أغلى رسالة تصيد احتيالي قد تصل شركتك لا تحمل فيروسا ولا رابطا غريبا. تبدو رسالة عادية من مورد تعرفه، يخبرك فيها أن حسابه البنكي تغير، ويطلب تحويل الفاتورة القادمة إلى الآيبان الجديد. في تقرير الجرائم الإلكترونية لعام 2025 الصادر عن مكتب التحقيقات الفيدرالي الأمريكي، سجل هذا النوع من الاحتيال، المسمى اختراق البريد الإلكتروني للأعمال، 24,768 بلاغا وخسائر بلغت 3,046,598,558 دولارا، أي نحو 123 ألف دولار لكل بلاغ، أو قرابة 461 ألف ريال. والعلاج شبه مجاني: لا تغير بيانات حساب أي مستفيد بناء على إيميل. تأكد بمكالمة على رقم محفوظ لديك مسبقا، واشترط موافقة شخص ثان على التغيير. (تناولنا جانب اعتماد المدفوعات في مقالنا عن اختراق بينانس وضوابط الموافقة على التحويلات.)
كيف تبدو رسالة التصيد في 2026
النصيحة القديمة كانت: ابحث عن الأخطاء الإملائية. هذه النصيحة لم تعد تنفع. يقول تقرير مكتب التحقيقات الفيدرالي إن برامج المحادثة الذكية تكتب بسرعة رسائل رسمية الطابع تنتحل صفة الرئيس التنفيذي أو مسؤولين آخرين، وإن استنساخ الصوت قد يستخدم لطلب تحويل مالي. وفي 2025 تلقى المكتب أكثر من 22 ألف بلاغ ذكرت الذكاء الاصطناعي، بخسائر تجاوزت 893 مليون دولار، وأبلغت الشركات عن خسارة أكثر من 30 مليون دولار في عمليات اختراق بريد الأعمال التي استخدم فيها الذكاء الاصطناعي.
لذلك احكم على الطلب نفسه، لا على جودة الكتابة. هذه العلامات ما زالت صالحة:
- تغيير في بيانات الحساب البنكي، خصوصا قبيل موعد دفعة كبيرة.
- الاستعجال والسرية: «حول اليوم»، «أنا في اجتماع لا تتصل»، «لا تخبر أحدا».
- عنوان مرسل شبه صحيح: حرف واحد مختلف في النطاق، أو بريد مجاني بدل نطاق الشركة.
- طلب يتجاوز إجراءاتك المعتادة: مدير يطلب من المحاسب مباشرة تحويل مبلغ خارج النظام.
الأرقام خلف المشكلة
تلقى مركز شكاوى الجرائم الإلكترونية التابع لمكتب التحقيقات الفيدرالي 1,008,597 بلاغا في 2025، بخسائر معلنة بلغت 20.877 مليار دولار، بزيادة 26% عن 2024. وسجل التصيد وانتحال الهوية وحدهما 191,561 بلاغا. أما بلاغات اختراق بريد الأعمال فارتفعت من 21,442 في 2024 إلى 24,768 في 2025. هذه بلاغات مسجلة في الولايات المتحدة وليست أرقاما سعودية، لكن الأسلوب واحد في كل مكان: المحتال لا يخترق بنكك، بل يقنع موظفك أنت بأن يرسل المال.
والتقرير نفسه يحمل أهم درس لأي فريق مالي: السرعة. حين أبلغ الضحايا بسرعة، عمل فريق استرداد الأصول في المكتب مع البنوك لتجميد الأموال. ففي 3,900 حالة خلال 2025 جمد 679,013,183 دولارا، بنسبة نجاح 58%. ونصيحة المكتب صريحة: الوقت حاسم، فاتصل ببنكك فورا واطلب استرجاع التحويل.
6 خطوات تحمي شركتك
- قاعدة الاتصال العكسي لكل تغيير في الحساب البنكي. أي طلب لتغيير حساب مورد أو موظف أو شريك يؤكد بمكالمة على الرقم المحفوظ لديك مسبقا، لا الرقم الوارد في الإيميل. اكتبها سياسة رسمية حتى لا يحرج أحد من السؤال.
- شخصان لكل مستفيد جديد. شخص يدخل الآيبان الجديد، وشخص آخر يعتمده من جهاز مختلف. اطلب من بنكك تفعيل ذلك في بوابة الشركات.
- التحقق متعدد العوامل على البريد. يشترط نموذج معيار حماية البريد الإلكتروني من الهيئة الوطنية للأمن السيبراني التحقق متعدد العوامل للدخول إلى البريد عبر المتصفح وتطبيقات الجوال، ولمديري أنظمة البريد. ومعظم عمليات اختراق بريد الأعمال تبدأ بكلمة مرور بريد مسروقة.
