اختراق البريد التجاري (Business Email Compromise) لا يشبه رسائل الاحتيال الركيكة المليئة بالأخطاء. الهجوم الحديث يبدو كمراسلة داخلية عادية: المدير المالي يطلب من المحاسبة تحويلاً عاجلاً، أو مورّد يبلّغ عميله بـ«تحديث» بياناته البنكية، أو المدير التنفيذي يرسل لمساعده من رقم يبدو رقمه المعتاد ويطلب خدمة سريعة قبل رحلة.
لا يوجد مرفق ضار ولا رابط مشبوه يمكن فحصه. الهجوم كله هندسة اجتماعية حول حساب بريد مخترق أو منتحل. ولهذا يصنّفه مركز شكاوى جرائم الإنترنت التابع لمكتب التحقيقات الفيدرالي الأمريكي (IC3) باستمرار ضمن أكثر الجرائم الإلكترونية تكلفة في العالم.
لماذا يختلف عن التصيّد العادي؟
التصيّد التقليدي يُرسل لأعداد كبيرة وينتظر أن يضغط بعضهم على رابط. أما اختراق البريد التجاري فهو موجّه وصبور، ويسبقه غالباً استطلاع حقيقي. قد يراقب المهاجم صندوق بريد مخترقاً لأسابيع، فيعرف من يعتمد المدفوعات، وكيف تُكتب الفواتير عادة، ومتى تكون هناك رحلة عمل أو صفقة تجعل الطلب غير المعتاد مقبولاً.
ولهذا يصعب على أدوات الأمان التقليدية اكتشافه: الرسالة غالباً بلا برمجيات ضارة وبلا روابط، مجرد طلب بتوقيت وصياغة طبيعيين، من حساب أو نطاق يبدو سليماً للوهلة الأولى.
أشهر أنماط الهجوم
- انتحال المدير التنفيذي: رسالة تبدو من مسؤول كبير تطلب تحويلاً عاجلاً أو شراء بطاقات هدايا، مع ادعاء أنه مسافر أو لا يستطيع الرد على الهاتف.
- اختراق بريد المورّد: يدخل المهاجم بريد مورّد حقيقي، أو ينتحل نطاقاً قريباً منه، ويرسل إشعار «تحديث البيانات البنكية» قبل دفع فاتورة حقيقية.
- تحويل الرواتب: رسالة تنتحل موظفاً وتطلب من الموارد البشرية تحويل راتبه إلى حساب جديد.
- انتحال المحامي أو الصفقة: خاصة في الصفقات والعقود الكبيرة، حيث الاستعجال والسرية متوقعان أصلاً.
الضوابط التقنية: خط الدفاع الأول
ثلاثة معايير لمصادقة البريد تشكّل الأساس التقني ضد انتحال النطاق، ويجب أن تكون الثلاثة موجودة ومفعّلة:
- SPF: يحدد الخوادم المسموح لها بالإرسال باسم نطاقك، فترفض خوادم الاستقبال ما يأتي من غيرها.
- DKIM: يضيف توقيعاً رقمياً للرسائل الصادرة ليتأكد المستلم أنها لم تُعدَّل.
- DMARC: يربط الاثنين بسياسة تنفيذ تخبر خوادم الاستقبال بما تفعله مع الرسائل التي تفشل في الفحص، ويرسل لك تقارير بمحاولات الانتحال.
الوضع الشائع هو DMARC على «none»: ترى محاولات الانتحال ولكن لا تحظر أياً منها. والانتقال إلى «quarantine» ثم «reject»، بعد التأكد من أن البريد الشرعي لا يتأثر، هو ما يحوّله من أداة مراقبة إلى حماية فعلية.
وهذه السجلات الثلاثة متطلب في شهادة أرامكو SACS-210 (الضابط TPC-1.20)، ومعها اشتراط نطاق بريد خاص بالشركة (TPC-1.23).
حماية من الانتحال داخل منصة البريد
تتضمن منصات البريد الحديثة، مثل Microsoft Defender for Office 365 وحماية Google Workspace، ميزات لكشف الرسائل التي تقلّد أسماء المسؤولين أو تستخدم نطاقاً قريباً من نطاقك، كنطاق يختلف بحرف واحد. يجب ضبط هذه الميزات صراحةً لحماية أسماء المسؤولين وفريق المالية، لا تركها على الإعدادات الافتراضية. التفاصيل في قائمة تحصين أمن Microsoft 365.
الضابط البشري الذي يوقف الاحتيال فعلاً
كل الضوابط التقنية تقلل عدد الرسائل المشبوهة التي تصل، لكنها لا تستطيع إيقاف رسالة موجّهة جيداً من حساب حقيقي مخترق، لأنه قد لا يكون فيها أي خطأ تقني.
الضابط الذي يوقف التحويلات الاحتيالية إجرائي: الاتصال للتحقق قبل أي دفعة أو تغيير في بيانات بنكية، على رقم مأخوذ من سجلاتك أنت، لا من الرسالة نفسها. وهذه العادة، إذا طُبّقت دون استثناء مهما بدا الطلب عاجلاً أو مهما كانت مكانة صاحبه، هي أقوى حماية متاحة، وتكلفتها صفر.
خطة الاستجابة لاختراق البريد
لأن الاحتيال غالباً لا يُكتشف إلا بعد طلب التحويل أو تنفيذه، يجب أن تكون لدى كل شركة تدفع بالتحويل البنكي خطة موثّقة:
- مسار إبلاغ داخلي فوري: يعرف الموظف لمن يبلّغ لحظة شعوره بشيء غريب، دون خوف من اللوم.
- التواصل مع البنك: كثير من البنوك تستطيع محاولة استرجاع التحويل أو تجميده إذا أُبلغت خلال ساعات. جهّز الرقم مسبقاً.
- إجراءات الحساب المخترق: تغيير كلمة المرور، وإنهاء الجلسات المفتوحة، ومراجعة قواعد البريد التي ينشئها المهاجمون لإعادة توجيه الرسائل أو إخفاء الردود.
- الإبلاغ الرسمي حيث ينطبق، وفق نظام حماية البيانات الشخصية أو متطلبات القطاع.
ومورّدو أرامكو ملزمون بإبلاغ أرامكو خلال 24 ساعة من اكتشاف أي حادث سيبراني (TPC-1.32 في SACS-210).
الخلاصة
الحماية من اختراق البريد التجاري طبقات: مصادقة النطاق وتفعيلها لتقليل الرسائل المنتحلة، وضبط مكافحة الانتحال لالتقاط ما يتسلل منها، وعادة اتصال للتحقق لا تُستثنى قبل أي دفعة. لا شيء من هذا مكلف أو معقد، لكنه الفرق بين شركة تقرأ عن محاولة احتيال، وشركة تخسر أموالاً بسببها.
كيف تساعدك سراج؟
نضبط SPF وDKIM وDMARC حتى وضع الحظر، ونفعّل سياسات مكافحة التصيد والانتحال، ضمن خدمة إدارة Microsoft 365 وتجهيز شهادة SACS-210.
اطلب فحص حماية نطاق بريدك ونخبرك بما ينقصه.