تريد قراءة خبر أو تنزيل ملف، فيعترضك مربع مألوف: “أنا لست روبوتًا”. تضغط عليه مطمئنًا، لكن الصفحة تطلب خطوة إضافية: فتح أداة في جهازك ولصق نص لتنفيذ “التحقق”. هنا يتحول المظهر الأمني إلى وسيلة خداع قد تجعلك تشغّل برمجية ضارة بنفسك.
وحذّرت الهيئة الوطنية لخدمات تقانة المعلومات في سوريا، الثلاثاء 10 من تشرين الثاني، من أسلوب احتيالي رقمي جديد يتخفى وراء اختبارات التحقق الشائعة “أنا لست روبوتًا”، ويهدف إلى سرقة بيانات المستخدمين عبر خداعهم لتشغيل أوامر خبيثة.
مركز أمن المعلومات الوطني التابع لوزارة الاتصالات وتقانة المعلومات، أوضح في بيان أن، هذا التكتيك يُعرف عالميًا باسم “ClickFix”، مبينًا أن الصفحات المزيفة تطلب من الضحية تنفيذ خطوات معينة بزعم استكمال عملية التحقق لضمان اختراق أجهزتهم.
كما حذرت لجنة التجارة الفيدرالية الأمريكية، من اختبارات “CAPTCHA” مزيفة تدفع المستخدمين إلى تشغيل أوامر على أجهزتهم، مؤكدةً أن اختبارات التحقق الحقيقية لا تطلب تنفيذ أوامر في نظام التشغيل.
و”CAPTCHA” هي أداة أمنية تكنولوجية تُستخدم في المواقع الإلكترونية للتمييز بين المستخدم البشري والبرامج الآلية (الروبوتات).
تعتمد على تقديم اختبارات وتحديات ذهنية بسيطة يستطيع الإنسان حلّها بسهولة، بينما تعجز البرمجيات والحواسيب عن فك شفرتها، وذلك بهدف حماية المواقع من الهجمات الآلية والبريد المزعج.
آلية الخداع في “Windows” و”macOS”
تتضمن الحيلة الاحتيالية طلب الضغط على اختصار لوحة المفاتيح “Win + R” ثم لصق أمر عبر “Ctrl + V” لمستخدمي نظام “Windows”.
بينما يطلب المهاجمون من مستخدمي نظام “macOS” فتح نافذة الأوامر البرمجية “Terminal” ولصق أسطر برمجية مشبوهة داخلها، وفقًا لما ذكره مركز أمن المعلومات الوطني.
وأكّد “المركز” أن هذه الخطوات تمكّن المهاجمين من تشغيل برمجيات خبيثة تتيح لهم السيطرة على الجهاز ونهب البيانات الحساسة.
ولذلك، أصدر حزمة من التوصيات العاجلة للمستخدمين لتجنب الوقوع ضحية لهذا النوع من القرصنة الرقمية.
وجاء في مقدمة التوصيات ضرورة الرفض التام لأي تعليمات تحقق تطلب فتح أدوات النظام الداخلي أو لصق أكواد مجهولة المصدر.
كما شدد مركز أمن المعلومات الوطني على أهمية فحص رابط الموقع الإلكتروني بدقة، وعدم الانخداع بالمظهر الخارجي للصفحة حتى لو بدا احترافيًا.
وفي حال تشغيل أمر مشبوه بالخطأ، أوصى باتخاذ إجراءات طوارئ فورية لحماية البيانات. وتشمل هذه الإجراءات فصل الجهاز عن شبكة الإنترنت تمامًا بشكل فوري، وإجراء فحص شامل للنظام باستخدام برنامج مكافحة فيروسات محدّث.
كيف تعمل الحيلة؟
تندرج هذه الهجمات ضمن أسلوب “ClickFix”، وهو نوع من الهندسة الاجتماعية يستغل ثقة المستخدم بالتعليمات الظاهرة أمامه، بدل الاعتماد بالضرورة على ثغرة تقنية في الجهاز، وفق ما أوضحه خبير علوم “الويب” والمدرب المعتمد لدى أكاديمية “أكسفورد” بشار سعد، في حديث إلى عنب بلدي.
وبحسب الخبير التقني، فإن الصفحة الخبيثة قد تنسخ أمرًا إلى الحافظة عند التفاعل معها، ثم تطلب من الزائر فتح نافذة “تشغيل” أو أداة أوامر ولصقه وتنفيذه، لافتًا إلى أن الحيلة قد تستهدف مستخدمي “ويندوز” أو “ماك”، مع اختلاف التعليمات.
والحافظة، وفقًا لسعد، هي المساحة المؤقتة التي يحتفظ فيها الجهاز بما تنسخه. لذلك، قد تظن أنك تلصق رمز تحقق، بينما يحتوي النص فعليًا على أمر لتنزيل برنامج ضار وتشغيله.
