ما وراء صندوق البريد: الهندسة الاجتماعية وراء الاقتحام الفعلي والاحتيال الصوتي (Vishing)

غالباً ما تنفق الشركات ملايين الدولارات على جدران الحماية للشبكات، وبوابات الذكاء الاصطناعي المتقدمة لتصفية رسائل البريد الإلكتروني الاحتيالية (Phishing)، معتقدين أن محيطهم الرقمي أصبح سوراً درعياً لا يُخترق.

لكن القراصنة المهرة يفهمون جيداً أنه كلما أصبح الدرع الرقمي معقداً وثقيلاً، ظل "العنصر البشري" ضعيفاً وهشاً بشكل عالمي. لماذا تقضي عاماً في كتابة فيروس اختراق خفي، بينما تسفر مكالمة هاتفية مدتها 3 دقائق لمركز مساعدة الموظفين لسرقة صلاحيات تغيير باسورد الشبكة بالكامل؟ لماذا تخترق جدار الحماية بينما يمكنك المشي ببرود وسهولة تامة من الباب الأمامي لفرع الشركة وأنت تحمل كوباً من القهوة؟

في هذا الاستطلاع التكتيكي، يكشف فريق Cayvora Security عن نقطتين من أكثر النواقل الأمنية تدميراً وتجاهلاً من قبل مجموعات التهديد، وكيف نستطيع الحد منها وتأمينها.

الاحتيال الصوتي (Vishing)

تجاوز Vishing جميع تقنيات واحتياطات عالم البريد عبر استهداف الموظف مباشرة في مكالمة صوتية أو هاتفية.

منهجية الهجوم والاحتيال المجهز

على عكس تخويف البطاقات الائتمانية العشوائي الذي تنفذه روبوتات الاتصال الرخيصة، فإن محترفي العمليات في قطاع الاختراق المؤسساتي يدرسون هدفهم بالكامل. ينتحل المخترق شخصية مسؤول داخلي له وزن ثقيل (مثل نائب الرئيس الجديد) ويعتمد على تقنية دمج وتوليد الذعر والطابع الرسمي لإرهاب الموظف البسيط في الطوارئ.

"مرحباً، معك خالد، نائب مدير القطاع هنا. لم أتمكن من تسجيل الدخول ويجب أن أقدم عرضاً للمدير التنفيذي الآن. قسم الدعم الفني لا يجيب.. هل يمكنك إصدار كود مؤقت لي قبل أن أتعرض للإحراج من ثاني يوم عمل لي هنا؟"

خوفاً من الاصطدام بشجار مع مسؤول رفيع المستوى، يمتثل الموظف في أغلب الأحيان ويسلم للمهاجم كود الدخول و مفتاح الثقة!

تكنولوجيا التزييف الصوتي العميق (Deepfakes)

وصل الاحتيال اليوم لمستويات شيطانية، أصبحت 15 ثانية مأخوذة من لقاء يوتيوب مسجل كافية لآليات الذكاء الاصطناعي بنسخ وترديد أي كلمات يتفوه بها الهاكر بطبقات ونغمة صوت المدير الفعلي! الموظف لن يصدق سوى أذنيه ويقوم بعملية النقل المالي الضخمة.

اقتحام وملاصقة الأبواب الحقيقية (Tailgating)

عندما تبالغ الشركات بالاعتماد الدقيق على الدروع السيبرانية، فإنهم ينسون حقيقة أن "الأمن الجسدي والعضلي" هو أصل الحماية. إذا حصل الهاكر على وصول شخصي وبدني إلى المبنى، فقد ضاع كل شيء. يتمثل الـ "Piggybacking" بالسير بهدوء شديد وراء موظف مسجل ومعتمد نحو منطقة محظورة.

التطبيق الميداني الفعلي والاجتماعي

يستهدف الهاكر ساعات الذروة في المكاتب. يستغل "اللباقة الإنسانية والضغط العصبي". يمشي المهاجم مسرعاً حاملاً صناديق مياه أو قهوة ثقيلة خلف موظف طبيعي مسجل بالبصمة ليقوم بفتح البوابة الفولاذية والمغلقة. الموظف بالفطرة والشهامة الاجتماعية سيترك الباب مفتوحاً له!

الصندوق الأسود (DropBox): بمجرد دخوله بهدوء، يندمج، يبحث عن طاولة خالية أو قاعة مؤتمرات.. يزرع فيها كمبيوتر النانو المخفي في مقبس الشبكة الجدارية وتوليد واي فاي، ليغادر المبنى مبتسماً! خلال 6 أشهر قادمة سيمكنه الدخول لأدق ملفات الشركة اللاسلكية وتجاوز كافة حمايات المكاتب.

التحكم وتخفيف المخاطر البشرية

1. التحقق المستقل: رفض أوامر تحويل المال الصوتية، والمطالبة بالمصادقة من قناة وبريد آخر مكتوب أو عبر أرقام هوية.
2. البوابات الأمنية الصارمة: تثبيت بوابات أمنية لا تسمح وتستوعب بالدوران إلا لمرور شخص مادي واحد فقط.
3. ثقافة الشك الإلزامية: يجب تدريب الجميع بأن "الابتعاد وفتح الباب لشخص آخر" هي جريمة سيبرانية ومحاسبة صارمة.