أمان بريد الشركة: كيف تمنع احتيال التحويلات (BEC)؟

لماذا يستهدف المحتالون بريد الشركات تحديدًا؟

حين نتحدّث عن أمن الشركات يقفز إلى الذهن جدار ناري وبرمجية فدية وخادم مُخترق. لكن أكبر خسارة مالية مباشرة تتعرّض لها الشركات اليوم لا تأتي من أيٍّ من ذلك، بل من رسالة بريد إلكتروني عادية تمامًا: بلا مرفق خبيث، بلا رابط مشبوه، بلا شيء يوقفه أي فلتر. رسالة تقول ببساطة إن حساب المورّد البنكي تغيّر، وأن الدفعة القادمة يجب أن تذهب إلى رقم جديد. الموظف الذي ينفّذها لا يرتكب خطأً غبيًا — إنه ينفّذ عملًا يقوم به كل أسبوع، لكن مع بيانات مزوّرة.

هذا هو جوهر اختراق بريد الأعمال (BEC). المصطلح مُضلِّل قليلًا لأنه يوحي بأن اختراق صندوق البريد شرط، بينما كثير من الحالات لا يحدث فيها اختراق أصلًا: يكفي أن ينتحل المهاجم اسم المدير أو المورّد من نطاق مشابه. وفي حالات أخرى يكون الاختراق حقيقيًا وطويل الأمد — يجلس المهاجم داخل الصندوق أسابيع يقرأ المراسلات، يتعلّم أسماء العملاء وقيم الفواتير وأسلوب الكتابة ومواعيد الدفعات، ثم يتدخّل في اللحظة المثالية برسالة تبدو استمرارًا طبيعيًا لمحادثة قائمة.

الأرقام تشرح لماذا يستحقّ هذا كل هذا الاهتمام. في تقرير IC3 السنوي لعام 2025 (مركز شكاوى جرائم الإنترنت التابع للـFBI، وهو أشهر مصدر إحصائي مفتوح في هذا المجال)، بلغت الخسائر المُبلَّغ عنها من BEC نحو 3 مليارات دولار من قرابة 25 ألف بلاغ فقط — أي بمتوسط تقديري يتجاوز مئة ألف دولار لكل حادثة. للمقارنة، بلاغات التصيّد العام (Phishing) كانت أضعاف ذلك عددًا، لكن خسائرها المالية المباشرة أقل بكثير. هذه الأرقام تخصّ بلاغات وصلت إلى جهة أمريكية واحدة، فالرقم العالمي الحقيقي أكبر بالضرورة لأن كثيرًا من الشركات — خاصة الصغيرة — لا تبلّغ إطلاقًا خوفًا على السمعة.

السبب البنيوي وراء كل هذا أن بروتوكول البريد (SMTP) صُمّم في زمن كانت الثقة فيه الافتراض الأصلي. البروتوكول لا يتحقّق أصلًا من أن المُرسِل هو من يدّعي أنه هو؛ خانة «من» في الرسالة مجرّد نصّ يكتبه المُرسِل بنفسه، تمامًا كاسم المُرسِل على ظرف بريدي ورقي. طبقات المصادقة الحديثة أُضيفت لاحقًا لسدّ هذه الفجوة، وإن أردت فهم آلية عملها بالتفصيل فارجع إلى دليل سجلّات SPF وDKIM وDMARC وإلى تعريف بروتوكول SMTP في الويكي. لكن — وهذه النقطة التي يخطئ فيها كثيرون — هذه الطبقات تحلّ نصف المشكلة فقط، وسنرى بعد قليل أي نصف بالضبط.

كيف يصل المهاجم إلى صندوق بريد الشركة؟

قبل الحديث عن أنواع الاحتيال، من المفيد أن نفهم الطريق. المهاجم أمامه مساران: إمّا أن يخترق صندوقًا حقيقيًا فيصبح كلامه صادرًا من عنوان شرعي تمامًا لا يمكن لأي فلتر أن يشكّ فيه، وإمّا أن ينتحل الهوية من الخارج دون اختراق. المسار الأول أخطر وأثمن، والمسار الثاني أسرع وأرخص.

