أمن الإنترنت: التهديدات وكيف تحمي نفسك

في المقال السابق عن «الشبكة الخاصة الافتراضية» انتهى الأمر إلى أنّ الـVPN يحمي القناة، لكنّ الخطر قد يأتي من البرمجيّة التي تثبّتها، أو الرابط الذي تنقره، أو كلمة المرور التي تكرّرها. وعبر هذه السلسلة كلّها، فهمتَ كيف يعمل الإنترنت: من طلبٍ يخرج من متصفّحك، عبر العناوين والبروتوكولات، إلى الكابلات والموجِّهات والحافّة. يبقى السؤال الأخير، وبه أختم: كيف يُهاجَم هذا كلّه، وكيف تحمي نفسك فيه؟

وهذا المقال خلاصةٌ عمليّة، وهو أطول مقالات السلسلة لأنه يجمعها: من يهاجمك ولماذا، ثمّ أخطر التهديدات التي تواجهك (من الهندسة الاجتماعية إلى الفدية إلى سرقة الهويّة)، ثمّ كيف تُكسَر كلمات المرور فعلًا وما تقوله المعايير اليوم، ثمّ ما بعدها من مصادقةٍ ثنائيّةٍ ومفاتيح مرور، ثمّ الدفاعات التي تقيك أكثر ما يصيب الناس، وما تفعله إن أُصبت. ولن أُخوّفك، بل أُعِدّك: فمعرفة كيف يعمل الإنترنت، التي بنيتُها معك مقالًا بعد مقال، هي نفسها أساس حمايته. لا تحمي ما لا تفهمه.

الأمن طبقاتٌ، لا قلعةٌ واحدة

قبل التهديدات، مبدأٌ يحكم الأمن كلّه: لا توجد أداةٌ واحدةٌ تحميك. الأمن «دفاعٌ في العمق» (Defense in Depth): طبقاتٌ متتالية، إن اخترقت إحداها صمدت البقيّة.^[5] كلمة مرورٍ قويّة طبقة، والمصادقة الثنائية فوقها طبقة، والتحديثات طبقة، ويقظتك طبقة. من يعتمد على حاجزٍ واحدٍ يسقط بسقوطه، ومن يكدّس الطبقات ينجو ولو سقطت واحدة.

ويفيد قبل ذلك أن تعرف ما الذي تحميه أصلًا. يختصره خبراء الأمن في ثلاثة: «السرّية» (ألّا يطّلع على بياناتك من لا يحقّ له)، و«السلامة» (ألّا تُعدَّل دون إذن)، و«التوفّر» (أن تبقى متاحةً لك حين تحتاجها). كل تهديدٍ يضرب واحدةً من هذه: التجسّس يضرب السرّية، والتلاعب يضرب السلامة، والفدية وهجمات الإغراق تضرب التوفّر. هذا الإطار يساعدك على فهم أيّ خطرٍ تواجهه، وعلى أن تسأل عند كل تهديد: أيّ هذه الثلاث يهدّد؟ وأيّ دفاعٍ يحميها؟

ومبدأٌ ثانٍ لا يقلّ أهمّية: لا يوجد أمنٌ مطلق، وإنما أمنٌ متناسبٌ مع ما تحميه وممّن. حدّد «نموذج تهديدك»: ما الأثمن لديك (حساباتك المالية، صور عائلتك، عملك)، ومن قد يستهدفه (محتالٌ عشوائيّ، أم خصمٌ موجَّه). فحماية حسابك البنكيّ تستحقّ جهدًا أكبر من حسابٍ في منتدًى. الأمن الذكيّ يوجّه جهدك حيث يهمّ، لا أن يرهقك في كل شيءٍ بالتساوي.

وأهمّ حقيقةٍ في الأمن الرقميّ: الحلقة الأضعف في الغالب هي الإنسان، لا التقنية. التشفير قويّ، والبروتوكولات محكمة، لكنّ المهاجم لا يكسر التشفير عادةً، وإنما يخدعك لتسلّمه المفتاح بيدك. ولهذا أبدأ بأخطر التهديدات وأكثرها شيوعًا، وهو الذي يستهدفك أنت لا أجهزتك.

من يهاجمك، ولماذا: الهجوم صناعة

وقبل التهديدات نفسها، سؤالٌ يغيّر طريقة تفكيرك فيها كلّها: من يهاجمك أصلًا؟ الصورة الشائعة شابٌّ في غرفةٍ مظلمةٍ يختار ضحيّته بعناية، والواقع أبعد من ذلك وأبرد: أكثر ما يصيب الناس عملٌ تجاريٌّ آليّ. برامجُ تمسح ملايين العناوين باحثةً عن جهازٍ لم يُحدَّث، ورسائلُ تُرسَل بالملايين ليردّ منها واحدٌ في الألف، وكلمات مرورٍ مسروقةٌ تُجرَّب على مئات المواقع آليًّا. لم يخترك أحد. أنت رقمٌ في مسحٍ واسع، وهذه أهمّ حقيقةٍ تطمئنك وتقلقك في الوقت نفسه: لست مستهدفًا شخصيًّا، ولهذا بالضبط تكفي الدفاعات الأساسيّة لتُخرجك من عيّنة المسح.

