كيفية حماية عملك من هجمات التصيد الاحتيالي عبر البريد الإلكتروني

أصبحت الجرائم الإلكترونية الآن واحدة من العديد من المخاوف التي تواجهها الشركات يوميًا. كانت التكنولوجيا الركيزة الأساسية للتطوير للعديد من الشركات؛ ومع ذلك، مع تزايد أهمية الجانب الرقمي لعمليات الأعمال والأنشطة اليومية، ينمو أيضًا عدد الهجمات في هذا البيئة.

One of the most common means for hackers to gain access to the private information of individuals and companies is through email. E-mail is one of the most used channels by companies and individuals to share information on a daily basis. It’s incredible how much information is sent through email every day and how much of that data contains private or delicate information. Suppose you want to prevent your company from suffering a phishing attack due to an oversight in the correct use of email. In that case, this article will provide you with valuable information to prevent and provide greater security to your company. 

أولاً، ما هو التصيد الاحتيالي؟

Phishing is a type of social engineering where the hacker tricks a user into doing “the wrong thing”, which usually includes disclosing information or clicking on a malicious link. Phishing can be conducted via social media, text messages, or even by phone. However, nowadays, emails have been the most common channel for perpetuating this type of attack. Email is an ideal delivery method for phishing attacks because most people check their emails in a rushed manner. In addition, these malicious emails are very easy to camouflage among legitimate emails.

كيف يؤثر التصيد الاحتيالي على الأعمال التجارية؟

يمكن أن تتعرض أي منظمة من أي نوع وحجم لهجوم عبر بريد إلكتروني للتصيد الاحتيالي. بالإضافة إلى سرقة المعلومات، يمكن لبريد التصيد الاحتيالي تثبيت برامج ضارة، بما في ذلك برامج الفدية، تخريب أنظمتك أو سرقة الأموال من خلال الاحتيال. بالإضافة إلى ذلك، يمكن للهجوم الإلكتروني تدمير سمعتك وثقة عملائك. قد تجد نفسك متورطًا في حملة جماعية؛ هذا هو عندما يقوم المهاجم بسرقة كلمات المرور أو جني بعض الأموال بسهولة، وهو عادةً الخطوة الأولى لشن هجوم أكبر على شركتك، مثل سرقة البيانات الحساسة. في حملة مستهدفة، قد يستخدم المهاجمون معلومات خاصة عن موظفيك لإنشاء رسائل أكثر واقعية وإقناعًا، وهو ما يعرف باسم التصيد الاحتيالي المستهدف.

لماذا تكون هجمات التصيد الاحتيالي ناجحة؟

Hackers have studied people’s online behavior very well, they know how people’s social instincts works, such as being helpful and efficient. Phishing attacks can be particularly powerful because these social instincts also make us good at our jobs.

الطريقة الأكثر فعالية للحماية من هجمات التصيد الاحتيالي هي استخدام مزيج من التكنولوجيا والعمليات والأساليب المعتمدة على الأشخاص. على سبيل المثال، إذا كنت تريد من الناس الإبلاغ عن أي بريد إلكتروني مشبوه، يجب عليك تسهيل الأمر عليهم للقيام بذلك. وهذا يعني توفير وسائل تقنية للإبلاغ عن البريد الإلكتروني ووجود عملية تعطي ردود فعل في الوقت المناسب على التقرير.

كيف تحمي عملك من هجمات التصيد الاحتيالي؟

إليك بعض الخطوات التي قدمها الخبراء لحماية شركتك من هجمات التصيد الاحتيالي عبر البريد الإلكتروني:

توسيع دفاعاتك:

Typical defences against phishing rely on users’ ability to detect phishing emails. By widening your defences you can improve your resilience against phishing without disrupting the productivity of your employees. You will also have multiple opportunities to detect a phishing attack and act before it can cause big damage to your company. Also, it is essential to embrace the fact that some attacks will get through, which you can use as an advantage to plan ahead and minimise the damage caused.

عند تطوير خطة الأمان الخاصة بك، يمكنك التفكير في دفاعاتك من حيث أربع طبقات:

• Don’t let your email addresses be a resource for hackers.
• مساعدة المستخدمين في التعرف على الرسائل الإلكترونية الضارة أو الاحتيالية والإبلاغ عنها.
• الحفاظ على أمان مؤسستك من رسائل التصيد الاحتيالي التي لا يتم اكتشافها.
• من المهم الاستجابة بسرعة للحوادث لحلها في أقرب وقت ممكن.

أدناه سنشرح كل من هذه الطبقات وكيفية تطبيقها على عملك. 

الطبقة 1: اجعل من الصعب على المتسللين الوصول إلى مستخدميك

تصف الطبقة الأولى الدفاعات التي يمكن أن تجعل من الصعب على المتسللين حتى الوصول إلى المستخدمين النهائيين لديك.

