اختراق البريد المؤسسي والاحتيال على الفواتير: الحماية العملية

الحماية من اختراق البريد المؤسسي والاحتيال على الفواتير تقوم على طبقتين لا تغني إحداهما عن الأخرى. الطبقة التقنية: سجلات SPF وDKIM وDMARC بسياسة p=reject حتى لا يستطيع أحد إرسال بريد باسم نطاقك، والتحقق الثنائي على كل صندوق بريد خصوصاً المالية والإدارة، وتنبيه فوري على أي قاعدة تحويل تلقائي تُنشأ في الصناديق. أما الطبقة الإجرائية، وهي الأهم: لا يُغيَّر رقم IBAN لأي مورد بناءً على بريد إلكتروني أبداً، بل باتصال هاتفي على رقم مسجّل مسبقاً في ملف المورد لا على الرقم المكتوب في الرسالة. هذه القاعدة وحدها تُفشل أغلب عمليات الاحتيال، لأن المحتال يتحكم في البريد لكنه لا يتحكم في هاتف المورد الحقيقي.

كيف يحدث الاحتيال عادة

السيناريو الأكثر تكراراً لا يحتاج أي اختراق تقني متقدم، ويمر بهذه المراحل:

1. المحتال يصل لصندوق بريد موظف عند المورد أو عندك، غالباً بصفحة تسجيل دخول مزيفة سرقت كلمة المرور.
2. لا يفعل شيئاً لأسابيع، فقط يقرأ المراسلات ويتعلم: من يدفع لمن، ومتى تُرسل الفواتير، وبأي أسلوب يكتب الطرفان.
3. يضيف قاعدة تحويل تلقائي تنقل أي رسالة فيها كلمات مثل "فاتورة" أو "تحويل" أو "invoice" لمجلد مخفي أو لعنوان خارجي، حتى لا يرى صاحب الصندوق الردود.
4. في توقيت فاتورة حقيقية يرسل رسالة بنفس الأسلوب: "تم تغيير حسابنا البنكي بسبب مراجعة داخلية، الرجاء التحويل للـIBAN الجديد"، ومعها PDF يبدو مطابقاً للفاتورة الأصلية.
5. الفريق المالي يحوّل المبلغ، ولا يُكتشف الأمر إلا حين يسأل المورد الحقيقي عن دفعته بعد أيام.

نسخة أخرى أبسط لا تحتاج اختراقاً أصلاً: نطاق مشابه مثل examp1e.sa بدل example.sa، أو انتحال مباشر لنطاقك إن لم يكن محمياً بـDMARC. تقارير مكتب التحقيقات الفيدرالي الأمريكي تضع هذا النوع من الاحتيال باستمرار بين أعلى الجرائم الإلكترونية من حيث الخسائر، بمليارات الدولارات سنوياً، والمبلغ في الحالة الواحدة عند الشركات المتوسطة يتراوح غالباً بين عشرات ومئات الآلاف من الريالات.

SPF وDKIM وDMARC: امنع انتحال نطاقك

هذه السجلات الثلاثة تخبر خوادم البريد في العالم من يحق له الإرسال باسم نطاقك، وماذا تفعل بالرسائل المزيفة:

السجل	وظيفته	مثال
SPF	قائمة الخوادم المسموح لها بالإرسال	v=spf1 ip4:203.0.113.10 include:_spf.provider.sa -all
DKIM	توقيع رقمي يثبت أن الرسالة لم تُعدّل	مفتاح عام في selector._domainkey.example.sa
DMARC	السياسة عند فشل الفحص، وأين تُرسل التقارير	v=DMARC1; p=reject; rua=mailto:dmarc@example.sa

لا تقفز إلى p=reject من اليوم الأول، لأنك قد تحجب بريدك الحقيقي من خدمة نسيتها مثل نظام الفوترة أو أداة التسويق. المسار الآمن على ثلاث مراحل:

1. أسبوعان على p=none مع تقارير rua، لتعرف كل مصدر يرسل باسمك.
2. أسبوعان على p=quarantine; pct=25 ثم رفع النسبة تدريجياً إلى 100.
3. p=reject بعد أن تتأكد أن كل مصدر شرعي يمر بـSPF أو DKIM.

