كيف تمنع اختراق البريد الإلكتروني للأعمال (BEC)

لا يحتاج اختراق البريد الإلكتروني للأعمال (BEC) إلى برمجيات خبيثة أو استغلال بارع لثغرة. يحتاج فقط إلى رسالة واحدة مقنعة وشخص واحد يتبع تعليماتها. يشرح هذا الدليل كيف يعمل BEC، وما تكشفه أحدث أرقام FBI، والإجراءات والضوابط التقنية التي توقفه.

ما هو اختراق البريد الإلكتروني للأعمال؟

يعرّف مركز شكاوى جرائم الإنترنت (IC3) التابع لـ FBI احتيال BEC بأنه «احتيال يستهدف الشركات أو الأفراد الذين يتعاملون مع موردين و/أو الشركات التي تجري مدفوعات بالحوالات المصرفية بانتظام». ويخترق المحتالون «حسابات البريد الإلكتروني وأشكال الاتصال الأخرى مثل أرقام الهواتف وتطبيقات الاجتماعات الافتراضية، من خلال الهندسة الاجتماعية أو تقنيات اختراق الحواسيب، لإجراء تحويلات غير مصرّح بها للأموال» (التقرير السنوي لـ IC3 لعام 2025، الملحق B).

عمليًا، يتخذ BEC عادةً أحد هذه الأشكال:

ما يجمع بينها أن الرسالة تبدو روتينية. وغالبًا لا يوجد رابط ولا مرفق، فلا شيء يمكن لفاحص البرمجيات الخبيثة التقاطه. والفرق الصغيرة السريعة الحركة أهداف سهلة؛ ويغطي دليلنا عن أمن البريد الإلكتروني للشركات الناشئة الإعدادات التي ينبغي إجراؤها مبكرًا. وحيث تنتقل أموال العملاء بناءً على تعليمات بالبريد، راجع أمن البريد الإلكتروني للمستشارين الماليين وأمن البريد الإلكتروني لوكالات التأمين.

ما حجم مشكلة BEC؟

يقدّم التقرير السنوي لعام 2025 من IC3 أحدث الأرقام الرسمية في الولايات المتحدة:

بعض السياق من التقرير نفسه:

• عبر جميع أنواع الجرائم، تلقّى IC3 عدد 1,008,597 شكوى في 2025، بخسائر مُبلَّغ عنها بلغت $20.877 مليار.
• سجّل BEC ثاني أعلى خسائر مُبلَّغ عنها بين جميع أنواع الجرائم في 2025، بعد احتيال الاستثمار ($8,648,617,756).
• أبلغت الشركات عن خسائر تجاوزت $30 مليونًا بسبب عمليات احتيال BEC استُخدم فيها الذكاء الاصطناعي، مثل رسائل مولّدة بالمحادثة الآلية تحاكي المدير التنفيذي، أو استنساخ الصوت لطلب دفعة بحوالة.
• قدّم المشتكون الذين تبلغ أعمارهم 60 عامًا فأكثر 4,566 شكوى BEC، بخسائر بلغت $568,048,472.

وفي إعلان خدمة عامة منفصل من IC3 في سبتمبر 2024، قُدّر إجمالي «الخسائر المحتملة بالدولار» (exposed dollar loss) بسبب BEC بمبلغ $55,499,915,582 بين أكتوبر 2013 وديسمبر 2023، محليًا ودوليًا.

لا تشمل هذه الأرقام إلا ما أبلغ عنه الضحايا إلى IC3. إنها حد أدنى، لا حد أقصى.

كيف يعمل هجوم BEC؟

يتبع معظم هجمات BEC تسلسلًا متوقعًا. ومعرفته تخبرك أين تضع الضوابط.

1. الاستطلاع. يتعرّف المجرم على من يوافق على المدفوعات، ومن هم مورّدوك، وكيف يكتب موظفوك. وتساعده في ذلك مواقع الشركات وLinkedIn والرسائل القديمة المسرّبة.
2. هوية الإرسال. يحتاج إلى عنوان يثق به الهدف. والخيارات: انتحال نطاقك الدقيق، أو تسجيل نطاق مشابه، أو استخدام حساب بريد ويب مجاني باسم عرض مألوف، أو اقتحام صندوق بريد حقيقي.
3. الطلب. رسالة معقولة: حساب مصرفي تغيّر، أو حوالة عاجلة، أو سجل رواتب محدَّث. وغالبًا ما تصل في وقت مزدحم أو حين يُقال إن «المرسل» مسافر.
4. الضغط. يمنع الاستعجال والسرّية الهدفَ من التحقق. «لا تتصل، أنا في اجتماعات طوال اليوم.»
5. سحب الأموال. تذهب الأموال إلى حساب يسيطر عليه المجرم أو حساب وسيط يُستغل لنقل الأموال (money mule)، وتُنقل بسرعة.

