الساعة 17:40 من يوم جمعة. تجمع أغراضك. يهتزّ الهاتف، رقم مجهول، ورسالة قصيرة:
«مرحبًا، أنا لوران. أنا في اجتماع ولا أستطيع الرد. أحتاج إليك في عملية سرّية، هل أنت متاح؟»
لوران هو الاسم الأول لمديرك العام. الرسالة مهذّبة، بلا أخطاء، بلا رابط، بلا مرفق. وهي لا تطلب شيئًا — ليس بعد. إنها تسأل فقط إن كنت موجودًا. ولأنها لا تطلب شيئًا تحديدًا، يردّ معظم الناس بـ«نعم».
لطالما عُومل التصيّد عبر الرسائل النصية في الشركات كمشكلة تخصّ قسم المعلوماتية، تُحلّ بمرشّحات على البريد المهني. في 2026، غيّر باب دخوله: صار يمرّ عبر الهاتف المحمول للموظفين، وهو ميدان لا يرشّح فيه صاحب العمل شيئًا، ولا وجود فيه لتنبيهات الأمان، وتصل فيه الرسالة وسط رسائل طبيب الأسنان والمدرسة.
لماذا صار الهاتف المحمول هو الحلقة المختارة
أي شركة، حتى الصغيرة، تحمي صناديق بريدها بشكل لا بأس به. مضاد للرسائل المزعجة، شريط «مُرسِل خارجي»، حجب للمرفقات القابلة للتنفيذ، مصادقة متعددة العوامل: للبريد الاحتيالي فرص كبيرة في أن يُستبعد أو يُبلَّغ عنه قبل أن يُقرأ.
أما الرسالة النصية المهنية فلا وجود حقيقيًا لها كقناة مؤطّرة. في الغالبية العظمى من الكيانات الفرنسية، تمرّ التبادلات الداخلية العاجلة عبر الهاتف الشخصي أو عبر هاتف وظيفي غير خاضع للإشراف. والنتيجة:
- لا ترشيح يُقارن بما هو موجود في البريد الإلكتروني.
- لا شريط تنبيه يشير إلى مُرسِل خارجي أو غير معتاد.
- شاشة ضيّقة، نقرأ عليها بسرعة، غالبًا ونحن واقفون، وغالبًا ونحن نمشي.
- عُرف اجتماعي يقوم على الإيجاز: رسالة من ثلاثة أسطر بلا عبارات مجاملة لا تصدم أحدًا، في حين أن بريدًا مماثلًا سيبدو مريبًا.
يُضاف إلى ذلك التوافر الهائل للمعلومات المهنية. لم يعد المحتال بحاجة إلى اختراق أي شيء: الهياكل التنظيمية المنشورة، والشبكات المهنية، والبيانات الصحفية، والبيانات القانونية، وإعلانات التوظيف تكفي لإعادة تركيب من يدير، ومن يتولّى الرواتب، ومن يوقّع التحويلات، ومن التحق حديثًا بالفريق. والقادم الجديد، بالمناسبة، هدف مفضّل إحصائيًا: فهو لا يعرف بعد عادات المكان ولن يجرؤ على قول لا.
السيناريوهات الأربعة الأكثر تكرارًا
1. الاحتيال على هيئة المدير، نسخة الرسائل النصية
هذا هو السيناريو الافتتاحي الموصوف أعلاه. لا يبدأ أبدًا بطلب مال. يبدأ بتواصل بريء ظاهريًا — «هل أنت متاح؟»، «غيّرتُ رقمي، سجّل هذا الرقم» — وهدفه الوحيد الحصول على ردّ أول. هذا الردّ يقلب طبيعة العلاقة: من اللحظة التي كتبتَ فيها «نعم، تفضّل»، تكون قد دخلت في محادثة، والمحادثة تخلق التزامًا ضمنيًا بمواصلة الرد.
أما التكملة فنادرًا ما تأتي على شكل تحويل مباشر. غالبًا ما تسلك مسالك أكثر تكتّمًا: شراء بطاقات هدايا رقمية «لأحد العملاء»، إرسال عاجل لنسخة ممسوحة من وثيقة، تمرير قائمة جهات اتصال، أو المصادقة على دفعة «أعدّها المكتب» سلفًا.