Don’t let hackers use your email addresses as a resource

يمكن للمهاجمين خداع الناس عن طريق إرسال رسائل بريد إلكتروني تتظاهر بأنها من شخص آخر، على سبيل المثال، أحد موظفيك أو حتى نفسك. يمكن أن تصل هذه الرسائل الإلكترونية المزيفة إلى عملائك أو الأشخاص داخل مؤسستك.

كيف يمكنك منع ذلك؟

لحماية عناوين بريدك الإلكتروني ومنع المتسللين من الوصول، يمكنك استخدام ضوابط مكافحة التزوير: DMARC، SPF وDKIM. بالإضافة إلى ذلك، تشجيع جهات الاتصال الخاصة بك على القيام بنفس الشيء يكون مفيدًا جدًا.

تقليل المعلومات المتاحة عبر الإنترنت

The online public information of your company is known as a “digital footprint” and includes all the public information you post on social media and your website. Including the one your employee posted.

ماذا يمكنك أن تفعل حيال ذلك؟

Don’t provide unnecessary details; beware of the information your partners, contractors, and suppliers give about you in their organization’s online communication and work with your employees to minimize security risks. Educate your staff on how sharing their personal information can affect them and the organization, and develop a clean digital footprint policy for all users.

تصفية أو حظر رسائل التصيد الاحتيالي الواردة

تصفية أو حظر أي محاولة لهجوم تصيد قبل أن تصل إلى مستخدميك يقلل من احتمال حدوث أي ضرر. بالإضافة إلى ذلك، فإنه يقلل أيضًا من الوقت الذي يحتاجه المستخدمون لفحص الرسائل الإلكترونية المشبوهة والإبلاغ عنها.

كيف يمكنك القيام بذلك؟

الحصول على خدمة تصفية/حظر سحابية لحظر جميع الرسائل الإلكترونية الواردة التي تحتوي على تصيد احتيالي وبرامج ضارة قبل أن تصل إلى مستخدمك. تأكد من أن الخدمة التي تحصل عليها تغطي جميع مستخدميك. بالنسبة للرسائل الواردة، يجب احترام سياسات مكافحة التزوير للمرسل. إذا كان لدى المرسل سياسة DMARC مع سياسة رفض، يجب عليك القيام بما هو مطلوب. بالإضافة إلى ذلك، يمكن تصفية أو حظر الرسائل الإلكترونية بعدة طرق، مثل استخدام عناوين IP، أسماء النطاقات، قوائم بيضاء/سوداء لعناوين البريد الإلكتروني، قوائم سوداء للبريد العشوائي والمرسلين المفتوحين، أنواع المرفقات واكتشاف البرامج الضارة.

الطبقة 2: مساعدة المستخدم في التعرف على رسائل التصيد الاحتيالي المشتبه بها والإبلاغ عنها

تشرح هذه الطبقة أفضل الطرق لمساعدة موظفيك على اكتشاف رسائل التصيد الاحتيالي وكيفية تحسين ثقافة الإبلاغ لديك.

يمكن لبرنامج تدريب على التصيد الاحتيالي المنفذ بشكل جيد أن يحدث فرقًا

One of the most emphasized methods regarding phishing defence is your train your users, they can provide a valuable contribution to your organization’s safety. However, humans can make mistakes, that’s why it is crucial to provide a holistic approach with appropriate technical mitigations and changes to the wider security culture of the organization. 

كيف يمكنك القيام بذلك؟

يجب أن يعرف موظفوك أن رسائل التصيد الاحتيالي يمكن أن تكون صعبة الاكتشاف، ولا تتوقع من الناس التعرف عليها طوال الوقت. بدلاً من ذلك، شجع على عقلية حيث يكون من المقبول طلب التوجيه أو الدعم عندما يبدو أن هناك شيئًا غير صحيح.

لا تعاقب المستخدمين الذين يواجهون صعوبة في اكتشاف رسائل التصيد الاحتيالي. تذكر أن المتسللين محترفون ويعرفون كيفية خداع الناس. يجب أن يهدف التدريب إلى تحسين ثقة موظفيك واستعدادهم للإبلاغ عن الحوادث المستقبلية.

تأكد من أن المستخدمين لديك يفهمون عواقب التصيد الاحتيالي، وقدم أمثلة حقيقية ودراسات حالة ملموسة دون إرباك الناس.

العمل مع الموظفين الأكثر عرضة لتلقي رسائل التصيد الاحتيالي. على سبيل المثال، الأقسام التي تتعامل مع العملاء، المجال المالي أو موظفي تكنولوجيا المعلومات هم أكثر اهتمامًا للمتسللين. تأكد من أن الموظفين على دراية بالمخاطر وقدم لهم دعمًا إضافيًا.

