الهندسة الاجتماعية: فن التلاعب البشري

على مدار سنوات عمل مهنية عديدة في عالم القانون، رأيت العديد من حصون الدفاع تنهار. تم اقتحام خزائن فولاذية، وانهارت أنظمة تشفير متطورة تحت هجمات السايبر، ولم تنجح الجدران الخرسانية دائماً في إيقاف اللصوص المصممين. كما يمكن ملاحظته في القضايا التي تصل للمعالجة القانونية، فإن الحصن الأقوى والأضعف في آن واحد هو العقل البشري.

في عالم أمن المعلومات، يُقال إن "لا يوجد تصحيح برمجي للغباء". يمكن التحفظ على كلمة "غباء". فالخبرة المهنية الطويلة تثبت أن الضحايا ليسوا أغبياء؛ بل هم بشر. الهندسة الاجتماعية (Social Engineering) ليست اختراقاً لجهاز حاسوب؛ بل هي اختراق للإنسان. إنها فن استغلال الصفات الإنسانية – كالثقة، والرغبة في المساعدة، وطاعة السلطة، والخوف من الخسارة – لتحويل الأشخاص إلى مشاركين في عملية الاحتيال دون علمهم. إذا كنا في الفصول السابقة قد تناولنا الدوافع العاطفية مثل الوحدة أو الجشع، فإن هذا الفصل سيغوص في ميكانيكا "الكيفية": كيف يبني المحتال واقعاً بديلاً تصبحون فيه أنتم أنفسكم مفاتيح خزائنكم.

الحصن الأخير: قصة ميخال

السيناريو التالي هو نموذج تعليمي يستند إلى أنماط احتيال شائعة. الشخصيات والأحداث مخصصة للتمثيل فقط.

ميخال (اسم مستعار) هي مديرة حسابات مخضرمة في شركة تقنية. إنها امرأة حادة، من النوع الذي يكتشف خطأً بشيكلَيْن في ميزانية سنوية من مسافة كيلومتر. في يوم ثلاثاء، عند الساعة 14:30، بينما كانت مستغرقة في التقارير الربع سنوية، اهتز هاتفها. ظهر على الشاشة الاسم: "بنك لئومي – مركز الأمن".

"مرحباً، معك ألون من قسم الدفاع السيبراني في البنك"، قال صوت رجولي، هادئ وواثق في الطرف الآخر. "هل أتحدث مع ميخال؟"

"نعم، معك هي"، أجابت ميخال، بينما خفق قلبها بقوة.

"ميخال، لقد رصدنا للتو محاولة سحب غير معتادة من حسابك بمبلغ 14,500 شيكل لصالح محفظة رقمية في الخارج. هل قمتِ بمثل هذه العملية في الدقائق الأخيرة؟"

"ماذا؟ إطلاقاً! أنا في المكتب، ولم ألمس الحساب"، ارتجف صوت ميخال.

"لا تقلقي، نحن هنا لهذا الغرض"، طمأنها ألون. "لقد قمنا بتجميد العملية مؤقتاً، ولكن لإلغائها نهائياً وتأمين الحساب مجدداً، أرسل لك الآن رمز تحقق مؤقتاً إلى هاتفك المحمول. يرجى قراءته لي حتى أتمكن من إعادة ضبط وصولك للحساب".

في غضون ثوانٍ، وصلت رسالة نصية قصيرة (SMS) إلى ميخال. كان مكتوباً في رأس الرسالة "Bank Leumi". قرأت ميخال الرمز. شعرت بارتياح كبير – ها هو البنك يحميها.

"ممتاز يا ميخال. الآن، للتأكد من عدم وجود برنامج تجسس على جهازك يسمح لهم برؤية كلمات مرورك، أطلب منكِ تحميل تطبيق صغير للدعم عن بُعد يُدعى AnyDesk. سيسمح هذا لفنيينا بمسح الجهاز والتأكد من أنه نظيف".

