لماذا يعرف المحتال بعض معلوماتك قبل أن يبدأ الحديث معك؟
ويب وأمان
 |
| شخص يتحقق من مكالمة مشبوهة بقناة رسمية |
تصلك مكالمة من شخص يدّعي أنه من البنك، فيذكر اسمك الكامل أو عنوانًا قديمًا أو جزءًا من معلومات حسابك.
أو تصلك رسالة عن شحنة كنت تنتظرها فعلًا.
في هذه اللحظة يصبح السؤال طبيعيًا: لو كان محتالًا، فمن أين عرف هذه التفاصيل؟
الإجابة لا تتطلب سيناريو واحدًا.
قد تكون بعض المعلومات ظهرت في تسريب قديم، أو كانت منشورة في حساب عام، أو جُمعت
من أكثر من مصدر، أو حصل عليها المهاجم من حساب مخترق لطرف آخر.
وأحيانًا تكون المعلومة مجرد تخمين أصاب جزءًا من الواقع.
المهم أمنيًا أن تعرف أن امتلاك معلومة صحيحة عنك لا يثبت هوية من يتحدث معك.
المحتال لا يحتاج إلى معرفة كل شيء؛ يكفيه أحيانًا تفصيل واحد مألوف حتى تبدو بقية القصة مقنعة.
لهذا يجب فصل
سؤالين لا نربط بينهما عادة: ماذا يعرف المتصل؟ ومن هو المتصل فعلًا؟
المعلومة الصحيحة عنك ليست إثباتًا لهوية المتصل
إذا ذكر شخص اسمك وعنوانك أو المؤسسة التي تتعامل معها، فقد يبدو كأنه يملك وصولًا رسميًا.
لكن هذه المعرفة لا تؤدي منطقيًا إلى النتيجة التي يريدك أن تصل إليها: أنه موظف البنك أو شركة الشحن أو الجهة التي ينتحلها.
الجهات الرسمية نفسها تحذر من هذا الخلط.
المحتال قد يعرف اسمًا أو عنوانًا أو معلومات عن حساب، ومع ذلك تبقى هويته غير موثقة.
الخطر يبدأ عندما تعامل المعلومة التي قالها لك بوصفها وسيلة تحقق من شخصيته.
فكر في الأمر كاختبار دخول.
اسمك ليس كلمة سر، وعنوانك ليس توقيعًا رقميًا، وآخر أرقام تعرفها جهة ما ليست شهادة تثبت
أن المتصل يمثلها.
بل قد يستخدم المحتال هذه المعلومات قبل أن يطلب شيئًا أهم: رمز تحقق، تسجيل دخول، تحويل مال، تثبيت برنامج، أو الضغط على رابط.
هنا تصبح المعرفة السابقة مجرد جزء من قصة الاحتيال لا دليلًا لصحتها.
القاعدة الأولى بسيطة: لا تسمح
لمعلومة يعرفها الطرف الآخر أن تصبح هي نفسها سبب ثقتك به.
قد تأتي معلوماتك من أكثر من طريق وليس من تسريب واحد
الخام يفسر المشهد غالبًا بقواعد بيانات مسربة تباع في أسواق إجرامية.
هذا احتمال حقيقي، لكنه ليس المصدر الوحيد، ولا يمكنك معرفة مصدر المعلومة من المكالمة نفسها.
قد تكون البيانات جزءًا من اختراق سابق لخدمة استخدمتها.
وقد تكون مأخوذة من صفحة مهنية عامة، أو إعلان بيع قديم، أو تعليق نشر فيه رقم هاتف، أو سجل متاح للعامة بحسب البلد والخدمة.
كما توجد جهات تجارية تجمع بيانات من مصادر متعددة لأغراض مشروعة أو تسويقية.
وقد يأتي جزء من المعلومات من شخص آخر.
إذا اختُرق بريد قريب أو حساب شركة تتعامل معها، فقد تظهر أسماء جهات اتصال أو مراسلات أو فواتير تمنح المهاجم سياقًا مقنعًا عنك من دون اختراق هاتفك.
لذلك لا تفترض
أن معرفة عنوان قديم تعني أن البنك سُرّب، ولا أن ذكر شركة شحن يعني أن شركة الشحن نفسها تعرضت للاختراق.
أمنيًا، المهم ليس اكتشاف
القصة الكاملة أثناء المكالمة، بل رفض تحويل مصدر مجهول للمعلومة إلى إثبات للهوية.
