لماذا لا تستطيع الشركات إيقاف هجمات الهندسة الاجتماعية؟ | رأي

المصدر: CryptoNewsNet العنوان الأصلي: لماذا لا تستطيع الشركات إيقاف هجمات الهندسة الاجتماعية؟ | رأي الرابط الأصلي: على مدار العام الماضي، كانت معظم أكبر الثغرات في عالم التشفير لها نفس السبب الجذري: الناس. في الأشهر القليلة الماضية فقط، حثت شركة Ledger المستخدمين على إيقاف النشاط على السلسلة بعد أن تم خداع مسؤولي npm ونشر حزم خبيثة؛ وكشفت شركة Workday عن حملة هندسة اجتماعية وصلت إلى بيانات في نظام إدارة علاقات العملاء (CRM) لطرف ثالث؛ واستمر المشغلون المرتبطون بالدولة في إغراءات وظائف وهمية ضد فرق التشفير لتسليم برمجيات خبيثة.

ملخص

• التشفير لا يتعرض للاختراق — بل يُقنع الناس بإعطائه نفسه. تأتي معظم الاختراقات الآن من التصيد الاحتيالي، التحديثات المزيفة، والانتحال، وليس من خلال كود مكسور، مما يجعل “الناس” السطح الرئيسي للهجوم.
• المال القابل للبرمجة يحول الأخطاء الصغيرة إلى خسائر كارثية. مفتاح مسرب واحد أو طلب معتمد يمكن أن يفرغ الأموال على الفور وبشكل لا رجعة فيه، مما يجعل الهندسة الاجتماعية مخاطرة منهجية، وليست خطأ من المستخدم.
• حتى يتم التعامل مع الأمن التشغيلي كجزء من البنية التحتية الأساسية، ستستمر الثغرات في التوسع. لا يمكن للمراجعات والتدقيقات البرمجية أن توقف الخداع البشري — فقط يمكن للمعايير المفروضة على الأجهزة، الوصول، والتدريب أن تفعل ذلك.

على الرغم من إنفاق المليارات على الأمن السيبراني، لا تزال الشركات تتعرض للهزيمة بسبب الهندسة الاجتماعية البسيطة. تصرف الفرق أموالاً على التدابير التقنية، التدقيقات، ومراجعات الكود بينما تتجاهل الأمن التشغيلي، نظافة الأجهزة، والعوامل البشرية الأساسية. مع انتقال المزيد من الأنشطة المالية على السلسلة، يصبح ذلك النقطة العمياء مخاطرة منهجية للبنية التحتية الرقمية.

الطريقة الوحيدة لإبطاء موجة هجمات الهندسة الاجتماعية هي استثمار واسع ومستدام في الأمن التشغيلي يقلل من عائدات هذه الأساليب.

الهندسة الاجتماعية هي نقطة الضعف في الأمن السيبراني

يربط تقرير Verizon لعام 2025 حول تحقيقات خروقات البيانات “العنصر البشري” في الأمن السيبراني (التصيد الاحتيالي، سرقة الاعتمادات، والأخطاء اليومية) بحوالي 60% من خروقات البيانات.

تنجح الهندسة الاجتماعية لأنها تستهدف الناس، وليس الكود، مستغلة الثقة، العجلة، الألفة، والروتين. لا يمكن القضاء على هذه الأنواع من الاستغلال من خلال تدقيق الكود، ومن الصعب الدفاع عنها باستخدام أدوات الأمن السيبراني الآلية. لا يمكن لمراجعة الكود والممارسات الشائعة الأخرى أن تمنع موظفًا من الموافقة على طلب احتيالي يبدو أنه من مدير، أو تحميل تحديث برمجيات مزيف يبدو شرعيًا.

حتى الفرق التقنية العالية تتعرض للخداع؛ الضعف البشري عالمي وعنيد. ونتيجة لذلك، تواصل الهندسة الاجتماعية دفع الحوادث الواقعية.

التشفير يرفع المخاطر

المال القابل للبرمجة يركز المخاطر. في الويب3، يمكن أن يعادل اختراق عبارة البداية أو رمز API اختراق خزنة بنك. الطبيعة غير القابلة للعكس للمعاملات في التشفير تعزز الأخطاء: بمجرد تحريك الأموال، غالبًا لا توجد طريقة لعكس المعاملة. يمكن أن يمحو خلل واحد في أمان الجهاز أو التعامل مع المفتاح الأصول. التصميم اللامركزي للويب3 يعني غالبًا عدم وجود مركز دعم يمكن التواصل معه، مما يترك المستخدمين يدافعون عن أنفسهم.

لاحظ القراصنة، بما في ذلك العملاء المدعومين من الدولة، فعالية هجمات الهندسة الاجتماعية وتكيفوا معها. تعتمد العمليات بشكل كبير على الهندسة الاجتماعية: عروض وظائف وهمية، ملفات PDF مسمومة، حزم خبيثة، وتصيد مخصص يستهدف الثغرات البشرية.

هذه الثغرات فعالة بشكل مذهل وسهلة التنفيذ، وتبدو الشركات التقنية غير قادرة على الدفاع ضدها. على عكس الثغرات من نوع zero-day، التي يتم تصحيحها بسرعة (إجبار القراصنة على إيجاد استراتيجيات استغلال جديدة)، يستطيع القراصنة الاستفادة من نفس أساليب الهندسة الاجتماعية مرارًا وتكرارًا، بشكل مستقل، مع قضاء وقت أكثر في الاختراق ووقت أقل في البحث والتطوير.