لاحظ الصفّ الأخير جيدًا: في نسبة معتبرة من حوادث BEC لا تكون شركتك هي المُخترَقة أصلًا. الصندوق المُخترَق يخصّ مورّدًا أو عميلًا أو محاسبًا خارجيًا، والرسالة تصلك من عنوانه الحقيقي وتمرّ بكل فحوص المصادقة بنجاح لأنها فعلًا صادرة منه. لا يوجد أي أثر تقني يمكن لفلترك أن يمسك به. هذا وحده يكفي لإثبات أن الدفاع لا يمكن أن يكون تقنيًا بالكامل.

المسار الآخر — الانتحال من الخارج — يعتمد على أن المستلم لا يقرأ العنوان الكامل بل يقرأ الاسم المعروض فقط. على شاشة الجوّال خصوصًا، لا يظهر غالبًا سوى «أحمد المنصور — المدير المالي»، والعنوان الحقيقي خلفه قد يكون أي شيء. هذه التفصيلة الصغيرة تفسّر لماذا ترتفع نسبة نجاح هذه الرسائل حين تُقرأ على الهاتف، ولماذا يتعمّد المهاجمون إرسالها في أوقات التنقّل أو نهاية الدوام.

ما أنواع احتيال BEC الأربعة؟

رغم تنوّع السيناريوهات، تعود أغلب الحالات إلى أربعة أنماط أساسية. معرفتها بأسمائها تجعل تدريب الفريق أسهل بكثير، لأن الموظف يتعرّف على «شكل» الهجوم لا على تفاصيله.

احتيال المدير التنفيذي أقدم الأنماط وأكثرها شهرة. تصل رسالة قصيرة إلى المحاسب أو مسؤول الحسابات من «المدير»، بنبرة آمرة مهذّبة، تطلب تنفيذ تحويل لصفقة سرّية أو دفعة مستعجلة، وغالبًا مع جملة صريحة تمنع مناقشة الأمر مع أحد: «الموضوع سرّي حتى الإعلان». هذه الجملة تحديدًا هي جوهر الهجوم — فهي تعطّل بالضبط الإجراء الذي كان سيكشفه: أن يسأل الموظف زميلًا.

الفاتورة المزوّرة أكثر مكرًا لأنها لا تطلب شيئًا استثنائيًا: هي فاتورة عادية عن خدمة حقيقية بمبلغ منطقي من مورّد تتعامل معه فعلًا. الشيء الوحيد المتغيّر هو رقم الحساب البنكي في أسفلها. حين يكون المهاجم قد قرأ مراسلاتكم السابقة، تكون الفاتورة مطابقة للأصل في التنسيق والشعار وأرقام الطلبات، وقد تصل حتى في موعدها الشهري المعتاد.

تغيير بيانات الحساب البنكي هو النمط الأخطر ماليًا لأن أثره متكرّر لا مرّة واحدة: تحويلة واحدة قد تُكتشف، لكن تغيير بيانات مورّد ثابت في نظام الدفع يعني أن كل دفعة قادمة تذهب للمهاجم حتى يشتكي المورّد الحقيقي بعد شهور. هذا النمط تحديدًا يستحقّ إجراءً مكتوبًا صارمًا سنفصّله لاحقًا.

انتحال المورّد أو ما يُعرف بـ«اختطاف المحادثة» هو الأصعب كشفًا. المهاجم — بعد اختراق صندوق أحد الطرفين — ينشئ نطاقًا يشبه نطاق المورّد بحرف واحد، ثم يردّ داخل سلسلة رسائل حقيقية كاملة بكل تاريخها المقتبس أسفل الرسالة. كل شيء صحيح: الأسماء، الأرقام، السياق، النبرة. الحرف الواحد المختلف في النطاق هو الدليل الوحيد.

ما إشارات الإنذار في الرسالة المشبوهة؟

الإشارات التالية لا يثبت أيّ منها الاحتيال منفردًا، لكن اجتماع اثنتين أو ثلاث منها في رسالة مالية يعني التوقّف الفوري والتحقّق عبر قناة أخرى.

الإشارة السادسة تستحقّ وقفة: خانة Reply-To هي الحيلة الأبسط والأكثر استخدامًا على الإطلاق. يضع المهاجم في From عنوانًا يشبه عنوان مديرك، لكنه يضبط Reply-To على صندوق يملكه هو. أنت ترى اسمًا مألوفًا، وتضغط «ردّ»، فيذهب ردّك مباشرة إلى المهاجم دون أن يمرّ بأحد. تدريب بسيط على «انظر إلى العنوان الذي سيذهب إليه ردّك قبل أن تكتب» يوقف نسبة معتبرة من هذه المحاولات.

