بينما تستثمر المؤسسات مبالغ طائلة في تأمين عمليات تسجيل الدخول عبر أنظمة المصادقة متعددة العوامل (MFA) وسياسات الوصول المشروط، تظل هناك "ثغرة خلفية" قد تطيح بكل هذه الدفاعات: عملية استرداد الوصول عبر مكاتب الدعم الفني (Service Desks). تكمن المشكلة في أن معايير التحقق عند فقدان الوصول غالباً ما تكون أضعف بكثير من معايير تسجيل الدخول المعتادة، مما يفتح باباً واسعاً للهندسة الاجتماعية.
انهيار نموذج التحقق القائم على المعرفة
تعتمد العديد من مكاتب الدعم الفني حتى الآن على أساليب تقليدية للتحقق من الهوية، مثل طرح أسئلة معرفية (Knowledge-based verification) تشمل اسم المدير المباشر، أو القسم، أو تفاصيل شخصية أخرى. هذا النموذج أصبح غير آمن في العصر الرقمي الحالي؛ فالمهاجمون يمكنهم بسهولة جمع هذه المعلومات من منصات مثل LinkedIn، أو المواقع الرسمية للشركات، أو حتى من خلال البيانات المسربة.
بمجرد حصول المهاجم على هذه التفاصيل، يمكنه انتحال شخصية الموظف وإقناع موظف الدعم الفني بإعادة تعيين كلمة المرور أو تسجيل جهاز مصادقة جديد، وبذلك يتم تجاوز حماية MFA دون الحاجة لاختراق الحساب الأصلي تقنياً.
الذكاء الاصطناعي: سلاح جديد للهندسة الاجتماعية
لم تعد الهجمات تقتصر على رسائل البريد الإلكتروني الاحتيالية التقليدية، بل انتقلت إلى مستوى أكثر تعقيداً بفضل الذكاء الاصطناعي التوليدي. تشير البيانات إلى تحول خطير في أساليب المهاجمين:
- التزييف العميق (Deepfakes): يمكن للمهاجمين استخدام تقنيات تزييف الصوت لتقليد نبرة صوت الموظف، مما يجعل من الصعب جداً على موظفي الدعم الفني التمييز بين المتصل الحقيقي والمحتال.
- زيادة نجاح الهجمات: وفقاً لتقرير Verizon لعام 2026، سجلت عمليات الهندسة الاجتماعية عبر الرسائل النصية والمكالمات الصوتية نسبة نجاح أعلى بـ 40% مقارنة بالتصيد عبر البريد الإلكتروني.
- توسع النطاق: أظهر استطلاع لشركة Gartner أن 62% من المؤسسات تعرضت لهجمات تزييف عميق أو عمليات هندسة اجتماعية مؤتمتة خلال العام الماضي.
ما الذي يتغير عملياً؟
تجاوز هذه الثغرة لا يتطلب فقط تدريب الموظفين، بل يتطلب تغييراً جذرياً في بنية عمليات استرداد الحسابات. لم يعد كافياً الاعتماد على "الحدس" أو قدرة الموظف على تمييز الصوت أو الأسلوب، بل يجب تحويل عملية التحقق إلى خطوة تقنية إلزامية وغير قابلة للتفاوض.
التحول نحو التحقق الرقمي الآمن يتضمن:
- استبدال الأسئلة المعرفية بوسائل تحقق رقمية مثل الرموز المرسلة عبر البريد الإلكتروني، أو الرسائل النصية (SMS)، أو تطبيقات المصادقة الخارجية (مثل Duo).
- دمج عمليات التحقق ضمن سير عمل مكتب الدعم الفني بحيث لا يتم تنفيذ أي إجراء حساس (مثل إعادة تعيين كلمة المرور) إلا بعد نجاح عملية التحقق الرقمي.
- تقليل الاعتماد على العنصر البشري في اتخاذ قرار "هل هذا الشخص هو الموظف فعلاً؟" وتحويله إلى قرار تقني مبني على أدلة رقمية.
إن إهمال تأمين مسار استرداد الوصول لا يمثل مخاطرة أمنية فحسب، بل يترتب عليه تكاليف تشغيلية باهظة؛ حيث تقدر تكلفة إعادة تعيين كلمة المرور الواحدة بنحو 70 دولاراً، ناهيك عن تعطل إنتاجية الموظفين وساعات التوقف التي تسببها عمليات الاختراق أو حتى طلبات الدعم غير المنظمة.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.