للتحقق من حالة نطاقك الآن:

dig +short TXT example.sa | grep spf
dig +short TXT _dmarc.example.sa
dig +short TXT default._domainkey.example.sa

وجود هذه السجلات مضبوطة يرفع أيضاً نسبة وصول بريدك الشرعي لصندوق الوارد عند الجهات الحكومية والبنوك، وهي جهات صارت فلاترها ترفض بشدة أي بريد بلا DMARC. يحمي DMARC نطاقك أنت من الانتحال، لكنه لا يحميك من نطاق مشابه يملكه المحتال، ولا من صندوق حقيقي مخترق عند المورد، ولهذا تحتاج الطبقات التالية.

التحقق الثنائي وتنبيهات قواعد التحويل

كلمة المرور وحدها لم تعد كافية لصندوق يستقبل فواتير. فعّل التحقق الثنائي على كل الصناديق، وابدأ بالمالية والإدارة العليا وأي شخص يعتمد تحويلات. تطبيق مصادقة أفضل من الرسائل النصية، ومفتاح أمان فعلي أفضل من الاثنين لأنه يقاوم صفحات التصيّد التي تسرق الرمز لحظياً.

الطبقة الثانية مراقبة قواعد التحويل التلقائي، لأنها أوضح أثر يتركه المحتال. على خادم بريد يعمل بـDovecot مع Sieve، تستطيع البحث دورياً عن أي قاعدة تحوّل لعنوان خارجي:

# ابحث عن قواعد redirect لعناوين خارج نطاقك في كل الصناديق
grep -rl "redirect" /home/*/sieve/ 2>/dev/null | while read f; do
  grep -H "redirect" "$f" | grep -v "@example.sa"
done

شغّل هذا الفحص يومياً عبر cron وأرسل النتيجة لمسؤول التقنية. على منصات البريد السحابية الكبيرة توجد تنبيهات جاهزة باسم "إنشاء قاعدة تحويل" أو "forwarding rule created"، ففعّلها، مع منع التحويل التلقائي لعناوين خارجية على مستوى النطاق إلا بموافقة مكتوبة، فأغلب الموظفين لا يحتاجونه أبداً.

النطاقات المشابهة: الخطر الذي لا يوقفه DMARC

حين يكون نطاقك محمياً جيداً، ينتقل المحتال لخطة أرخص: يسجّل نطاقاً يشبهك بحرف أو اثنين، مثل استبدال حرف l بالرقم 1، أو إضافة شرطة example-sa.com، أو تغيير الامتداد من .sa إلى .com.sa أو .co. كلفة تسجيل نطاق كهذا أقل من 50 ريالاً، ويستطيع ضبط SPF وDKIM عليه بشكل سليم، فيمر من الفلاتر بلا مشكلة.

الدفاع هنا من ثلاثة اتجاهات:

• سجّل الأشكال الأقرب لنطاقك بنفسك، على الأقل الامتدادات الرئيسية والأخطاء الإملائية الأوضح، وكلفتها السنوية بسيطة مقارنة بمبلغ حوالة واحدة.
• فعّل وسماً واضحاً للبريد الخارجي على خادمك، يضيف عبارة مثل "[خارجي]" في بداية العنوان لأي رسالة من خارج نطاقك، فيلاحظ الموظف أن "المدير العام" يرسل من خارج الشركة.
• راقب تسجيل النطاقات الجديدة التي تحمل اسم علامتك عبر خدمات مراقبة سجلات الشهادات (Certificate Transparency)، لأن أغلب المحتالين يصدرون شهادة SSL لنطاقهم المزيف خلال ساعات من تسجيله.

