Characterising Mobile Money Phishing Attacks Using Imitation Learning Relying on Expert Demonstrations

في الاقتصادات الرقمية الصاخبة في أفريقيا، أصبحت الهواتف المحمولة أكثر من مجرد أدوات للتواصل؛ فهي تمثل الحسابات المصرفية الأساسية لملايين الأشخاص الذين لم يكن لديهم وصول سابق إلى الخدمات المصرفية التقليدية. يتيح هذا النظام للمستخدمين إيداع الأموال وسحبها وإرسالها بشكل فوري، وهو ما وفر راحة غيرت الحياة اليومية وعززت النمو الاقتصادي في جميع أنحاء القارة. ومع ذلك، فقد ألقت هذه التوسعة السريعة بظلالها: حيث تعلم المحتالون كيفية استغلال الثقة التي تجعل هذا النظام يعمل. وبدلاً من اختراق أكواد حاسوبية معقدة، يستخدم هؤلاء المهاجمون الهندسة الاجتماعية، وهي شكل من أشكال التلاعب الذي يخدع الناس للكشف عن كلمات المرور الخاصة بهم أو إرسال الأموال طواعية. فهم يتظاهرون بأنهم مسؤولون مصرفيون أو موظفون في شركات الاتصالات، ويرسلون رسائل نصية خداعية أو يجرون مكالمات هاتفية لاستدراج الضحايا إلى فخ. إن فهم كيفية تفكير هؤلاء المجرمين والتصرف، هو الخطوة الأولى نحو إيقافهم، لكن دراسة الخداع البشري أمر صعب للغاية لأنه يعتمد على سلوك بشري لا يمكن التنبؤ به بدلاً من الثغرات البرمجية الثابتة.

لقد حاول الباحثون لفترة طويلة نمذجة هذه الهجمات باستخدام برامج حاسوبية تتعلم عن طريق التجربة والخطأ، وهي طريقة تُعرف باسم التعلم المعزز. في هذا النهج، يحاول وكيل حاسوبي تجربة إجراءات مختلفة لمعرفة ما سيحقق له مكافأة، تماماً مثل كلب يتعلم الجلوس للحصول على مكافأة. ومع ذلك، غالباً ما تواجه هذه الطريقة صعوبة عندما يكون من الصعب تحديد "المكافأة"، مثل الهدف المعقد والمتغير للمحتال البشري الذي يتكيف مع تردد الضحية أو شكها. وتقترح دراسة جديدة من فريق من الباحثين في الكاميرون ورواندا وجمهورية أفريقيا الوسطى مساراً مختلفاً. فبدلاً من تعليم الكمبيوتر تخمين ما يريده المحتال، قرروا تعليمه تقليد ما يفعله المحتال بالفعل. ومن خلال اعتبار المهاجم خبيراً واستخدام تقنية تسمى "تعلم التقليد"، بنى الفريق نموذجاً يتعلم مباشرة من أمثلة سلوكيات الهجوم الحقيقية، متجاوزين الحاجة إلى برمجة قواعد الخداع يدوياً.

بدأ الباحثون بتفكيك هجوم التصيد الاحتيالي عبر الأموال المحمولة إلى رحلة بسيطة مكونة من أربع مراحل. المرحلة الأولى هي الاتصال الأولي، حيث يجمع المحتال المعلومات ويرسل رسالة مزيفة أو يجري مكونة مكالمة. المرحلة الثانية هي مرحلة الاستضعاف، حيث يحاول المهاجم بناء الثقة وقياس مشاعر الضحية. إذا بدا الضحية متقبلاً، ينتقل الهجوم إلى المرحلة الثالثة، وهي المحاولة الفعلية لسرقة المال أو البيانات. أخيراً، في المرحلة الرابعة، يقوم المهاجم إما بجمع الأموال المسروقة وقطع الاتصال أو يتراجع إذا أصبح الضحية مرتاباً. ولدراسة ذلك، أنشأ الفريق بيئة محاكية حيث يمكنهم مراقبة كيف يتنقل "المهاجم الخبير" عبر هذه المراحل، متفاعلاً مع ردود فعل الضحية، والتي قد تكون إيجابية (ثقة)، أو محايدة (تردد)، أو سلبية (ارتياب). ثم قاموا بتغذية هذه الأفعال المرصودة في خوارزميتين مختلفتين للتعلم لمعرفة ما إذا كان بإمكان الكمبيوتر تقليد استراتيجية المهاجم.

