المخاطر السيبرانية للاستخدام النشط لمنصات التواصل الاجتماعي

أصبح نشاط المستخدمين على منصات التواصل الاجتماعي أحد المصادر الأساسية للمخاطر السيبرانية التي تلاحق ملايين الأشخاص حول العالم، فكل صورة يقوم المستخدمون بنشرها أو شخص يتم عمل إشارة “Tag” له في هذه الصور، وكل مكان يكشفون عن الوجود فيه من خلال خاصية “Check-in”، يوفر معلومات قيمة حول الحياة الشخصية والمهنية.
ويقوم القراصنة الإلكترونيون عبر ربط وتشبيك هذه المعلومات بصياغة “هجمات هندسة اجتماعية- Social Engineering Attack” أكثر استهدافًا وقابلية للتصديق وأكثر فاعلية ضد الأشخاص والشركات.
مشاركة المعلومات بكثافة على مواقع التواصل الاجتماعي
ووفقًا لتقرير جديد صادر عن شركة “Tessian” البريطانية للبرمجيات يستند إلى نتائج مسح شمل 4 آلاف متخصص في بريطانيا والولايات المتحدة، ومقابلات مع قراصنة إلكترونيين، فإن ما يقرب من ثلاثة أرباع الأشخاص على وسائل التواصل الاجتماعي ينشرون معلومات تجعلهم عُرضة للهجمات الإلكترونية.
وفي حين أن البريطانيين يشاركون معلومات عبر الإنترنت أقل نوعًا ما عن نظرائهم في الولايات المتحدة، فإن الموظفين في كلا البلدين يتركون مؤسساتهم عُرضة بشكل لا يصدق للهجمات الإلكترونية، إذ يشارك ثلث الأشخاص صور رحلات العمل عبر الإنترنت، كما أن 93% من الأشخاص يقومون بتحديث حساباتهم على مواقع التواصل الاجتماعي عندما يحصلون على وظيفة جديدة، الأمر الذي يمكن أن يساعد القراصنة الإلكترونيين في تحديد الشخصية التي يقومون بانتحالها، والأشخاص الذين سيستهدفونهم، وتوقيت الاستهداف، وماهية الوسائط الواجب استخدامها في الهجوم.
لكن وسائل التواصل الاجتماعي لا تُستخدم فقط للاستطلاع، بل يمكن أيضًا استخدامها كطريقة للوصول إلى حسابات المستخدم، لذلك لا بد من التفكير في الأسئلة الأكثر شيوعًا التي يُطلب من المستخدم الإجابة عنها لإثبات هويته كخطوة أولى في أي “فحص أمني”، وهذه الأسئلة مثل تاريخ عيد ميلاد المستخدم، الرمز البريدي الخاص به، اسم الحيوان الأليف المفضل لديه”.
وتزداد خطورة تعرض المستخدم لهجمات القرصنة، إذا كانت حساباته على وسائل التواصل الاجتماعي مفتوحة للعامة، ويشارك صورًا عليها، وإذا كانت عائلته وأصدقاؤه نشطين على الإنترنت، فمن السهل اكتشاف المعلومات.
ويوضح التقرير أيضًا أن مجرمي الإنترنت يستخدمون منشورات وسائل التواصل الاجتماعي للمساعدة في شن هجمات شديدة الاستهداف ومقنعة، فعلى سبيل المثال، يُمكن للقراصنة تحديد المنضمين الجدد إلى منصة “لينكد إن” واستهدافهم بعمليات التصيد الاحتيالي عن طريق انتحال شخصية مسؤول تنفيذي كبير في شركة ما، كما يمكن أيضًا استخدام ورقة أخرى وهي المعرفة بأعضاء الشبكة المهنية للهدف، من أجل انتحال شخصية من الشخصيات التي يثق بها الهدف لإقناعه بإرسال أموال أو مشاركة بيانات حسابه.
وفي هذا الإطار، يحذر هاري دينلي، خبير الأمان ومكافحة التصيد في شركة MyCrypto للاستشارات الأمنية من أن معظم الأشخاص يكثرون من مشاركة المعلومات الخاصة بهم عبر الإنترنت.
الاستطراد في رسائل البريد الإلكتروني خارج المكتب
يعد البريد الإلكتروني أيضًا ثغرةً يُمكن للقراصنة الإلكترونيين النفاذ منها إلى أهدافهم، حيث يرسل الأفراد الكثير من المعلومات الشخصية على البريد الإلكتروني أيضًا، فعلى سبيل المثال، يقوم 93% من الأشخاص بأتمتة رسائل “خارج المكتب– Out Of Office” وهو أمر منطقي، لكن غير المنطقي مشاركة الكثير من المعلومات في تلك الرسائل، خاصة وأن البريد الإلكتروني قناة مفتوحة، إذ يمكن لأي شخص توجيه رسائل إليه.
