اختبار VBSpam للربع الثالث 2026: التصيد يتجاوز بوابة البريد إلى المتصفح

لم تعد رسالة التصيد تحتاج إلى مرفق خبيث أو عنوان مُرسِل يبدو مريباً بوضوح كي تكون خطرة. يبرز اختبار VBSpam المقارن للربع الثالث من عام 2026 حملات استخدمت بنية إرسال تبدو موثوقة ورسائل HTML غير لافتة، ثم نقلت لحظة الاحتيال الحاسمة إلى سلاسل إعادة التوجيه وشيفرات تعمل داخل المتصفح. وبينما قدمت المنتجات المؤسسية المتقدمة نتائج قوية جداً، فإن الاختبار يوضح لماذا لا ينبغي أن تكون بوابة البريد الإلكتروني خط الدفاع الوحيد ضد التصيد. 2021

الرسالة ليست سوى المرحلة الأولى

استمر الاختبار العلني 16 يوماً، وقيّم 11 منتجاً معلناً لأمن البريد الإلكتروني مقابل 103,969 رسالة، بينها 103,380 رسالة مزعجة. ووفقاً للتقارير، حققت البوابات المؤسسية الرائدة معدلات كشف للتصيد تقترب من 100%. وتصدر Net at Work NoSpamProxy النتائج، بحسب ما نُشر، بدرجة نهائية بلغت 99.995، مع كشف 100% من البرمجيات الخبيثة و99.990% من رسائل التصيد، ومن دون إيجابيات كاذبة. 2021

لا تعني هذه النتيجة أن تصفية البريد المؤسسي لم تعد فعالة؛ بل تعني أن المهاجمين يكيّفون أسلوب التسليم. فبدلاً من وضع العنصر الأكثر خبثاً مباشرة في الرسالة، يمكنهم إرسال بريد بلا مرفقات عبر مسار يبدو مشروعاً، ثم استخدام رابط يتبدل سلوكه بعد نقر المتلقي عليه.

وVBSpam برنامج مقارنة موجّه أساساً إلى حلول أمن البريد في بيئات الأعمال؛ ويقيس الحماية من البريد المزعج والتصيد والبرمجيات الخبيثة، مع احتساب الإيجابيات الكاذبة. وتعتمد اختباراته على تهديدات بريدية حية وحديثة، لا على أرشيف ثابت من عينات قديمة. 61213

ثلاث حملات تشرح التحول

إغراء ألماني بسداد متأخر عبر Amazon SES

استخدمت حملة باللغة الألمانية تحت عنوان «Mahnschreiben» — أي إشعار بمبالغ متأخرة — خدمة Amazon SES لإرسال الرسائل، مع نطاق moolaah[.]com متوافق مع DKIM. ولم تحتوِ الرسالة على مرفق. قاد رابطها أولاً إلى صفحة مصممة لتبدو أقل إثارة للشك في الفحص الآلي، إذ تضمنت ترميزاً تمويهياً ونصاً مخفياً وإطاراً مضمناً بحجم صفري (iframe) وجافاسكربت مموهاً.

وجمعت الصفحة، بحسب التقرير، إشارات عن المتصفح والمنطقة الزمنية قبل استخدام طلب POST مخفي لإعادة توجيه الزائر إلى opensea[.]io. وكان التقييم أنها مسار احتيال مموه متعلق بالعملات المشفرة أو الرموز غير القابلة للاستبدال (NFT)، وليس حالة تسليم مؤكدة لبرمجيات خبيثة. وهذه نقطة مهمة: قد يحجب المحتالون منطق الاحتيال ما لم يبدُ الزائر هدفاً حقيقياً يطابق معاييرهم. 20

احتيال هولندي لتجديد برنامج مكافحة الفيروسات بوجهات متغيرة

انتحلت رسالة هولندية صفة McAfee وTotalAV، وقدمت عرض تجديد بصيغة HTML فقط: زعمت وجود «631 فيروساً خطيراً»، ولوحت بإغلاق الحساب، وعرضت خصماً قدره 90%.

ولم تعتمد الحملة على صفحة تصيد واحدة ثابتة، بل استخدمت مسارات منفصلة للتتبع وإلغاء الاشتراك وزر الدعوة إلى الإجراء، تمر عبر بنية لإعادة التوجيه. ويمكن لهذه المسارات أن تغيّر وجهتها أو تنتهي صلاحيتها أو تعرض محتوى مختلفاً بحسب الوقت أو الموقع. لذلك قد يكون فحص الرابط مرة واحدة عند عبور الرسالة بوابة البريد أقل موثوقية من تحليله وقت نقر المستخدم فعلياً. والتقييم هو أن الهدف كان احتيالاً في التجديد أو التسويق بالعمولة، مع احتمال سرقة بيانات الدفع، وليس تنزيل برمجية خبيثة مؤكداً. 20