وله اقتصادٌ صريح. صارت الفدية تُباع «كخدمة»: فريقٌ يكتب البرمجيّة ويؤجّرها لمن يوزّعها مقابل حصّةٍ من العائد، فانفصلت المهارة التقنيّة عن التنفيذ وصار الباب مفتوحًا لمن لا يعرف البرمجة. وتقرير «فيرايزون» السنويّ عن اختراقات البيانات، وهو أوسع ما يُنشَر من بياناتٍ محقّقةٍ في هذا الباب، يضع الفدية في 48% من الاختراقات سنة 2026، صعودًا من 44% قبلها و32% قبلهما.^[6] فأنت تواجه سوقًا، لا أفرادًا.

ومعرفة هذا تنفعك عمليًّا: ما دام الهجوم آليًّا يبحث عن الأسهل، فالهدف أن تكون أصعب من العائد المتوقّع، لا أن تصير منيعًا. القفل الذي على بابك لا يمنع كلّ سارق، وإنما يجعل بابك الخيار الأغلى، فيمضي إلى غيره. وهذا هو المعنى العمليّ لكل ما يأتي بعده.

شكل 1

أخطر تهديد: الهندسة الاجتماعية

«الهندسة الاجتماعية» هي خداع الإنسان ليفعل ما يضرّه: يكشف كلمة مروره، أو يحوّل مالًا، أو يفتح بابًا. وهي أوسع ما يستهدف الناس أنفسهم.^[4] ويحسن أن تعرف حجمها بدقّة، لا بالمبالغة: يضع تقرير «فيرايزون» لسنة 2026 «العامل البشريّ» في 62% من الاختراقات، لكنّ الهندسة الاجتماعية كنمطٍ مستقلٍّ تقف عند 16%، بينما صار استغلال الثغرات أوسع أبواب الدخول عند 31%، متقدّمًا على بيانات الدخول المسروقة.^[6] فالإنسان حاضرٌ في أكثر الاختراقات، والباب الأماميّ صار جهازًا لم يُحدَّث. خُذ الأمرين معًا، ولا تُهمل أحدهما لأجل الآخر. سلاحها علم النفس لا الشيفرة: الاستعجال («حسابك سيُغلَق خلال ساعة!»)، والخوف، والطمع، والثقة بمصدرٍ منتحَل. أشهر صورها التصيّد عبر البريد الذي مرّ بك، لكنها تمتدّ إلى الرسائل والمكالمات.

وقد ضاعف الذكاء الاصطناعي خطرها كثيرًا: صار بإمكان المهاجم توليد رسائل تصيّدٍ شخصيّةٍ مقنعةٍ بلا أخطاء، بل تقليد أصواتٍ ووجوهٍ في مكالماتٍ مزيّفة. النصيحة القديمة «انتبه للأخطاء الإملائية» لم تَعُد تكفي. وقد ظهرت عمليّاتٌ احتيالٌ يُقلَّد فيها صوت قريبٍ أو مديرٍ في مكالمةٍ مزيّفةٍ يطلب مالًا عاجلًا، فلم يَعُد سماع «صوتٍ تعرفه» دليلًا كافيًا. ولهذا تنشأ قاعدةٌ جديدة: تحقّق من الطلبات الحسّاسة بقناةٍ ثانيةٍ متّفقٍ عليها، مهما بدا الطلب أصيلًا. والدفاع الحقيقيّ عقليّةٌ لا تقنيّة: التمهّل قبل النقر، والتشكّك في كل ما يستعجلك، والتحقّق من المصدر بقناةٍ مستقلّة (اتّصل بالبنك من رقمه المعروف، لا من الرسالة). فأقوى جدار حمايةٍ هو لحظة تفكيرٍ قبل أن تتصرّف. وهذه علاماتٌ تكشف أكثر محاولات الخداع:

• الاستعجال والتهديد: «تصرّف الآن وإلّا…». الضغط الزمنيّ حيلةٌ ليمنعك التفكير.
• طلب بياناتٍ حسّاسة: لا تطلب الجهات الجادّة كلمة مرورك أو رمزك عبر رسالة.
• عنوانٌ أو رابطٌ مريب: اسمٌ ظاهرٌ مألوفٌ فوق عنوانٍ غريب، أو رابطٌ يخالف وجهته عند تمرير الفأرة.
• عرضٌ أحسن من أن يكون حقيقيًّا: جائزةٌ أو ربحٌ لم تسعَ إليه.
• قناةٌ غير معتادة: بنكك يراسلك فجأةً على واتساب، أو مديرك يطلب تحويلًا بالبريد.

وجود واحدةٍ من هذه لا يعني بالضرورة خداعًا، لكنه يستدعي التوقّف والتحقّق بقناةٍ مستقلّة.