ويشير تقرير شركة “Tessian” إلى أن 53% من الأشخاص يذكرون المدة الزمنية التي يكونون فيها خارج المكتب، بينما يقدم 43% تفاصيل عن المكان الذي سيذهبون إليه سواء كان مؤتمرًا أو غير ذلك، كما يحدد 48% “نقطة اتصال- a point of contact “.
إن كل هذه المعلومات تزود القراصنة الإلكترونيين بالمواد الخام التي يحتاجونها لصياغة بريد إلكتروني مقنع لانتحال شخصية الشخص خارج المكتب أو استهداف زملائه.
ويستعرض التقرير نموذجًا لـ”هجوم الهندسة الاجتماعية- Social Engineering Attack” تم خلاله الاحتيال باسم مدير تنفيذي لإحدى شركات الخدمات المالية، حيث قامت مجموعة قرصنة إلكترونية بمراقبة الأخبار عن بنوك وشركات في الولايات المتحدة للعثور على هدفهم، حتى وجدوه في شركة لإدارة الأصول تسمى “SoBank”، حيث ذكر المدير المالي للشركة، أندرو نيل عبر رسالة آلية من بريده الإلكتروني أنه خارج المكتب نظرا لمشاركته في أحد المؤتمرات.
وفي المرحلة التالية قام المتسللون بتحديد موظف في الشركة كهدف، حيث أرسلوا إليه سلسلة رسائل بريد إلكتروني مفبركة بين المدير المالي وأحد العملاء، مع توجيه واضح للموظف بإجراء تحويل أموال للعميل.
وتشير كاتي باكستون فير، محاضرة الأمن السيبراني في جامعة مانشستر متروبوليتان إلى أن الرسائل خارج المكتب إذا كانت مفصلة بما فيه الكفاية فيمكن أن تزود المهاجمين بكل المعلومات التي يحتاجونها لانتحال شخصية الشخص الموجود خارج المكتب، دون أن يضطر القراصنة إلى بذل أي مجهود”.
استخدام نفس كلمات المرور لإدارة حسابات على منصات مختلفة
وفي ذات السياق، حذر التقرير من أنه إذا كانت كلمات المرور غير قوية بما يكفي ويسهل الوصول إليها، فإنها تجعل الطريق معبّدًا أمام القراصنة الإلكترونيين لتجاوز اختبارات الفحص الأمني، كما يلفت إلى أن 15% فقط من الأشخاص لا يكررون استخدام نفس كلمات المرور في الحسابات على المنصات المختلفة، ما يعني أن الغالبية العظمى من الأشخاص يستخدمون نفس كلمة المرور لإدارة حساباتهم على المنصات، وبالتالي إذا تمكن أحد القراصنة من الوصول إلى أحد حسابات المستخدم فيمكنه الوصول إلى جميع حساباته الأخرى.
من جهة أخرى، نوه تقرير شركة “Tessian” البريطانية إلى أن هجمات الهندسة الاجتماعية أصبحت أكثر تكرارًا، حيث ارتفعت بنسبة 15% خلال النصف الثاني من عام 2020 مقارنة بالأشهر الستة السابقة، كما ازدادت هجمات الاحتيال الإلكتروني أيضًا بنسبة 15%.
ويؤكد 88% من المشاركين في الاستطلاع أنهم تلقوا بريدًا إلكترونيًّا مشبوهًا في عام 2020، وقد أبدى 54% فقط اهتمامًا بعنوان البريد الإلكتروني للمرسل، وأقل من النصف تحقق من شرعية الروابط أو المرفقات قبل أن يستجيب لرسالة البريد الإلكتروني.
وتأسيسًا على ما سبق يمكن القول إن ظهور المعلومات المتاحة للجمهور يجعل مهمة المخترق أسهل كثيرًا، وفي حين أن بعض المعلومات قد تبدو غير ضارة إذا كانت منعزلة عن بعضها كمنشور في عيد ميلاد أو تحديث وظيفي، أو ما شابه، إلا أن القراصنة الإلكترونيين سيجمعونها معًا لإنشاء صورة كاملة لأهدافهم، وجعل عمليات الاحتيال قابلة للتصديق قدر الإمكان.
فالحقيقة التي يجب أن يتذكرها كافة مستخدمي الإنترنت أن السبيل للوقاية من تلك الهجمات هو التوعية وغرس ثقافة تقوم على الحد من الإفصاح عن البيانات الشخصية عبر مواقع التواصل أو البريد الإلكتروني -قدر المستطاع، والتحلي باليقظة عند تلقي رسائل البريد الإلكتروني، وعدم الإفراط في الثقة والاستجابة دون التحقق من هوية المرسل.
وأخيرًا، لا بد أن يحرص المستخدم على تنويع كلمات المرور، لأن اعتماده على نفس كلمة المرور في إدارة جميع حساباته يعرضه لمخاطر كارثية، حال تمكن القراصنة من السيطرة على أحد تلك الحسابات.