كيف تكشف النطاق المتشابه (Lookalike Domain)؟

النطاق المتشابه هو نطاق حقيقي مسجّل ومملوك للمهاجم، اختير ليبدو للعين البشرية مطابقًا لنطاقك أو نطاق مورّدك. وبما أنه نطاق حقيقي، فإن المهاجم يستطيع أن يضبط له سجلّات مصادقة سليمة تمامًا — وهنا تكمن المشكلة التي سنعود إليها في القسم التالي.

الحيلة الخامسة هي الأخطر مع المستخدم العربي تحديدًا، لأننا نقرأ من اليمين إلى اليسار بينما بنية النطاق تُقرأ من اليسار… بمنطق معاكس: النطاق الحقيقي هو ما يسبق آخر نقطة مباشرة، وكل ما قبله مجرّد نطاقات فرعية يستطيع المهاجم أن يكتب فيها ما يشاء. عنوان مثل «اسم شركتك ثم نقطة ثم اسم غريب ثم .com» ليس تابعًا لشركتك إطلاقًا.

الدفاع العملي هنا ثلاثي. أولًا: سجّل النطاقات المتشابهة الأقرب لك بنفسك — الأخطاء الإملائية الشائعة والامتدادات البديلة الرئيسية؛ تكلفتها سنويًا زهيدة مقارنة بحادثة واحدة، وإن كنت تدير نطاقاتك في أماكن متفرّقة فمن الأسهل توحيدها كما في دليل نقل الدومين من مزوّد لآخر. ثانيًا: راقب التسجيلات الجديدة المشابهة لاسمك دوريًا. ثالثًا: فعّل خصوصية بيانات النطاق حتى لا تكون بيانات فريقك ومسؤوليك مادة جاهزة للهندسة الاجتماعية — التفاصيل في WHOIS وخصوصية بيانات النطاق.

كيف تقرأ ترويسة الرسالة (Email Header)؟

ترويسة الرسالة هي البطاقة التقنية التي تحملها كل رسالة وتصف رحلتها الكاملة. أغلب عملاء البريد يخفونها خلف خيار باسم «إظهار الأصل» أو «عرض المصدر» أو «خصائص الرسالة». تعلّم قراءة ثلاثة أسطر منها فقط يكفي لحسم أغلب الشكوك.

سطر Authentication-Results

هذا السطر يكتبه الخادم المستقبِل (لا المُرسِل)، ويلخّص فيه نتائج فحوص المصادقة الثلاثة. لا يستطيع المهاجم تزوير هذا السطر لأن خادمك هو من يضيفه بعد استلام الرسالة — أي سطر مشابه موجود قبله في الرسالة يجب تجاهله تمامًا.

النقطة الحاسمة: dmarc=pass لا يعني أن الرسالة صادقة، بل يعني فقط أن مُرسِلها يملك النطاق المكتوب في خانة From. رسالة من نطاق متشابه يملكه المهاجم ستعطي dmarc=pass بامتياز، لأن المهاجم ضبط سجلّاته على نطاقه هو ضبطًا سليمًا. المصادقة تثبت الملكية لا النوايا.

الفرق بين From وReturn-Path

في كل رسالة عنوانان للمُرسِل لا عنوان واحد، ونادرًا ما ينتبه المستخدم لذلك:

التشبيه الأوضح: Return-Path هو العنوان المكتوب على الظرف من الخارج والذي يتعامل معه ساعي البريد، بينما From هو الاسم المكتوب داخل الخطاب نفسه. SPF يفحص الظرف، والمستخدم يقرأ الخطاب. هذه الفجوة بالذات هي سبب وجود DMARC أصلًا: مهمّته أن يشترط المحاذاة بين ما فحصه الخادم وما يراه الإنسان. تفاصيل هذه الآلية مشروحة كاملة في دليل SPF وDKIM وDMARC، وتعريف مبسّط في SPF.