البرمجيات الخبيثة والفدية

«البرمجيات الخبيثة» برامجُ تُثبَّت في جهازك لتضرّك: فيروساتٌ تنتشر، وبرامج تجسّسٍ تسرق بياناتك، و«أحصنة طروادة» تتخفّى في برنامجٍ يبدو بريئًا. وأخطرها اليوم «الفدية» (Ransomware): تشفّر ملفّاتك كلّها وتطلب فديةً لفكّها. وهي في تصاعدٍ حادّ، يغذّيه الذكاء الاصطناعي الذي يجعل صناعتها وتوزيعها أسهل، حتى صارت تُباع «كخدمة» للمجرمين، وتبتزّ ضحاياها بتسريب بياناتهم فوق تعطيلها.^[1]

وكيف تدخل؟ غالبًا عبر مرفقٍ خبيثٍ تفتحه، أو برنامجٍ «مجّانيٍّ» مقرصنٍ تنزّله، أو ثغرةٍ في برنامجٍ قديمٍ لم تحدّثه. والدفاع ثلاثة: لا تشغّل ما لا تثق بمصدره، وحدّث برامجك دائمًا (فالتحديثات تسدّ الثغرات التي تدخل منها)، والأهمّ ضدّ الفدية: انسخ بياناتك احتياطيًّا في مكانٍ منفصل. فمن يملك نسخةً احتياطيّةً لا تساومه الفدية، إذ يمسح ويستعيد بدل أن يدفع.

ورقمٌ في تقرير «فيرايزون» يستحقّ أن تعرفه، لأنه يقلب موقفك من الفدية: بلغ وسيط ما يُدفَع من فديةٍ نحو 139,875 دولارًا، ومع ذلك رفض 69% من الضحايا الدفع أصلًا.^[6] ومن أين تأتي القدرة على الرفض؟ من نسخةٍ احتياطيّةٍ سليمة. فالنسخة الاحتياطيّة ليست إجراءً إداريًّا مملًّا، وإنما هي الفرق بين أن تُساوِم وأن تمسح وتستعيد. ولها قاعدةٌ تأتي بعد قليل.

الاعتراض والانتحال

هنا تتّصل المخاطر بما تعلّمته عن الشبكة. «هجوم الوسيط» (MITM) أن يعترض مهاجمٌ مرورك على شبكةٍ غير موثوقة (كواي فاي عامٍّ) ليقرأه أو يعدّله، وقد رأيتَ في مقال SSL/TLS كيف يحميك التشفير منه، وفي مقال الـVPN كيف يضيف نفقًا فوقه. و«الانتحال» أن يزيّف مهاجمٌ موقعًا أو بريدًا أو حتى عنوانًا ليوقعك (وقد مرّت بك صوره في DNS والبريد).

والدفاع هنا تطبيقٌ مباشرٌ لما عرفتَه: تأكّد أن العنوان يبدأ بـhttps وأن اسم النطاق هو الصحيح حرفًا حرفًا (فالقفل وحده لا يكفي، إذ يملكه المنتحِل أيضًا)، ولا تثق بشبكةٍ عامّةٍ دون VPN، وتحقّق من الروابط قبل نقرها. أكثر هذه الدفاعات صارت عاداتٍ صغيرةً تحرسك دون أن تشعر.

هجمات كلمات المرور والهويّة

صارت سرقة الهويّة من أكثر الهجمات نجاحًا، لأنها لا تكسر شيئًا بل تستعمل مفتاحك أنت. كيف يحصل المهاجم على كلمة مرورك؟ غالبًا من «تسريب بياناتٍ» في خدمةٍ استعملتها، إذ تُسرَّب ملايين الحسابات وتُباع. فإن كنت تستعمل كلمة المرور نفسها في كل مكان، فاختراق خدمةٍ واحدةٍ يفتح حساباتك كلّها («حشو بيانات الاعتماد»). وتذكّر ما مرّ بك في مقال البريد: عنوانك البريديّ مفتاحك الرئيس، فمن سيطر عليه أعاد ضبط كلمات مرور غيره.

ولهذا فإن أهمّ خطوةٍ أمنيّةٍ منفردةٍ يمكنك اتّخاذها هي ألّا تكرّر كلمات المرور أبدًا، وأن تحمي بريدك وحساباتك المهمّة بطبقةٍ ثانية. ويمكنك أن تتحقّق هل ظهر بريدك في تسريبٍ معروفٍ عبر خدمة «هل سُرِّبتُ؟» (Have I Been Pwned)، وهي الفهرس العامّ الذي تعتمده حتى معايير المصادقة اليوم في فحص كلمات المرور^[9]، فإن ظهر، غيّر كلمة مروره فورًا حيثما استعملتها.

كيف تُكسَر كلمة المرور فعلًا

ولفهم لماذا تنجح النصيحة السابقة، ينبغي أن تعرف ما يحدث بعد التسريب. المواقع الجادّة لا تحفظ كلمة مرورك كما كتبتها، وإنما تحفظ «بصمةً» لها: تمرّرها في دالّةٍ رياضيّةٍ تعطي سلسلةً ثابتة الطول لا يمكن ردّها إلى أصلها. فحين يُسرَق ملفّ الحسابات، لا يقع في يد المهاجم كلماتٌ جاهزة، وإنما بصماتٌ لها.