توثّق الشرطة الوطنية والمنصة الحكومية Cybermalveillance.gouv.fr منذ عدة سنوات هذه العائلة من عمليات النصب المعروفة بـ«أمر التحويل المزيف». ونسخته عبر الهاتف المحمول ليست سوى تكيّف مع القناة الأسرع.
2. الدعم المعلوماتي المزيف
هنا تحاكي الرسالة تذكرة دعم أو تنبيهًا تقنيًا:
«[قسم نظم المعلومات] تنتهي صلاحية جلستك على Microsoft اليوم. أعد تسجيل الدخول لتجنّب تعليق حسابك: …»
يستهدف هذا السيناريو كلمة المرور، وقبل كل شيء رمز التحقق ذا الاستخدام الواحد. وأكثر صيغه فعالية في 2026 تجمع بين الرسالة والمكالمة: تصلك الرسالة أولًا، ثم يشرح لك محدّث هادئ جدًا أنه «يعالج التذكرة» ويطلب منك أن تقرأ له الرمز الذي تلقّيته للتو. هذا الرمز هو ذاته الذي أطلقه المحتال بنفسه وهو يحاول الدخول إلى حسابك المهني.
3. تغيير البيانات المصرفية
النسخة المحاسبية من الاحتيال. رسالة تقدّم نفسها على أنها من مورّد معتاد وتعلن تغيير الحساب البنكي، مع ذكر مرجع فاتورة دقيق أحيانًا — حُصل عليه إثر اختراق سابق لصندوق بريد المورّد الحقيقي. تعمل الرسالة النصية كتذكير أو تأكيد لبريد احتيالي: فتلقّي المعلومة نفسها عبر قناتين مختلفتين يخلق انطباعًا بالاتساق فعّالًا إلى حدّ مخيف.
4. رسالة الموارد البشرية المزيفة
«تحديث إلزامي لملفك كموظف قبل 15/09: شهادة، بيانات الحساب البنكي وبطاقة الهوية تُرفع هنا.»
هذه الحملة تستهدف الموظف مباشرة، لا الشركة. الهدف جمع هوية كاملة: مستند إثبات، بيانات مصرفية، رقم الضمان الاجتماعي. ما يكفي لفتح قروض استهلاكية، أو تحويل وجهة تعويض مالي، أو تغذية ملف انتحال هوية يظهر بعد أشهر.
ما يجعل هذه الرسائل صعبة الاكتشاف في 2026
ثلاثة تطورات أسقطت المعالم المعتادة.
جودة اللغة. لم تعد الأخطاء الإملائية والترجمات الركيكة مؤشرًا موثوقًا. صارت النصوص سلسة، ومنقّطة بشكل صحيح، ومتكيّفة مع مفردات القطاع المستهدف.
الرقم الظاهر. انتحال معرّف المُرسِل يتيح إظهار اسم بدل رقم، وأحيانًا داخل خيط محادثة جهة اتصال موجودة أصلًا. وقد دعمت Arcep والاتحاد الفرنسي للاتصالات إرساء آلية مصادقة الأرقام — «MAN» — التي تحدّ من الظاهرة في المكالمات، لكن منظومة المُرسِلين ذوي المعرّفات النصية تبقى غير محكمة تمامًا.
معرفة السياق. يذكر المحتال اسم مشروع حقيقي، وموعدًا نهائيًا حقيقيًا، واسم عميل حقيقي. ونادرًا ما تأتي هذه المعلومة من اختراق: إنها تأتي من منشورات الشركة نفسها.
لم يعد ردّ الفعل السليم «هل هذه الرسالة مقنعة؟» بل «هل هذا الطلب طبيعي عبر هذه القناة؟». مديرٌ يطلب عملية مالية عبر رسالة نصية أمر غير طبيعي، حتى لو بدا كل ما عداه مثاليًا.
القاعدة الوحيدة التي تحمي أكثر من غيرها: المعاودة عبر قناة تختارها أنت
كل التوصيات تختصر في جملة واحدة: لا نتحقّق أبدًا من طلب باستخدام بيانات الاتصال التي يوفّرها الطلب نفسه.
عمليًا:
- لا تردّ على الرسالة، ولو بـ«من أنت؟». أي ردّ يؤكد أن الرقم نشط وأنك تقرأ.
