاتفية. وتسمى الصيغة النصية SMS Phishing أو (Smishing)، وتسمى الصيغة الصوتية (Vishing).

أشهر أشكال التصيّد

• التصيّد العام: رسائل واسعة الانتشار، مثل “حسابك سيُغلق خلال 24 ساعة”.
• التصيّد الموجّه (Spear Phishing): رسالة مصممة لشخص محدد بمعلومات حقيقية عنه، وهي أخطر لأنها تبدو موثوقة.
• انتحال الشخصيات: رسالة تبدو من مدير أو زميل تطلب تحويلاً عاجلاً أو معلومات سرية.
• الصفحات المزيفة: موقع يشبه موقعاً حقيقياً في الشكل والعنوان تقريباً.
• الرسائل النصية الخادعة: إشعار شحن أو غرامة مرورية أو تحديث مزيف.

علامات تكشف التصيّد

• إلحاح مفرط: عبارات مثل “فوراً” و”آخر فرصة” تهدف إلى إضعاف تفكيرك.
• تهديد أو وعد غير منطقي: جائزة مفاجئة أو عقوبة قاسية في وقت قصير.
• عنوان مرسل غريب: اسم يشبه الجهة الأصلية لكنه يختلف بحرف أو نطاق.
• أخطاء لغوية أو تنسيق ضعيف: ليست دائماً علامة قاطعة، فبعض الهجمات أصبحت متقنة.
• طلب معلومات حساسة: لا تطلب الجهات الرسمية كلمة المرور أو رمز التحقق عبر الرسائل.
• روابط مخفية: نص يبدو رابطاً لموقع معروف، لكنه يقودك إلى نطاق مختلف.
• مرفقات غير متوقعة: خاصة بصيغ تنفيذية أو ملفات مضغوطة أو مستندات تطلب تفعيل الماكروز.

خطوة التحقق التي لا تتجاهلها

قبل أن تتصرف، تحقق بطريقة مستقلة. لا تستخدم الرابط الموجود في الرسالة، بل اكتب عنوان الخدمة بنفسك في المتصفح، أو افتح تطبيقها الرسمي. وإن كانت الرسالة من شخص تعرفه، فاتصل به على رقم معروف لديك، أو تأكد عبر قناة أخرى.

هذه الخطوة البسيطة تكشف معظم الهجمات، لأن المهاجم يعتمد على أن تتصرف داخل الرسالة نفسها دون أن تخرج منها.

ماذا تفعل إن ضغطت على رابط مشبوه؟

1. لا تُدخل أي بيانات في الصفحة التي فُتحت.
2. أغلق الصفحة ولا تكمل.
3. غيّر كلمة المرور للحساب المعني من جهاز آخر آمن، وإن استطعت من خلال التطبيق الرسمي.
4. فعّل المصادقة الثنائية إن لم تكن مفعّلة، واستخدم تطبيق المصادقة بدلاً من الرسائل النصية.
5. راجع الأجهزة المسجلة في الحساب، وأزل ما لا تعرفه.
6. راقب الحساب بحثاً عن معاملات أو رسائل أو تغييرات مشبوهة.

أما إن أدخلت بيانات بطاقتك، فتواصل مع البنك فوراً لإيقاف البطاقة أو تغيير الرقم السري.

إن أرسلت بيانات بالفعل

الوقت عنصر حاسم. اتصل بالجهة المعنية بسرعة، واحتفظ بأدلة الرسالة والرابط والوقت، فهي تساعد في التحقيق. وإن كان الأمر مرتبطاً بمال، فاطلب من البنك مراجعة العملية، ولا تنسَ أن الجهات الرسمية لن تطلب منك رمزاً أو كلمة مرور عبر الهاتف أو الرسائل.

كيف تبلّغ عن التصيّد؟

الإبلاغ يساعد الآخرين ويضيّق على المحتالين، وتختلف الطرق حسب المنصة:

• البريد الإلكتروني: استخدم زر الإبلاغ عن التصيّد في الخدمة، أو أرسل الرسالة كمرفق إلى جهة الدعم.
• الرسائل النصية: أبلغ مزود الاتصالات، أو احذف الرسالة وامنع المرسل إن أمكن.
• وسائل التواصل: استخدم خيار الإبلاغ داخل التطبيق.
• المواقع الخادعة: أبلغ عنها الجهات المختصة في بلدك، وفي بعض الدول توجد منصات رسمية لذلك.

وتنصح CISA في برنامج Secure Our World بالإبلاغ عن الرسائل المشبوهة، لأن ذلك يساعد في حماية الآخرين.

أخطاء شائعة

• الثقة بالاسم المعروف: فالمهاجم يستطيع انتحال اسم أي جهة.
• الاستعجال: توقف دائماً حين تشعر بضغط الوقت.
• فتح المرفقات دون تحقق: خاصة من عناوين لا تعرفها.
• إعادة استخدام كلمة المرور: فإذا سُرقت في موقع، ستُجرب في مواقع أخرى.