فماذا يفعل بها؟ يجرّب. يأخذ البصمات إلى جهازه ويجرّب عليها ملايين الاحتمالات في الثانية دون أن يسأل الموقع شيئًا، فلا حدّ لمحاولاته ولا من يقفله بعد ثلاث. يبدأ بقوائم الكلمات الشائعة والتسريبات القديمة، ثمّ بالكلمات وقد أُلحِقت بها أرقامٌ ورموزٌ في المواضع التي يضعها الناس فيها عادةً. ولهذا تسقط P@ssw0rd! في ثوانٍ: ليست عشوائيّةً، وإنما كلمةٌ من قائمةٍ عُومِلت بالحيلة نفسها التي يتوقّعها البرنامج.

ومن هنا تأتي القاعدة التي تخالف ما تعلّمه أكثر الناس: الطول أنفع من التعقيد. فكلّ حرفٍ تضيفه يضرب عدد الاحتمالات، أمّا استبدال حرفٍ برمزٍ يشبهه فلا يضيف إلّا خطوةً واحدةً يعرفها البرنامج سلفًا. أربع كلماتٍ عاديّةٍ متتالية تحفظها بسهولةٍ أصعبُ كسرًا من رمزٍ قصيرٍ معقّدٍ تنساه فتكتبه على ورقة.

ما تقوله المعايير اليوم

وهذا ليس رأيي وحدي. المعهد الوطنيّ الأمريكيّ للمعايير والتقانة (NIST) هو من كتب أكثر قواعد كلمات المرور الشائعة، وقد أصدر في يوليو 2025 النسخة الرابعة من دليل المصادقة فقلب فيها ما كان يُلقَّن لعشرين سنة.^[7] أربعة أشياء فيه تستحقّ أن تُقرأ مرّتين:

• الطول أوّلًا: خمسة عشر محرفًا حدًّا أدنى لكلمة المرور إن كانت وحدها، وثمانية إن كانت مع عاملٍ ثانٍ، وقبولُ ما يصل إلى أربعةٍ وستّين محرفًا على الأقل.
• ولا قواعد تركيب: مُنِع إلزام المستخدم بمزجٍ من حروفٍ كبيرةٍ وأرقامٍ ورموز. تلك القواعد أنتجت كلماتٍ متوقّعةً وأتعبت الناس بلا مقابل.
• ولا تغييرٌ دوريّ: لا يُفرَض تبديل كلمة المرور كلّ ثلاثة أشهر، وإنما عند وجود دليلٍ على تسريبها. فالتبديل الدوريّ يدفع الناس إلى تعديلاتٍ صغيرةٍ متوقّعةٍ على الكلمة نفسها.
• والفحص مقابل التسريبات: على الخدمة أن تقيس كلمتك الجديدة على قوائم ما سُرِّب فعلًا، فترفض ما ظهر فيها.

فإن كنت تبدّل كلماتك كلّ ربع سنةٍ وتضيف رمزًا لتُرضي نموذجًا، فأنت تتبع نصيحةً تخلّى عنها من كتبها. والأنفع أن تجعلها طويلةً وفريدةً، وأن تدَعها كما هي حتى يظهر ما يوجب تغييرها.

ما بعد كلمة المرور

ومهما أحسنتَ، تبقى كلمة المرور سرًّا واحدًا يمكن أن يُنتزَع منك أو يُسرَق من الخدمة. ولهذا انصرف الأمن كلّه في العقد الأخير إلى ما بعدها: طبقةٌ ثانيةٌ تُضاف إليها، ثمّ بديلٌ يستغني عنها.

المصادقة الثنائية: ليست كلّها سواء

وتفصيلٌ يهمّ في المصادقة الثنائية: ليست كلّها سواء. فالرمز عبر الرسائل النصّية أضعفها (يمكن اعتراضه أو خطف الرقم)، والتطبيق المولّد للرموز أقوى، والمفتاح المادّيّ ومفاتيح المرور أقواها. واحذر «إرهاق المصادقة»: أن يغرقك مهاجمٌ يملك كلمة مرورك بطلبات موافقةٍ متكرّرةٍ حتى توافق سهوًا. لا توافق على طلبٍ لم تبدأه أنت.

والفرق بينها ليس في القوّة فقط، وإنما في طبيعة ما تُسلِّمه. فالرمز الذي تقرؤه من رسالةٍ أو تطبيقٍ سرٌّ قصيرٌ يمكن أن تُملِيَه على من يخدعك، ولذلك تنجح صفحةٌ مزوّرةٌ تطلبه منك. أمّا المفتاح المادّيّ ومفاتيح المرور فلا تُملي منها شيئًا: جهازك يوقّع تحدّيًا مرتبطًا بعنوان الموقع نفسه، فإن كان العنوان مزوّرًا لم يوقّع. الأوّل يحميك ممّن سرق كلمتك، والثاني يحميك ممّن يخدعك أنت.

