ما هو التصيّد الاحتيالي؟ الأنواع والأمثلة وكيفية إيقافه (2026)

التصيّد الاحتيالي هو هجوم هندسة اجتماعية ينتحل فيه شخص جهة موثوقة لخداعك للكشف عن معلومات (كلمات المرور أو أرقام البطاقات) أو اتخاذ إجراء (النقر على رابط، أو فتح مرفق، أو اعتماد دفعة). إنه الطريقة الأولى التي تبدأ بها الاختراقات، لأنه يستهدف البشر لا الأنظمة وحدها.

كيف يعمل

يخلق المهاجم إحساسًا بـالثقة والاستعجال: رسالة تبدو وكأنها من بنكك أو قسم تقنية المعلومات أو المدير التنفيذي، تدفعك للتصرّف بسرعة قبل أن تفكّر. نقرة واحدة على صفحة تسجيل دخول مزيّفة، وتصبح بيانات اعتمادك في حوزته.

الأنواع الرئيسية

• التصيّد عبر البريد — إغراءات جماعية عامة.
• التصيّد الموجّه (Spear Phishing) — يستهدف شخصًا محددًا باستخدام تفاصيل حقيقية عنه.
• صيد الحيتان (Whaling) — تصيّد موجّه يستهدف المدراء التنفيذيين.
• Smishing / Vishing — تصيّد عبر الرسائل النصية / المكالمات الصوتية.
• اختراق البريد التجاري (BEC) — انتحال زميل أو مورّد لإعادة توجيه المدفوعات. مكلف للغاية.

علامات التحذير

• الاستعجال أو التهديد («سيُغلق حسابك خلال 24 ساعة»).
• عدم تطابق المُرسِل / الرابط — مرّر المؤشر قبل النقر، وتحقق من النطاق الحقيقي.
• مرفقات غير متوقعة أو طلبات تسجيل دخول.
• تحيات عامة وأخطاء إملائية/نحوية بسيطة.
• طلب بيانات اعتماد أو رموز أو مدفوعات — نادرًا ما تطلب الجهات الشرعية ذلك بهذه الطريقة.

عند الشك، تحقّق عبر قناة منفصلة (اتصل بالشركة على رقم تثق به مسبقًا — لا رقم مذكور في الرسالة).

كيف تدافع (للأفراد)

• فعّل MFA في كل مكان — فحتى لو سُرقت كلمة المرور، غالبًا ما يُحجب المهاجم.
• استخدم مدير كلمات مرور — فهو لن يملأ البيانات تلقائيًا على نطاق مزيّف، وهذا تحذير مدمج ممتاز.
• تمهّل. يعتمد التصيّد على تسرّعك في التفاعل.

كيف تدافع (للمؤسسات)

• أمن البريد الإلكتروني (التصفية، وDMARC/DKIM/SPF)، وMFA، ومبدأ أقل الصلاحيات.
• تدريب التوعية الأمنية + اختبارات تصيّد محاكاة.
• ثقافة الإبلاغ — اجعل الإبلاغ عن رسالة مشبوهة سهلًا وخاليًا من اللوم.

كثيرًا ما يكون التصيّد الخطوة الأولى نحو برامج الفدية وتسريبات البيانات. فهْم أسلوب المهاجم هو أفضل دفاع — تعلّمه مجانًا في أكاديمية Pentevo.