ذريعة موافقة PSD2 باسم البنك الروماني BCR

انتحلت حملة أخرى صفة BCR S.A. واستخدمت موضوع الموافقة وفق توجيه خدمات الدفع الأوروبي الثاني (PSD2) لإيجاد شعور بالعجلة. واستخدمت، بحسب التقرير، تمثيلاً لعنوان مُعيَّن عبر IPv6 داخل الرابط، وهي تقنية تمويه قد تتجاوز التحليل المبسط للروابط أو فحوص السمعة. وقد قُيّمت الحملة على أنها محاولة مرجحة لسرقة بيانات الاعتماد، لكن المعلومات المتاحة لا تثبت صفحة هبوط نهائية ولا إسناداً أدق للجهة المنفذة. 20

ما الذي تقوله النتائج — وما لا تقوله

تشير تقارير الربع الثالث إلى فجوة ملحوظة بين أفضل بوابات المؤسسات ونسخة Rspamd مفتوحة المصدر التي خضعت للاختبار العلني. فقد وضع أحد التقارير معدل التقاط Rspamd لرسائل التصيد عند 62.550%، وهو أدنى كثيراً من نتائج المنتجات المؤسسية المتقدمة. 21

لكن لا ينبغي تعميم هذا الرقم على كل تثبيت لـRSpamd أو على الأدوات مفتوحة المصدر عموماً؛ فالإعدادات ومصادر استخبارات التهديدات والضبط الدقيق وطبقات الحماية المحيطة تؤثر في الأداء الواقعي. لكنه يعزز حقيقة عملية: بنية إعادة التوجيه المتغيرة بسرعة وتدفقات التصيد التي تراعي خصائص المتصفح يصعب على طبقة بريد افتراضية أو محدودة الإعداد تصنيفها.

وللمقارنة، سجلت مراجعة VBSpam المنفصلة للربع الثاني من 2026 معدل كشف للتصيد بلغ 54.810% لـRspamd في ذلك الاختبار، مع الإشارة أيضاً إلى تأخر كشف التصيد عن المنتجات الرائدة. وهاتان فترتان اختبار مختلفتان، لذا لا ينبغي التعامل مع النسبتين كمعيار واحد قابل للاستبدال. 5

أولويات الدفاع بعد بوابة البريد

أهم درس تشغيلي من الاختبار هو توسيع التحليل من وقت التسليم إلى وقت النقر.

• اعتبر توثيق الرسالة مؤشراً للهوية، لا حكماً بالأمان. توافق SPF أو DKIM وخدمة إرسال ذات سمعة جيدة قد يوضحان كيفية إرسال الرسالة، لكنهما لا يثبتان صحة ادعائها التجاري أو شرعية وجهتها.
• حلّل سلاسل إعادة التوجيه كاملة وبشكل متكرر. افحص كل قفزة في السلسلة، وأعد تقييم الرابط حين ينقر المستخدم، لأن الوجهات والسمعة قد تتغيران بعد تسليم الرسالة.
• استخدم بيئات فحص تحاكي المتصفح. ينبغي أن يتمكن التحليل الفعال من تشغيل جافاسكربت وكشف النماذج المخفية وأنشطة iframe وبصمة المتصفح وإعادة التوجيه المشروطة، لا أن يكتفي بفحص نص الرسالة أو الرابط الظاهر.
• طبّع صيغ الروابط غير المعتادة. يجب أن تعالج أدوات الأمن العناوين المشفرة وتمثيلات العناوين المعينة عبر IPv6 بأمان قبل تطبيق قواعد السمعة والحجب.
• راقب تغيرات البنية التحتية. راقب تبدلات DNS والنطاقات الجديدة وإعادات توجيه HTTP وسمعة الوجهات بمرور الوقت.
• خفف أثر النقرة الناجحة. يمكن للمصادقة المقاومة للتصيد وحماية الأجهزة الطرفية الحد من الاستيلاء على الحساب، حتى لو وصلت صفحة سرقة بيانات الاعتماد إلى المتلقي.

ويبقى المستخدم طبقة مهمة أخيرة من الحماية. فمن الأفضل التحقق من مطالبات الدفع وطلبات موافقة الخدمات المصرفية وتحذيرات تجديد الاشتراكات عبر الموقع أو التطبيق المعروفين للجهة المعنية، أو قناة الدعم الرسمية، لا عبر رابط الرسالة.

الخلاصة

لم يُظهر VBSpam للربع الثالث من 2026 أن أمن البريد التقليدي فشل على نطاق واسع؛ فقد واصلت أفضل المنتجات المؤسسية تسجيل نتائج اختبار استثنائية. 2021 لكنه أظهر أمراً أكثر تحديداً: مشغلو التصيد ينقلون السلوك الأكثر خداعاً إلى مراحل مخصصة ومرتبطة بالمتصفح، قد لا تراها بوابة البريد بالكامل لحظة التسليم.

والاستجابة المستدامة هي الدفاع متعدد الطبقات: تصفية قوية للبريد، إلى جانب تحليل لإعادة التوجيه، وفحص واعٍ بسلوك المتصفح، وحماية للحسابات تجعل كلمة المرور المسروقة أقل فائدة للمهاجم.