الهندسة الاجتماعية فن التلاعب بالناس عشان يكشفوا معلومات حساسة تُستخدَم في إجراء خبيث. رغم السياسات الأمنية، المهاجم يقدر يخترق معلومات حساسة باستغلال ضعف البشر — غالبًا الموظف مش حتى واعي بالخلل الأمني اللي بيرتكبه، زي الرد التلقائي على أسئلة غرباء أو الرد على بريد Spam.
| الفئة | لماذا مستهدَفة |
|---|---|
| موظفو الاستقبال وخدمة العملاء | سهل إقناعهم بالكشف عن معلومات سرّية — خصوصًا لو حسّوا إنهم بيساعدوا "عميل" |
| موظفو الدعم الفني | المهاجم بيتظاهر بإدارة عليا أو عملاء أو موردين للحصول على معلومات حساسة |
| مدراء الأنظمة (System Administrators) | عندهم معلومات حرجة زي نوع وإصدار نظام التشغيل وكلمات مرور الأدمن |
| المستخدمون والعملاء | المهاجم بيتظاهر بموظف دعم فني لاستخراج معلومات حساسة منهم |
| موردو المؤسسة | مصدر معلومات حرجة ممكن تساعد في تنفيذ الهجوم |
| كبار التنفيذيين | أقسام زي المالية والموارد البشرية والإدارة التنفيذية مستهدَفة للمعلومات الحرجة |
البشر هم الأكثر عرضة للتغيّر — رغم السياسات الأمنية المتنوّعة، منعها تحدٍّ حقيقي. صعبة الاكتشاف، ومفيش أي ضمان كامل ضدها — لا يوجد جهاز أو برنامج محدَّد للحماية منها بالكامل. النهج رخيص (أو مجاني) وسهل التنفيذ نسبيًا.
جمع معلومات كافية للتسلّل — طبيعة العمل، الموقع، عدد الموظفين، عبر Dumpster Diving وتصفّح الموقع وإيجاد تفاصيل الموظفين.
بعد البحث، اختيار هدف لاستخراج معلومات حساسة — غالبًا موظفين ساخطين لأنهم أسهل في التلاعب.
بناء علاقة مع الموظف المستهدَف لتحقيق المهمة.
استغلال العلاقة واستخراج معلومات حساسة عن حسابات المؤسسة والمعلومات المالية والتقنيات المستخدَمة والخطط القادمة.
| النوع | الوصف |
|---|---|
| Posing as a Legitimate End User | انتحال موظف مع هوية مزوَّرة للوصول لبيانات مميَّزة |
| Posing as an Important User | انتحال شخصية مهمة (نائب رئيس، مدير) — يستغل عادة الناس في عدم التشكيك في السلطة، بعنصر تخويف إضافي |
| Posing as a Technical Support Agent | انتحال وكيل دعم فني، فعّال خصوصًا مع ضحايا غير متمكّنين تقنيًا |
| Posing as Internal Employee/Client/Vendor | ارتداء ملابس عمل ودخول مبنى المؤسسة بانتحال مقاول أو عميل — التجوّل بدون ملاحظة والبحث عن كلمات مرور ملصقة أو بيانات في صناديق القمامة |
| Posing as a Repairman | انتحال فني حاسوب أو كهربائي — أشخاص غير مشكوك فيهم عادة — بحث عن كلمات مرور مخفية وزرع أجهزة تنصّت |
| التقنية | الوصف الموجز |
|---|---|
| Vishing | تصيّد صوتي عبر الهاتف لانتحال جهة موثوقة والحصول على معلومات حساسة |
| Eavesdropping | التنصّت المتعمَّد على محادثات سرّية بين الموظفين |
| Shoulder Surfing | مراقبة سرّية لضحية أثناء إدخال بيانات حساسة (كلمات مرور) |
| Dumpster Diving | البحث في صناديق القمامة عن مستندات ومعلومات حساسة ممزَّقة أو مُهمَلة |
| Reverse Social Engineering | المهاجم بيخلق موقف بيخلّي الضحية هي اللي بتتواصل معاه طالبة المساعدة، فيكسب ثقتها بسهولة |
| Piggybacking | الدخول لمنطقة مقيَّدة بعلم وموافقة موظف شرعي (بطاقة دخول مشتركة) |
| Tailgating | الدخول لمنطقة مقيَّدة بالتبعية الجسدية خلف موظف شرعي بدون علمه |
| Diversion Theft | خداع شركة توصيل أو نقل لتسليم شحنة لمكان مختلف عن وجهتها الصحيحة |
| Honey Trap | استدراج ضحية عبر علاقة عاطفية أو رومانسية وهمية لاستخراج معلومات |
| Baiting | ترك جهاز (USB مثلًا) محمَّل ببرمجية خبيثة في مكان بارز ليلتقطه الضحية ويستخدمه بفضول |
| Bait and Switch | الوعد بشيء (إعلان أو تنزيل) وتسليم شيء ضار بدلًا منه |
| Quid Pro Quo | عرض خدمة أو منفعة مقابل معلومات أو وصول — "أنا هساعدك مقابل كذا" |
| Elicitation | استخلاص معلومات بمحادثة طبيعية وغير مُلفِتة للانتباه بدون إثارة شكوك الضحية |
المهاجم بيبعت بريد إلكتروني أو رابط يدّعي زورًا إنه من موقع شرعي للحصول على معلومات شخصية أو حساب — بيسجّل نطاق مزيَّف، يبني موقع مطابق، ويبعت الرابط للمستخدمين. أسباب نجاح التصيّد: نقص معرفة المستخدمين، الخداع البصري، وعدم الانتباه لمؤشرات الأمان.
