رسالة بريد موثّقة ليست بالضرورة آمنة: ما كشفه اختبار VBSpam عن التصيد الحديث

لا ينبغي التعامل مع رسالة بريد اجتازت التوثيق التقني على أنها آمنة تلقائيًا. فتغطية نتائج اختبار VBSpam للربع الثالث من 2026 تصف حملات جمعت بين بنية إرسال تبدو شرعية وتمويه متقدم للروابط على مراحل، بحيث لا يظهر السلوك الضار إلا لاحقًا داخل المتصفح. استمر الاختبار 16 يومًا، وقيّم 103,969 رسالة، بينها 103,380 رسالة مزعجة. 13

التوثيق يثبت جزءًا من المسار، لا سلامة الرسالة

تساعد تقنيات SPF وDKIM وDMARC على التحقق من جوانب تتعلق بمسار الإرسال ومواءمة النطاق. لكنها لا تثبت أن محتوى الرسالة سليم، أو أن كل رابط فيها آمن، أو أن الصفحة النهائية بعد سلسلة من التحويلات صفحة مشروعة.

وهذا هو جوهر ما أظهرته الحملات الموصوفة: استخدم المهاجمون بنية إرسال موثّقة أو تبدو موثوقة، ثم أجّلوا ظهور الاحتيال إلى مسار ويب يمكنه فحص متصفح الزائر أو منطقته الزمنية أو توقيت الزيارة قبل عرض الوجهة الفعلية. 35

ثلاث حيل تصيد بارزة

1. طُعم «دفعة متأخرة» أُرسل عبر Amazon SES

استخدمت حملة باللغة الألمانية موضوع دفعة متأخرة، وأُرسلت عبر خدمة Amazon SES من نطاق متوافق مع DKIM. وبدلًا من الاعتماد على مرفق، تضمّنت رسالة HTML، بحسب التقارير، شيفرات تمويهية ونصًا مخفيًا وإطار iframe بحجم صفري وJavaScript مُموّهًا. 35

وكان الرابط يقيّم الزائر عبر بصمة للمتصفح والمنطقة الزمنية، ثم ينفذ طلب POST مخفيًا ويوجّه الزوار الذين تنطبق عليهم الشروط إلى OpenSea. ووُصفت هذه السلسلة بأنها متسقة مع احتيال مموّه يتعلق بالعملات المشفرة أو الرموز غير القابلة للاستبدال (NFT)، مع تقليل فاعلية الفحص البسيط للرسالة أو للرابط الأولي. 35

2. تجديدات مزيفة باسم McAfee وTotalAV

انتحلت حملة باللغة الهولندية علامتي McAfee وTotalAV، وحذّرت المتلقين من وجود «631 فيروسًا خطيرًا»، مع عرض تجديد بسعر مخفّض. واعتمد الإغراء على هندسة اجتماعية ضمن HTML فقط، لا على مرفق ضار تقليدي. 35

وكان عنصر التهرب الأساسي هو الاستجابة المشروطة: فقد تتغير الوجهة وفق الوقت أو الموقع أو ما يبدو أنه ملف الضحية. لذلك قد يرى نظام الفحص الآلي صفحة غير ضارة أو رسالة خطأ أو مسار تحويل مختلفًا عن الذي يراه الشخص المستهدف. وكان الهدف المُبلّغ عنه احتيالًا متعلقًا بالاشتراكات. 35

3. انتحال BCR S.A. بذريعة تجديد موافقة PSD2

انتحلت رسالة تصيد باللغة الرومانية بنك BCR S.A.، وزعمت أن الموافقة المرتبطة بتوجيه خدمات الدفع الأوروبي PSD2 تحتاج إلى تجديد. ووفقًا للتقارير، أُخفيت الوجهة باستخدام عنوان بصيغة IPv6-mapped، وهي تقنية قد تعقّد تحليل الرابط وعمل أدوات الفحص. 3

وتناسب ذريعة «تجديد موافقة مصرفية إلزامية» سرقة بيانات الدخول، لأنها تدفع المتلقي إلى التصرف سريعًا ضمن إجراء مالي مألوف. 3