اجعل من السهل على مستخدميك التعرف على الطلبات الاحتيالية

يضلل المهاجمون المستخدمين للوصول إلى كلمات المرور أو إجراء مدفوعات غير مصرح بها. مع الأخذ في الاعتبار ما هي العمليات الأكثر احتمالًا أن يتم تقليدها من قبل المهاجمين، من الضروري تحسينها ومراجعتها بحيث يكون اكتشاف هذه الهجمات التصيدية أسهل.

كيف يمكنك القيام بذلك؟

تأكد من أن الجميع المعنيين على دراية بالعمليات ومستعدون للتعرف على النشاط غير المعتاد.

تنفيذ المصادقة الثنائية، مما يعني أن جميع الطلبات البريدية الهامة يتم التحقق منها من خلال نوع ثاني من الاتصال، مثل الرسائل النصية، المكالمات، أو شخصيًا. شيء آخر يمكنك القيام به لمشاركة الملفات هو من خلال حساب سحابي محكم الوصول؛ بهذه الطريقة، تتجنب أي مرفقات في رسائلك الإلكترونية.

Consider telling your suppliers or customers what they should look for, such as “we will never ask you for your password or bank details”.

شجع المستخدمين على طلب المساعدة عند الحاجة

بناء ثقافة إبلاغ جيدة يمكن أن تمكن مستخدميك من طلب المساعدة وتزويدك بمعلومات مهمة حول أنواع هجمات التصيد الاحتيالي التي تستهدف مؤسستك. يمكنك أيضًا معرفة أنواع الرسائل الإلكترونية التي يتم الخلط بينها وبين التصيد الاحتيالي وما التحسينات التي يمكنك إجراؤها.

كيف يمكنك القيام بذلك؟

Create an effective process for users to report when they think phishing attempts might have passed your organization’s technical defences. Ensure the process is clear, simple and convenient.

قدم ردود فعل سريعة ومحددة حول ما تم اتخاذه من إجراءات، واجعل من الواضح أن مساهماتهم تحدث فرقًا وتكون مفيدة.

فكر في كيفية استخدام قنوات الاتصال غير الرسمية لإنشاء بيئة يكون من السهل فيها على الموظفين التحدث عن الموضوع وطلب الدعم والإرشاد.

تجنب إنشاء ثقافة عقابية أو موجهة نحو اللوم حول التصيد الاحتيالي.

الطبقة 3: حماية مؤسستك من تأثير رسائل التصيد الاحتيالي غير المكتشفة

تشرح هذه الطبقة كيفية تقليل تأثير رسائل التصيد الاحتيالي غير المكتشفة.

حماية أجهزتك من البرامج الضارة

تكون البرامج الضارة مخفية في الرسائل الإلكترونية أو المواقع الوهمية، لكن يمكنك تكوين أجهزتك لمنع تثبيت البرامج الضارة، حتى إذا تم النقر على البريد الإلكتروني.

كيف يمكنك تجنب البرامج الضارة؟

إحدى الطرق لمنع المهاجمين من استغلال نقاط الضعف لديك هي استخدام البرامج والأجهزة المدعومة وتحديثها بأحدث الإصدارات من مطوري البرامج وموردي الأجهزة والبائعين.

قصر استخدام حسابات المسؤول على الموظفين الذين يحتاجون إليها فقط. ومع ذلك، يجب على الأشخاص الذين لديهم حسابات مسؤول عدم استخدامها للتحقق من البريد الإلكتروني أو تصفح الويب.

النظر في دفاعات أمان أخرى للبرامج الضارة، مثل تعطيل وحدات الماكرو، برامج مكافحة البرامج الضارة، برامج مكافحة الفيروسات، إلخ. ومع ذلك، يجب عليك التأكد من نوع الدفاع ضد البرامج الضارة المناسب للأجهزة المختلفة.

حماية مستخدميك من المواقع الضارة

الروابط إلى المواقع الضارة هي دائمًا الجزء الأكثر أهمية في رسائل التصيد الاحتيالي. ومع ذلك، إذا لم يتمكن الرابط من فتح الموقع، فلن يكتمل الهجوم.

كيف يمكنك القيام بذلك؟

ستقوم البرامج الحديثة والمحدثة بحظر المواقع التي تحتوي على برامج ضارة. ومع ذلك، قد لا تكون هذه الخيار متاحة دائمًا على الأجهزة المحمولة.

يجب على المنظمات تشغيل خدمة وكيل، سواء داخليًا أو في السحابة، لحظر أي محاولة للوصول إلى المواقع التي تم تحديدها على أنها تستضيف حملات برامج ضارة أو تصيد احتيالي.