- عاود الاتصال بالشخص على الرقم الذي تملكه أنت مسبقًا في دليل جهات اتصالك، أو عبر الدليل الداخلي، أو بإطلالة رأسك من باب المكتب المجاور.
- إذا كان الطلب متعلقًا بالمال، طبّق قاعدة الرقابة المزدوجة: شخصان، قناتان مختلفتان، ولا استثناء بحجة الاستعجال.
- أبلغ عن الرسالة إلى 33700، الخدمة الوطنية للإبلاغ عن الرسائل النصية غير المرغوب فيها، وأعد توجيهها إلى مسؤول المعلوماتية أو إلى الإدارة.
- احتفظ بلقطة شاشة مؤرَّخة: ستفيد إذا وجب تقديم شكوى.
الاستعجال هو الأداة الوحيدة التي لا غنى عنها فعلًا للمحتال. محتالٌ لا يستطيع الضغط على ضحيته يفقد سيناريوه. لهذا فإن أنجع وسيلة دفاع داخل الشركة ليست تقنية بل ثقافية: أن يُرسّخ صراحة أن لا طلب عاجل يحتاج يومًا إلى معالجة في أقل من ساعة، وأن أحدًا لن يُلام أبدًا على أنه تحقّق.
الفصل بين المهني والشخصي، دون تعقيد الحياة
جزء من المشكلة ينبع من خلط الاستخدامات. حين يستقبل الهاتف نفسه رسائل البنك ورسائل الحضانة ورسائل العمل، يتشابه كل شيء ولا يُتحقَّق من شيء.
توجد عدة حلول بسيطة، دون الحاجة إلى سياسة مؤسسية ثقيلة:
- الرقم الثاني. هاتف بشريحتين، أو شريحة eSIM ثانوية مخصّصة للعمل، يتيح التقسيم. رسالة مهنية تصل إلى الخط الشخصي تصبح مريبة فورًا — إشارة مجانية وموثوقة جدًا.
- الملف المهني. يوفّر Android مساحة عمل منفصلة؛ ويسمح iOS بأوضاع تركيز متمايزة. تتوقف الإشعارات المهنية عن الظهور مساءً، ما يقلّص آليًا نافذة الهجوم أمام الرسائل المُرسَلة خارج ساعات العمل.
- دفتر جهات اتصال محدَّث. دليل كامل ودقيق، مع صورة إن أمكن، يحوّل الرقم المجهول إلى إشارة إنذار. إنه الإجراء الأقل كلفة والأكثر إهمالًا.
أما بالنسبة إلى الموظفين الذين يتعاملون مع حسابات حساسة — المحاسبة، الرواتب، إدارة الأنظمة — فإن استبدال الرمز الوارد عبر الرسائل النصية بـ**مفتاح أمان مادي FIDO2** يغيّر طبيعة المخاطرة: الرمز يمكن إملاؤه هاتفيًا على محتال، أما المفتاح المادي فلا. وهي اليوم الحماية الوحيدة التي تصمد أمام سيناريو «الدعم المعلوماتي المزيف يتصل بك».
وفي السياق نفسه، يجنّب مدير كلمات المرور إعادة استخدام المعرّف ذاته بين خدمة شخصية مخترقة ووصول مهني. وعلى الحواسيب المحمولة المستخدمة في المكاتب المفتوحة أو في القطار أو في مساحات العمل المشتركة، يمنع فلتر الخصوصية للشاشة القراءة الجانبية للمعلومات نفسها — فالمحتالون الأكثر تنظيمًا يجمعون المعطيات خارج الإنترنت أيضًا.
ما ينصّ عليه الإطار الفرنسي
ثلاث نقاط جديرة بأن يعرفها كل موظف.
الهاتف الشخصي لا يمكن مراقبته. إذا كنت تستخدم هاتفك الخاص للعمل، فلا يمكن لصاحب العمل تثبيت أداة رقابة عليه دون تأطير صارم وإعلام مسبق. وتذكّر CNIL بانتظام أن إرساء أدوات أمنية على معدات شخصية يفترض الشفافية والتناسب واستشارة هيئات تمثيل العاملين. فالموظف الضحية للتصيّد عبر الرسائل ليس مضطرًا إذًا للخوف من فحص هاتفه الخاص.