مفاتيح المرور: ما لا يمكن تصيّده

و«مفاتيح المرور» (Passkeys) هي الخطوة التالية، وتستحقّ أن تفهم آليّتها لا اسمها فقط. حين تنشئ واحدًا، يولّد جهازك زوجًا من المفاتيح: مفتاحٌ خاصٌّ يبقى في الجهاز ولا يخرج منه، ومفتاحٌ عامٌّ يُعطى للموقع. وعند الدخول يرسل الموقع تحدّيًا، فيوقّعه جهازك بالمفتاح الخاصّ بعد أن يتحقّق منك ببصمتك أو رمز قفلك، فيتأكّد الموقع من التوقيع بالمفتاح العامّ عنده. أي إنّ ما يعبر الشبكة إثباتٌ لا سرّ، ولا يصل الخادم شيءٌ يستطيع أحدٌ إعادة استعماله.^[8]

شكل 2

ونتيجتان تلزمان من هذه الآليّة، وهما سبب كل هذا الحديث. الأولى أنه لا شيء تُخدَع لتسليمه: لا كلمة مرورٍ ولا رمزًا، فالتصيّد يفقد موضوعه. والثانية أنّ لكلّ موقعٍ مفتاحًا خاصًّا به بحكم التصميم، فلا معنى لتكرار الاستعمال ولا لتسريبٍ يفتح غيره.^[8] وهما بالضبط أكبر خطرين مرّا بك في هذا المقال، يسقطان معًا لا بحرصٍ منك، وإنما بحكم كيف بُني الشيء.

وهي متاحةٌ اليوم في أكثر ما تستعمله، لا في المستقبل: بيّن مسحٌ مستقلٌّ سنة 2024 أنّ 53% من المشاركين فعّلوها في حسابٍ واحدٍ على الأقل.^[8] والنصيحة العمليّة: فعّلها حيث وجدتها، وابدأ ببريدك، فهو المفتاح الذي تُعاد به كلمات المرور كلّها.

تهديداتٌ أخرى تلقاها يوميًّا

إلى جانب الكبرى، ثمّة مخاطر تصادفك في تفاصيل يومك. منها الاحتيال المباشر: متاجر وهميّة، وعروض استثمارٍ كاذبة، وجوائز لم تشترك فيها، كلّها هندسةٌ اجتماعيّةٌ تستهدف جيبك مباشرةً. ومنها إضافات المتصفّح والتطبيقات المزيّفة: إضافةٌ تبدو مفيدةً تتجسّس على تصفّحك، أو تطبيقٌ يقلّد تطبيقًا شهيرًا في متجرٍ غير رسميّ. ومنها رموز QR المزوّرة التي تقودك إلى مواقع خبيثة. القاعدة الجامعة: نزّل من المصادر الرسميّة فقط، وامنح التطبيقات أقلّ الصلاحيات التي تحتاجها، وتشكّك في كل عرضٍ أحسن من أن يكون حقيقيًّا.

ومخاطرُ تتّصل بما تعلّمته عن الشبكة المحلّية: أجهزة «إنترنت الأشياء» (كاميرات وأقفالٌ وأجهزةٌ ذكيّة) كثيرًا ما تُترَك بكلمات مرورٍ افتراضيّةٍ وبرمجيّاتٍ قديمة، فتصير بابًا خلفيًّا إلى شبكة بيتك (وقد رأيتَ في مقال الموجِّه كيف ضمّت برمجيّاتٌ خبيثة ملايين هذه الأجهزة إلى شبكات هجوم). فأمن بيتك الرقميّ يبدأ من تغيير كلمات المرور الافتراضية وتحديث أجهزتك وعزل الضيوف في شبكةٍ منفصلة.

دفاعك العمليّ: خطواتٌ تقيك أكثر الهجمات

أكثر الاختراقات لا تستغلّ ثغراتٍ عبقريّة، وإنما غياب الأساسيّات. وهذه الأساسيّات قليلةٌ وفعّالة:

• كلمة مرورٍ فريدةٍ لكل حساب، عبر «مدير كلمات مرور». هذه أكبر مكسبٍ أمنيٍّ منفرد: يولّد لك المدير كلماتٍ قويّةً فريدة ويحفظها، فلا تحفظ إلا واحدةً رئيسة، ويملؤها في الموقع الصحيح فقط (فيحميك من التصيّد إذ لا يملؤها في موقعٍ مزوّر).^[3] وحيث تحتاج كلمةً تحفظها (كقفل المدير نفسه)، اجعلها «عبارة مرور» طويلةً من كلماتٍ متتالية: أطول وأسهل حفظًا وأصعب كسرًا من رمزٍ قصيرٍ معقّد.
• المصادقة الثنائية على كل حسابٍ مهمّ. ولو سُرِقت كلمة مرورك، لا يدخل المهاجم دون العامل الثاني. والأقوى منها «مفاتيح المرور» (Passkeys): بديلٌ حديثٌ بلا كلمة مرورٍ أصلًا، مقاومٌ للتصيّد لأنه لا يُنتزَع ولا يُعاد استعماله، وهو مستقبل تسجيل الدخول.^[2]
• حدّث كل شيء. نظامك وتطبيقاتك ومتصفّحك. أكثر الثغرات المستغَلّة قديمةٌ معروفة، والتحديث يسدّها.
• انسخ بياناتك احتياطيًّا. نسخةٌ منفصلةٌ تنجّيك من الفدية ومن عطب الجهاز معًا.
• تشكّك. تمهّل أمام كل ما يستعجلك أو يطلب بياناتك، وتحقّق من المرسِل والرابط. هذا درعك ضدّ الهندسة الاجتماعية.

