الهدف الحقيقي لم يعد جدار الحماية - بل الشخص القادر على تحريك الأموال
اختراق البريد الإلكتروني للأعمال، والتزييف العميق، والذكاء الاصطناعي التوليدي تدفع المخاطر السيبرانية بعيدًا عن حافة الشبكة نحو الموافقات على المدفوعات، وتغييرات الموردين، ومسارات العمل المالية.
في كثير من الشركات، تتركز أقوى وسائل الدفاع حول المشكلة الخاطئة. لا تزال جدران الحماية ومضادات الفيروسات وضوابط الوصول مهمة، لكنها لا تفعل الكثير عندما لا يكون هدف المهاجم اختراق خادم. الجائزة الحقيقية هي تحويل مالي تمت الموافقة عليه، أو تغيير حساب مصرفي، أو موافقة متعجلة من شخص يثق بالرسالة أمامه.
ولهذا أصبح التفويض على المدفوعات سطح هجوم عالي القيمة. يحول اختراق البريد الإلكتروني للأعمال، أو BEC، الإجراءات التجارية العادية إلى فرص احتيال من خلال استغلال الثقة في البريد الإلكتروني والإلحاح في الشؤون المالية. والتحول الأوسع واضح: مجرمو الإنترنت لا يطاردون الثغرات في البرمجيات فحسب، بل يطاردون أيضًا الأشخاص والعمليات القادرة على صرف الأموال.
حقائق سريعة
- يستهدف اختراق البريد الإلكتروني للأعمال مسارات عمل المدفوعات، وليس الأنظمة التقنية فقط.
- يمكن للتزييف العميق أن يعزز انتحال الشخصية بإضافة صوت أو فيديو مقنع إلى طلب احتيالي.
- يمكن للذكاء الاصطناعي التوليدي أن يجعل رسائل الاحتيال أسرع في الإنتاج وأصعب في الاكتشاف.
- غالبًا ما تكون الشركات الصغيرة والمتوسطة أكثر عرضة لأن ضوابط المدفوعات لديها أقل رسمية.
- يعد التحقق المستقل من تغييرات الدفع دفاعًا أساسيًا ضد احتيال التحويلات.
كيف يعمل الاحتيال
يعتمد BEC عادة على الثقة والتوقيت والالتباس. قد ينتحل المجرم صفة مسؤول تنفيذي أو مورد أو زميل ويدفع باتجاه تحويل أو تغيير في تفاصيل الحساب المصرفي. قد تبدو الرسالة عادية، لكن الهدف هو نقل الأموال قبل أن يتحقق أي شخص من الطلب عبر قناة معروفة.
يرفع التزييف العميق المخاطر لأنه يمكن أن يجعل الانتحال يبدو أكثر واقعية، خاصة في مكالمة هاتفية قصيرة أو اجتماع فيديو. ويضيف الذكاء الاصطناعي التوليدي نطاقًا أوسع: إذ يمكنه المساعدة في إنتاج رسائل بريد إلكتروني مصقولة، ومتابعات مقنعة، وإغراءات مخصصة بجهد أقل من التصيد التقليدي. ومن منظور دفاعي، يعني هذا أن السؤال القديم: "هل يبدو البريد الإلكتروني مريبًا؟" لم يعد كافيًا.
لماذا تشعر الشركات الصغيرة والمتوسطة بالضغط أولًا
غالبًا ما تنفق الشركات الأصغر بكثافة على حماية المحيط بينما تترك سلاسل الموافقة، وفحوصات تغيير الموردين، وقواعد التصعيد الخاصة بالمدفوعات أقل نضجًا. وتكتسب هذه الفجوة أهمية لأن الاحتيال لا يحتاج إلى هزيمة كل ضابط. يكفيه أن يوافق شخص واحد على التحويل الخاطئ في اللحظة الخطأ.
تدعم المعلومات المتاحة تحليلًا للمخاطر، لا ادعاءً بأن كل مؤسسة تواجه مستوى التعرض نفسه. ومع ذلك، فإن الدرس ثابت: كلما زادت حركة الأموال عبر البريد الإلكتروني، أصبحت مسارات الموافقة أكثر جاذبية للمهاجمين.
ما الذي ينبغي للمدافعين تشديده
أقوى إجراء مضاد هو إجراء تنظيمي، وليس تقنيًا فقط. يجب التحقق من تغييرات الدفع عبر رقم هاتف معروف أو من خلال عملية حضورية، وليس عبر الرسالة التي طلبت التحويل. ينبغي لفرق المالية والحسابات الدائنة التعامل مع الإلحاح، والسرية، وتغييرات الحساب المصرفي في اللحظة الأخيرة باعتبارها إشارات تحذير. ويمكن للمصادقة متعددة العوامل، وضوابط مكافحة الانتحال، ومراقبة صناديق البريد، ومراجعة قواعد إعادة التوجيه أن تقلل المخاطر، لكنها لا تحل محل التحقق البشري.
وهذا هو الدرس السيبراني الأوسع: الأمن لم يعد يقتصر على إيقاف التسلل، بل يتعلق بإيقاف القرارات غير المصرح بها.
الخلاصة
لا يزال جدار الحماية مهمًا، لكنه لم يعد القصة كاملة. ومع انخفاض تكلفة الانتحال وازدياد إقناعه، قد يكون أهم ضابط هو عملية دفع ترفض الثقة في الطلب لمجرد أنه يبدو مألوفًا.
TECHCROOK
مفتاح أمان مادي: يضيف مفتاح الأمان المادي عاملًا ثانيًا قويًا لحسابات البريد الإلكتروني والمالية. ويكون أكثر فائدة عند دمجه مع خطوات الموافقة عبر قناة منفصلة، ومراقبة الحسابات، وإجراءات معاودة الاتصال الواضحة لتغييرات الدفع. في حوادث BEC، يساعد هذا المزيج على تقليل الاعتماد على البريد الإلكتروني وحده عند التحقق من هوية الجهة التي تطلب التحويل.
WIKICROOK
- اختراق البريد الإلكتروني للأعمال (BEC): مخطط احتيالي يستخدم البريد الإلكتروني أو الرسائل المضللة لدفع مدفوعات غير مصرح بها أو تغييرات مصرفية.
- التزييف العميق: صوت أو فيديو أو صور اصطناعية تُنشأ لتقليد شخص حقيقي.
- الذكاء الاصطناعي التوليدي: أنظمة ذكاء اصطناعي يمكنها إنشاء نصوص أو صور أو صوت أو فيديو جديد.
- التفويض على المدفوعات: العملية التجارية التي توافق على تحويل أو فاتورة أو تغيير في تفاصيل الدفع.
- التحقق عبر قناة منفصلة: فحص يتم عبر قناة موثوقة منفصلة، مثل رقم هاتف معروف، لتأكيد الطلب.