ولا تنس أن بعض المعلومات قد تكون قديمة.
المحتال قد يملك عنوانًا سابقًا أو رقم طلب قديمًا أو بريدًا استخدمته منذ سنوات.
تقديم المعلومة نفسها باعتبارها سرًا حديثًا قد يدفعك إلى تحديثه بالواقع الحالي من دون أن تنتبه.
لهذا تجنب تصحيح ملفه نيابة عنه أثناء الاتصال.
التسريبات قد تساعد المحتال لكنها لا تعني أنه يملك ملفًا كاملًا عنك
عند وقوع تسريب بيانات قد تنكشف أنواع مختلفة من المعلومات بحسب النظام المتأثر: بريد إلكتروني،
رقم هاتف، اسم، عنوان، أو بيانات حساب أخرى.
وقد تُستخدم بيانات مسربة لاحقًا في محاولات تصيد أو انتحال أكثر إقناعًا.
لكن الخام يذهب أبعد من اللازم عندما يصور أن المحتال عادة يشتري «ملفًا موحدًا» يحتوي حياتك الرقمية كاملة.
بعض المهاجمين قد يطابقون بيانات من مصادر متعددة، لكن كثيرًا من محاولات الاحتيال تعمل بمعلومات قليلة جدًا مع قصة جيدة التوقيت.
هذا يفسر لماذا لا ينبغي أن تنبهر بالدقة الجزئية.
قد يذكر المتصل اسم البنك الصحيح لكنه يخطئ في نوع البطاقة.
أو يعرف عنوانك القديم ولا يعرف آخر معاملة.
لا تكمل له الصورة بتصحيح أخطائه أو تأكيد تفاصيل جديدة.
حتى سؤال مثل «هل
ما زلت تسكن في الحي الفلاني؟» قد يكون محاولة للحصول على معلومة إضافية بقدر ما هو عرض لما يعرفه مسبقًا.
تعامل مع كل معلومة شخصية يقولها الطرف الآخر على أنها معلومة قد تكون وصلت إليه بطرق متعددة، لا بوصفها تصريح وصول إلى حسابك.
ما تنشره علنًا قد يجعل الرسالة أكثر إقناعًا من دون اختراق جهازك
المعلومات العامة قادرة على تحسين قصة المحتال.
إذا كان حسابك يوضح جهة عملك أو مدينتك أو مشاركتك في فعالية، يمكن لشخص أن يصوغ رسالة
تبدو مرتبطة بحياتك الحالية.
هذا هو أحد أسباب نجاح التصيد الموجّه: الرسالة لا تبدو عشوائية لأنها تحتوي على سياق يعرفه المستلم.
وقد يكون السياق مأخوذًا من مواقع مهنية أو منشورات عامة أو بيانات نشرها آخرون عنك.
لكن يجب تجنب قصة أخرى شائعة: أن كل إعلان رأيته أو بحث أجريته انتقل مباشرة إلى محتال بعينه.
وجود إعلان موجه بعد بحث لا يثبت أن محتالًا اشترى سجل بحثك، وتزامن مكالمة مع شحنة حقيقية لا يكشف وحده كيف حصل المتصل على المعلومة.
ربما كان الاستهداف دقيقًا، وربما وصلت البيانات من مصدر مختلف، وربما أرسل المهاجم السيناريو
نفسه إلى عدد كبير من الأشخاص فأصاب توقيته عند بعضهم.
اقرأ ايضا : كيف يخدعك استنساخ الصوت بمكالمة تبدو من شخص تعرفه؟
لذلك ركز على ما تستطيع التحقق منه، لا على بناء تحقيق تقني كامل من المصادفة وحدها.
هذه النقطة مهمة أيضًا مع الرسائل شديدة التخصيص.
وجود اسم مشروع أو متجر تعاملت معه لا يعني أن المرسل وصل إلى حسابك.
قد يكون السياق متاحًا علنًا، أو ظهر في حساب لطرف آخر، أو جاء من قاعدة بيانات، أو من حملة استهدفت فئة واسعة.
الاسم الظاهر ورقم المتصل ونبرة الثقة يمكن تزويرها أو تقليدها
حتى إذا ظهر اسم جهة تعرفها على شاشة الهاتف، لا تجعل ذلك يكمل دائرة الثقة.
بيانات هوية المتصل يمكن انتحالها، وقد يظهر رقم أو اسم يبدو مألوفًا من دون أن يكون الاتصال صادرًا فعلًا من الجهة التي يظهر اسمها.