تعمل الضوابط التقنية على الخطوتين 2 و3، وتعمل الإجراءات على الخطوات من 3 إلى 5. وتحتاج إلى الاثنين معًا، لأن رسالة من صندوق بريد مورد مخترق فعلًا قد تجتاز كل فحص تقني. ويجعل الذكاء الاصطناعي التوليدي الخطوة 3 أكثر إقناعًا، كما يشرح دليلنا عن رسائل التصيّد المكتوبة بالذكاء الاصطناعي، ويلجأ بعض المهاجمين إلى إغراق صندوق البريد برسائل التسجيل لدفن تنبيه الاحتيال أثناء عملهم.

ما إجراءات التحقق من الدفعات التي توقف BEC؟

أول نصيحة وقائية من FBI هي «استخدام قنوات ثانوية و/أو المصادقة الثنائية للتحقق من طلبات تغيير معلومات الحساب» (إعلان IC3، 2024). حوّل ذلك إلى قاعدة مكتوبة تسري على الجميع، بمن فيهم المالك.

إجراء لتغيير بيانات الدفع يمكنك اعتماده

1. لا تتصرف أبدًا بناءً على بيانات مصرفية وصلت بالبريد وحده. ويشمل ذلك ملفات PDF وتذييلات الفواتير والردود في سلسلة رسائل قائمة.
2. عاود الاتصال على رقم لديك مسبقًا. استخدم الرقم المسجّل في ملف المورد الرئيسي، أو في عقد سابق، أو في الموقع الرسمي للمورد. ولا تستخدم أبدًا رقم هاتف من الرسالة التي طلبت التغيير.
3. تحدّث إلى شخص تعرفه. اطلب منه تأكيد الحساب القديم والحساب الجديد وسبب التغيير.
4. وثّق عملية التحقق. سجّل من اتصلت به، وعلى أي رقم، ومتى، ومن أكّد. واحفظ ذلك مع سجل المورد.
5. اشترط موافقة شخص ثانٍ. أي تغيير في البيانات المصرفية، وأي دفعة أولى لمستفيد جديد، وأي تحويل يتجاوز حدًّا تضعه، يحتاج إلى شخصين.
6. أوقف الدفعة الأولى إذا بدا أي شيء غير طبيعي. التأخير القصير لا يكلّف كثيرًا، أما الحوالة إلى مجرم فتختفي عادةً خلال ساعات.
7. طبّق القاعدة نفسها على الرواتب. تمر تغييرات حساب إيداع الراتب عبر نظام الموارد البشرية نفسه أو بتحقق حضوري أو عبر مكالمة فيديو، لا عبر طلب بالبريد أبدًا.

قواعد الطلبات «العاجلة» من المسؤولين التنفيذيين

• اتفقوا مسبقًا على أن أي مسؤول تنفيذي لن يطلب أبدًا حوالة أو بطاقات هدايا أو سرّية عبر البريد.
• اجعل الرفض آمنًا. يجب أن يُشكر الموظفون، لا أن يُلاموا، على تأخير دفعة للتحقق منها.
• استخدم رقم هاتف معروفًا أو قناة محادثة داخلية للتأكيد. لا ترد على الرسالة.

لا تكلّف هذه القواعد شيئًا، وتوقف الهجوم حتى عندما تكون الرسالة مثالية تقنيًا. وأهميتها لا تقل حيث يتولى متطوعون التعامل مع الأموال؛ راجع أمن البريد الإلكتروني للمنظمات غير الربحية.

ما الضوابط التقنية التي تقلّل BEC؟

تلتقط الإجراءات ما يتسلل، وتقلّل الضوابط التقنية حجم ما يتسلل.

1. المصادقة متعددة العوامل على كل صندوق بريد

الاستيلاء على الحساب يحوّل المجرم إلى شخص داخلي موثوق. توصي إرشادات التصيّد المشتركة من CISA وNSA وFBI وMS-ISAC بالمصادقة متعددة العوامل (MFA)، وتعطي الأولوية للمصادقة المقاومة للتصيّد في حسابات المسؤولين والحسابات ذات الصلاحيات. ابدأ بموظفي المالية والمسؤولين التنفيذيين ومسؤولي الأنظمة.

2. فرض سياسة DMARC على نطاقك

توصي إرشادات CISA نفسها بـ DMARC، مضبوطًا على «reject» للبريد المرسَل. عند p=quarantine أو p=reject، يستطيع المستقبِلون رفض البريد الذي يزوّر نطاقك الدقيق. وهذا يمنع المجرمين من مراسلة مورديك «من» فريقك المالي. وفي فحصنا لأعلى 1,000 نطاق في قائمة Tranco في أكتوبر 2026، لم يكن 38.3% منها يفرض سياسة DMARC. افحص نطاقك باستخدام DMARC Checker (أداة فحص DMARC)، واتبع خطة الانتقال التدريجي إلى p=reject.

يحمي DMARC نطاقك، لا نطاقات مورديك، ولا يفعل شيئًا ضد النطاقات المشابهة.

