الهندسة الاجتماعية، بحسب تعريف وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA)، هي هجوم حيث "يستخدم المهاجم التفاعل البشري (المهارات الاجتماعية) للحصول على معلومات حول منظمة أو أنظمتها الحاسوبية أو اختراقها".إنها فعالة لأنها تستهدف الأشخاص، لا البرامج. وقد وجد تقرير تحقيقات اختراق البيانات الصادر عن شركة فيريزون لعام 2026 أن كان العنصر البشري حاضراً في 62% من حالات الاختراق.، بزيادة عن 60% في العام السابق.
إليكم 15 مثالاً على الهندسة الاجتماعية، موزعة على 3 مجموعات، كل مجموعة تضم 5 أمثلة. كل مثال مصحوب بعلامة تحذيرية يجب الانتباه إليها وإجراء وقائي يجب اتخاذه. تتناول المجموعة الأولى أساليب التصيد الاحتيالي، وتتناول المجموعة الثانية التظاهر وانتحال الشخصية، بينما تتناول المجموعة الثالثة الهجمات الجسدية والاستدراج. وتنتهي كل مجموعة بـ لدينا اختيار، المثال الذي سنقوم بتدريبه أولاً، مع سبب من سطر واحد.
جميع الشركات والأشخاص والرسائل المذكورة أدناه أمثلة وهمية.
المجموعة 1: عائلة التصيد الاحتيالي
- التصيد الاحتيالي عبر البريد الإلكتروني. رسالة تبدو وكأنها من بنك أو مورد أو حتى فريق تكنولوجيا المعلومات الخاص بك تطلب منك النقر على رابط وتسجيل الدخول. تقول وكالة الأمن السيبراني وأمن البنية التحتية (CISA) إن هجمات التصيد الاحتيالي تستخدم البريد الإلكتروني أو مواقع الويب الخبيثة لـ طلب المعلومات الشخصية من خلال انتحال صفة منظمة جديرة بالثقة. علم احمر: عنوان مرسل يحاكي شركة حقيقية، أو تحية عامة مثل "عزيزي العميل الكريم"، أو رابط لا يتطابق عنوانه مع النص عند تمرير مؤشر الماوس فوقه. توقف: لا تنقر. ادخل إلى الموقع بكتابة العنوان بنفسك، أو أبلغ عن الرسالة.
- التصيد الاحتيالي. نفس الحيلة، لكنها تستهدف شخصًا واحدًا. يستخدم المرسل اسمك، واسم مديرك، ومشروعًا تعمل عليه بالفعل، ويمكن تجميع هذه المعلومات من البيانات العامة. علم احمر: طلب غريب ومحدد ولكنه غير مألوف، مثل "أرسل لي عقد أطلس اليوم". توقف: اسأل المرسل عبر قناة مختلفة، مثل الاتصال برقم لديك بالفعل.
- التصيد الاحتيالي عبر الهاتف. التصيد الاحتيالي عبر الرسائل النصية. وكالة الأمن السيبراني وأمن البنية التحتية (CISA) تصفه smishing باعتبارها هندسة اجتماعية تستغل رسائل SMS، مع روابط أو أرقام أو عناوين تفتح متصفحًا أو تجري مكالمة عند النقر عليها. علم احمر: نص "الطرد معلق" أو "الحساب مغلق" مع رابط مختصر. توقف: احذفه وافتح التطبيق أو الموقع الحقيقي بنفسك.
- التصيد. التصيد الاحتيالي عبر الصوت. هذا ما تقوله وكالة الأمن السيبراني وأمن البنية التحتية (CISA). vishing يستخدم نظام الاتصالات الصوتية المكالمات الصوتية، ويمكن تزييف هوية المتصل، لذا فإن المكالمة التي تظهر اسمًا مألوفًا لا تثبت شيئًا. علم احمر: متصل يمارس الضغط ويطلب رمزاً أو كلمة مرور. توقف: أغلق الخط واتصل مرة أخرى على الرقم المطبوع على كشف الحساب أو على موقع الشركة الإلكتروني.
- التصيد الاحتيالي باستخدام رمز الاستجابة السريعة (QR code). يخفي رمز الاستجابة السريعة (QR code) العنوان الذي يؤدي إليه. وقد حذر مكتب التحقيقات الفيدرالي من ذلك. الطرود غير المرغوب فيها التي تحتوي على رمز الاستجابة السريعة (QR code) التي تطلب من المتلقي معلومات شخصية ومالية أو تقوم بتثبيت برامج لسرقة البيانات. علم احمر: رمز لم تتوقعه، بدون أي معلومات عن المرسل. توقف: لا تقم بمسح رموز QR من مصادر غير معروفة.