أسئلة شائعة

هل يكفي مضاد الفيروسات لاكتشاف التصيّد؟ لا، فالتصيّد يعتمد على الخداع البشري أكثر من البرمجيات، والحماية الحقيقية هي الوعي والتحقق.

هل الرسائل الرسمية تكون دائماً آمنة؟ ليس بالضرورة. تحقق دائماً من الرابط والعنوان قبل التصرف.

هل يمكن للمحتال معرفة معلوماتي الشخصية؟ نعم، لأن كثيراً من المعلومات متاح عبر الإنترنت، لذلك يجب تقليل البصمة الرقمية.

الخلاصة

التصيّد لا يحتاج إلى عبقرية تقنية، بل يعتمد على استعجالك وثقتك. توقف، تحقق من المرسل والرابط بطريقة مستقلة، ولا تدخل بيانات تحت الضغط. وإن وقعت، فغيّر كلمة المرور وفعّل المصادقة الثنائية وأبلغ عن الهجوم. ويمكنك تعزيز الحماية بقراءة دليل المصادقة الثنائية ودليل عادات الأمان الرقمي اليومية.

أمثلة على رسائل تصيّد شائعة

رسالة شحن مزيفة: تصلك رسالة تقول إن طردك متوقف بسبب عنوان ناقص، وتطلب الضغط على رابط لتحديثه. الرابط يقودك إلى صفحة تطلب بيانات البطاقة. الشركات الجادة غالباً تطلب التحديث من داخل تطبيقها الرسمي، لا عبر رابط في رسالة مفاجئة.

رسالة من البنك: تطلب منك الرسالة إدخال رمز التحقق لتجنب تجميد الحساب. الرمز في الحقيقة هدية للمحتال الذي يحاول تسجيل الدخول الآن. البنوك لا تطلب الرمز أبداً عبر الرسائل أو المكالمات.

رسالة من زميل في العمل: يطلب منك زميل، عبر حساب يبدو مألوفاً، تحويل مبلغ عاجل أو مشاركة ملف. تحقق عبر الهاتف أو قناة الفريق المعتادة قبل أي خطوة.

لماذا ينجح التصيّد رغم انتشار التوعية؟

لأنه يتطور باستمرار. المحتالون يستخدمون شعارات صحيحة، وصياغة دقيقة، وأحياناً معلومات حقيقية جمعوها من تسريبات سابقة. لذلك لا تعتمد على الأخطاء الإملائية وحدها كمؤشر، بل على السياق والإلحاح وطلب المعلومات الحساسة.

إرشادات للمؤسسات الصغيرة

إذا كنت تدير مشروعاً صغيراً، فحدد قاعدة واضحة: لا يُطلب أي تحويل مالي أو تغيير في بيانات الحساب عبر الرسائل فقط، بل يجب تأكيده هاتفياً. ودرّب فريقك على الإبلاغ عن الرسائل المشبوهة دون خوف من اللوم، فالإبلاغ السريع يمنع انتشار الهجوم.

تحقق من النطاق والرابط دون فتحه

على الحاسوب، مرر المؤشر فوق الرابط لتعرف عنوانه، لكن لا تضغط عليه. على الهاتف، يمكن الضغط المطول لمعاينة العنوان من دون فتح الصفحة، مع الحذر من ظهور خيارات مضللة. حدد المضيف والنطاق المسجل بدقة، ولا تعتمد على اتجاه القراءة وحده؛ مثل bank.example.com.attacker.test فهو تابع إلى attacker.test. أو افتح العنوان المعروف يدويًا، وانتبه إلى اختلاف حرف أو استخدام نطاق فرعي طويل يخفي الاسم الحقيقي. وجود قفل HTTPS يعني أن الاتصال مشفر، لكنه لا يثبت أن الموقع تابع لجهة موثوقة.

إذا بدا أن الرسالة من بنك أو شركة توصيل، افتح التطبيق الرسمي أو اكتب عنوان الموقع بنفسك وابحث عن التنبيه من هناك. وإذا كانت من زميل أو مدير، استخدم رقم هاتف أو قناة أخرى محفوظة مسبقاً. لا ترد على الرسالة المشبوهة بطلب التأكيد؛ قد يكون الرد نفسه إشارة للمهاجم أن عنوانك نشط.

المرفقات والرموز وطلبات التحويل

لا تفتح ملفاً لم تتوقعه، حتى لو جاء من اسم مألوف؛ قد يكون حساب المرسل مخترقاً. اتصل بالشخص عبر قناة مستقلة واسأله إن كان قد أرسله. كن حذراً مع ملفات تطلب تفعيل وحدات الماكرو أو تثبيت برنامج، ومع رموز QR التي تقود إلى صفحة تسجيل دخول. لا تمسح رمزاً مجهولاً في مكان عام قبل معرفة الجهة التي وضعته.