ميخال، التي كانت تحت ضغط هائل من فكرة أن شخصاً ما "يجلس" على هاتفها، نفذت ما طلبه. رأت مؤشر الفأرة على هاتفها يتحرك من تلقاء نفسه. "لا تقلقي"، قال ألون، "الفني الخاص بنا يعمل الآن. سيستغرق الأمر بضع دقائق. في غضون ذلك، دعينا ننقل رصيدك إلى 'حساب حماية' مؤقت أنشأناه لكِ في بنك إسرائيل، حتى نصدر لكِ بطاقات جديدة".

فقط بعد ساعة، عندما حاولت ميخال الدخول إلى تطبيق البنك الخاص بها واكتشفت أنه محظور، وعندما سألها زوجها عن سبب تحويل 80,000 شيكل من حسابهما المشترك، صدمتها الحقيقة. لم يكن هناك "ألون"، ولم يكن هناك "مركز أمن"، والرقم الذي ظهر على الشاشة كان على الأرجح تزييفاً تكنولوجياً يُعرف بـ Spoofing. في سيناريو كهذا، لا يتم سلب الضحية تحت تهديد السلاح؛ بل هي تفتح الباب، وتمد المفاتيح، وأحياناً تشكر الطرف المعادي على مساعدته.

تشريح اختراق الوعي: كيف يعمل ذلك؟

الهندسة الاجتماعية هي غالباً سيناريو مخطط له يعمل فيه المحتال كـ "مخرج". تعتمد العملية على مراحل معروفة للمهنيين في هذا المجال:

1. جمع المعلومات (Reconnaissance)

قد يقوم المحتالون بإجراء بحث مسبق. فهم يتصفحون الملفات الشخصية في شبكات التواصل الاجتماعي، ويحددون أماكن العمل، والروابط الاجتماعية، وأحياناً حتى المؤسسة المالية التي يدير فيها الضحية حسابه. في العديد من السيناريوهات، تُستخدم المعلومات لخلق محفز عاطفي يدفع الضحية لاتخاذ إجراء سريع.

2. الاتصال وبناء الثقة (Pretexting)

هذه هي مرحلة "الذريعة". يتم استخدام هوية تمنح السلطة، مثل "مركز أمن"، أو "جهة إنفاذ قانون"، أو "ممثل تقني". تهدف اللغة المهنية إلى تقليل النقد الذاتي لدى الضحية وتشجيع الامتثال.

3. الاستغلال (The Interaction)

في هذه المرحلة تصل التلاعب النفسي إلى ذروته، باستخدام عناصر مثل:

• الإلحاح (Urgency): خلق ضغط زمني يهدف إلى تعطيل التفكير المنطقي.
• السلطة (Authority): استغلال الميل الفطري للطاعة للمؤسسات أو أصحاب المناصب.
• المساعدة المتبادلة: تقديم الطرف المعادي كـ "منقذ" يعمل لصالح الضحية.

4. الخروج (The Exit)

تنتهي العملية غالباً بشكل لا يثير الشكوك الفورية، للسماح بغسيل الأموال أو تحويلها قبل أن يدرك الضحية ما حدث ويتوجه للجهات ذات الصلة.

الجوانب القانونية: فحص المسؤولية في حالات الاحتيال

هنا ندخل إلى حقل الألغام القانوني الذي يميز هذه القضايا. السؤال الجوهري هو هل تتحمل المؤسسة المالية المسؤولية عندما قام العميل بتنفيذ العملية أو الموافقة عليها نتيجة للاحتيال.

في إسرائيل، القانون ذو الصلة هو قانون خدمات الدفع، لسنة 2019. تتناول المادة 25 من القانون المسؤولية عن "عملية بدون تفويض"، ومع ذلك فإن التطبيق القانوني قد يكون معقداً ويعتمد على الظروف.

من المزاعم الشائعة من جانب المؤسسات المالية أن تسليم رمز التحقق يشكل "إهمالاً جسيماً". ومع ذلك، في فحص قانوني مهني، يمكن فحص واجب العناية الخاص بالبنك. يمكن التحقق مما إذا كانت الأنظمة قد رصدت نشاطاً غير معتاد، وما إذا كانت مبالغ التحويل تتوافق مع نمط النشاط المعتاد، وما إذا كانت المؤسسة قد اتخذت إجراءات كافية لمنع انتحال الشخصية باسمها.