| النوع | الآلية |
|---|---|
| Spear Phishing | هجوم موجَّه لأفراد محدَّدين داخل مؤسسة بمحتوى مخصَّص لشخص أو مجموعة صغيرة |
| Whaling | استهداف تنفيذيين رفيعي المستوى (CEOs، CFOs) بإمكانية وصول كاملة لمعلومات قيّمة |
| Pharming | إعادة توجيه الترافيك لموقع احتيالي عبر برنامج خبيث — "تصيّد بدون طُعم" عبر DNS Cache Poisoning أو تعديل Host File |
| Spimming | شكل من Spam يستغل منصّات المراسلة الفورية — Bots بتحصد معرّفات المراسلة الفورية |
| Clone Phishing | نسخة شبه مطابقة من تواصل شرعي سابق، معدَّلة ليشير الرابط/المرفق لوجهة خبيثة |
| E-wallet Phishing | استهداف مستخدمي المحافظ الإلكترونية بانتحال مزوّد محفظة شرعي |
| Tabnabbing / Reverse Tabnabbing | Tabnabbing: صفحة خبيثة بتغيّر محتواها لتشبه موقع مألوف وتلتقط بيانات الاعتماد عند العودة للتبويب. Reverse: موقع شرعي ظاهريًا بيخدع المستخدم لفتح رابط خبيث يغيّر محتوى التبويب الأصلي |
| Consent Phishing | استغلال بروتوكول OAuth بتطبيق أو موقع مزيَّف يبدو شرعيًا لاستدراج الضحية لمنح صلاحيات |
| Search Engine Phishing | التلاعب في نتائج محرّك البحث لتوجيه المستخدمين لمواقع احتيالية مصمَّمة لسرقة بيانات أو نشر برمجيات خبيثة |
| الأداة | الوظيفة |
|---|---|
| ShellPhish | تصيّد بيانات اعتماد من منصّات سوشيال ميديا (Instagram، Facebook، Twitter، LinkedIn) — يعرض IP العام للضحية ومعلومات المتصفح والموقع |
| Social Engineer Toolkit (SET) | أداة Python مفتوحة المصدر لاختبار اختراق عبر الهندسة الاجتماعية — تصنّف هجمات البريد والويب وUSB حسب متجه الهجوم |
أدوات إضافية: Dark-Phish، BLACKEYE، SocialFish، Modlishka، Trape، Gophish، King Phisher، LUCY SECURITY، Zphisher.
مثال Prompt: "Pose as a genuine Microsoft customer support executive with imaginary name; write a concise mail stating that he/she has found suspicious login on user's account and ask them to reset the password on urgent basis" — يوضّح إزاي AI ممكن تؤتمت صياغة رسائل تصيّد مقنعة.
| التقنية | الوصف |
|---|---|
| Pop-Up Windows | تخدع المستخدم للنقر على رابط بيوجّه لصفحات مزيَّفة تطلب معلومات شخصية أو تنزيل برمجيات خبيثة (Keyloggers، Trojans، Spyware) — غالبًا بتحذير من مشكلة أو رسالة خطأ واقعية |
| Hoax Letters | رسالة تحذّر من تهديد فيروس غير موجود — مش بتسبّب ضرر فعلي لكن بتهدر إنتاجية وموارد شبكة |
| Chain Letters | رسالة بتعرض هدايا مجانية بشرط إعادة توجيهها لعدد محدَّد من المستلمين — قصص مقنعة عاطفيًا وأنظمة هرمية |
| Instant Chat Messenger | محادثة مع مستخدمين مختارين لجمع معلومات شخصية (تاريخ ميلاد، اسم عائلة) تُستخدَم لكسر الحسابات |
| Spam Email | بريد غير مرغوب مصمَّم لجمع معلومات مالية — غالبًا بمرفقات تحمل برامج خبيثة بأسماء ملفات طويلة لإخفاء الامتداد |
| Scareware | برمجية خبيثة بتخدع المستخدم لزيارة مواقع مصابة أو شراء برمجيات ضارة — نوافذ منبثقة توحي بإصابة الجهاز بفيروس من مصدر "شرعي" زي شركة مضاد فيروسات |
نوع من هجمات التصيّد بيصنع المهاجم فيه وسائط مزيَّفة لشخص مستهدَف باستخدام تقنيات متقدّمة زي ML وAI — عبر عينات صوت/فيديو مسجَّلة سابقًا، وممكن يستخدم ده لابتزاز الضحايا بطلب فدية.
