أصدر FBI وCISA في 16 أكتوبر 2026 تحذيرا من تهديدات سيبرانية تستهدف مسؤولي الانتخابات وفرق الحملات في الولايات المتحدة، ومنها رسائل تصيد قد يجعلها الذكاء الاصطناعي أكثر إقناعا. والخلاصة العملية أن النص المتقن، وحتى الصوت المألوف، لا يكفيان للموافقة على مشاركة معلومات أو تسجيل الدخول إلى حساب. ينبغي التحقق من الطلبات الحساسة عبر قناة منفصلة.
يأتي التحذير قبيل انتخابات التجديد النصفي الأمريكية، لكنه لا يعلن عن اختراق جديد لنظام تصويت. ولا يقدم دليلا على تغيير نتائج انتخابات. وهذا تمييز مهم: سرقة حساب موظف حملة، وكشف وثيقة داخلية، واختراق بنية انتخابية هي أحداث مختلفة، تختلف تبعاتها ومتطلبات إثباتها.
ما الذي تحذر السلطات من احتمال وقوعه
بحسب البيان المشترك، قد يستخدم فاعلون خبيثون التصيد عبر البريد والرسائل النصية للحصول على بيانات دخول ومعلومات حساسة. ويجذبهم مسؤولو الانتخابات والمرشحون والمنظمات السياسية بسبب وصولهم إلى معلومات ومسؤولين. وتصف الوكالتان أيضا محتوى صوتيا ومرئيا مزيفا يعزز انتحال الهوية، وتوصيان بمصادقة متعددة العوامل مقاومة للتصيد والتحقق من الطلبات عبر قناة أخرى.
لا يقدم المستند نسبة نجاح تقارن رسائل كتبها الذكاء الاصطناعي برسائل تقليدية، ولا يحدد حملة هجوم بعينها أساسا لمثل هذه المقارنة. لذلك لا يمكن تحويل التحذير إلى رقم لحجم الضرر أو استنتاج أن كل رسالة مشبوهة أنتجها نموذج. وتبقى حماية الحسابات مفيدة حتى عندما تكون أدوات المرسل غير معروفة.
يستخدم المنشور مصطلح SI، ومعناه الحرفي الذكاء الفائق، لوصف قدرات التوليد والأتمتة. لكن المصطلح لا تصاحبه برهنة على وجود نظام كهذا أو مشاركته في حادثة. ولا يحتاج فهم الخطر إلى افتراض قدرة استثنائية: تكفي رسالة تبدو موثوقة وتطلب من المتلقي فعلا كان سيرفضه لولا ذلك.
لماذا لم تعد الصياغة الجيدة اختبارا للأصالة
يسهل عند فحص رسالة التركيز على الإملاء والنبرة. وهما مؤشرات مريحة، لكن القرار الأهم يتعلق بشيء آخر: ماذا يطلب مني، ومن يملك صلاحية طلبه، وهل قناة وصوله توافق الإجراء المعتمد؟ لا تجيب عبارة سلسة عن أي من هذه الأسئلة. كما أن الاسم المألوف في خانة المرسل لا يغني عن التحقق من الهوية.
مثلا، قد يكون طلب عاجل لمراجعة مستند جزءا من العمل المعتاد. وإذا اشترط تسجيل الدخول عبر رابط جديد، فالأفضل فتح الخدمة من الإشارة المرجعية المعتادة والبحث عن المستند هناك. وإن لم يظهر، يمكن سؤال الشخص المعني عبر رقم أو قناة معروفين مسبقا. هذا مثال لسلوك موصى به، لا وصف لهجوم رُصد في التحذير.
وينطبق المبدأ نفسه إذا طلب شخص يبدو صوته كصوت زميل إرسال ملف. لا حاجة إلى الحسم فورا في ما إذا كان الصوت مولدا بالحاسوب. يمكن وقف الإجراء وطلب تأكيد عبر قناة العمل المتفق عليها. عندئذ يستند القرار إلى عملية قابلة للتحقق، لا إلى شعور بالثقة تصنعه ألفة الصوت أو أسلوب الكتابة.