- سجلات SPF وDKIM وDMARC على نطاقك. يشترط النموذج نفسه هذه السجلات الثلاثة، لتتمكن الخوادم الأخرى من رفض الرسائل التي تنتحل نطاقك. وهي تحمي عملاءك ومورديك من رسائل مزيفة باسمك.
- الفلترة وتنبيه المرسل الخارجي. يشترط نموذج الهيئة حجب الرسائل الواردة التي تحمل روابط ضارة أو محاولات تصيد، وعزل الرسائل متوسطة الخطورة. وأضف شريط تنبيه ظاهرا على كل رسالة قادمة من خارج الشركة.
- خطة استجابة في صفحة واحدة. إن خرج المال: اتصل بالبنك فورا واطلب استرجاع التحويل، وغير كلمة مرور البريد، وافحص صندوق البريد بحثا عن قواعد إعادة توجيه لم تنشئها، ونبه المورد الذي انتحل اسمه.
ماذا تعلم موظفيك في 15 دقيقة
لا تحتاج إلى دورة طويلة. علمهم ثلاث عادات: افحص عنوان المرسل كاملا، ولا تنفذ طلب دفع وصل بالإيميل فقط، وأبلغ عن الرسالة المشبوهة بدل حذفها. ثم أرسل رسالة اختبار غير ضارة مرة كل ربع سنة، وناقش النتائج دون لوم أحد. الفريق الذي يبلغ بسرعة أثمن من فريق يظن أنه لا يضغط أبدا على الروابط.
رأي أوريجامي
نرى التصيد الاحتيالي مشكلة إجراءات قبل أن يكون مشكلة تقنية. فلاتر البريد ستفوتها دائما بعض الرسائل، والذكاء الاصطناعي يجعل الرسائل المزيفة أكثر إقناعا كل شهر. ما لا يتغير هو القاعدة داخل أنظمتك: يجب أن يستحيل تغيير بيانات حساب بنكي دون تحقق وموافقة ثانية. وحين نبني أنظمة مخصصة للمحاسبة أو المشتريات أو المدفوعات، نضع هذه القاعدة داخل النظام نفسه، مع سجل لكل تعديل على بيانات المستفيدين، حتى لا تعتمد على ذاكرة أحد. وإذا أردت مراجعة لإعدادات بريد شركتك ومسارات اعتماد المدفوعات، تواصل معنا أو اطلع على خدماتنا.
المصادر
- مكتب التحقيقات الفيدرالي، مركز شكاوى الجرائم الإلكترونية — التقرير السنوي 2025 (2025 IC3 Annual Report): إجمالي البلاغات والخسائر، وأرقام اختراق بريد الأعمال والتصيد، وبلاغات الذكاء الاصطناعي، ونتائج تجميد الأموال.
- الهيئة الوطنية للأمن السيبراني — نموذج معيار حماية البريد الإلكتروني (Email Protection Standard): متطلبات التحقق متعدد العوامل وSPF وDKIM وDMARC وحجب رسائل التصيد.
أسئلة شائعة
كيف أعرف أن إيميل تغيير حساب المورد البنكي احتيال؟
غالبا لن تعرف من الإيميل نفسه، لأن الذكاء الاصطناعي صار يكتب رسائل مقنعة. اعتبر كل تغيير في بيانات الحساب البنكي مشبوها حتى تؤكده بمكالمة على رقم المورد المحفوظ لديك مسبقا، لا الرقم الوارد في الرسالة.
حولنا مبلغا لمحتال، ماذا نفعل أولا؟
اتصل ببنكك فورا واطلب استرجاع التحويل، فالسرعة أهم عامل. ثم غير كلمة مرور البريد، وافحص صندوق البريد بحثا عن قواعد إعادة توجيه لم تنشئها، ونبه المورد الذي انتحل اسمه.
هل تكفي سجلات SPF وDKIM وDMARC لمنع التصيد؟
لا. هي تمنع الآخرين من إرسال رسائل تنتحل نطاق شركتك أنت، فتحمي عملاءك ومورديك. لكنها لا تمنع نطاقا مشابها ولا بريد مورد مخترق، لذلك تبقى قاعدة الاتصال العكسي والموافقة الثنائية ضرورية.
هل ما زال تدريب الموظفين مفيدا إذا كان الذكاء الاصطناعي يكتب رسائل بلا أخطاء؟
نعم، لكن غير محتوى التدريب. بدل البحث عن الأخطاء الإملائية، علم الموظفين الحكم على الطلب: أي تغيير في بيانات الحساب البنكي أو استعجال أو سرية أو دفع خارج الإجراء المعتاد يجب التحقق منه والإبلاغ عنه.