الخوارزمية الأولى التي اختبروها تسمى "نسخ السلوك". تعمل هذه الطة مثل طالب ينسخ واجبات المعلم؛ فهي تنظر إلى مجموعة بيانات من الهجمات الناجحة وتتعلم التنبؤ بالخطوة التالية التي سيتخذها المهاجم في موقف معين. كانت النتائج ناجحة إلى حد كبير، حيث تعلم الكمبيوتر إعادة إنتاج أفعال المهاجم بدقة عالية، وحدد بشكل صحيح أن المهاجم سيحاول عادةً إجراء الاتصال في وقت مبكر ولن يطلب المال إلا بعد ترسيخ الثقة. وقد حقق النموذج أفضل أداء عند ضبطه بسرعة تعلم محددة، مما سمح له باستيعاب الأنماط دون ارتباك. ومع ذلك، لاحظ الباحثون وجود قصور عندما يصل الهجوم إلى المرحلة النهائية؛ فإذا فشل المحتال في الحصول على المال، كان من الصعب على النموذج التنبؤ بما إذا كان سيحاول مرة أخرى بحجة جديدة، أو يعيد بدء المحادثة، أو يستسلم تماماً. هذه النقطة المتشعبة، حيث يجب على المهاجم اختيار مسار جديد بعد التعثر، أثبتت أنها صعبة بالنسبة لنظام يكتفي ببساطة بنسخ الأمثلة الماضية دون فهم الاستراتيجية الأعمق.

أما النهج الثاني، المعروف باسم "تعلم التقليد التنافسي التوليدي"، فقد اتخذ مساراً أكثر تنافسية. في هذا الإعداد، لعب برنامجان حاسوبيان ضد بعضهما البعض. أحد البرنامجين، وهو "المولد"، حاول إنشاء تسلسلات هجوم مزيفة تبدو مثل الحقيقية. أما البرنامج الآخر، وهو "المميز"، فقد عمل كحكم، يحاول التمييز بين تحركات المهاجم الحقيقي والمزيفة التي صنعها المولد. وكان الهدف هو أن يصبح المولد جيداً جداً في تقليد المهاجم لدرجة أنه لا يستطيع الحكم التمييز بينهما. وعلى مدار خمسين جلسة تدريبية، أصبح الحكم أفضل باستمرار في كشف التزييف، بينما عانى المولد في تحسين أدائه. وأظهرت البيانات أن محاولات المولد ظلت متميزة عن سلوك المهاجم الحقيقي، مما يشير إلى أن النموذج لم يتقن الاستراتيجية بالكامل ضمن الوقت المسموح به. وقد سلطت هذه النتيجة الضوء على تحدٍ معروف في هذه الطريقة: وهو موازنة البرنامجين المتنافسين حتى يتمكن المتعلم من اللحاق بالخبير.

تخلص الدراسة إلى أنه على الرغم من أن أي من الطريقتين لم ينتج نسخة مثالية من المحتال، إلا أن كلتيهما قدمتا طريقة جديدة قيمة لفهم آليات الاحتيال عبر الأموال المحمولة. ويؤكد الباحثون أن هذه النماذج ليست مصممة لتعمل كأدوات كشف ترفع علامات تحذير للرسائل المشبوهة للمستخدمين؛ بل هي أدوات لرسم خريطة لعقل المهاجم. ومن خلال النجاح في تعلم استراتيجية المهاجم من خلال العروض التوضيحية، أثبت الفريق أن تعلم التقليد هو بديل قابل للتطبيق لطرق التجربة والخطأ القديمة. وتشير النتائج إلى أنه لمواجهة هذه الهجمات بفعالية، يحتاج المدافعون إلى فهم الخطوات المحددة التي يتخذها المهاجم وكيف يتكيف مع ردود فعل الضحية. ويقر الباحثون بأن عملهم يعتمد على بيانات محاكية وأن الجهود المستقبلية ستحتاج إلى جمع مجموعات أكبر من الأمثلة الواقعية لتنقية هذه النماذج. وفي نهاية المطاف، ينقل هذا العمل التركيز من مجرد رصد الكذبة إلى فهم المنطق الكامن وراء الخداع، مما يوفر مساراً أوضح نحو تطوير دفاعات أفضل للملايين من الأشخاص الذين يعتمدون على الأموال المحمولة كل يوم.