سطور Received

هذه السطور تُقرأ من الأسفل إلى الأعلى وتصف محطّات الرسالة. أدنى سطر هو أول خادم لمس الرسالة. ما يهمّك عمليًا: هل الخادم الأول ينتمي إلى مزوّد بريد معروف يُفترض أن يستخدمه المُرسِل؟ رسالة تدّعي أنها من نطاق شركة كبيرة لكنها بدأت رحلتها من خدمة إرسال جماعي رخيصة أو من خادم منزلي = علامة استفهام كبيرة.

بريد العمل الاحترافي من wpressly

بريد باسم نطاقك (name@yourdomain) مع إعداد SPF وDKIM وDMARC جاهز، حماية من السبام، ومساحة سخيّة ودعم عربي — انطباع احترافي في كل رسالة.

احصل على بريد العمل

لماذا لا يكفي DMARC وحده؟

هذه أهمّ فقرة في المقال، وأكثر نقطة يقع فيها اللبس. DMARC بسياسة p=reject يمنع أن يرسل أحد رسائل تحمل نطاقك أنت في خانة From — وهذه حماية ممتازة وضرورية، تحمي عملاءك وشركاءك من رسائل تنتحل اسمك، وتحمي سمعة نطاقك. لكن انتبه لما لا تفعله:

أربعة من خمسة سيناريوهات لا يوقفها DMARC. هذا لا يقلّل من قيمته إطلاقًا — بل يعني أنه الطبقة الأولى لا الطبقة الوحيدة، وأن أي خطّة أمنية تتوقّف عنده تترك أغلب أبواب BEC مفتوحة. اضبطه بالتأكيد (وارفع سياسته تدريجيًا من p=none بعد مراجعة التقارير، كما يشرح الدليل المخصّص)، لكن لا تعتبره خطّ النهاية.

ما طبقات الدفاع العملية ومن ينفّذها؟

الطريقة الصحيحة للتفكير في BEC هي تخيّل رسالة احتيال قادمة تحاول اختراق أربع طبقات متتالية. كل طبقة تصفّي جزءًا، والطبقة الأخيرة — البشرية — هي التي توقف ما نجا من الثلاث الأولى.

تحذير المرسل الخارجي يستحقّ ذكرًا خاصًا لأنه من أرخص الإجراءات وأعلاها مردودًا: شريط تنبيه بسيط يُضاف تلقائيًا أعلى كل رسالة قادمة من خارج المؤسسة. حين ينتحل مهاجم اسم مديرك من نطاق خارجي، يظهر الشريط فورًا ويتناقض بشكل صارخ مع ادّعاء الرسالة بأنها داخلية. أغلب منصّات بريد الأعمال تدعم هذه الخاصية عبر قاعدة تدفّق بريد واحدة. تحذير واحد: إن ظهر الشريط على كل رسالة بلا تمييز اعتاد الموظفون تجاهله، فالأفضل تخصيصه ليبرز أكثر في الرسائل التي تحمل اسم معروض مطابق لأحد موظفيك.

أما مفاتيح الأمان فهي أقوى شكل متاح للتحقّق بخطوتين، وتتفوّق جوهريًا على الرسائل النصية لسببين: الرسائل النصية عرضة لانتحال شريحة الجوّال (SIM swapping) حيث ينقل المهاجم رقمك إلى شريحة يملكها، كما أن رمز الرسالة النصية يمكن أن يُخدع المستخدم فيدخله في صفحة مزيّفة. مفتاح الأمان مرتبط تشفيريًا بالنطاق الحقيقي، فلا يعمل أصلًا على صفحة مزوّرة مهما بدت مطابقة. تطبيقات المصادقة تأتي في المرتبة الوسطى: أفضل بكثير من الرسائل النصية وأقلّ مناعة من المفاتيح. راجع التحقّق بخطوتين للتفاصيل.

ما الضوابط البشرية التي توقف الاحتيال فعلًا؟

هنا يُحسم الأمر. كل الطبقات التقنية تحاول الإجابة عن سؤال «هل هذه الرسالة من مُرسِلها المزعوم؟»، بينما الضوابط البشرية تجيب عن سؤال مختلف تمامًا: «هل هذا الطلب المالي مشروع؟». والسؤال الثاني هو الذي يهمّ في النهاية، لأن رسالة صادرة من صندوق مورّد مُخترَق ستجتاز كل الفحوص التقنية بامتياز.

