يعرف اسمك وعملك. هل يكفي ذلك لتصدّقه؟

لنفترض أن شخصًا اتصل بك، وذكر اسمك ومنصبك ومشروعًا تعمل عليه شركتك. قد تتعامل معه بجدية أكبر، خصوصًا إذا بدا طلبه مرتبطًا بعملك.

لكن هذه التفاصيل ربما كانت منشورة في موقع الشركة أو برنامج مؤتمر أو إعلان عن المشروع. معرفته بها لا تثبت أنه زميل، أو مورد، أو موظف دعم تقني.

من هنا يبدأ جانب من البحث الذي نطوّره في إكسيرا: قراءة المعلومات المتاحة عن المؤسسة والعاملين فيها، وفهم كيف يمكن لمهاجم استخدامها ليبدو مطّلعًا وجديرًا بالثقة.

ما الذي يمكن جمعه من معلومات متفرقة؟

قد يظهر اسم مسؤول في صفحة تعريفية، ويذكر خبر منشور مشروعًا تشارك فيه مؤسسته، وتكشف صفحة أخرى عن علاقة مع مورد. لكل معلومة غرض مشروع من نشرها. ومع ذلك، قد يجد فيها المهاجم ما يساعده على اختيار الشخص الذي يتواصل معه والذريعة التي يستخدمها.

يُعرف جمع المعلومات من المصادر المتاحة للعامة وتحليلها باسم «استخبارات المصادر المفتوحة»، أو OSINT. وما يعنينا هنا هو استخدامها في بحث دفاعي محدد: ما الذي يستطيع شخص من خارج المؤسسة معرفته، وكيف قد يستغله في طلب مال أو بيانات أو صلاحية دخول؟

وللباحث نفسه أن يتسرّع في الاستنتاج. فسيرة قديمة تصف شخصًا بأنه مدير مالي لا تثبت أنه ما زال في منصبه، ولا أنه يملك اليوم صلاحية اعتماد التحويلات. إذا بنينا السيناريو على هذا الافتراض، فقد نختبر موقفًا لا يمتّ إلى عمله بصلة.

لذلك نحتفظ بالمعلومة كما وردت، مع مصدرها وتاريخها، ثم نوضح ما استنتجناه منها وما نحتاج إلى التحقق منه.

خمس دقائق لصياغة رسالة احتيالية

في تجربة لفريق IBM X-Force، استغرق توليد رسالة تصيّد بالذكاء الاصطناعي خمس دقائق عبر خمسة توجيهات، مقابل نحو 16 ساعة قال الفريق إنه يقضيها عادةً في إعداد الرسالة. شمل العمل البشري البحث في معلومات المؤسسة المستهدفة، بينما اعتمدت الرسالة المولّدة على توجيهات تتعلق بقطاعها. تجربة IBM.

تخص المقارنة إعداد الرسالة، ولا تقيس زمن جمع المعلومات عن شخص بعينه. لكنها تدفعنا إلى فحص ما قد تمنحه المعلومات المنشورة لمن يريد صياغة طلب مقنع، حتى لو لم يقضِ وقتًا طويلًا في كتابته.

حين تبدو الموافقة جزءًا من العمل

في تقرير نشرته Google في يونيو 2025، وصفت هجمات لمجموعة UNC6040 انتحل فيها المتصلون صفة موظفي الدعم التقني. أقنعوا موظفين بالموافقة على ربط تطبيق بمنصة Salesforce، فحصل المهاجمون على وصول إلى بيانات المؤسسة. وبحسب التقرير، اعتمدت الحالات المرصودة على خداع المستخدمين، لا على استغلال ثغرة في Salesforce نفسها. تقرير Google.

يمكن لفريق الأمن أن يدرس هنا قرارًا محددًا: موافقة يمنحها موظف لأنه يظن أنه يتعاون مع جهة مخوّلة.

عند دراسة احتمال مشابه داخل مؤسسة، نحتاج إلى معرفة إجراءات الدعم الفعلية، ومن يحق له طلب الصلاحية ومن يحق له منحها. ويجب أن نميّز بين ما وجدناه منشورًا وما أخبرتنا به المؤسسة لأغراض التقييم. لا يصح استخدام معلومات داخلية في بناء سيناريو، ثم الادعاء بأن أي مهاجم كان يستطيع جمعها من الإنترنت.

ما نعرفه عن الشخص لا يخبرنا كيف سيتصرف

قد تجعل المعلومات المنشورة انتحال مورد أو مسؤول فكرة تستحق الاختبار. لكنها لا تكشف وحدها إن كان الموظف سينفذ الطلب، أو سيتحقق منه، أو سيُحيل الأمر إلى شخص آخر.

نعمل في إكسيرا على ربط هذا البحث بأساليب هجوم موثقة، ثم صياغة فرضيات يمكن اختبارها بمحاكاة آمنة وبموافقة المؤسسة. فقد يبدو شخص ما هدفًا مناسبًا بحكم منصبه وصلاحياته، ثم يرفض الطلب فورًا. عندها ينبغي أن نراجع تقديرنا، بدلًا من التمسك بالافتراض الأول.

ويبدأ الاختبار الجيد بتحديد ما نريد معرفته. في مثال تغيير حساب المورد، قد نريد معرفة ما إذا كان الموظف سيتصل برقم محفوظ لديه مسبقًا، ومن يملك صلاحية إيقاف الدفعة إذا لم يتأكد من الطلب. الإجابة تتعلق بالشخص وبإجراءات المؤسسة معًا.

أما البحث نفسه، فيجب أن يظل محدد الغرض والنطاق ومدة الاحتفاظ بالمعلومات. لا تشمل الطريقة التي نقترحها التواصل مع الأقارب، أو دخول الحسابات الخاصة، أو شراء بيانات دخول مسرّبة. ونحتاج في نهاية المراجعة إلى مصادر يمكن فحصها، وافتراضات واضحة، واختبار تستطيع المؤسسة فهم غرضه والموافقة عليه.

إذا أردت المساهمة في تطوير هذه الطريقة استنادًا إلى إجراءات العمل في مؤسستك، يمكنك التواصل مع إكسيرا.