Social Engineering — البني آدم أرخى نقطة في المنظومة

ليه الإنسان هو أرخى نقطة في المنظومة؟

مبادئ الإقناع — Cialdini

• Authority — هيبة المنصب — "أنا من الـ IT". الناس بتنفّذ للزي الرسمي من غير ما تسأل.
• Urgency — ضغط الوقت — "حسابك هيتقفل خلال ساعة". لما العقل يتحط تحت ضغط، بيختصر التفكير.
• Scarcity — الفرصة الأخيرة — "فاضل 10 أماكن بس". الخوف إن الحاجة تفوتك بيغلب الحساب الهادي.
• Social Proof — ضغط الجماعة — "كل زمايلك خلصوا التحديث". محدش حابب يبقى الشاذ في القاعدة.
• Liking — الألفة — يكلّمك بصيغة صاحب أو زميل قديم. بترخّي حذرك تلقائي.
• Reciprocity — رد الجميل — يقدم لك حاجة صغيرة الأول، فبتحس إنك مدين له بطلبه.
• Commitment — التورّط التدريجي — يخليك توافق على حاجة صغيرة، فالكبيرة بتعدّي ورا الأولى من غير مقاومة.

أنواع الهجمات — اعرف اللي قصادك

بناء حملة Phishing احترافية (تمرين مصرّح به)

evilginx2 -p phishlets/  # MFA bypass via reverse proxy
gophish + chameleon       # كامل: حملة + تتبع
modlishka                # 2FA-bypassing reverse proxy
goPhish                  # حملات تدريبية</Code>

dnstwist target.gov         # توليد دومينات متشابهة
# ت𝖺rget.gov, target-gov.com, target.g0v, t4rget.gov

تخطّي الـ MFA باستخدام Adversary-in-the-Middle

أدوات زي evilginx2 بتقعد reverse proxy بين الضحية والموقع الحقيقي. الضحية بتدخّل اليوزر والباسورد وكود الـ MFA — كل حاجة بتعدّي طبيعي للسيرفر الأصلي — بس المهاجم في النص بيلتقط الـ session cookie النهائي. الضحية مش حاسّة بأي عَرض، والـ login نجح فعلاً من جهتها.

الحماية — الطبقة التقنية

1. SPF / DKIM / DMARC بسياسة p=reject. أي حاجة أقل من كده ضعف صريح.
2. Anti-spoofing على الإيميل الوارد (Microsoft Defender for Office, Proofpoint, Mimecast).
3. Sandbox للمرفقات + URL rewriting + click-time scanning.
4. FIDO2 / Passkeys بدل TOTP/SMS — بيقفل سكة الـ AiTM phishing من أصلها.
5. Conditional Access — امنع الدخول من دول أو IPs مش معتادة للحساب.
6. Browser isolation للفرق الحساسة (مالية، إدارية، تنفيذية).
7. رصد الدومينات الشبيهة اللي اتسجّلت حديثاً عبر DomainTools / urlscan.io watchlists.

الحماية — الطبقة البشرية (الأهم)

• تدريب قصير ومنتظم (15 دقيقة كل شهر أنفع بكتير من ساعتين كل سنة).
• محاكاة phishing داخلية: اللي بيدوس بيتدرّب، ما بيتعاقبش. العقاب بيخلّي الناس تخبّي غلطاتها.
• زرار Report Phish في الـ mail client يوصّل الرسالة فوراً للـ SOC.
• قاعدة Out-of-Band Verification لأي طلب مالي: ارجع للشخص على الرقم الموثّق عندك، مش الرقم المكتوب في الإيميل.
• ثقافة "ما فيش لوم" على البلاغ المبكر — بتفرق أكتر من أي عقاب.

غلطات الـ junior — الـ Blue Team جنبه تتفصل

الخلاصة الناشفة

لو شركتك بتركّز على الـ firewall أكتر من الموظفين — أنت بتأمّن المكان الغلط.

الـ attacker بيكلم البشر، مش الـ servers. ابدأ من هناك.

اكتبها على الحيطة اللي قصاد مكتب الـ CISO: اوعى تكافئ "اللي ما دوسش". كافئ "اللي بلّغ". الفرق بين الاتنين هو الفرق بين breach اتقفل في 5 دقايق و breach اكتشفته من tweet.