القاعدة الأولى: التحقّق الصوتي عبر قناة مستقلّة. قبل أي تحويل يتجاوز حدًّا تحدّده الشركة، وقبل أي تغيير في بيانات حساب بنكي مهما كان المبلغ، يتّصل الموظف بالطرف الآخر هاتفيًا. الشرط الحاسم في هذه القاعدة كلمتان: قناة مستقلّة. أي أن الرقم يُؤخذ من سجلّ المورّد المحفوظ لديكم مسبقًا، لا من الرسالة نفسها ولا من التوقيع أسفلها ولا من موقع وصلت إليه عبر رابط في الرسالة. المهاجم يتوقّع أن تتصل، وقد وضع رقمه جاهزًا لك. الاتصال على رقم من الرسالة تحقّق شكلي يعطي طمأنينة زائفة ولا يمنع شيئًا.

القاعدة الثانية: الموافقة المزدوجة. أي تحويل فوق حدّ معيّن يحتاج موافقة شخصين منفصلين، بحيث لا يستطيع من أنشأ الحوالة أن يعتمدها بنفسه. هذا الضابط لا يعتمد على ذكاء أحد ولا على انتباهه — إنه ضابط بنيوي يعني أن المهاجم مضطرّ لخداع شخصين لهما سياقان مختلفان في وقت واحد، وهو أصعب بمراتب.

القاعدة الثالثة: لا يتغيّر حساب بنكي لمورّد بناءً على بريد إلكتروني — أبدًا. ليكن لديكم إجراء مكتوب معتمد: طلب التغيير يُوثَّق، ويُتحقَّق منه صوتيًا مع جهة اتصال معروفة سابقًا في شركة المورّد، ويُوافق عليه شخص ثانٍ، ثم تُرسَل الدفعة الأولى بمبلغ رمزي للتأكيد قبل تحرير المبلغ الكامل. هذه الخطوات الأربع مجتمعة تجعل النمط الأخطر في BEC شبه مستحيل.

القاعدة الرابعة: أنشئ مسارًا آمنًا للتصعيد. المشكلة المتكرّرة في احتيال المدير التنفيذي أن الموظف يخشى أن يبدو مشكّكًا في مديره. عالج ذلك صراحةً: اجعل من سياسة الشركة المعلنة أن التحقّق واجب لا إهانة، وأن الموظف الذي أوقف تحويلًا للتحقّق يُشكَر حتى لو تبيّن أن الطلب صحيح. الشركات التي تعاقب على «التأخير» تدرّب موظفيها ضمنيًا على الطاعة السريعة — وهذا بالضبط ما يبيعه المهاجم.

القاعدة الخامسة: تدريب واقعي ودوري. التدريب المفيد ليس محاضرة سنوية، بل تمارين قصيرة متكرّرة بأمثلة من قطاعكم أنتم وبأسماء مورّديكم الحقيقيين. وينبغي أن يشمل التدريب مَن يُستهدَفون فعلًا: المالية والمشتريات والمساعدين التنفيذيين والموارد البشرية — لا فريق التقنية الذي لا يحوّل الأموال أصلًا.

موقع آمن يبدأ من استضافة آمنة

استضافة wpressly تأتيك بـSSL مجاني وحماية مدمجة ونسخ احتياطي تلقائي — أمّن موقعك وزوّارك من اليوم الأول.

اكتشف الاستضافة الآمنة

ماذا تفعل خطوة بخطوة إذا اختُرق صندوق بريد؟

عند الشكّ في اختراق، الترتيب يهمّ بقدر ما تهمّ الخطوات نفسها. الخطأ الأشهر هو تغيير كلمة المرور فورًا ثم الاطمئنان — بينما المهاجم يكون قد ترك خلفه أدوات بقاء تعمل بعد التغيير.

فحص قواعد إعادة التوجيه المخفيّة هو الخطوة التي تُنسى دائمًا وتكلّف أكثر من غيرها. ما يفعله المهاجم بعد دخول الصندوق أن ينشئ قاعدة تلقائية تنسخ كل الرسائل الواردة — أو الرسائل التي تحتوي كلمات مثل «فاتورة» و«تحويل» و«بنك» — إلى عنوان خارجي يملكه، وغالبًا يقرنها بأمر ينقلها إلى مجلّد مهمَل أو يحذفها من الوارد كي لا يراها صاحب الحساب. هذه القاعدة تبقى تعمل بعد تغيير كلمة المرور لأنها إعداد في الحساب لا جلسة دخول. فتّش في ثلاثة مواضع على الأقل: قواعد الرسائل (Rules)، إعادة التوجيه التلقائي (Forwarding)، والأسماء المستعارة أو عناوين الإرسال البديلة. وتحقّق كذلك من صلاحيات التفويض التي قد يكون المهاجم منحها لحساب آخر بحيث يقرأ الصندوق دون كلمة مرور أصلًا.