خوارزميات تعلّم آلي متقدّمة (CNNs، GANs)، برمجة وScripting لتدريب النماذج، كميات ضخمة من بيانات التدريب (فيديو + معالم وجه)، معالجة وتنقية البيانات، إتقان أدوات تحرير فيديو (Premiere Pro، DaVinci Resolve)، وفهم تأثيرات بصرية (Compositing، Color Grading، Motion Tracking، Rotoscoping).
أدوات صنع Deepfake: DeepFaceLab (حل شامل من جمع البيانات للمخرج النهائي — استبدال وجوه، تغيير العمر، تعديل الشفاه)، Vidnoz، Deepfakesweb، Synthesia، DeepBrain AI، Hoodem.
استخدام خوارزميات تعلّم آلي متقدّمة لإنشاء تقليد مقنع جدًا لصوت شخص معيّن — عبر تقنيات تركيب الكلام ونماذج شبكات عصبية.
تسجيلات صوتية من مصادر زي خطابات عامة ومقابلات وBodcasts ومنشورات سوشيال ميديا.
تدريب نماذج تعلّم عميق (CNNs، RNNs) على البيانات الصوتية المُجمَّعة لتعلّم أنماط وخصائص الصوت.
تحويل نص لصوت باستخدام خصائص الصوت المُتعلَّمة — توليد عينات صوتية مطابقة.
استخدام العينات الصوتية لانتحال الشخص الهدف في مكالمات هاتفية أو رسائل صوتية — تخويل معاملات احتيالية أو اختراق أنظمة أمنية.
أدوات استنساخ الصوت: VEED.IO (استنساخ لحظي من عينة صوتية واحدة)، Murf.AI، Resemble.AI، ElevenLabs، PlayHT، voice.ai.
المستخدمون الخبيثون بيجمعوا معلومات سرّية من مواقع التواصل وينشئوا حسابات باسم شخص آخر — بيستخدموا البروفايلات المزيَّفة دي لبناء شبكات أصدقاء كبيرة واستخراج معلومات.
المهاجم بينشئ حساب سوشيال ميديا مزيَّف ينتحل حساب دعم فني لمؤسسة، ويتواصل مع عملاء ساخطين بنشر روابط خدمة مزيَّفة — عند النقر، إما تتثبّت برمجية خبيثة أو يُوجَّه الضحية لموقع يطلب بياناته.
جريمة بيسرق فيها منتحل معلومات تعريفية شخصية (اسم، رقم بطاقة ائتمان، رقم ضمان اجتماعي أو رخصة قيادة) لارتكاب احتيال أو جرائم أخرى — المهاجمون يستخدموها لانتحال موظفين والوصول فعليًا لمنشآت المؤسسة.
| النوع | الوصف |
|---|---|
| Child Identity Theft | سرقة هوية قاصر — صعبة الاكتشاف لفترة طويلة، تُستخدَم لفتح حسابات ائتمان أو قروض أو استئجار سكن |
| Criminal Identity Theft | الأكثر شيوعًا وضررًا — مجرم بيستخدم هوية شخص آخر للهروب من اتهامات جنائية عند القبض عليه |
| Financial Identity Theft | سرقة معلومات حساب بنكي أو بطاقة ائتمان واستخدامها بطريقة غير قانونية — عبر فيروسات أو تصيّد أو اختراقات بيانات |
| Insurance Identity Theft | استخدام معلومات طبية مسروقة للوصول لتأمين العلاج الطبي — صعوبات في تسوية الفواتير وأقساط تأمين أعلى |
| التقنية | الوصف |
|---|---|
| Publishing Malicious Apps | تطبيقات خبيثة بأسماء ومميزات مشابهة لتطبيقات شهيرة تُنشَر في متاجر التطبيقات الرئيسية — المستخدم بيحمّلها من غير قصد وتصيبه برمجية بتبعت بيانات الاعتماد للمهاجم |
| Repackaging Legitimate Apps | برمجية خبيثة مخفية داخل تطبيق شرعي — مطوّر خبيث بيعيد تغليف تطبيق ألعاب شرعي ببرمجية خبيثة ويرفعه للمتجر |
| Fake Security Applications | المهاجم بيصيب جهاز الضحية أولًا، بعدين برمجية خبيثة بتعرض نافذة منبثقة تطلب تنزيل تطبيق "أمان" — التطبيق المزيَّف بيسرق بيانات اعتماد الحساب البنكي بما فيها رمز التحقق الثاني عبر SMS |
| SMiShing (SMS Phishing) | رسائل SMS مصمَّمة لاستفزاز إجراء فوري — تنزيل برمجية خبيثة، زيارة صفحة خبيثة، أو الاتصال برقم احتيالي |
| QRLJacking | استغلال طريقة تسجيل الدخول عبر QR Code في تطبيقات ويب لاختطاف جلسات تسجيل الدخول والوصول غير المصرَّح به لحسابات الضحايا |
QR TIGER أداة توليد QR Code تسمح للمهاجم بإنشاء نسخة مطابقة من QR Code شرعي — بتستنسخ أكواد ثابتة وديناميكية، وبتتتبّع معلومات زي عدد المسح ووقت ومكان المسح والجهاز المستخدَم. أدوات إضافية: QR Code Generator، Soti MobiControl، QR Code KIT.