ومن المهم التمييز بين النسخ والتنفيذ، تبعًا للخبير، معتبرًا أن وجود نص في الحافظة وحده لا يعني إصابة الجهاز. الخطر في هذا السيناريو يرتبط باتباع خطوات تشغيله، وقد تختلف التفاصيل بين حملة وأخرى.
لماذا تبدو مقنعة؟
يعزو سعد نجاح هذه الحيلة إلى استغلال المهاجمين لعامل “الهندسة الاجتماعية”، فهي تتكئ على مشهد بصري اعتاده المستخدم يوميًا، وشعارات مألوفة تمنح شعورًا زائفًا بالأمان، مستغلةً رغبة المتصفح في تجاوز اختبارات التحقق بسرعة.
وعادةً ما تظهر هذه الصفحات للمستخدمين عبر إعلانات وروابط مضللة، أو من خلال دمجها داخل مواقع إلكترونية شرعية تعرضت للاختراق مسبقًا.
ولذلك، يؤكّد سعد أن المظهر الخارجي الاحترافي لصفحة الويب لم يعد معيارًا كافيًا للحكم على سلامتها، إذ إن وجود رمز “القفل” الأخضر أو اعتماد الموقع على بروتوكول الاتصال الآمن (HTTPS) يعنيان فقط أن البيانات مشفرة أثناء الانتقال، ولا يضمنان بأي حال من الأحوال أن الجهة المالكة للموقع أمينة أو موثوقة.
كما تتوقف خطورة التهديد على نوع “الحمولة البرمجية” (Payload) المستخدمة في الهجوم، إذ يمكن للبرمجيات الخبيثة الناتجة عن هذه العملية سرقة بيانات الدخول الحساسة، أو منح المهاجمين صلاحية التحكم بالكامل في الجهاز عن بُعد.
ومع ذلك، يُشير الخبير التقني إلى ضرورة عدم الهلع، إذ لا يمكن اعتبار كل مربع تحقق بمنزلة خطر دائم، بل تكمن المشكلة الحقيقية في “التعليمات الإضافية” المريبة التي تنتحل وظائف الحماية.
كيف تتصرف؟
وفي سياق متصل بسبل مواجهة هذا التهديد الرقمي، يقدّم سعد دليلًا إرشاديًا يتضمن حزمة من التوصيات الوقائية والخطوات العاجلة.
يصنف الإجراءات المتبعة إلى مستويات ترتبط بطبيعة تعامل المستخدم مع الحيلة الاحتيالية، مستندًا في ذلك إلى قاعدة أمنية مفادها أن إثبات الهوية البشرية وتجاوز اختبارات التحقق لا يستلزم أبدًا منح صفحة الويب القدرة على تشغيل أوامر داخل نظام التشغيل الخاص بالجهاز، مهما بلغت درجة موثوقية الصفحة الظاهرية.
وينصح الخبير التقني بالإغلاق الفوري للموقع الإلكتروني في حال طلب اختبار التحقق فتح نافذة الأوامر البرمجية أو تثبيت برامج إضافية.
كما يشدد على ضرورة الامتناع التام عن لصق أي تعليمات مجهولة المصدر داخل أدوات النظام الداخلي، وعدم منح أذونات غير ضرورية أو الاستجابة لطلب النوافذ المنبثقة بحجة إثبات أن المستخدم ليس روبوتًا، وذلك لقطع الطريق على الهجوم في مرحلته الأولى.
أما في حال وقوع المستخدم في فخ النسخ الأولي للأمر البرمجي دون تنفيذه فعليًا، يوصي سعد بإغلاق النافذة فورًا والمسارعة إلى نسخ أي نص عادي آخر.
وتستهدف هذه الخطوة استبدال محتوى حافظة الجهاز وتطهيرها من الكود المخفي، بالتوازي مع مراجعة قائمة التنزيلات الحديثة وإضافات المتصفح المشبوهة، تليها خطوة تفعيل الفحص الأمني السريع عبر برمجيات الحماية المعتمدة للتأكد من سلامة البيئة الرقمية للمستخدم.
وفي المقابل، تتحول التوصيات إلى إجراءات مشددة وفورية في حال تنفيذ الأمر البرمجي بالخطأ، وفقًا لسعد، إذ تستوجب الفصل الفوري للجهاز عن الإنترنت.
ويعقب هذا العزل إجراء فحص شامل للنظام بواسطة مكافح فيروسات محدَّث، ثم الانتقال السريع لاستخدام جهاز آخر سليم لتغيير كلمات مرور الحسابات الحساسة وتفعيل المصادقة متعددة العوامل.
إضافة إلى تنبيه فريق الدعم التقني فورًا إذا كان الجهاز تابعًا لبيئة عمل مؤسساتية، مؤكدًا في الوقت ذاته عدم رهن سلامة الأجهزة بغياب الأعراض الظاهرية للاختراق.