لماذا أصبح الفحص الثابت وحده أقل كفاية؟

تشير الأمثلة إلى انتقال منطق التصيد إلى مرحلة لاحقة من الرحلة. فقد تبدو الرسالة سليمة عند الوصول، وقد لا يكشف الرابط الأول عن هدفه الحقيقي؛ بينما يحدث السلوك الحاسم داخل المتصفح:

• عناصر HTML وJavaScript تُخفي البنية الفعلية للرسالة.
• سلاسل التحويل تفصل الرابط المُرسل عن الوجهة النهائية.
• فحص المتصفح والمنطقة الزمنية والموقع والتوقيت يمكن أن يميّز الضحية المحتملة من نظام التحليل الآلي.
• الاستجابات المشروطة قد تُبقي المحتوى الأخطر بعيدًا عن بيئات الاختبار أو فحوص السمعة البسيطة. 35

لا يعني ذلك الاستغناء عن توثيق البريد الإلكتروني، بل وضعه في سياقه الصحيح: إنه إشارة ضمن تقييم أوسع يشمل محتوى الرسالة وسمعة المرسل وسلوك الرابط ومخاطر الوجهة النهائية. 35

أولويات دفاعية عملية

تتطلب الحماية الأقوى فحص المسار كاملًا، لا الاكتفاء بأول إشارة:

1. تطبيع الروابط المموّهة: فك الترميز وتحويل صيغ العناوين غير المعتادة إلى صيغة معيارية قبل تطبيق قواعد السمعة أو السياسات.
2. تتبّع كل التحويلات: تقييم كل قفزة في سلسلة التحويل، وكذلك صفحة الهبوط النهائية، بدل فحص الرابط الأصلي وحده.
3. تحليل سلوك المتصفح: رصد التحويلات المشروطة، وبصمات المتصفح، والطلبات المخفية، وغيرها من السلوكيات التي قد لا تظهر إلا بعد تنفيذ الصفحة.
4. إبقاء التوثيق ضمن الصورة الكاملة: SPF وDKIM وDMARC مفيدة في بناء قرار الثقة، لكنها لا ينبغي أن تتغلب على مؤشرات المحتوى الضار أو مخاطر الوجهة.
5. قياس الإيجابيات الكاذبة إلى جانب الاكتشاف: فالحل الذي يحجب التهديدات لكنه يعطّل البريد الشرعي يخلق مشكلة تشغيلية مختلفة. 35

النتائج المُبلّغ عنها: فارق كبير بين المنتجات

تشير النتائج المركبة المُبلّغ عنها إلى أن معدلات اكتشاف مرتفعة جدًا كانت ممكنة لدى أفضل المنتجات، لكن الأداء لم يكن متقاربًا للجميع. سجّل Net at Work NoSpamProxy درجة نهائية بلغت 99.995 من دون إيجابيات كاذبة، تلاه Bitdefender GravityZone Premium بدرجة 99.994، ثم SEPPmail.cloudfilter بدرجة 99.985. أما Rspamd فسجّل، بحسب التقارير، 62.5%. 35

ينبغي قراءة هذه الأرقام بوصفها نتائج هذا الاختبار المقارن تحديدًا، لا ضمانًا عامًا للأداء في كل بيئة. لكنها تؤكد الدرس العملي: التعامل مع مرسلين موثّقين وروابط مموّهة وتدفقات متصفح مشروطة يحتاج إلى فحص متعدد الطبقات، لا إلى الاعتماد على أداة تحكم واحدة. 135

الخلاصة

يوضح اختبار VBSpam للربع الثالث من 2026 نموذجًا للتصيد يقوم على مفارقة بسيطة: يستطيع المهاجم جعل الرسالة تبدو مقبولة لحظة تسليمها، ثم إظهار الاحتيال فقط بعد أن يطابق متصفح الضحية شروطًا محددة. يظل توثيق المرسل ضرورة أساسية في نظافة البنية البريدية، لكن قرار الأمان يجب أن يمتد إلى سلسلة التحويل كاملة وتجربة الويب في وجهتها النهائية. 35