اختيارنا: المثال الرابع، التصيد الصوتي. وجدت شركة فيريزون أن متوسط معدل النقر في عمليات محاكاة التصيد الاحتيالي كانت وسائل الاتصال التي تركز على الهاتف المحمول، مثل المكالمات الصوتية والرسائل النصية، أعلى بنسبة 40% أكثر من البريد الإلكتروني. لقد تعلم الناس عدم الثقة بالبريد الإلكتروني أسرع مما تعلموا عدم الثقة بالمكالمات الهاتفية.
المجموعة الثانية: التظاهر وانتحال الشخصية
تُعرّف شركة فيريزون التظاهر بأنه تكتيك يستخدمه المهاجمون حيث تُبنى علاقة الثقة من خلال سيناريوهات مُختلقة لخداع المستخدم وحمله على القيام بفعل يُعرّض المؤسسة للخطر، غالباً عبر المكالمات الصوتية، ولكن أيضاً عبر البريد الإلكتروني أو الرسائل النصية. وقد بلغت نسبة هذه الهجمات 6% من إجمالي الاختراقات في تقرير عام 2026، مقابل 16% لعمليات التصيّد الاحتيالي.
- الاحتيال على الرؤساء التنفيذيين واختراق البريد الإلكتروني للشركات. يُعرّف مركز شكاوى جرائم الإنترنت التابع لمكتب التحقيقات الفيدرالي (IC3) ما يلي: اختراق البريد الإلكتروني للأعمال (BEC) تُعرف هذه العملية الاحتيالية بأنها تستهدف الشركات وتستغل حسابات البريد الإلكتروني المخترقة وغيرها من وسائل الاتصال للتسبب في تحويلات مالية غير مصرح بها. في عام 2025، سجل مركز شكاوى جرائم الإنترنت (IC3) 24,768 شكوى تتعلق بالاحتيال الإلكتروني التجاري، وبلغت الخسائر المبلغ عنها حوالي 3.05 مليار دولار. علم احمر: طلب عاجل من أحد كبار القادة لدفع ثمن بطاقات الهدايا أو شرائها، مع عبارة "لا تخبر أحداً". توقف: قم بتأكيد أي طلب دفع عبر الهاتف أو شخصياً.
- دعم فني وهمي. يدّعي شخص ما أنه من قسم الدعم الفني ويطلب كلمة مرورك أو الوصول عن بُعد "لإصلاح مشكلة". وقد تلقى مركز شكاوى الجرائم الإلكترونية (IC3) بلاغًا بذلك. 47,794 شكوى تتعلق بالدعم الفني في عام 2025، مع خسائر مُبلغ عنها تتجاوز 2.1 مليار دولار. علم احمر: سيتصل بك قسم تكنولوجيا المعلومات أولاً، ويطلب منك كلمة مرور أو رمزًا لمرة واحدة. توقف: فرق تكنولوجيا المعلومات الحقيقية لا تحتاج إلى كلمة مرورك. أغلق الخط وقم بإنشاء تذكرة دعم عبر المسار المعتاد.
- تغيير في فاتورة المورد. جاء في رسالة بريد إلكتروني، يبدو أنها من مورد معتاد، أن بياناته المصرفية قد تغيرت. ويشمل تعريف مركز شكاوى جرائم الإنترنت (IC3) لعمليات الاحتيال عبر البريد الإلكتروني التجاري (BEC) عمليات الاحتيال التي تستهدف... الشركات التي تتعامل مع الموردين وتقوم بتحويلات بنكية بانتظام. علم احمر: بيانات مصرفية جديدة مع تحديد موعد نهائي للدفع. توقف: اتصل بالمورد على رقم مسجل لدينا مسبقاً قبل إجراء أي تغيير.
- مُجنّد مزيف. يتواصل "مسؤول توظيف" مع أحد الموظفين عارضاً عليه وظيفة تبدو وكأنها ترقية، ثم يطلب منه وثائق شخصية، أو مهمة اختبارية تتطلب تنزيل ملف. وقد تلقى مركز مكافحة الجرائم الإلكترونية (IC3) بلاغاً بهذا الشأن. 24,688 شكوى تتعلق بعمليات الاحتيال في مجال التوظيف في عام 2025. علم احمر: عرض لم تتقدم بطلب للحصول عليه، بخطوات سريعة. توقف: تحقق من مسؤول التوظيف من خلال صفحة الوظائف الخاصة بالشركة، ولا تقم أبدًا بتثبيت أي برامج لإجراء مقابلة.