هذه الخمس وحدها تقيك الأغلبية الساحقة من التهديدات الشائعة. لاحظ أن أكثرها عاداتٌ لا أدوات: لا تشتري أمنًا بقدر ما تمارسه.

وإن لم تفعل شيئًا غير ثلاثةٍ، فلتكن: مدير كلمات مرورٍ بكلماتٍ فريدة، ومصادقةٌ ثنائيّةٌ على بريدك وحساباتك المالية، وتشكّكٌ في كل رسالةٍ تستعجلك. هذه الثلاث وحدها تغلق أكثر الأبواب التي يدخل منها المهاجمون عادةً. وللنسخ الاحتياطيّ قاعدةٌ تُذكَر: ثلاث نسخٍ من المهمّ، على وسيطين مختلفين، إحداها خارج بيتك أو في السحابة، فلا يضيع كلّ شيءٍ بعطلٍ أو سرقةٍ أو فدية.

التحديث: البابُ الذي يطرقه الآليّ

ومن الخمس السابقة، واحدةٌ تستحقّ وقفةً لأن الأرقام رفعت شأنها هذه السنة. صار استغلال الثغرات أوسع أبواب الدخول إلى الاختراقات، متقدّمًا على بيانات الدخول المسروقة.^[6] والمقصود بالثغرة هنا ليس اكتشافًا عبقريًّا جديدًا في الغالب، وإنما عيبٌ نُشِر إصلاحه قبل أشهر ولم يُثبَّت.

وهذا يفسّر لماذا يبدو التحديث مملًّا وهو من أقوى ما تملك: بين نشر الإصلاح وتثبيتك له تفتح نافذةً، والمسح الآليّ يبحث عن النوافذ المفتوحة لا عن الأبواب الحصينة. فشغّل التحديث التلقائيّ حيث استطعت، وأعِد التشغيل حين يُطلَب منك بدل تأجيله أسبوعًا، واحذف ما لا تستعمله: كلّ برنامجٍ باقٍ على جهازك بلا حاجةٍ سطحُ هجومٍ تحتفظ به بلا مقابل.

النسخ الاحتياطيّ: قاعدة ثلاثة واثنين وواحد

وللنسخ الاحتياطيّ قاعدةٌ قديمةٌ في مهنة التقنية تُذكَر بأرقامها: ثلاث نسخٍ من كلّ ما يهمّك (الأصل ونسختان)، على وسيطين مختلفين على الأقل (قرص الجهاز وقرصٌ خارجيّ مثلًا)، وواحدةٌ منها بعيدةٌ عن مكانك (في السحابة أو عند غيرك). كلّ رقمٍ فيها يعالج خطرًا: الثلاث تعالج فساد نسخة، والوسيطان يعالجان عطبًا يصيب نوعًا كاملًا، والبعيدة تعالج حريقًا أو سرقةً أو فديةً تصيب البيت كلّه.

وشرطٌ يُنسى دائمًا: النسخة المتّصلة بجهازك دائمًا ليست نسخةً احتياطيّةً في وجه الفدية، لأن ما يشفّر ملفّاتك يشفّرها معها. ولهذا يُفصَل القرص الخارجيّ بعد النسخ، أو تُستعمل خدمةٌ تحفظ إصداراتٍ سابقةً لا يستطيع الجهاز محوها. وآخر شرطٍ وأهمّه: جرّب الاستعادة مرّةً واحدةً على الأقل. نسخةٌ لم تُستعَد قطّ ليست نسخةً، وإنما ظنٌّ.

أمن الجهاز نفسه

ولا تنسَ أمن جهازك نفسه ماديًّا: اقفل شاشتك برمزٍ أو بصمة، وفعّل تشفير القرص (فلو ضاع جهازك أو سُرِق، لم تُقرأ بياناته)، وفعّل خاصّية تتبّعه ومسحه عن بُعد. وعلى الهاتف، راجع صلاحيات التطبيقات ولا تثبّت إلا من المتاجر الرسميّة. وفي المتصفّح، فعّل وضع «HTTPS دائمًا»، وراجع الإضافات واحذف ما لا تستعمله، فكلّ إضافةٍ بابٌ محتمل. أمنُك ليس في حساباتك فقط، بل في الأجهزة التي تصل بها إليها.

الخصوصيّة جزءٌ من الأمن

والخصوصيّة جزءٌ من الأمن لا منفصلٌ عنه: كلّما قلّ ما تنشره وتشاركه، قلّ ما يُستعمل ضدّك في الهندسة الاجتماعية. راجع صلاحيات تطبيقاتك، وقلّل البيانات التي تعطيها للخدمات، وتذكّر ما تعلّمته عن الكوكيز والتتبّع. والـVPN أداةٌ في هذا، بحدوده التي عرفتَها. فحماية بياناتك تبدأ بألّا تبعثرها.