هذه الخطوات لا تحتاج ميزانية أمنية كبيرة، لكنها تغلق الطريق الذي يلجأ له المحتال بعد أن تغلق الطرق التقنية الأخرى.

إجراء التحقق الهاتفي قبل أي تحويل

هذا الإجراء هو الخط الذي لا يتجاوزه المحتال مهما كانت رسالته مقنعة. اكتبه سياسة مالية رسمية لا نصيحة:

• أي طلب لتغيير بيانات بنكية لمورد أو موظف يتطلب اتصالاً هاتفياً على الرقم المسجّل في ملف المورد منذ التعاقد، لا الرقم الموجود في الرسالة أو في توقيعها.
• التغيير يعتمده شخصان: من تلقى الطلب، ومسؤول مالي ثانٍ يراجع سجل المكالمة.
• أول دفعة للحساب الجديد تُعلّق 48 ساعة، أو تُرسل بمبلغ صغير ويؤكد المورد استلامه هاتفياً.
• أي طلب عاجل "لازم اليوم" أو من مدير عام يطلب تحويلاً سرياً يُعامل كإشارة خطر تلقائياً، لأن الاستعجال والسرية هما أداة المحتال الأساسية.

المكالمة تأخذ 3 دقائق، والتحويل المسروق نادراً ما يُسترد إن تأخر البلاغ أكثر من 24 إلى 48 ساعة. إن حدث التحويل فعلاً، اتصل بالبنك فوراً واطلب إيقاف الحوالة، ثم بلّغ الجهات المختصة.

تدريب الفريق المالي بخطوات واضحة

التدريب العام عن "الوعي الأمني" ينسى بعد أسبوع. ما يبقى هو قائمة قصيرة مرتبطة بعمل الشخص اليومي. درّب فريق المالية والمشتريات على خمس علامات:

1. تغيير في البيانات البنكية، مهما كان السبب المذكور.
2. عنوان المرسل يختلف بحرف واحد، فافتح التفاصيل ولا تكتفِ بالاسم الظاهر.
3. استعجال غير معتاد أو طلب سرية.
4. ملف مرفق بصيغة غير معتادة، أو رابط لعرض الفاتورة يطلب تسجيل دخول.
5. الرد يذهب لعنوان مختلف عن المرسل (Reply-To).

اجعل التدريب عملياً: رسالة تصيّد تجريبية كل ربع سنة بسيناريو فاتورة، وقياس نسبة من أبلغ عنها مقابل من تفاعل معها. الهدف أن يرتفع الإبلاغ لا أن يُعاقب من أخطأ، لأن الموظف الذي يخاف العقاب يخفي الخطأ، والإخفاء أخطر من الخطأ نفسه.

بريدك على بنية تحت سيطرتك

جزء من الحماية أن تعرف أين يُخزّن بريدك ومن يستطيع الوصول إليه. الاستضافة السحابية المُدارة من كلاود تأتي بحسابات بريد على سيرفرات في الرياض، من 10 حسابات في باقة بداية بـ2,900 ريال سنوياً إلى 50 حساباً في باقة احترافية بـ5,750 ريالاً، مع نسخ احتياطي يومي وأسبوعي مضمّن، وهذا يعني أن رسالة حُذفت بعد اختراق يمكن استرجاعها للتحقيق. أما من يحتاج خادم بريد خاصاً بضوابطه الكاملة فيمكنه بناؤه على خادم سحابي بصلاحية root.

خطة الأسبوع القادم

1. افحص سجلات SPF وDKIM وDMARC لنطاقك، وابدأ DMARC بـp=none مع تقارير اليوم.
2. فعّل التحقق الثنائي لصناديق المالية والإدارة خلال 48 ساعة.
3. اكتب سياسة التحقق الهاتفي ووقّعها المدير المالي، ووزعها على الفريق.
4. راجع كل قواعد التحويل التلقائي الحالية واحذف ما لا تعرف مصدره.
5. جدول أول رسالة تصيّد تجريبية بعد 30 يوماً.