تحذير عاجل من Google لمليارات المستخدمين بعد اختراق خطير

«رسالةٌ واحدةٌ قد تفتح الباب لعالمٍ من الاحتيال» — هكذا يمكن تلخيص ما كشفته "غوغل" عن واحدةٍ من أخطر حملات الاحتيال الإلكترونيّ الّتي استهدفت مستخدمي بريد "جيميل".

أطلقت شركة "غوغل" تحذيراً طارئاً لمليارات مستخدميها، بعدما تمّ اكتشاف حملة تصيّدٍ إلكترونيٍّ متطوّرةٍ للغاية، نجحت في التّمويه حتّى على أصحاب الخبرة التّقنيّة. ^[1]  

ووفقاً لما أفاد به نيك جونسون، مطوّرٌ ومساهمٌ في شبكة "إيثيريوم"، فقد كاد أن يصاب ضحيّةً لخدعةٍ محكمةٍ استغلّت بنية "غوغل" نفسها لتبدو شرعيّةً بالكامل، بما في ذٰلك توقيع البريد الرّقميّ الّذي اجتاز اختبار DKIM الأمنيّ، ما جعله يعامل كرسالةٍ عاديّةٍ في "جيميل".

خدعةٌ على هيئة إشعارٍ قانونيٍّ

الرّسالة الاحتياليّة جاءت في هيئة إشعارٍ رسميٍّ يفيد بتلقّي المستخدم استدعاءً قضائيّاً مرتبطاً بحسابه في "غوغل"، وتمّ إرسالها من عنوانٍ يبدو رسميّاً تماماً. لٰكن ما يفضحها، بحسب جونسون، هو أنّها كانت مستضافةً على نطاق [sites.google.com] بدلاً من [accounts.google.com].

وعند الضّغط على الرّابط، يتمّ توجيه المستخدم إلى بوّابة دعمٍ وهميّةٍ تحاكي صفحة تسجيل الدّخول الحقيقيّة، في محاولةٍ لسحب بيانات الدّخول.

 "غوغل" تتحرّك... وتوصي

وأكّدت "غوغل" في بيانٍ لها أنّها على علمٍ بهٰذه الهجمات المستهدفة، وأنّها أغلقت الثّغرة المستخدمة، وفعّلت إجراءات حمايةٍ إضافيّةٍ، لٰكنّها في الوقت نفسه شدّدت على ضرورة أن يتّخذ المستخدمون خطواتهم الخاصّة:

• اعتماد التّوثيق بخطوتين (2FA) أو مفاتيح المرور (Passkeys) كخيارٍ أمنيٍّ أوثق من كلمات المرور التّقليديّة.
• عدم إدخال أيّ معلوماتٍ حسّاسةٍ عبر روابط البريد، وفتح المواقع يدويّاً من المتصفّح للتّأكّد من صحّتها.

كما جدّدت "غوغل" تأكيدها أنّها لا تطلب من المستخدمين الإفصاح عن كلمات المرور، أو رموز المصادقة، أو الضّغط على إشعارات تأكيدٍ، ولا تتواصل معهم هاتفيّاً لهٰذا الغرض.

ما الّذي تبحث عنه؟

من أبرز علامات التّصيّد الإلكترونيّ الّتي يجب الحذر منها:

• تحيّةٌ عامّةٌ أو مبهمةٌ.
• نبرةٌ مستعجلةٌ ومخيفةٌ.
• روابط تطلب اتّخاذ إجراءٍ فوريٍّ، خصوصاً بشأن الحسابات أو البيانات الشّخصيّة.

وهل يمكن أن تكون الرّسالة من جهةٍ حكوميّةٍ؟

في حال وردت رسالةٌ تنصّ على وجود استدعاءٍ رسميٍّ أو طلب معلوماتٍ من جهةٍ حكوميّةٍ، تشير "غوغل" إلى أنّها تخطر المستخدم غالباً، ما لم يكن هناك منعٌ قانونيٌّ بذٰلك، على أن ترسل الإشعار لاحقاً حال رفع الحظر.

الخلاصة: لا تنقر. لا تتسرّع. تأكّد