Short Message Service (SMS) Phishing Attacks and Defenses: A Comprehensive Review

يحمل مليارات الأشخاص كل يوم في جيوبهم جهازاً يعمل كخط مباشر مع حساباتهم المصرفية، وصورهم الشخصية، ومحادثاتهم الأكثر خصوصية. ولأننا نعتمد على هذه الأجهزة في الكثير من أمورنا، وجد المجرمون طريقة لاستغلال تلك الثقة ضدنا. فهم يرسلون رسائل نصية تبدو وكأنها قادمة من شركة موثوقة، أو خدمة توصيل، أو حتى صديق. وغالباً ما تثير هذه الرسائل شعوراً بالذعر أو الاستعجال، حيث تخبر المتلقي بأن حسابه قد أُغلق، أو أن هناك طرداً بانتظاره، أو أنه قد فاز بجائزة. والهدف هو خداع الشخص للنقر على رابط أو كتابة كلمة مرور. هذا النوع المحدد من الخداع، المعروف باسم التصيد عبر الرسائل النصية (SMS phishing) أو "السميشينج" (smishing)، أصبح مشكلة عالمية هائلة. ففي الولايات المتحدة وحدها، كلف هذا النوع من عمليات الاحتيال القائمة على النصوص المستخدمين ما يقرب من 640 مليون دولار في عام واحد مؤخراً، وهو رقم ارتفع بأكثر من ستة أضعاف في غضنة خمس سنوات فقط. والوضع يزداد سوءاً لأن المجرمين لا يكتفون بإرسال نفس الرسائل القديمة؛ بل يستخدمون أدوات جديدة لجعل أكاذيبهم تبدو أكثر إقناعاً ويصعب اكتشافها.

قرر فريق من الباحثين في جامعة تينيسي التكنولوجية وجامعة كولورادو كولورادو سبرينغز التراجع خطوة إلى الوراء لفهم النطاق الكامل لهذا التهديد المتنامي. وبدلاً من مجرد بناء أداة جديدة لحظر نوع واحد من الرسائل الضارة، أجروا مراجعة شاملة لكل ما هو معروف عن "السميشينج". لقد جمعوا وحللوا مئات الدراسات العلمية، والوثائق القانونية، ومجموعات البيانات العامة لإنشاء خريطة كاملة للمشكلة. ويغطي عملهم أربعة مجالات رئيسية: كيف يتفاعل الناس مع هذه الرسائل، وكيف تُبنى الهجمات، وما هي الدفاعات الموجودة حالياً، وما هي البيانات المتاحة للباحثين لدراسة هذه القضية. ومن خلال الجمع بين كل هذه القطع، يأملون في إظهار مواطن القصور في الجهود الحالية وتحديد الطريق نحو حماية أفضل للجميع.

نظر الباحثون أولاً إلى الأشخاص الذين يتلقون هذه الرسائل. ووجدوا أن القابلية للتأثر بهذه عمليات الاحتيال لا تتعلق فقط بكون الشخص مهملاً أو غير متعلم. وبينما يكون بعض الناس أكثر عرضة للوقوع في الفخ من غيرهم، فإن المخاطر تتأثر بمزيج معقد من العادات، والعواطف، والسياق. فعلى سبيل المثال، قد يجد شخص يستخدم وسائل التواصل الاجتماعي أو التطبيقات المصرفية بكثرة أن رسالة متعلقة بتلك الخدمات أكثر مصداقية، ببساطة لأنها تبدو مألوفة له. كما سلطت الدراسة الضوء على أن المهاجمين خبراء في استخدام علم النفس البشري؛ إذ يصيغون رسائل تثير الخوف، أو الجشع، أو الشعور بالاستعجال، مما يدفع الناس للتصرف بسرعة دون تفكير. وأشار الباحثون إلى أنه بينما تركز بعض الدفاعات على التفاصيل التقنية، يظل العنصر البشري هو الحلقة الأضعف. فحتى الأشخاص الذين لديهم دراية بعمليات الاحتيال يمكن خداعهم إذا كانت الرسالة مصممة جيداً لاستغلال مخاوفهم أو رغباتهم المحددة.