المصادقة المقاومة للتصيد ليست مجرد رمز إضافي
بحسب إرشادات الهوية الرقمية لدى NIST، لا تعد الرموز التي يدخلها المستخدم يدويا مصادقة مقاومة للتصيد. فالرمز ليس مرتبطا بالضرورة بالاتصال المحدد أو بالخدمة المقصودة. في المقابل، يستطيع WebAuthn، المستخدم في FIDO2، ربط المصادقة باسم الخدمة. الفرق في الآلية، لا في عدد الخطوات التي يراها المستخدم.
ومن هنا يبرز سؤال مفيد لمسؤول النظام: ما طريقة المصادقة المفعلة فعليا في الحسابات الحساسة؟ وضع علامة عامة أمام المصادقة متعددة العوامل في قائمة مهام لا يجيب عنه. ينبغي سؤال مزود الخدمة عن الخيارات المقاومة للتصيد، ومن فُعلت لهم، وما يحدث حين يفقد موظف جهازه أو يطلب استعادة الوصول.
يتطلب تطبيق مصادقة قوية تخطيطا بشريا أيضا. على الموظف المؤقت أن يعرف كيف يدخل بأمان منذ اليوم الأول، وإلى من يلجأ إن حدث خلل. فمسار الدخول الرسمي المعقد أو الغامض يخلق ضغطا للبحث عن اختصار. لذلك يستحسن اختبار التسجيل والدعم مسبقا، لا شاشة الدخول المعتادة وحدها.
ما الذي يستطيع فريق صغير تغييره هذا الأسبوع
الخطوة الأولى الموصى بها تحديد الطلبات التي لا تعتمد أبدا على رسالة واحدة. مثل تغيير الصلاحيات أو إرسال قائمة جهات اتصال أو إعادة ضبط وصول إداري. ينبغي ربط كل فعل بموافق محدد وقناة تحقق معروفة. ويجب أن تكون القاعدة قصيرة بما يكفي ليتذكرها الموظف المشغول تحت الضغط.
ثم ينبغي فحص سهولة الإبلاغ عن رسالة مشبوهة. لا يفيد عنوان أو زر إبلاغ إلا إذا كان هناك من يعالج البلاغات ويرد. ومن المفيد شرح التصرف أثناء الانتظار، مثل عدم فتح مرفق آخر أو تقديم بيانات، من دون وقف العمل كله أو نشر الرسالة في مجموعات إضافية.
ويستحسن أيضا تدريب قصير على طلب عاجل يبدو آتيا من مدير، بينما صاحب الموافقة المعتاد غير متاح. الهدف ليس ضبط موظف أخطأ، بل معرفة إن كان هناك بديل آمن يعرفه الفريق فعلا. فالعملية التي لا تعمل إلا عندما يكون الجميع متاحين وواثقين لا تعالج لحظة وصول الطلب الاستثنائي.
ماذا تفعل إذا سُلّمت المعلومات بالفعل
إذا أدخل موظف كلمة مرور أو وافق على طلب مشبوه، فالتوصية العملية التواصل فورا مع الأمن أو الدعم عبر القناة المعروفة ووصف ما حدث بدقة. يجب التمييز بين فتح رسالة وتنزيل ملف وإدخال كلمة مرور والموافقة على دخول. تساعد هذه التفاصيل المختص على تحديد ما يفحصه دون مطالبة الموظف بتشخيص الحادث بنفسه.
يستحسن حفظ الرسالة ووقت الواقعة واتباع تعليمات الفريق المعالج بشأن تغيير بيانات الدخول وفحص نشاط الحساب. ولا حاجة إلى مواصلة الحديث مع المرسل لإثبات الانتحال. ينبغي أن يعرف الموظف أن الإبلاغ السريع أفضل من انتظار اليقين بوقوع ضرر، وأن الخطأ ليس سببا لإخفائه.
بالنسبة إلى منظمة إسرائيلية، يدعو التحذير الأمريكي إلى مراجعة إجراءات العمل، ولا يثبت أنها تعرضت لهجوم أو تواجه التهديد الموجه نفسه. السؤال المفيد: هل يستطيع طلب يبدو موثوقا تجاوز القواعد؟ إذا نعم، يمكن البدء بإصلاح صغير قابل للقياس: طلب حساس واحد، وقناة تحقق واحدة، ومسؤول محدد يتأكد من أن الإجراء يعمل.