قبل ما تبدأ: مفهوم بسيط يساعدك

رسائل التحقق الأصلية هدفها واحد: التأكد أنك تملك البريد. رسائل التصيّد هدفها الحقيقي مختلف: دفعك تضغط رابط وتدخل بياناتك في صفحة تشبه الأصلية تمامًا. لذلك، قاعدة “الاستعجال” هي سلاحهم الأول: يخلوك تتصرف بسرعة بدون تدقيق.

قائمة التحقق السريعة (خلال 30 ثانية)

• هل كنت فعلًا تحاول تسجل/تسوي تسجيل دخول الآن؟
• هل اسم المرسل والدومين منطقي ومطابق للخدمة؟
• هل الرابط يبدو رسميًا عند تمرير الماوس عليه؟
• هل الرسالة تحاول تخويفك أو تستعجلك؟
• هل تطلب منك كلمة مرور أو OTP أو بيانات دفع؟

إذا أي نقطة من هذه عليها شك، لا تضغط. انتقل للخطوات التفصيلية بالأسفل لتقييم الرسالة بثقة.

1) سياق الرسالة: أهم سؤال في العالم

اسأل نفسك: “هل أنا اللي بدأت العملية؟”

أغلب رسائل التحقق الحقيقية تأتي بعد إجراء منك: تسجيل، تغيير بريد، إعادة تعيين كلمة مرور، أو محاولة دخول. إذا وصلك بريد “تحقق الآن” وأنت ما فتحت حساب جديد ولا طلبت شيء—اعتبره إنذار مبكر. حتى لو شكل الرسالة ممتاز، المحتالون يتقنون القوالب.

في الإمارات، بسبب كثرة الخدمات والتطبيقات، ممكن تنسى أنت سجلت وين. هنا الحركة الصحيحة: لا تتبع الرابط داخل الرسالة، وافتح الخدمة من التطبيق أو الموقع الرسمي بنفسك.

2) فحص المرسل (From) والدومين: التفاصيل الصغيرة تكشف الكثير

لا تنخدع بالاسم الظاهر

“Amazon Support” أو “Bank Security Team” قد يكون مجرد اسم مزيف. اللي يهم هو البريد الفعلي والدومين. تحقق من الجزء بعد علامة @. هل هو دومين رسمي للخدمة أم شيء غريب مثل حروف إضافية أو تهجئة مختلفة؟

علامات خطر شائعة

• حروف ناقصة/زائدة في اسم الشركة (مثال: companny بدل company).
• دومين مجاني أو غير متوقع بدل الدومين الرسمي.
• سلسلة طويلة من الكلمات والشرطات بشكل غير معتاد.
• بريد “no-reply” صحيح الشكل لكن الدومين خطأ.

إذا كانت الرسالة من جهة حساسة (بنك/محفظة/بوابة دفع/حساب أعمال)، فأي اختلاف بسيط في الدومين يعتبر سبب كافٍ لعدم التفاعل.

3) فحص الرابط: تمرير الماوس يكفي أحيانًا

قبل الضغط، مرّر الماوس على زر “Verify” أو الرابط وشاهد العنوان الحقيقي الذي سيذهب إليه المتصفح. في الجوال، اضغط ضغط مطوّل على الرابط (بدون فتح) لعرض العنوان. السؤال: هل الرابط يذهب لنطاق الشركة الحقيقي؟

علامات خطر في الروابط

• اختلاف الدومين الأساسي: الصفحة تبدو من خدمة معروفة لكن الرابط يذهب لموقع آخر.
• روابط مختصرة: ليست دائمًا سيئة، لكن تستخدم بكثرة لإخفاء الوجهة.
• سلاسل غريبة في نهاية الرابط مع كلمات مثل verify، secure، login لإعطاء انطباع رسمي.
• حروف تشبه بعضها: مثل استخدام حروف تبدو كأنها لاتينية لكنها مختلفة.