وعندما يتعلق الأمر بالهجمات نفسها، وجد الباحثون أن المشهد أصبح متنوعاً للغاية. في الماضي، كانت رسائل "السميشينج" غالباً ما تكون بدائية، مليئة بالأخطاء اللغوية والروابط الواضحة. أما اليوم، فقد أصبحت الهجمات أكثر تطوراً؛ إذ يمكن أن تأتي من أرقام تبدو تماماً مثل أرقام المنظمات المشروعة، أو يمكن إرسالها في موجات هائلة إلى أشخاص عشوائيين. وحدد الباحثون أن هذه الهجمات غالباً ما تتبع موضوعات محددة، مثل استرداد الضرائب الوهمي، أو إشعارات التوصيل، أو تنبيهات أمن الحساب. كما لاحظوا أن المجرمين بدأوا في استخدام الذكاء الاصطناعي لكتابة هذه الرسائل، مما يجعلها تبدو طبيعية تماماً ومصممة خصيصاً للضحية. وهذا التطور يعني أن الأساليب القديمة لحظر الرسائل، والتي كانت تعتمد على قوائم بسيطة للكلمات السيئة أو الروابط المعروفة بأنها ضارة، لم تعد كافية؛ فالمهاجمون يغيرون تكتيكاتهم باستمرار للإفلات من هذه المرشحات (الفلاتر).

وللرد على ذلك، فحص الباحثون الحالة الراهنة للدفاع. ووجدوا أن معظم الحلول الحديثة تعتمد على تعلم الآلة، وهو نوع من البرامج الحاسوبية التي تتعلم التعرف على الأنماط من كميات كبيرة من البيانات. هذه البرامج أصبحت جيدة جداً في رصد النصوص المشبوهة، حيث حققت بعض النماذج الحديثة معدلات دقة تتجاوز 99 بالمائة. ومع ذلك، أشار الباحثون إلى مشكلة كبيرة: العديد من هذه الأنظمة القوية هي "صناديق سوداء"؛ فهي تستطيع إخبارك بأن الرسالة هي عملية احتيال، لكنها لا تستطيع شرح السبب بسهولة. وهذا النقص في الشفافية يجعل من الصعب على المستخدمين الوثوق بالتحذيرات أو على المنظمين فهم كيفية اتخاذ القرارات. علاوة على ذلك، بينما توجد العديد من تطبيقات الهاتف المحمول المصممة لحظر هذه الرسائل، فإن فعاليتها تتباين بشكل كبير؛ فبعضها ممتاز في ضبط عمليات الاحتيال، بينما يغفل البعض الآخر الكثير منها أو يحظر الكثير من الرسائل غير الضارة. كما نظرت الدراسة في القوانين واللوائح، ووجدت أنه بينما تمتلك بعض البلدان قواعد قوية ضد هذه الممارسات، فإن التنفيذ غالباً ما يكون صعباً وغير متسق عبر المناطق المختلفة.

تضمن جزء كبير من عمل الباحثين تحليل مجموعات البيانات التي يستخدمها العلماء لتدريب أنظمة الكشف هذه. واكتشفوا أن العديد من هذه المجموعات قديمة أو محدودة؛ فعلى سبيل المثال، تحتوي بعض مجموعات البيانات القديمة على رسائل من عقد مضى لا تعكس كيفية عمل المحتالين اليوم. كما أن بعضها منحاز بشدة للغة الإنجليزية، مما يترك فجوة في فهم كيفية عمل هذه الهجمات في لغات أخرى. ووجد الباحثون أيضاً أن العديد من مجموعات البيانات تحتوي على روابط لمواقع لم تعد موجودة، مما يجعل من الصعب دراسة الوجهات الفعلية لعمليات الاحتيال هذه. ولمعالجة ذلك، أنشأوا مجموعة بيانات جديدة وموحدة تسمى "مركز بيانات السميشينج" (Smishing Data Hub)، والتي تقوم بتنظيم وتنقية المعلومات الموجودة لمساعدة الباحثين في المستقبل على بناء دفاعات أفضل.

تخلص المراجعة إلى أنه بينما تتقدم التكنولوجيا، فإن المعركة ضد "السميشينج" تتطلب نهجاً أوسع. ويقترح الباحثون أن الجهود المستقبلية يجب أن تتجاوز مجرد بناء مرشحات أفضل؛ إذ يدعون إلى فهم أعمق للحيل النفسية التي يستخدمها المحتالون، حتى يتمكن المستخدمون من التعرف على التلاعب العاطفي وراء الكلمات. كما يدعون إلى مجموعات بيانات أكثر تنوعاً تشمل الرسائل بلغات وتنسيقات مختلفة، وليس النصوص فقط. وأخيراً، يؤكدون على الحاجة إلى تعاون أفضل بين شركات التكنولوجيا وإنفاذ القانون وصناع السياسات لخلق استجابة أكثر تنسيقاً. لا تدعي الدراسة أنها حلت المشكلة، لكنها تقدم خارطة طريق واضحة لكيفية تحرك المجتمع العلمي للأمام لحماية المستخدمين في عالم رقمي يزد আরও تزايد الخداع.