سجلّ الدخول يخبرك بأكثر مما تتوقّع: تواريخ وأوقات وعناوين IP وأنواع الأجهزة وبروتوكولات الاتصال. ابحث عن دخول من دولة لا تعمل فيها، أو دخول عبر بروتوكول قديم لا يستخدمه فريقك، أو تسلسل دخول ناجح بعد محاولات فاشلة كثيرة. الأهم أن تحدّد متى بدأ الاختراق لا متى اكتُشف، لأن كل رسالة أُرسلت أو قُرئت في تلك الفترة يجب اعتبارها مكشوفة.

إبلاغ البنك خلال دقائق ليس نصيحة تنظيمية بل هو الفارق بين استرجاع المال وخسارته. المبلغ المحوَّل يمرّ عادةً بسلسلة حسابات وسيطة، وكلما بلّغت أسرع زادت فرصة تجميده في محطّة ما قبل سحبه. اطلب صراحةً «استرجاع/إيقاف الحوالة» ووثّق اسم من كلّمته ووقت المكالمة ورقم البلاغ.

فحص الأجهزة خطوة موازية: إن كان سبب الاختراق برمجية سرقة بيانات على جهاز موظّف، فتغيير كلمة المرور من نفس الجهاز المصاب لا يفيد شيئًا لأن الجديدة ستُسرق أيضًا. اعزل الجهاز، افحصه، ثم غيّر البيانات من جهاز نظيف. وإن كان لديكم موقع أو متجر مرتبط بنفس البنية فراجع كشف البرمجيات الخبيثة وإزالتها، فالمهاجم الذي حصل على بيانات دخول موظّف قد يكون جرّبها على لوحة التحكم أيضًا — وهنا يفيد تأمين لوحة cPanel قبل أن يمتدّ الأثر خارج البريد.

ماذا تفعل عند دخول موظّف أو خروجه؟

كثير من الحوادث لا يبدأ باختراق بل بحساب مهمَل نُسي مفتوحًا بعد مغادرة صاحبه، أو بحساب جديد أُعطي صلاحيات أكثر ممّا يحتاج. هذه القائمة تُغلق الباب:

الصفّ الأخير مهمّ بشكل خاصّ في الشركات الصغيرة: كثيرًا ما يكون النطاق أو حساب الاستضافة أو حساب البريد الإداري مسجّلًا باسم موظّف أو مطوّر خارجي. هذا وضع هشّ ينبغي تصحيحه قبل أن يصبح أزمة. إن كنت تبني بنية بريد شركتك من الصفر فابدأ من إعداد بريد احترافي بنطاقك، وقارن بين الخيارات المتاحة في Google Workspace مقابل بريد الاستضافة، ثم اربط الصناديق بالأجهزة بالإعدادات الصحيحة كما في إعداد بريد العمل على Outlook وIMAP.

ما موقف الخصوصية والالتزامات القانونية؟

تختلف واجبات الإبلاغ عن الحوادث الأمنية ومتطلّبات حماية البيانات الشخصية اختلافًا كبيرًا من دولة إلى أخرى، ومن قطاع إلى آخر داخل الدولة نفسها. بعض الأنظمة تفرض إبلاغ الجهة التنظيمية خلال مدّة محدّدة من اكتشاف الحادثة، وبعضها يفرض إشعار الأفراد المتأثّرين إن كُشفت بياناتهم الشخصية، وبعض القطاعات (المالي والصحي تحديدًا) تخضع لمتطلّبات إضافية أشدّ. كما أن مراقبة بريد الموظفين أثناء التحقيق تحكمها قواعد عمّالية وخصوصية تختلف كذلك بحسب الولاية القضائية.