طلبات تغيير الحساب البنكي أو تحويل مبلغ عاجل تحتاج تحققاً ثانياً، حتى إذا بدت من مديرك. اتفق في العمل على طريقة تأكيد مستقلة، مثل الاتصال برقم معروف أو موافقة شخصين. لا تشارك رمز المصادقة لمجرد أن المتصل يعرف اسمك أو معلومات عن عملك؛ قد تكون تلك البيانات متاحة علناً أو مسربة.

إذا أدخلت كلمة مرور أو ثبتّ ملفاً

إذا كتبت كلمة مرور في صفحة مشبوهة، افتح الموقع الحقيقي من جهاز موثوق وغيّرها فوراً. غيّرها أيضاً في أي خدمة أخرى استخدمت فيها الكلمة نفسها، وابدأ بالبريد لأنه قد يسمح باستعادة بقية الحسابات. ألغِ الجلسات النشطة، وراجع بريد ورقم الاستعادة وقواعد إعادة التوجيه، ثم فعّل المصادقة متعددة العوامل.

إذا فتحت مرفقاً أو ثبتت برنامجاً، افصل الجهاز عن الشبكة إذا ظهرت علامات نشاط ضار، ولا تدخل بيانات حساسة عليه. اتصل بفريق تقنية المعلومات إن كان جهاز عمل، أو بمختص موثوق، وشغّل أدوات فحص معروفة وفق إرشادات رسمية. لا تحذف الملفات أو تعيد ضبط الجهاز قبل حفظ الأدلة إذا كانت هناك حاجة إلى التحقيق. إذا شاركت بيانات بطاقة أو تحويل مالي، اتصل بالبنك مباشرة.

أبلغ بطريقة آمنة

استخدم زر «الإبلاغ عن تصيّد» في البريد أو المنصة، أو أرسل الرسالة كمرفق إلى جهة الدعم الرسمية حتى تبقى معلومات الرأس متاحة. لا تعيد توجيه الرابط إلى زملائك للتحذير منه؛ استخدم آلية البلاغ أو أرسل وصفاً من دون إعادة نشره. في بيئة العمل، أبلغ فريق الأمن أو تقنية المعلومات بسرعة، حتى لو نقرت على الرابط عن طريق الخطأ؛ الإبلاغ المبكر قد يوقف ضرراً أكبر.

احتفظ بنسخة من الرسالة ووقت وصولها والرابط واسم الحساب، ثم احذفها أو اعزلها بعد الإبلاغ وفق إرشادات الخدمة. لا تنشر معلومات الضحية أو الرسائل التي تحتوي على بيانات شخصية في مجموعات عامة. طرق الإبلاغ تختلف حسب البلد، لذا ابحث عن الجهة الحكومية المختصة من موقع رسمي.

قلل فرص نجاح الهجوم

استخدم كلمات مرور فريدة عبر مدير موثوق، وفعّل المصادقة متعددة العوامل أو مفاتيح المرور حيث تتوفر. حدّث النظام والمتصفح، وفعّل التنبيهات على تسجيل الدخول والمعاملات، واستخدم مرشح البريد. هذه الأدوات تقلل المخاطر لكنها لا تلغي الحاجة إلى التحقق، خصوصاً في التحويلات والطلبات التي تتضمن بيانات حساسة.

للفرق الصغيرة، ضع قاعدة مكتوبة للتحقق من تغيير الحسابات والطلبات المالية، واسمح للموظفين بالإبلاغ من دون لوم. ناقش أمثلة تدريبية بطريقة لا تكشف بيانات حقيقية، وراجع الإجراء بعد أي حادث. الهدف بناء عادة توقف وتحقق، لا جعل الناس يخشون الإبلاغ عن خطأ.

مقالات ذات صلة

• صلاحيات التطبيقات: دليل لمراجعة الكاميرا والميكروفون والموقع
• قاعدة 3-2-1 للنسخ الاحتياطي: حماية بياناتك من الفقدان والفدية
• عادات الأمان الرقمي اليومية: عشر خطوات بسيطة تغيّر حمايتك
• التشفير من طرف إلى طرف: ما هو وكيف يحمي رسائلك؟
• تشغيل نماذج الذكاء الاصطناعي محلياً على حاسوبك: دليل عملي للمبتدئين

مراجعة الدقة وحدود المعلومات

مراجعة تحريرية: 10 أكتوبر 2026. HTTPS لا يثبت هوية الجهة التجارية أو سلامة المحتوى، وقد تستخدمه مواقع الاحتيال. لا تفتح الرابط المشبوه لاختباره؛ معاينة الهاتف قد تختلف. وسائل البلاغ واسترداد المال تختلف حسب البلد والمنصة، ولا يضمن تغيير كلمة المرور وحده إبطال كل جلسة أو إيقاف احتيال مالي.

المصادر الرسمية المباشرة

• FTC: المواقع الاحتيالية قد تستخدم HTTPS
• NIST: مقاومة المصادقة للتصيّد

مصادر إضافية

• CISA - Secure Our World: CISA Secure Our World
• EFF - Surveillance Self-Defense: EFF Surveillance Self-Defense
• Apple - حماية الحساب من الاحتيال: Apple Support