نقطة مهمة: وجود https وحده لا يعني أن الموقع آمن. https يعني اتصال مشفّر، لكنه لا يثبت أن الموقع هو الموقع الصحيح.

4) محتوى الرسالة: أسلوب الكتابة يكشف النية

التصيّد يحب “الضغط النفسي”

رسائل التصيّد غالبًا تستخدم لغة استعجال أو تهديد: “سيتم إغلاق حسابك خلال ساعتين”، “تم رصد محاولة دخول مشبوهة، تحقّق فورًا”، “آخر فرصة لاستعادة حسابك”. الهدف هو قطع التفكير المنطقي.

راقب الجودة اللغوية ولكن لا تعتمد عليها وحدها

الأخطاء الإملائية أو الترجمة الركيكة مؤشر شائع، لكن اليوم كثير من الرسائل المزيفة أصبحت مصقولة جدًا. لذلك اجعل اللغة جزءًا من التقييم، وليس الأساس الوحيد.

الأصلية عادةً لا تطلب معلومات حساسة عبر البريد

رسالة تحقق شرعية عادةً تطلب منك فقط الضغط على رابط تفعيل أو إدخال كود داخل التطبيق/الموقع. إذا طلبت الرسالة كلمة مرورك، أو رقم بطاقتك، أو رمز OTP داخل نموذج عبر الرابط—اعتبرها خطيرة.

5) رموز التحقق (OTP) و”Verification Code”: كيف يتم استغلالها؟

كثير من الناس يعتقد أن مشاركة OTP مجرد رقم ينتهي بسرعة. الحقيقة: OTP هو مفتاح لحظي. إذا أعطيته للمحتال في نفس اللحظة، فهو قد يكمل تسجيل الدخول أو نقل الحساب خلال ثوانٍ. لهذا السبب، أي رسالة أو صفحة تطلب منك إدخال OTP خارج السياق الطبيعي تعتبر علامة خطر عالية.

قواعد ذهبية للـ OTP

• لا تشارك OTP مع أي شخص، حتى لو ادعى أنه دعم فني.
• لا تكتب OTP في صفحة وصلت إليها من بريد مشكوك فيه.
• إذا وصلك OTP بدون طلب منك، فهذا غالبًا محاولة دخول من طرف آخر.

6) التحقق الآمن: الطريقة “العملية” التي تقلل المخاطر

إذا وصلك بريد تحقق وأنت غير متأكد، أفضل أسلوب هو: لا تضغط الرابط داخل الرسالة. افتح التطبيق نفسه أو اكتب اسم الموقع الرسمي في المتصفح يدويًا، ثم راجع الإشعارات داخل حسابك. هذا الأسلوب البسيط يتجاوز 80% من خدع التصيّد لأنك لا تتبع مسارهم.

بديل آمن عند الحاجة للرسالة نفسها

أحيانًا تحتاج الرابط فعلًا لتأكيد البريد. هنا اعمل الخطوات التالية:

1. افتح الرسالة وشاهد الدومين بعناية.
2. افحص الرابط بالتمرير/الضغط المطوّل دون فتحه.
3. إذا كان الدومين مطابقًا، افتحه ثم تأكد من عنوان الموقع في المتصفح قبل إدخال أي بيانات.
4. لا تدخل كلمة المرور إذا كان المطلوب “فقط التحقق”.

7) إشارات إضافية (Advanced) لمن يحب الدقة

الروابط التي تحتوي على إعادة توجيه (Redirect)

بعض روابط التصيّد تستخدم صفحة وسيطة تعيد توجيهك لاحقًا للموقع المزيف. ستلاحظ هذا عندما يكون الرابط طويلًا جدًا ويحتوي على كلمات مثل redirect أو url أو continue. ليست دائمًا جريمة، لكن مع رسالة غير متوقعة، تصبح مخاطرة.