الأمر نفسه ينطبق على أسلوب الكلام.
استخدام مصطلحات مصرفية، رقم موظف مزعوم، لهجة واثقة، أو معرفة إجراء داخلي لا يثبت الصفة الرسمية.
هذه كلها عناصر يمكن تقليدها.
غالبًا يحاول المحتال إضافة الاستعجال بعد بناء المصداقية: معاملة يجب إيقافها الآن، حساب سيُجمّد، شحنة ستُلغى، أو طلب يتطلب منك التحرك خلال دقائق.
الضغط يقلل الوقت المتاح للتحقق المستقل.
لا تحتاج إلى مناقشة المتصل أو كشف كذبه.
إذا كان الادعاء مهمًا، أنهِ الاتصال واستخدم قناة أخرى تعرفها أنت مسبقًا.
ولا تعتمد تلقائيًا على أول رقم يظهر لك في إعلان بحث عند محاولة العثور على الجهة.
الأفضل فتح التطبيق الرسمي، أو كتابة عنوان الموقع المعروف لديك، أو استخدام الرقم الموجود على البطاقة أو كشف الحساب.
الهدف أن تختار قناة لم يقدمها لك صاحب الادعاء نفسه.
افتح التطبيق الرسمي، أو استخدم رقمًا موجودًا على بطاقتك أو كشف حسابك أو الموقع الرسمي
الذي وصلت إليه بنفسك.
لا تجعل الطرف الذي تريد التحقق منه هو من يختار لك وسيلة التحقق.
الطلب الذي يأتي بعد المعلومات أهم من المعلومات التي بدأ بها
افحص دائمًا ما يريد الطرف الآخر منك أن تفعله.
معرفة معلومات عنك قد تكون فقط مرحلة تمهيدية؛ الاختبار الحقيقي يبدأ عند الطلب.
إذا طلب منك شخص تواصل معك من نفسه رمز تحقق وصل إلى هاتفك، فلا تعطه له.
رموز التحقق صممت لإثبات أنك أنت من يحاول تنفيذ إجراء أو دخول، ومنحها لطرف آخر قد يسمح له بإكمال العملية باسمك.
وتعامل بالطريقة نفسها مع طلب
نقل المال إلى «حساب آمن»، أو منح وصول عن بعد إلى جهازك، أو تثبيت تطبيق لأن هناك مشكلة مزعومة، أو فتح رابط أرسله المتصل لكي «يلغي» عملية.
قد تكون القصة مختلفة، لكن النمط
واحد: معلومات صحيحة أولًا، ثم طلب يغير حالة حسابك أو يكشف سرًا جديدًا أو يمنح الطرف الآخر وصولًا.
اسأل نفسك: لو حذفت
الاسم والعنوان وكل التفاصيل التي ذكرها، هل الطلب نفسه آمن لو جاء من شخص مجهول؟ إذا كانت الإجابة لا، فالمعلومات السابقة لا تجعله آمنًا.
تقليل المعلومات العامة مفيد لكنه لا يمنع الاحتيال وحده
من المفيد مراجعة ما يظهر علنًا في حساباتك، خصوصًا رقم الهاتف والبريد ومكان العمل والتفاصيل
التي لا تحتاج إلى نشرها.
كما أن حذف حسابات قديمة أو تقليل البيانات غير الضرورية يخفف كمية المواد المتاحة لربط هويتك.
لكن لا تجعل هذا المقال نسخة من دليل عام للخصوصية أو كلمات المرور.
حتى الشخص الذي لا ينشر شيئًا تقريبًا قد تظهر بياناته في اختراق لخدمة استخدمها، أو في سجلات طرف آخر، أو عبر معلومات كانت متاحة قبل سنوات.
ولهذا لا توجد طريقة عملية تضمن أن يصبح اسمك ورقمك مجهولين لكل جهة سيئة.
الحماية الأقوى هنا هي تصميم استجابتك بحيث لا تعتمد الثقة على سرية هذه المعلومات أصلًا.
كلمات المرور الفريدة، مفاتيح المرور أو المصادقة متعددة
العوامل تبقى مهمة لحماية الحسابات، لكن موضوع هذا الموقف أسبق منها: لا تعط المتصل فرصة استخدام ما يعرفه عنك لإقناعك بتسليم العامل الذي ما زال ينقصه.
الخصوصية تقلل المادة المتاحة للمهاجم، والتحقق المستقل يقلل قيمة المادة التي حصل عليها
بالفعل.