هذا المقال تقني وتوعوي ولا يقدّم استشارة قانونية. ما ينبغي فعله عمليًا: حدّد مسبقًا — قبل وقوع أي حادثة — الجهة التنظيمية المختصّة في بلدك وقناة البلاغ وفترة الإبلاغ الملزمة، واكتب ذلك في خطّة الاستجابة مع أرقام الاتصال. ارجع في ذلك إلى مستشارك القانوني وإلى الجهة الوطنية المعنيّة بالأمن السيبراني في بلدك. الشركة التي تبحث عن هذه المعلومات وقت الأزمة تخسر ساعات لا تملكها.

كيف تبني برنامج حماية متدرّجًا في 30 يومًا؟

لا تحتاج ميزانية كبيرة لتغطية أغلب المخاطر. الترتيب التالي يعطي أعلى أثر بأقل جهد، ويصلح لشركة من خمسة أشخاص كما لشركة من خمسمئة:

الأسبوع الأول — الأساس: فعّل التحقّق بخطوتين على كل الصناديق بلا استثناء، وابدأ بمفاتيح الأمان أو تطبيق مصادقة للحسابات المالية والإدارية. راجع كل حساب بحثًا عن قواعد توجيه غير مبرّرة وكلمات مرور تطبيقات قديمة. هذه الخطوة وحدها تغلق الطريق الأكثر استخدامًا للاختراق.

الأسبوع الثاني — النطاق: تأكّد من ضبط SPF وDKIM وDMARC، وابدأ بسياسة مراقبة ثم شدّدها تدريجيًا بعد مراجعة التقارير. سجّل أقرب النطاقات المتشابهة لاسمك، وفعّل خصوصية بيانات النطاق.

الأسبوع الثالث — البوابة والإجراءات: فعّل تحذير المرسل الخارجي، واكتب سياسة التحويلات المالية: حدّ المبلغ الذي يتطلّب تحقّقًا صوتيًا، وقاعدة الموافقة المزدوجة، وإجراء تغيير بيانات المورّدين. اكتبها في صفحة واحدة يفهمها الجميع — السياسة التي لا تُقرأ لا تُطبَّق.

الأسبوع الرابع — الناس والخطّة: درّب الفرق المستهدَفة بأمثلة واقعية من قطاعكم، وجهّز خطّة الاستجابة بأرقامها وجهات اتصالها، ثم اختبرها بتمرين نظري قصير: «وصلت رسالة من مورّدنا الفلاني تطلب تغيير حسابه — ماذا يفعل كل واحد منّا خلال الساعة الأولى؟». التمرين النظري يكشف الثغرات الإجرائية قبل أن يكشفها المهاجم.

بريد العمل الاحترافي من wpressly

بريد باسم نطاقك (name@yourdomain) مع إعداد SPF وDKIM وDMARC جاهز، حماية من السبام، ومساحة سخيّة ودعم عربي — انطباع احترافي في كل رسالة.

احصل على بريد العمل

الأسئلة الشائعة

هل يكفي DMARC بسياسة reject لمنع اختراق بريد الأعمال؟ لا. DMARC بـp=reject يمنع أن يرسل أحد رسائل تحمل نطاقك أنت في خانة From، وهذه حماية مهمّة لسمعتك وعملائك. لكنه لا يمنع رسالة قادمة من نطاق متشابه يملكه المهاجم (لأن له سجلّاته السليمة)، ولا رسالة صادرة من صندوق موظّف أو مورّد مُخترَق فعلًا. اعتبره الطبقة الأولى، وأكمل الطبقات الثلاث الأخرى: الفلترة وتحذير المرسل الخارجي، والتحقّق بخطوتين، والضوابط البشرية قبل أي تحويل.

ما أول ما يجب فعله إذا اكتشفت أن تحويلًا احتياليًا تمّ بالفعل؟ اتصل بالبنك فورًا — خلال دقائق لا ساعات — واطلب صراحةً إيقاف الحوالة أو استرجاعها، ووثّق اسم الموظف ووقت المكالمة ورقم البلاغ. المبلغ يمرّ عادةً بحسابات وسيطة، وفرصة التجميد تتناقص بسرعة كبيرة مع الوقت. بالتوازي: أوقف أي تحويلات معلّقة أخرى، اعزل الحساب المشتبه به، بلّغ إدارتك والجهة المختصّة في بلدك، ولا تحذف أي رسالة أو سجلّ لأنها أدلّة.