الإبلاغ ليس خطأً. كثير من الموظفين يصمتون بعد النقر، خجلًا أو خوفًا من العقوبة. وهذا أسوأ سيناريو ممكن: فالمهلة بين النقر والإبلاغ هي المتغيّر الذي يحدّد حجم الأضرار. والشركة التي تعاقب على الإبلاغ تضمن ببساطة ألّا تُبلَّغ بعد ذلك.
التعويض المصرفي يتوقف على القناة. ينصّ القانون النقدي والمالي على ردّ قيمة عمليات الدفع غير المصرّح بها، لكن العملية التي صادقت عليها الضحية بنفسها على تطبيقها تخضع لنظام آخر، هو نظام الإهمال الجسيم، الذي يُقدَّر حالة بحالة. وقد اعتبر اجتهاد محكمة النقض مرارًا أن تعقيد الأسلوب — لا سيما انتحال رقم اتصال البنك — قد يستبعد هذا الإهمال الجسيم. بعبارة أخرى: جودة المحاكاة تلعب لصالح الضحية، شريطة أن تكون قادرًا على توثيقها.
خطة بسيطة تُعلَّق في الشركة
| الوضعية | ردّ الفعل الفوري | ما يجب تجنّبه مطلقًا |
|---|---|---|
| رسالة من مدير عبر رقم مجهول | معاودة الاتصال على رقم الدليل الداخلي | الرد بـ«نعم» أو «هل هذا أنت؟» |
| طلب رمز وارد عبر رسالة نصية | إنهاء المكالمة، بلا استثناء | إملاء الرمز، ولو على «تقني» |
| تغيير في الحساب البنكي مُعلن برسالة | الاتصال بالمورّد على رقم فاتورة قديمة | المصادقة استنادًا إلى الرسالة وحدها |
| رابط إلى بوابة موارد بشرية أو معلوماتية | فتح البوابة عبر مفضّلة موجودة سلفًا | النقر انطلاقًا من الرسالة |
| رسالة تمّ النقر عليها بالفعل | إبلاغ قسم نظم المعلومات خلال ساعة، وتغيير كلمة المرور | الانتظار لمعرفة إن كانت ستترتب عواقب |
بالنسبة إلى الكيانات التي لا تملك قسمًا معلوماتيًا، فإن دليلًا عمليًا للأمن السيبراني للشركات الصغيرة والمتوسطة بصيغة ورقية، يُترك في قاعة الاستراحة، غالبًا ما يفعل أكثر من مذكرة داخلية: فهو يمنح مفردات مشتركة ويُضفي شرعية على طرح الأسئلة.
جوهر المشكلة
لا يقوم التصيّد المهني عبر الرسائل النصية على أي براعة تقنية. إنه يقوم على تنظيم للعمل يُمجَّد فيه الاستعجال، ويمتصّ فيه الهاتف الشخصي تدفقات مهنية، ولا يزال فيه قول «سأتحقّق» يُفهم على أنه نقص في سرعة التجاوب.
تستغل حملات 2026 هذه المنطقة الرمادية بفعالية مخيفة، لأنها لا تهاجم أنظمة بل عادات. والخبر الجيد أن العادات تتغيّر أسرع من البنية التحتية: يكفي أن يُتّخذ قرار جماعي بأن لا طلب مالي يُعالَج عبر الرسائل النصية حتى تصبح عائلة كاملة من عمليات النصب عديمة الجدوى.
وإن كانت الرسالة قد زرعت الشكّ فيك أصلًا، فاحتفظ بهذه القاعدة: المدير الحقيقي، والمورّد الحقيقي، والدعم المعلوماتي الحقيقي سيتفهّمون دائمًا أنك أخذت خمس دقائق للتحقق. أما المحتال، فلا أبدًا.
موارد مفيدة: الإبلاغ عن الرسائل النصية الاحتيالية على 33700؛ منصة Cybermalveillance.gouv.fr للتشخيص والمساعدة؛ منظومة Perceval (service-public.fr) للاستخدامات الاحتيالية للبطاقة المصرفية؛ Info Escroqueries على 817 805 805 0 (اتصال مجاني).