إن أُصبت: أوّل ساعة

وإن أُصبت رغم ذلك (وقد يحدث للجميع): تصرّف بسرعة. غيّر كلمة مرور الحساب المخترَق وكلَّ حسابٍ شاركها، وفعّل المصادقة الثنائية، وراجع نشاط الحساب وأجهزته المتّصلة، وأبلغ الخدمة، وإن كان حسابًا ماليًّا فأبلغ بنكك. السرعة تحدّ الضرر، والاستعداد المسبق (نسخٌ احتياطيّة، حساب بريدٍ محميّ) يجعل التعافي أيسر.

والترتيب يهمّ في هذه اللحظة، لأن الوقت ضيّقٌ والارتباك كثير. هذا ما أفعله بهذا الترتيب:

1. ابدأ بالبريد. فهو الذي تُعاد به كلمات المرور كلّها: بدّل كلمته، وفعّل المصادقة الثنائية عليه، واطرد الجلسات المفتوحة من صفحة أجهزته.
2. ثمّ الحسابات التي شاركت الكلمة نفسها. لا الحساب المخترَق وحده، فالمهاجم يجرّبها في غيره آليًّا وفي دقائق.
3. ثمّ راجع ما بُدِّل خلسةً: عنوان بريدٍ بديلٍ أُضيف، أو رقم هاتفٍ غُيِّر، أو قاعدة تحويلٍ للبريد أُنشئت لتُنسَخ رسائلك. هذه أشهر ما يُترَك خلفه ليعود.
4. ثمّ المال. إن مسّ الأمر بطاقةً أو حسابًا بنكيًّا، فأبلغ البنك قبل أن تكمل الباقي.
5. وأخيرًا أخبِر من يلزم. الخدمة نفسها، ومن قد تصله رسائلٌ منك باسمك، فالاختراق يُستعمَل غالبًا للوصول إلى دائرتك لا إليك.

وتحضيرُ دقيقةٍ اليوم يوفّر ساعةً يومها: اعرف من الآن أين صفحة «الأجهزة المتّصلة» في بريدك، واحفظ رقم بنكك في مكانٍ لا يحتاج هاتفك، وتأكّد أن نسختك الاحتياطيّة تعمل.

وإن كنت تملك موقعًا

وإن كنت تملك موقعًا، فأنت لست مستخدمًا فقط بل هدفٌ ومسؤول. فموقعك يُهاجَم بمحاولات دخولٍ آليّة، وثغراتٍ في إضافاتٍ قديمة، وحقن مدخلات. والدفاع تطبيقٌ لما مرّ بك في السلسلة: حدّث منصّتك وإضافاتك دائمًا، واستعمل كلمات مرورٍ قويّةً ومصادقةً ثنائيّة لحساب الإدارة، وفعّل HTTPS (مقال SSL/TLS)، وضع موقعك خلف شبكة توصيلٍ بجدار حماية تطبيقاتٍ تصدّ الإغراق والهجمات (مقال CDN)، واحتفظ بـنسخٍ احتياطيّةٍ منتظمة. أمنُ زوّارك أمانةٌ في عنقك، لا رفاهية.

جرّبه بنفسك: افحص نفسك في عشر دقائق

كلّ ما مرّ يصير عادةً إن جرّبته مرّةً. خمس خطواتٍ، لا تحتاج أداةً تشتريها:

1. افحص بريدك في فهرس التسريبات. ابحث عن عنوانك في خدمة «هل سُرِّبتُ؟» (Have I Been Pwned)، وستُدهشك القائمة على الأرجح. ما ظهر فيها ليس خطرًا داهمًا في ذاته، وإنما دليلٌ على أنّ كلّ موضعٍ استعملت فيه تلك الكلمة صار مفتوحًا.^[9]
2. افتح صفحة الأجهزة المتّصلة في بريدك وفي حسابك على أيّ منصّةٍ تستعملها، واقرأ القائمة. جهازٌ قديمٌ بعتَه، أو مدينةٌ لم تزرها، إشارةٌ تستحقّ التتبّع. اطرد كلّ ما لا تعرفه.
3. تمرّس على الرابط قبل نقره. مرّر الفأرة فوق رابطٍ في رسالةٍ (أو اضغط عليه مطوّلًا على الهاتف) وانظر وجهته الحقيقية، فإن خالفت ما يدّعيه النصّ فقد رأيتَ الفخّ بعينك. والقاعدة بعدها: ادخل الموقع بنفسك من عنوانه المعروف، لا من الرابط.
4. اقرأ ترويسة رسالةٍ مشكوكٍ فيها. في بريدك خيارٌ يعرض «المصدر الأصليّ» أو الترويسات الكاملة؛ افتحه وابحث عن حقل Return-Path الحقيقيّ، وقارِنه بالاسم المعروض. الاسم يُكتَب كما يشاء المرسِل، والنطاق لا.
5. فعّل مفتاح مرورٍ واحدًا. اختر حسابًا واحدًا يدعمها وأنشئ له مفتاح مرور، ثمّ سجّل الخروج وادخل به. عشرون ثانيةً تكفي لتعرف الفرق بين أن تكتب سرًّا وأن يوقّع جهازك عنك.

وإن لم تفعل من هذه الخمس إلّا الأولى والأخيرة، فقد كسبت أكثر ما في هذا المقال.