كيف أعرف أن صندوق بريدي مُخترَق دون أن يظهر شيء واضح؟ أوضح المؤشّرات: رسائل مقروءة لم تفتحها، رسائل مفقودة من الوارد أو موجودة في المهملات بلا سبب، ردود من عملاء على رسائل لم ترسلها، قاعدة توجيه أو اسم مستعار لم تنشئه، تسجيلات دخول من دول أو أجهزة غريبة في سجلّ الحساب، أو إشعار بتغيير إعدادات أمان لم تطلبه. راجع سجلّ الدخول وقواعد الرسائل دوريًا حتى دون شكّ — الاختراق الصامت هو القاعدة لا الاستثناء في BEC.

لماذا يُنصح بمفاتيح الأمان بدل رموز الرسائل النصية؟ لسببين. الأول أن الرسائل النصية عرضة لانتحال شريحة الجوّال، إذ ينقل المهاجم رقمك إلى شريحة يملكها فتصله الرموز بدلًا منك. الثاني أن الرمز النصّي يمكن أن يُخدع المستخدم فيدخله في صفحة تسجيل دخول مزيّفة، بينما مفتاح الأمان مرتبط تشفيريًا بالنطاق الحقيقي فلا يعمل أصلًا على الصفحة المزوّرة. تطبيقات المصادقة خيار وسط جيّد: أقوى بكثير من الرسائل النصية وأقلّ مناعة من المفاتيح.

ما الفرق بين From وReturn-Path ولماذا يهمّني؟ From هو المُرسِل الظاهر الذي تراه في عميل البريد، وهو مجرّد نصّ يكتبه المُرسِل بحرّية ولا يتحقّق منه البروتوكول. Return-Path هو عنوان المُرسِل الحقيقي على «الظرف» الذي تتعامل معه الخوادم، وهو ما يفحصه SPF فعلًا. لهذا يمكن أن تنجح رسالة في فحص SPF بينما تحمل في From عنوانًا منتحلًا — وهذه بالذات الفجوة التي جاء DMARC ليسدّها عبر اشتراط المحاذاة بين الاثنين.

هل تكفي مراجعة قواعد إعادة التوجيه مرّة واحدة بعد الحادثة؟ لا. اجعلها مراجعة دورية مجدولة، لأن القاعدة المخفيّة هي آلية البقاء المفضّلة للمهاجمين وقد تُزرع في أي وقت. وافحص عند كل مراجعة ثلاثة مواضع لا موضعًا واحدًا: قواعد الرسائل، إعادة التوجيه التلقائي، والأسماء المستعارة وعناوين الإرسال البديلة — إضافة إلى صلاحيات التفويض الممنوحة لحسابات أخرى، فهي تتيح قراءة الصندوق دون كلمة مرور إطلاقًا.

كيف أتحقّق من طلب تغيير الحساب البنكي لمورّد بطريقة صحيحة؟ اتصل هاتفيًا بجهة اتصال معروفة لديك مسبقًا في شركة المورّد، على رقم مأخوذ من سجلّك أنت — لا من الرسالة ولا من توقيعها ولا من رابط فيها. ثم اطلب موافقة شخص ثانٍ في شركتك، ووثّق التحقّق كتابةً، وأرسل دفعة رمزية للتأكيد قبل تحرير المبلغ الكامل. المهاجم يتوقّع اتصالك وقد وضع رقمه جاهزًا في الرسالة، لذا استقلالية القناة هي الشرط الحاسم لا الاتصال بحدّ ذاته.

هل الشركات الصغيرة مستهدَفة فعلًا أم أن BEC يخصّ الشركات الكبيرة؟ مستهدَفة بشدّة، وربما أكثر. الشركات الصغيرة عادةً بلا فريق أمني، وبإجراءات مالية غير مكتوبة، وبشخص واحد يملك صلاحية التحويل — وهذا يلغي الموافقة المزدوجة تلقائيًا. كما أن أثر الخسارة عليها أقسى بكثير نسبةً إلى حجمها. الخبر الجيّد أن أقوى الضوابط في هذا المجال مجانية أو شبه مجانية: التحقّق بخطوتين، تحذير المرسل الخارجي، ومكالمة هاتفية على رقم محفوظ قبل أي تحويل.

المصادر

• RFC 7489 — معيار DMARC