- صوت مُزيّف بتقنية التزييف العميق. صوت مُستنسخ يُشبه صوت مديرك يطلب دفعة مالية عاجلة. هذا ما يقوله مركز شكاوى جرائم الإنترنت (IC3). يمكن استخدام تقنية استنساخ الصوت لطلب تحويل الأموال عبر الحوالات البنكية وأن الشركات أبلغت عن خسائر تزيد عن 30 مليون دولار في عام 2025 بسبب عمليات الاحتيال عبر البريد الإلكتروني التجاري التي تتضمن الذكاء الاصطناعي. علم احمر: رسالة صوتية أو مكالمة تحثك على التصرف قبل أن تتمكن من التحقق. توقف: اتفقوا على كلمة سرية أو قاعدة معاودة الاتصال للدفعات، لذا فإن الصوت المقنع ليس كافياً.
اختيارنا: المثال السادس، احتيال الرئيس التنفيذي والاحتيال عبر البريد الإلكتروني التجاري. إنه المثال الأكثر تكلفة هنا، متقدماً حتى على عمليات الاحتيال المتعلقة بالدعم التقني في أرقام IC3 لعام 2025، وإجراءات الإيقاف رخيصة: مكالمة هاتفية واحدة إلى رقم معروف قبل تحويل أي أموال.
المجموعة 3: الهجمات الجسدية والاستدراج
لا تتطلب هذه الهجمات لوحة مفاتيح. تكمن خطورتها في أن أي شخص غريب داخل المبنى يمكنه الوصول إلى ما يحميه جدار الحماية.
- التطفل. شخص ما يتبعك عبر باب آمن "لأن يديه مشغولتان". علم احمر: شخص لا يحمل شارة، يتميز بالهدوء والود. توقف: اطلب منهم بلطف أن يدخلوا بأنفسهم، أو اصطحبهم إلى مكتب الاستقبال.
- الإغراء باستخدام محركات أقراص USB. يتم ترك ذاكرة USB تحمل اسم "مراجعة الرواتب 2027" في موقف السيارات أو الردهة. علم احمر: أي محرك أقراص قابل للإزالة لم تقم بشرائه. توقف: لا تقم بتوصيل أي جهاز تجده بالكهرباء. سلمه إلى قسم تقنية المعلومات، حيث يمكنهم فحصه بأمان.
- التجسس على الأكتاف. شخص ما يقرأ شاشتك أو يراقبك وأنت تكتب رقم التعريف الشخصي (PIN) في القطار أو على مكتب مشترك. علم احمر: شخص يقف على مقربة شديدة أو يوجه هاتفه نحو شاشتك بزاوية معينة. توقف: استخدم فلتر الخصوصية، وقم بقفل شاشتك عندما تبتعد عنها، واجلس وظهرك إلى الحائط.
- البحث في حاويات القمامة. إن رسائل البريد الإلكتروني المطبوعة، والمخططات التنظيمية، وملاحظات الاجتماعات التي يتم إلقاؤها في سلة المهملات العادية، تمنح المهاجم أسماء وأرقام هواتف وعناوين مشاريع للمكالمة التالية. علم احمر: ورقة عليها أسماء أو أرقام في سلة مهملات مفتوحة. توقف: استخدم آلة تمزيق الورق أو صندوقًا مغلقًا، وحافظ على عادة ترتيب مكتبك.
- توصيل وهمي. يطلب ساعي البريد، مرتدياً سترة تحمل علامة تجارية، السماح له بالدخول بعد مكتب الاستقبال، أو ترك طرد في غرفة الخوادم. علم احمر: شحنة لم يطلبها أحد، أو شحنة لا يمكن تسليمها إلى مكتب الاستقبال. توقف: خذها من مكتب الاستقبال، وتحقق من الطرود غير المتوقعة مع الشخص المذكور اسمه على الملصق.
اختيارنا: المثال رقم 11، التجمع قبل المباراة. لا يتطلب الأمر أي مهارة ولا يكلف شيئاً، والأخلاق الحميدة هي سر نجاحه. زوّد الموظفين بنصٍّ مهذب، حتى يصبح انتقاد أي شخص أمراً طبيعياً وغير فظّ.
كيفية إيقاف جميع الـ 15
تشترك الأمثلة الخمسة عشر في شيء واحد: فهي تدفعك إلى التصرف بسرعة وبمفردك. ثلاث عادات تكسر ذلك.
- تحقق من خلال قناة ثانية. إذا تضمن الطلب أموالاً أو كلمة مرور أو رمزاً أو صلاحية وصول، فقم بتأكيده عبر وسيلة أخرى باستخدام بيانات الاتصال المتوفرة لديك. وتنصح وكالة الأمن السيبراني وأمن البنية التحتية (CISA) بأنه في حال عدم التأكد من صحة الطلب، تحقق من ذلك عن طريق الاتصال بالشركة مباشرةوليس باستخدام معلومات الاتصال الواردة في الرسالة.