أنت الحلقة الأضعف، وأنت الأقوى

تدور كل هذه التهديدات والدفاعات حول حقيقةٍ واحدة: التقنية وحدها لا تحميك إن سلّمت المفاتيح بيدك، والإنسان الواعي يهزم أكثر الهجمات قبل أن تبدأ. لا برنامج حمايةٍ يردّ من ينقر رابطًا ويُدخل كلمة مروره في صفحةٍ مزوّرة طائعًا. فالأمن في جوهره عقليّةٌ وعادة، لا منتجٌ تشتريه.

والعالم اليوم في زمنٍ صار فيه الذكاء الاصطناعي سلاحًا للطرفين: يصنع للمهاجم خداعًا أتقن، ويصنع للمدافع كشفًا أسرع. لكنّ ميزان هذه المعركة، في طرف المستخدم العاديّ، يظلّ بسيطًا: العادات الخمس التي مرّت بك، وعقليّة التشكّك. من رسّخها نجا من أكثر ما يصيب الناس، مهما تطوّرت الأدوات.

والأمن ليس حدثًا تنجزه مرّةً، بل عادةٌ مستمرّة: كلمات المرور تُراجَع، والبرامج تُحدَّث، واليقظة تُجدَّد. وهو مسؤوليّةٌ مشتركة أيضًا: من فهم هذا الباب يحمي من حوله ممّن لا يفهمه، فيشرح لوالديه علامة التصيّد، ويعين أقلّ خبرةً منه على تفعيل المصادقة الثنائية. فأضعف حلقةٍ في محيطك قد تكون بابًا إليك، وحماية الأقربين جزءٌ من حماية نفسك.

خاتمة السلسلة

بهذا أختم سلسلة «أساسيّات الإنترنت». انطلقتَ من سؤالٍ بسيط: ماذا يحدث حين تكتب عنوانًا وتضغط Enter؟ فتتبّعتَ المسار عبر العنوان وDNS وHTTP والتشفير والكوكيز، ثمّ نزلتَ إلى المحرّك (البروتوكولات وTCP/IP)، فالطريق المادّيّ (من شبكتك المحلّية إلى الموجِّه فالمزوّد فالكابلات البحرية ونقاط التبادل)، ثمّ طبقات التوصيل (التخزين المؤقت وشبكات المحتوى)، فالخصوصية (VPN)، والبريد، وصولًا إلى هذا المقال: كيف تحمي نفسك في هذا العالم.

والخيط الجامع أن الفهم نفسه حماية. فمن يعرف كيف تسافر بياناته يعرف أين تُعترَض، ومن يعرف كيف يعمل البريد يميّز المزوَّر، ومن يعرف معنى القفل لا يخدعه قفلٌ على موقعٍ مزوّر. لم أُردك مستخدمًا خائفًا، بل مستخدمًا واعيًا، يفهم التقنية التي يعيش فيها فيستعملها بثقةٍ وأمان. وتلك كانت غاية هذه السلسلة من أوّلها.

ويبقى الإنترنت يتطوّر، وتتطوّر معه تهديداته وأدواته، فالتعلّم لا يتوقّف عند آخر مقال. لكنّك الآن تملك الأساس: تعرف الأرض التي تقف عليها، فلا تتيه فيها ولا يخدعك من يدّعي معرفتها. ومن هنا يبدأ الفضول لا ينتهي: كلّ ما مرّ بك بابٌ يُفتَح على تفصيلٍ أعمق حين تشاء. خذ ما تعلّمته، واستعمله، وعلّمه، فالمعرفة التي لا تُشارَك تذبل. وإلى لقاءٍ في موضوعٍ جديد.

المصادر

1. World Economic Forum: التوقّعات العالمية للأمن السيبراني 2026. طبيعة التهديدات وأثر الذكاء الاصطناعي.
2. NCSC (المملكة المتحدة): مفاتيح المرور (Passkeys). البديل المقاوم للتصيّد عن كلمات المرور.
3. NCSC (المملكة المتحدة): مديرو كلمات المرور. كلماتٌ فريدةٌ لكل حساب.
4. Proofpoint: الهندسة الاجتماعية. التهديد الأوسع انتشارًا واستهداف الإنسان.
5. CIS: الدفاع في العمق. الأمن طبقاتٌ لا حاجزٌ واحد.
6. Verizon: تقرير التحقيق في اختراقات البيانات 2026. نسبة العامل البشريّ، ونصيب الهندسة الاجتماعية، وتقدّم استغلال الثغرات على بيانات الدخول، وأرقام الفدية ووسيط ما يُدفَع ونسبة الرافضين.
7. NIST: SP 800-63B: دليل المصادقة، النسخة الرابعة (يوليو 2025). الطول الأدنى، ومنع قواعد التركيب، وإلغاء التغيير الدوريّ، والفحص مقابل قوائم التسريبات.
8. FIDO Alliance: مفاتيح المرور. زوج المفاتيح وبقاء الخاصّ في الجهاز، والتحدّي والتوقيع، والتفرّد لكلّ موقع، ونسبة من فعّلها في مسح 2024.
9. Troy Hunt: Have I Been Pwned. فهرس الحسابات التي ظهرت في تسريباتٍ معروفة، وهو المرجع الذي تبني عليه معايير المصادقة فحصها.