الهندسة الاجتماعية وتقنيات التصيّد

لماذا «الإنسان» هو أضعف حلقة؟

مبادئ الإقناع — Cialdini

• السلطة (Authority) — «أنا من تكنولوجيا المعلومات».
• الإلحاح (Urgency) — «حسابك سيُقفل خلال ساعة».
• الندرة (Scarcity) — «10 أماكن فقط».
• الإجماع (Social Proof) — «كل زملائك أكملوا التحديث».
• الإعجاب (Liking) — انتحال شخصية صديق.
• المعاملة بالمثل (Reciprocity) — هدية صغيرة قبل الطلب.
• الالتزام (Commitment) — اطلب «نعم» صغيرة قبل الكبيرة.

أنواع الهجمات

بناء حملة phishing احترافية (تمرين مصرّح)

evilginx2 -p phishlets/  # MFA bypass via reverse proxy
gophish + chameleon       # كامل: حملة + تتبع
modlishka                # 2FA-bypassing reverse proxy
goPhish                  # حملات تدريبية</Code>

dnstwist target.gov         # توليد دومينات متشابهة
# ت𝖺rget.gov, target-gov.com, target.g0v, t4rget.gov

MFA Bypass عبر Adversary-in-the-Middle

أدوات مثل evilginx2 تعمل كوكيل عكسي بين الضحية و الموقع الحقيقي. الضحية تدخل اسمها و كلمتها و رمز MFA — كل شيء يمر بشكل طبيعي، لكن المهاجم يلتقط الـ session cookie النهائي.

الدفاع — المستوى التقني

1. SPF/DKIM/DMARC بسياسة p=reject.
2. ABnti-spoofing داخل الـ inbound mail (Microsoft Defender for Office, Proofpoint, Mimecast).
3. Sandbox للمرفقات + URL rewriting + click-time scanning.
4. FIDO2 / Passkeys بدلاً من TOTP/SMS — يمنع AiTM phishing تماماً.
5. Conditional access — منع الدخول من بلدان أو IPs غير معتادة.
6. Browser isolation للأقسام الحساسة.
7. كشف الدومينات المتشابهة المُنشأة حديثاً (DomainTools / urlscan.io watchlists).

الدفاع — المستوى البشري

• تدريب دوري قصير (15 دقيقة شهرياً أفضل من ساعتين سنوياً).
• محاكاة phishing داخلية: من تنقر، تتدرب — لا تُعاقب.
• زر «Report Phish» في الـ mail client يوصل الرسالة فوراً للـ SOC.
• قاعدة الـ Out-of-Band verification لأي طلب مالي: اتصال هاتفي بالرقم الموثق، لا بالرقم في الإيميل.
• ثقافة «لا توبيخ» للإبلاغ المبكر — أهم بكثير من العقوبة.