الشركات بحاجة للاستثمار في الأمن التشغيلي

لا تزال العديد من المؤسسات تتعامل مع الأمن كتمرين امتثال — وهو موقف يعززه المعايير التنظيمية المتساهلة. تمر الشركات عادةً عمليات التدقيق وتنشر تقارير خالية من العيوب حتى مع وجود مخاطر تشغيلية واضحة: مفاتيح المسؤولين مخزنة على أجهزة لابتوب شخصية، الاعتمادات مشتركة عبر الدردشة والبريد الإلكتروني، صلاحيات الوصول القديمة التي لا تتغير أبدًا، وأجهزة اللابتوب المستخدمة أثناء السفر كآلات تطوير.

تصحيح هذا الفشل في الانضباط يتطلب أمنًا تشغيليًا صريحًا ومفروضًا. يجب على الفرق استخدام أجهزة مُدارة، حماية طرفية قوية، وتشفير كامل للقرص؛ ويجب أن تعتمد تسجيلات الدخول على كلمات مرور ومديري كلمات مرور ومصادقة متعددة العوامل مقاومة للتصيد الاحتيالي؛ ويجب على مديري الأنظمة إدارة الصلاحيات والوصول بعناية. هذه الضوابط ليست حلاً شاملاً، لكنها تزيد من صعوبة هجمات الهندسة الاجتماعية وتساعد على تقليل أثر الثغرات المحتملة.

الأهم من ذلك، أن على الفرق الاستثمار في تدريب الأمن التشغيلي؛ الموظفون (وليس فرق الأمن السيبراني) هم خط الدفاع الأول ضد هجمات الهندسة الاجتماعية. يجب على الشركات تخصيص وقت لتدريب فرقها على اكتشاف هجمات التصيد الاحتيالي المحتملة، ممارسة نظافة البيانات، وفهم ممارسات الأمن التشغيلي.

الأمر الحاسم، أننا لا يمكن أن نتوقع من المؤسسات تبني مواقف أمن سيبراني مشددة طواعية؛ يجب على الجهات التنظيمية التدخل ووضع خطوط أساس قابلة للتنفيذ للأمن التشغيلي تجعل من الأمن الحقيقي غير اختياري. يجب أن تتجاوز أطر الامتثال التوثيق وتتطلب إثباتات ملموسة للممارسات الآمنة: إدارة المفاتيح الموثقة، مراجعات وصول دورية، تعزيز أمان النقاط النهائية، والتدريب على التصيد الاحتيالي الوهمي. بدون أسنان تنظيمية، ستظل الحوافز دائمًا تفضل المظاهر على النتائج.

الهندسة الاجتماعية تزداد سوءًا فقط

من الضروري الاستثمار في الأمن التشغيلي الآن لأن معدل الهجمات يتزايد بشكل أسي.

لقد غير الذكاء الاصطناعي التوليدي اقتصاديات الخداع. يمكن للمهاجمين الآن تخصيص، وتوطين، وأتمتة التصيد على نطاق صناعي. الحملات التي كانت تركز سابقًا على مستخدم واحد أو شركة يمكن الآن استهداف آلاف الشركات بتكلفة إضافية قليلة. يمكن تخصيص هجمات التصيد ببضع نقرات، مع دمج تفاصيل حميمة لجعل البريد الإلكتروني المزيف يبدو شرعيًا.

كما يسرع الذكاء الاصطناعي عمليات الاستطلاع. يمكن استغلال الأثر العام، الاعتمادات المسربة، والمعلومات المفتوحة المصدر وتجميعها في “ملخصات” عن كل ضحية، مما يساعد القراصنة على تطوير هجمات مقنعة جدًا.

إبطاء معدل الهجمات

تزدهر الهندسة الاجتماعية حيث تتجاوز الثقة الضمنية والراحة التحقق والحذر. تحتاج المؤسسات إلى تبني موقف أكثر دفاعية و(تصحيح) الافتراض بأنها تحت تهديد مستمر من هجمات الهندسة الاجتماعية.

يجب على الفرق اعتماد مبادئ الثقة الصفرية في العمليات اليومية ودمج مبادئ الأمن التشغيلي في جميع أنحاء الشركة. يجب تدريب الموظفين على الأمن التشغيلي لوقف الهجمات مبكرًا والحفاظ على تحديث فريقهم بأحدث أساليب الهندسة الاجتماعية.

الأهم من ذلك، أن على الشركات تحديد أماكن لا تزال فيها الثقة حية في عملياتها (حيث يمكن للمهاجم أن ينتحال شخصية موظف، أو برمجية، أو عميل) وإضافة تدابير حماية إضافية.

لن تختفي الهندسة الاجتماعية، لكن يمكننا جعلها أقل فاعلية وأقل كارثية عند وقوع الهجمات. مع تصعيد الصناعة لمواجهة هذه الهجمات، ستصبح الهندسة الاجتماعية أقل ربحية للقراصنة، وسيقل معدل الهجمات، مما يضع نهاية حقيقية لهذا الدورة المستمرة من الاستغلالات.