حماية حساباتك بمصادقة أقوى

المتسللون دائمًا في صيد كلمات المرور، خاصة عندما تكون لحسابات لها صلاحيات للوصول إلى المعلومات الحساسة، الأصول المالية أو أنظمة تكنولوجيا المعلومات. تأكد من جعل عملية تسجيل الدخول الخاصة بك أكثر مقاومة للتصيد الاحتيالي، وقصر عدد الحسابات التي لها صلاحيات الوصول إلى المعلومات الحساسة.

كيف يمكنك القيام بذلك؟

تمكين المصادقة الثنائية (2FA) أو التحقق بخطوتين. وجود عامل ثاني يعني أن المهاجم لا يمكنه الوصول إلى الحساب باستخدام كلمة مرور مسروقة.

استخدام مدير كلمات المرور. بعض هذه الأدوات تتعرف على المواقع الحقيقية ولن تملأ تلقائيًا على المواقع الوهمية؛ بهذه الطريقة، ستتجنب إعطاء معلومات تسجيل الدخول الخاصة بك لموقع وهمي. بالإضافة إلى ذلك، يمكنك استخدام طريقة تسجيل دخول واحدة، حيث يتعرف الجهاز ويسجل الدخول إلى الموقع الحقيقي تلقائيًا. تتجنب هاتان التقنيتان إدخال كلمات المرور يدويًا، مما يعني أنه سيكون من غير المعتاد عندما يطلب الموقع من المستخدم إدخال كلمة المرور.

النظر في استخدام آليات تسجيل دخول بديلة يصعب سرقتها، مثل القياسات الحيوية أو البطاقات الذكية.

إزالة أو تعليق الحسابات التي لم تعد مستخدمة.

الطبقة 4: الاستجابة بسرعة للحوادث

ستواجه جميع المنظمات هجومًا إلكترونيًا في مرحلة ما؛ أن تكون على دراية بذلك ووضع خطة مسبقة للتفاعل فورًا أمر أساسي لتجنب العواقب الأكثر خطورة.

اكتشاف الحوادث بسرعة

معرفة الحادث في وقت مبكر بدلاً من وقت لاحق يسمح لك بتقليل الضرر الذي يمكن أن يسببه.

كيف يمكنك القيام بذلك؟

يمكن لقدرة المراقبة الأمنية التقاط الحوادث التي لا يدركها المستخدمون لديك. ومع ذلك، قد لا يكون هذا ممكنًا لجميع المنظمات، لذا يمكنك البدء بجمع السجلات، مثل تاريخ الرسائل الإلكترونية المستلمة، عناوين الويب التي تم الوصول إليها والاتصالات بعناوين IP الخارجية. لجمع هذه المعلومات، يمكنك استخدام أدوات المراقبة المدمجة في الخدمات الجاهزة، مثل لوحات الأمان السحابية، بناء فريق داخلي، أو الاستعانة بخدمة مراقبة الأمان المدارة. سيعتمد مقدار ما تجمعه وتخزنه على ميزانيتك. بمجرد القيام بذلك، تأكد من تحديثه بانتظام ليظل فعالاً.

وضع خطة استجابة للحوادث

بمجرد أن تكتشف أنت أو بعض موظفيك هجوم تصيد احتيالي، تحتاج إلى معرفة ما يجب القيام به لمنع أي ضرر في أسرع وقت ممكن.

كيف يمكنك القيام بذلك؟

تأكد من أن الجميع في المنظمة يعرفون ما يجب القيام به في حالة أنواع مختلفة من الحوادث، ومسؤولياتهم، وكيفية القيام بذلك. تأكد من أن خطتك تتوافق مع الالتزامات القانونية والتنظيمية لمنظمتك. يجب ممارسة خطط الاستجابة للحوادث مسبقًا لضمان أن يكون الجميع على دراية بالإجراءات وأدوارهم.

أفكار نهائية

في الختام، يمكن أن يكون لهجمات التصيد الاحتيالي عواقب وخيمة على الأفراد والمنظمات. من المهم أن نتذكر أنه ليس مشكلة يمكن حلها بحل واحد بل من خلال تنفيذ طبقات دفاع متعددة. قد يتضمن ذلك تدابير تقنية، مثل استخدام بوابات البريد الإلكتروني الآمنة وخدمات الوكيل، بالإضافة إلى وجود مصادقة قوية وتدريب منتظم للمستخدمين لتثقيف الموظفين حول كيفية التعرف على محاولات التصيد الاحتيالي. وأخيرًا، أن تكون مستعدًا بخطة استجابة في حالة حدوث هجوم أمر حيوي لتقليل الضرر والتعافي بسرعة.