ومن المفيد مراجعة إعدادات البحث عن حسابك بواسطة رقم الهاتف أو البريد، وحذف التفاصيل القديمة التي لا تحتاج إلى بقائها عامة.
افعل ذلك لتقليل الانكشاف، لا بوعد بأنك ستمنع كل جهة من ربط معلوماتك مستقبلًا.
استخدم فحص الهوية المستقلة قبل تنفيذ أي طلب حساس
يمكنك تمرير الاتصال أو الرسالة عبر خمس نقاط.
الأولى المعلومة: ما الذي يعرفه الطرف عني، وهل هي معلومة يمكن أن تكون عامة أو قديمة أو مسربة؟
الثانية الطلب: هل يطلب سرًا جديدًا أو مالًا أو دخولًا أو تثبيت برنامج أو ضغط رابط؟ كلما ارتفع أثر الطلب ارتفع مستوى التحقق المطلوب.
الثالثة القناة: من بدأ الاتصال؟ إذا كان الطرف هو من تواصل معك، فلا تستخدم رقمه أو رابطه لإثبات هويته.
الرابعة التحقق: هل أستطيع إنهاء المحادثة ثم الوصول إلى الجهة من تطبيقها الرسمي أو رقم أعرفه مسبقًا وسؤالها عن القصة من جديد؟
الخامسة النتيجة: هل سيبقى الإجراء آمنًا إذا كانت كل المعلومات التي قالها المحتال عني صحيحة فعلًا؟ تذكر أن صحة المعلومات لا تضمن صحة الطلب.
في أول اتصال غير متوقع يذكر معلومات صحيحة عنك ويطلب إجراءً حساسًا، أنهِ المحادثة واستخدم قناة رسمية مستقلة للتحقق قبل أن تقدم معلومة جديدة أو تنفذ أي خطوة.
هذا الفحص لا يحتاج
منك أن تعرف كيف حصل الطرف على بياناتك قبل أن تحمي نفسك منه.
إذا شاركت معلومة حساسة فتعامل مع ما حدث بحسب نوعها
إذا اكتشفت بعد المكالمة أنك أكدت اسمًا أو عنوانًا كان الطرف يعرفه أصلًا، فهذا يختلف عن مشاركة كلمة مرور أو رمز تحقق أو بيانات دخول.
لا تعامل كل معلومة بالمستوى نفسه من الخطر.
إذا شاركت كلمة مرور، غيّرها فورًا في الحساب المتأثر وأي حساب آخر يعيد استخدامها، وراجع جلسات الدخول إن كانت الخدمة تعرضها.
وإذا شاركت بيانات مصرفية أو نفذت تحويلًا، تواصل مباشرة مع مؤسستك المالية عبر قنواتها الرسمية.
إذا منحت وصولًا عن بعد
إلى جهاز أو ثبت برنامجًا بطلب من المتصل، اقطع الاتصال وراجع الجهاز والحسابات المرتبطة به وفق إرشادات الجهة المختصة أو فريق الدعم الموثوق.
وإذا شاركت رمز تحقق، اعتبر أن محاولة دخول أو إجراء قد تكون قيد التنفيذ.
تواصل مع الخدمة الحقيقية من قناة مستقلة وراجع ما إذا حدث تغيير أو تسجيل دخول غير معروف.
الأهم ألا تستمر في الحديث مع الرقم نفسه بحثًا عن تفسير.
بعد الاشتباه، انتقل من المحادثة إلى الاحتواء والتحقق.
وسجل لنفسك ما حدث: ما الذي شاركته، وما الرابط الذي فتحته، وما الحساب الذي ذُكر،
وما الوقت التقريبي للمكالمة.
هذه التفاصيل تساعدك عند التواصل مع البنك أو مزود الخدمة أو فريق الدعم، وتمنعك من نسيان خطوة مهمة وسط الارتباك.
اقرأ ايضا : كيف تميز التطبيق المزيف قبل تثبيته على هاتفك؟
المعلومة التي يعرفها المحتال قد تثير قلقك لأنها تبدو خاصة، لكنها لا تمنحه سلطة رقمية عليك.
السلطة تبدأ عندما تسمح لهذه المعرفة بأن تستبدل التحقق الحقيقي.
افصل بين «يعرف شيئًا عني» و«أثبت من هو»، وستسقط واحدة من أقوى الحيل التي تعتمد
عليها مكالمات ورسائل الانتحال.