3. فلترة انتحال الشخصية والنطاقات المشابهة

ينبغي أن تبحث فلترة البريد الوارد عن أسماء عرض تطابق أسماء مسؤوليك التنفيذيين، ونطاقات تشبه نطاقك أو نطاقات مورديك، ومرسلين يفشلون في المصادقة. في Microsoft 365، تُعد الحماية من انتحال صفة المستخدمين والنطاقات جزءًا من Defender for Office 365، لا من الحماية الأساسية التي يحصل عليها كل صندوق بريد سحابي. وتلاحظ Microsoft أن انتحال الشخصية «يمكن أن يجتاز فحوص مصادقة البريد (SPF وDKIM وDMARC) إذا أنشأ المهاجم نطاقًا مشابهًا» (Microsoft Learn). ويغطي دليلنا عن إيقاف رسائل التصيّد في Microsoft 365 الإعدادات اللازمة.

4. وسوم المرسل الخارجي

يجعل وسم «External» (خارجي) الظاهر رسالةَ «المدير التنفيذي» القادمة من خارج الشركة لافتة للنظر. يوفّر Exchange Online خيارًا مدمجًا لذلك يُفعَّل بالأمر Set-ExternalInOutlook -Enabled $true. وتقول Microsoft إن ظهور الوسم قد يستغرق من 24 إلى 48 ساعة (Microsoft Learn).

5. تحذيرات أول تواصل

تُنبّه نصيحة الأمان الخاصة بأول تواصل (first contact safety tip) من Microsoft المستلمَ عندما لا يتلقى بريدًا من مرسل ما بشكل متكرر. وهي متاحة في سياسات مكافحة التصيّد لجميع صناديق البريد السحابية، وتوصي Microsoft بتفعيلها. وغالبًا ما يؤدي تغيّر عنوان أحد الموردين إلى ظهورها.

6. راقب علامات اختراق صندوق البريد

راجع قواعد صندوق الوارد الجديدة التي تعيد توجيه البريد أو تنقله أو تحذفه، وعمليات تسجيل الدخول من أماكن غير متوقعة، والتغييرات المفاجئة في إعادة توجيه صندوق البريد. فالمجرمون داخل صندوق البريد يخفون غالبًا الردود عن المالك الحقيقي أثناء عملهم. ويسرد دليلنا عن علامات اختراق حساب البريد ما ينبغي البحث عنه وقائمة التعافي الكاملة. وكثيرًا ما يكون حظر مستخدم Microsoft 365 من الإرسال فجأة أول علامة ظاهرة.

7. اجعل الإبلاغ سريعًا وسهلًا

امنح الموظفين طريقة واحدة واضحة للإبلاغ عن الرسائل المريبة. تؤكد إرشادات CISA أهمية تعليم الموظفين الإبلاغ عن الرسائل المريبة، وتشجع على استخدام ميزات الإبلاغ المدمجة في Outlook ومنصات البريد السحابية الأخرى.

ماذا تفعل إذا كانت دفعة BEC قد خرجت بالفعل؟

السرعة هي الأهم. يعمل فريق استرداد الأصول (Recovery Asset Team) في IC3 مع المصارف لتجميد الأموال عبر آلية Financial Fraud Kill Chain. وفي 2025 تعامل مع 3,900 حادثة عبر جميع أنواع الاحتيال، شملت محاولات سرقة بقيمة $1,163,919,846 وتجميد $679,013,183، أي بنسبة نجاح 58% (التقرير السنوي لـ IC3 لعام 2025).

1. اتصل بمصرفك فورًا. اطلب استرداد الأموال واسأل عن مستندات التعويض التي يحتاجها.
2. قدّم شكوى على ic3.gov، أيًّا كان المبلغ، مع كامل تفاصيل المعاملة.
3. أعد تعيين كلمة المرور وألغِ الجلسات لأي صندوق بريد قد يكون مخترقًا، وافحص قواعد صندوق الوارد فيه.
4. حذّر المورد أو المسؤول التنفيذي الحقيقي الذي استُخدمت هويته.
5. احتفظ بالرسالة الأصلية مع رؤوسها الكاملة (headers). تُظهر أداة Email Header Analyzer (محلّل رؤوس الرسائل) مصدرها الحقيقي.

قائمة التحقق للوقاية من BEC

الخطوات التالية

1. اكتب إجراء تغيير بيانات الدفع هذا الأسبوع وشاركه مع كل من يستطيع دفع فاتورة أو الموافقة عليها.
2. فعّل المصادقة متعددة العوامل لكل صندوق بريد، بدءًا بالمالية والإدارة العليا.
3. افحص نطاقك باستخدام أداة Email Health Check (فحص سلامة البريد) المجانية لترى وضع SPF وDKIM وDMARC.
4. راجع كيف تتعامل فلترة البريد الوارد لديك مع انتحال الشخصية. وإذا أردت فلترة على مستوى النطاق أمام Microsoft 365 أو Google Workspace أو cPanel، فراجع كيف يعمل iBlockSpam.

ذو صلة: رسائل الفواتير والدفع المزيفة واحتيال فواتير الموردين وتحويل وجهة الدفع. تستخدم كثير من محاولات BEC نطاقًا يشبه نطاقك؛ وتفحص خدمة Lookalike Domain Watch (مراقبة النطاقات المشابهة) من iBlockSpam ذلك يوميًا وتنبّهك عند تسجيل أي نطاق منها.

تصفّح أدلتنا الأخرى عن التصيّد الاحتيالي والتهديدات.