أفضل السياسات والإجراءات عديمة الفائدة لو ما اتعلَّمتش وما اتعزّزتش من الموظفين. بعد التدريب، لازم الموظفون يوقّعوا إقرار بفهمهم للسياسات.
حملة هندسة اجتماعية تجريبية (Social Engineering Campaign)، تحليل الفجوات (Gap Analysis)، واستراتيجيات معالجة (Remediation Strategies).
أدوات كشف التصيّد: Scanurl، Isitphishing، Threatcop، e.Veritas، Virustotal. OhPhish بوابة ويب لاختبار قابلية تأثّر الموظفين بهجمات الهندسة الاجتماعية عبر إطلاق حملات تصيّد تجريبية.
| النوع | الهدف |
|---|---|
| Spear Phishing | أفراد محدَّدون |
| Whaling | تنفيذيون رفيعو المستوى |
| Pharming | بدون طُعم — DNS/Host manipulation |
| Clone Phishing | نسخ تواصل سابق شرعي |
| Consent Phishing | استغلال OAuth |
| Search Engine Phishing | نتائج بحث مُتلاعَب بها |
| التقنية | الفرق الجوهري |
|---|---|
| Piggybacking | الموظف الشرعي على علم ومتعاون (يفتح الباب عمدًا) |
| Tailgating | الموظف الشرعي غير مدرك لدخول المهاجم خلفه |
| # | السؤال | الإجابة السريعة |
|---|---|---|
| 1 | كام سلوك نفسي أساسي مُستغَل في الهندسة الاجتماعية؟ | 7: Authority، Intimidation، Consensus، Scarcity، Urgency، Familiarity، Trust |
| 2 | كام نوع من سرقة الهوية؟ | 4: Child، Criminal، Financial، Insurance |
| 3 | إيه الفرق بين Phishing العادي وPharming؟ | Pharming بدون طُعم أو رابط خادع — إعادة توجيه مباشرة عبر DNS/Host manipulation |
| 4 | إيه القناة اللي QRLJacking بيستهدفها؟ | طريقة تسجيل دخول QR Code في تطبيقات ويب — Mobile-based |
| 5 | كام مرحلة لهجوم الهندسة الاجتماعية الكامل؟ | 4: بحث → اختيار هدف → بناء علاقة → استغلال العلاقة |
الموديول ده غطّى الهندسة الاجتماعية بعمق — من المفاهيم الأساسية والسلوكيات النفسية المُستغَلّة، مرورًا بالتقنيات البشرية والحاسوبية والمحمولة، والتصيّد بكل أنواعه، ووصولًا لانتحال الهوية بالذكاء الاصطناعي (Deepfake وVoice Cloning) وسرقة الهوية وإجراءات المواجهة.
الفكرة الجوهرية للموديول: "لا يوجد دفاع جاهز ضد الهندسة الاجتماعية — فقط اليقظة المستمرّة تقدر تتصدّى لبعض تقنياتها." المهاجم مش بيستغل ثغرة في الكود، هو بيستغل خاصية بشرية أساسية (الثقة، السلطة، الخوف) موجودة في كل إنسان. المختبر الأخلاقي اللي بيفهم علم النفس البشري بنفس عمق فهمه للشبكات هو اللي بيقدر يبني دفاع واقعي.
احفظ الفرق الدقيق بين المصطلحات المتشابهة (Piggybacking مقابل Tailgating، Phishing مقابل Pharming، Spear Phishing مقابل Whaling) لأن الامتحان بيركّز عليها كتير. اربط كل تقنية بالسلوك النفسي اللي بتستغله — ده بيخلّيك تتعرّف على أي تقنية جديدة مش مذكورة بالاسم من خلال فهم المبدأ النفسي وراها.
نهاية نوتس الموديول التاسع — Social Engineering (CEHv13)