كيف يستنسخ المهاجمون علامتك التجارية: دليل النطاقات المشابهة
نطاق يبعد حرفاً واحداً عن نطاقك يمكن أن يشغّل حملة تصيّد مقنعة، أو يعترض بريد العمل، أو ينتحل صفة مؤسستك لأشهر قبل أن ينتبه أحد. كيف تُبنى النطاقات المشابهة، وكيف تكتشفها مبكراً.
تسجيل نطاق يكلّف أقل من فنجان قهوة، والنطاق الذي يشبه نطاقك فقط غالباً ما يكون أكثر فائدة للمهاجم من نسخة طبق الأصل لشعارك. معظم الناس يقرؤون النطاقات بسرعة، على شاشة صغيرة، وسط صندوق بريد مزدحم — وهذه بالضبط اللحظة التي يتوقف فيها حرف واحد مُبدّل عن الظهور كخطأ.
كيف يبدو النطاق المشابه فعلياً
لا يحتاج المهاجمون إلى الإبداع — نفس الحيل القليلة تنجح في كل قطاع، لأنها تستغل طريقة عمل العين ولوحة المفاتيح، لا أي ثغرة خاصة بعلامة تجارية معينة:
- استبدال حرف أو حذفه: rasad.ps ← rased.ps، rasad.ps ← rsad.ps
- إضافة حرف أو تكراره: rasad.ps ← raasad.ps
- إضافة شرطة: rasad.ps ← ra-sad.ps
- Bitsquatting: قلب بت واحد ينتج نطاقاً يبعد حرفاً واحداً، يُسجَّل تحسّباً وينتظر زيارة بالخطأ
- تبديل النطاق الطرفي: rasad.ps ← rasad.com، رهاناً على أن الزائر لن يتحقق من النهاية
- أحرف متطابقة بصرياً (Homoglyphs): حروف من أبجدية أخرى تبدو مطابقة تماماً في معظم الخطوط (حرف "а" سيريلي بدل اللاتيني "a")
لماذا هذه النطاقات أخطر مما تتصور
النطاق المشابه نادراً ما يكون الهدف النهائي — هو بنية تحتية. بمجرد تسجيله، يمكن أن يستضيف صفحة دخول مستنسخة لجمع بيانات الاعتماد، أو يستقبل بريداً لاختراق بريد العمل (فاتورة مُرسلة من "[email protected]" تبدو شرعية لأول وهلة)، أو ببساطة يبقى بسجلات شفافية الشهادات لأسابيع، يبني ثقة بهدوء بشهادة TLS صالحة قبل إرسال أي بريد. وبحلول وقت انطلاق الحملة الفعلية، لا يعود النطاق جديداً — يبدو راسخاً.
كيف تكتشفها مبكراً
انتظار بلاغ من عميل عن رسالة مريبة يعني أن النطاق استُخدم فعلاً. هناك إشارتان آليتان تكتشفانه أبكر: فحص تباديل النطاق، الذي يولّد كل خطأ إملائي واستبدال وحرف متطابق بصرياً محتمل لنطاقك ويتحقق من أيها مسجَّل وفعّال، ومراقبة سجلات شفافية الشهادات، التي تراقب السجلات العامة التي تثق بها كل المتصفحات لأي شهادة جديدة صادرة لنطاق يشبه نطاقك — غالباً أول أثر علني يتركه النطاق المشابه، قبل أن يرسل أي بريد أو يستضيف أي صفحة.
ماذا تفعل عند اكتشاف نطاق مشابه
- لا تزره بشكل متكرر أو تتفاعل معه من جهاز عمل — بعض الصفحات المشابهة تُسجّل بصمة الزائرين.
- تحقق ما إذا كان فعّالاً حالياً وله شهادة TLS حية؛ النطاق المسجَّل فقط دون استخدام أولوية أقل من صفحة تصيّد نشطة.
- حذّر الموظفين والعملاء الذين قد يستقبلون بريداً منه بشكل معقول، خصوصاً في المالية أو المشتريات.
- قدّم بلاغ إزالة لمسجِّل النطاق أو مزوّد الاستضافة، مرفقاً بدليل شفافية الشهادات — معظم المزودين يتصرفون أسرع مع دليل ملموس من شكوى مجردة.