المرفقات في رسائل التحقق

رسائل التحقق الحقيقية نادرًا ما تحتاج مرفقات. إذا كانت الرسالة تحتوي PDF أو ملف “فاتورة” أو “وثيقة تأكيد”، انتبه. كثير من الهجمات تبدأ من ملف بسيط.

الصور بدل النص

بعض الرسائل تكون عبارة عن صورة كبيرة مع زر داخلها لتفادي الفلاتر النصية. هذا أسلوب شائع للتصيّد. إذا كانت الرسالة “صورة أكثر من نص”، تعامل معها بحذر.

8) ماذا تفعل إذا ضغطت الرابط بالغلط؟

لا تهلع، لكن تحرك بسرعة وبخطوات واضحة:

1. أغلق الصفحة فورًا إذا لاحظت شيء غريب (دومين، تصميم، طلب بيانات غير منطقي).
2. لا تدخل أي بيانات إضافية حتى لو ظهرت لك “صفحة دعم” بعدها.
3. غيّر كلمة المرور للحساب المعني من الموقع الرسمي مباشرة.
4. فعّل التحقق بخطوتين إذا لم يكن مفعلًا.
5. راجع سجل الأجهزة/الجلسات داخل إعدادات الحساب وقم بتسجيل الخروج من الأجهزة غير المعروفة.

9) ماذا لو أدخلت كلمة المرور أو OTP فعلًا؟

هنا نعامل الموضوع كحادث أمني صغير ونقفل الباب بسرعة:

1. غيّر كلمة المرور فورًا من الموقع/التطبيق الرسمي.
2. غيّر كلمة المرور على البريد الأساسي أيضًا إذا كان مرتبطًا بالحساب.
3. فعّل 2FA (تطبيق مصادقة أفضل من الرسائل النصية إذا كان متاحًا).
4. افحص إعدادات التحويل والبريد في حساب البريد: هل تم إضافة تحويل تلقائي أو فلتر غريب؟
5. راقب أي عمليات غير مألوفة مثل تغييرات بيانات أو طلبات أو رسائل إرسال لم تقم بها.

هذه الخطوات تقلل الضرر بسرعة، خصوصًا إذا تم تنفيذها خلال دقائق من وقوع الخطأ.

10) عادات يومية تقلل التصيّد بدون ما تحس

• خصص بريدًا للتسجيلات بدل استخدام بريدك الرئيسي لكل شيء.
• استخدم بريدًا مؤقتًا للتجارب عندما لا تحتاج حسابًا دائمًا.
• لا تضغط الروابط من الرسائل غير المتوقعة حتى لو كانت “شكلها رسمي”.
• حدّث نظام الجهاز والمتصفح لأن كثير من الحماية تأتي من التحديثات.
• إذا شكّيت، افتح الخدمة يدويًا بدل اتباع الرابط.

11) نموذج فحص جاهز (استخدمه كل مرة)

خذها كعادة بسيطة قبل أي “Verify”:

• السياق: هل طلبت هذا التحقق؟
• المرسل: هل الدومين رسمي بلا تهجئة غريبة؟
• الرابط: هل يذهب لنفس الدومين الرسمي؟
• المحتوى: هل فيه استعجال/تهديد/طلب بيانات حساسة؟
• الإجراء: هل يمكنني تنفيذ الخطوة من داخل التطبيق بدل الرابط؟

الخلاصة: في التصيّد، الهدوء أقوى من السرعة

رسائل التحقق جزء طبيعي من حياتنا الرقمية، لكن المحتالين يعتمدون على “الضغط” و”العادة”. لو طبقت قائمة التحقق هذه، ستقل احتمالات الوقوع في التصيّد بشكل كبير: افحص السياق، تحقق من المرسل والرابط، ولا تعطي كلمة مرور أو OTP خارج المسار الرسمي. والأهم: إذا كنت غير متأكد، افتح التطبيق أو الموقع بنفسك—هذه أبسط حركة وأقواها.

اجعلها عادة يومية، وخل بريدك وحساباتك في أمان… بدون توتر وبدون تعقيد.