يكشف تحليل الاحتمالات القانونية أن المحكمة قد تعترف في بعض الحالات بالهندسة الاجتماعية كعامل مؤثر على توزيع المسؤولية. في حال استخدم المحتال وسائل تكنولوجية متطورة، فقد يكون من الممكن دراسة تقليص مسؤولية العميل. مع ذلك، الاحتمال القانوني يعتمد دائماً على الظروف المحددة، والأدلة، والمظاهر التي عُرضت في الوقت الفعلي.

الهندسة الاجتماعية في المؤسسات: جوانب المسؤولية

قد تتعرض الشركات لأضرار من أنماط مثل "احتيال المدير التنفيذي" (CEO Fraud)، الذي يستغل الهيكل التنظيمي. في مثل هذه الحالات، يثار سؤال المسؤولية القانونية للموظف تجاه صاحب العمل. كقاعدة عامة، الميل القانوني هو فحص ما إذا كان الموظف قد تصرف بسوء نية أو بإهمال جسيم، مع مراعاة إجراءات المؤسسة وأنظمة الحماية التي تم تطبيقها فيها.

أدوات المهندس الاجتماعي: قاموس المصطلحات

• Phishing (التصيد الاحتيالي): رسائل يتم نشرها على نطاق واسع بهدف العثور على ضحايا.
• Spear Phishing: تصيد موجه ومخصص لضحية محددة.
• Vishing (التصيد الصوتي): احتيال يعتمد على استخدام الصوت لخلق الثقة.
• Smishing: احتيال عبر الرسائل النصية القصيرة (SMS).
• Baiting (الطُعم): تقديم ميزة للحث على الضغط على رابط ضار.

علامات تحذير: التعرف على محاولات التلاعب

تتضمن الهندسة الاجتماعية غالباً علامات مثل:

• المبادرة بالاتصال: اتصال من جهة لم تقم أنت بالتواصل معها مسبقاً.
• خلق الذعر أو الإلحاح: استخدام مصطلحات مثل "عاجل" أو "يجب التصرف الآن".
• طلب معلومات حساسة: طلب رمز تحقق، كلمة مرور، أو تفاصيل شخصية حساسة.
• طلب تثبيت برامج: اشتراط تحميل برامج تحكم عن بُعد لغرض "الدعم".
• الانحراف عن الإجراءات: طلب تحويل أموال إلى حسابات غير معروفة أو استخدام عملات رقمية.

خطوات موصى بها في حال الاشتباه بالاحتيال

1. قطع الاتصال: إيقاف التواصل بشكل فوري.
2. التحقق المستقل: التواصل مع المؤسسة ذات الصلة عبر القنوات الرسمية والموثوقة فقط.
3. الإبلاغ والتجميد: إبلاغ البنك وشركة بطاقات الائتمان فوراً لغرض تجميد النشاط.
4. تأمين الحسابات: تغيير كلمات المرور من جهاز منفصل وآمن.
5. تقديم شكوى: التوجه لشرطة إسرائيل لتوثيق الحادثة.
6. التوثيق: جمع كافة المعلومات، الرسائل، وسجلات المكالمات.

جانب قانوني للختام

تتطلب مواجهة المؤسسات المالية في قضايا الهندسة الاجتماعية فهماً قانونياً عميقاً. إن واجب الأمانة الخاص بالبنك تجاه العميل هو واجب جوهري في القانون الإسرائيلي، ويمكن فحص إمكانيات استعادة الأموال وفقاً لظروف القضية.

يتضمن فحص المسؤولية تدقيقاً في أنظمة الحماية، ورصد الإخفاقات في منع انتحال الشخصية، ورد فعل المؤسسة في الوقت الفعلي. في سيناريوهات محتملة، وبعد فحص الأدلة، قد يبحث الأطراف في حلول قانونية متنوعة. من المهم أن نتذكر أن الوقوع ضحية للاحتيال هو نتيجة لتلاعب مهني، وأن الطريق لفحص الحقوق القانونية يبدأ بتحليل دقيق للوقائع والتمسك بالحقوق الممنوحة بموجب القانون.