- أبلغ عنه. توصي وكالة الأمن السيبراني وأمن البنية التحتية (CISA) في حالات الاشتباه في عمليات التصيد الاحتيالي بما يلي: أبلغ عن الرسائل ثم احذفه. اجعل الإبلاغ عادة سهلة وسريعة، دون إلقاء اللوم على أحد، حتى يُنبه أول من يلاحظ شيئًا ما الآخرين.
- خفض السرعة. قوائم وكالة الأمن السيبراني وأمن البنية التحتية لغة ملحة أو جذابة عاطفياً من بين العلامات الشائعة للتصيد الاحتيالي. وتشير وكالة الأمن السيبراني وأمن البنية التحتية (CISA) أيضًا إلى أن سلامة القواعد النحوية لم تعد دليلًا على الأمان، إذ تتمتع بعض رسائل البريد الإلكتروني الآن بتهجئة مثالية بفضل الذكاء الاصطناعي. عندما تتطلب الرسالة سرعة، فهذه إشارة للتريث.
التدريب هو السبيل لترسيخ العادات. مع وجود العنصر البشري في 62% من حالات الاختراق، وفقًا لـ تقرير فيريزون لعام 2026إن وجود فريق متمرس في رصد هذه الأمثلة الخمسة عشر يُعد جزءًا أساسيًا من دفاعك. للاطلاع على برنامج أوسع، راجع دليلنا الخاص بـ التدريب على التوعية بالأمن السيبراني.
طرق استضافة جلسة هندسة اجتماعية مع AhaSlides
قم بتشغيل الأمثلة الخمسة عشر مباشرة، في غرفة أو عبر مكالمة فيديو، مع ظهور الإجابات على الشاشة أثناء استجابة الأشخاص.
- اختر الإجابة: "حقيقي أم احتيالي؟" اعرض رسالة وهمية لكل مثال واسأل عما إذا كانت حقيقية. اكشف عن العلامة التحذيرية وناقشها.
- سحابة الكلمات: "عملية الاحتيال الأكثر شيوعاً". أكبر كلمة تدل على ما يجب التدرب عليه أولاً.
- مقياس التقييم: "ما مدى ثقتك في اكتشاف المنتجات المزيفة؟" اطلب تقييمًا من 1 إلى 5 قبل الجلسة وبعدها، وقارن المتوسطات.
- مفتوح النهاية: "رسالة مشبوهة تلقيتها". اجمع أمثلة حقيقية، مع حذف الأسماء، واستخدم أفضلها كسيناريو للجولة التالية.
يوفر لك قالب دورة التصيد الاحتيالي والهندسة الاجتماعية شرائح جاهزة للتعديل، كما أن قالب التوعية بالتهديدات الداخلية هو متابعة جيدة للفريق بأكمله.
الأسئلة المتكررة
ما هي أمثلة الهندسة الاجتماعية؟
التصيد الاحتيالي، وانتحال الشخصية، واستخدام الطعم، والتسلل هي أبرز هذه الأساليب. تُدرج هذه المقالة 15 أسلوبًا، بدءًا من التصيد الاحتيالي عبر البريد الإلكتروني والمكالمات الهاتفية، وصولًا إلى خدمات الدعم التقني المزيفة، واستخدام أقراص USB كطعم، وعمليات التسليم الوهمية.
ما هو النوع الأكثر شيوعاً من الهندسة الاجتماعية؟
التصيد الاحتيالي. يشير تقرير شركة فيريزون لعام 2026 إلى أن التصيد الاحتيالي يمثل 16% من جميع الاختراقات، مقابل 6% للتظاهر، وتلقى مركز شكاوى جرائم الإنترنت 191,561 شكوى تتعلق بالتصيد الاحتيالي وانتحال الهوية في عام 2025.
كيف يمكنك منع الهندسة الاجتماعية؟
تحقق من الطلبات عبر قناة ثانية وأبلغ عن الطلبات المشبوهة. أضف دورات تدريبية قصيرة ومنتظمة، لأن الهجمات تتغير بوتيرة أسرع من أي دورة تدريبية منفردة.
ما هو التظاهر؟
قصة مختلقة تُستخدم للحصول على معلومات أو الوصول إلى بيانات حساسة. يبني المهاجم الثقة من خلال سيناريو مقنع، مثل مكالمة دعم فني، ثم يطلب كلمة مرور أو دفعة مالية أو فتح باب.
من أين أبدا
اختر مجموعة واحدة من الأمثلة وطبّقها في اجتماع فريقك القادم. إذا لم يتوفر لديك سوى وقت لمثال واحد، فاجعله مثالاً على التصيّد الصوتي، ثم اسأل الجميع عما سيفعلونه في المكالمة غير المتوقعة التالية.
