كيف تُجرى محاكاة التصيد الاحتيالي؟ اختبار الموظفين دون هدم الثقة

بحسب إصدار 2026 من تقرير Verizon لتحقيقات اختراق البيانات تضمّنت 62% من الاختراقات عنصرًا بشريًا. هذا الرقم وحده هو سبب كون محاكاة التصيد الاحتيالي اليوم ضابطًا معياريًا في كل برنامج أمني جاد. لكنه يخفي حقيقة ثانية: برنامج المحاكاة سيئ التصميم قد يُحدث ضررًا حقيقيًا. فهو يستنزف الثقة، ويكبت الإبلاغ عن الحوادث، ويعلّم الموظفين أن فريق الأمن يحاول خداعهم.

ما يفصل بين النتيجتين ليس الأداة، بل تصميم البرنامج. يشرح هذا الدليل الممارسات التي تميّز المحاكاة التي تغيّر السلوك عن المحاكاة التي تولّد الاستياء، مستندًا إلى ما تدعمه فعلًا بيانات Verizon وKnowBe4 وNIST اليوم.

لماذا تنجح المحاكاة حين تُجرى بشكل صحيح؟

الأدلة على البرامج جيدة التصميم قوية. يستند تقرير KnowBe4 لمقارنة التصيد حسب القطاع 2026 إلى 42 مليون رسالة تصيد محاكاة أُرسلت إلى 14.8 مليون مستخدم في 64,000 مؤسسة. وبحسب التقرير تبلغ قابلية التصيد في المؤسسات غير المدرّبة عند البداية 33.2%؛ أي إن موظفًا من كل ثلاثة تقريبًا يتفاعل مع رسالة الاختبار الأولى. وحين يستمر التدريب والمحاكاة معًا ينخفض المعدل إلى 20.1% خلال تسعين يومًا وإلى 4.2% خلال اثني عشر شهرًا.

نعرض هنا عن قصد المعدلات المنشورة لا عنوانًا من نوع «نسبة الانخفاض». فقد قدّمت ملخصات KnowBe4 نفسها أرقام انخفاض مختلفة للبيانات ذاتها، أما المعدلان فيستطيع أي أحد التحقق منهما.

ومعنى هذه البيانات لكم: الاستمرارية هي التي تنتج النتيجة لا الاختبار الواحد. ابنوا المحاكاة دورةً للقياس والتمرين، لا فعالية سنوية.

وأهم مخرجات هذه الدورة ليس النقر بل الإبلاغ. رسالة تصيد يُبلَّغ عنها خلال دقيقتين هي سبقٌ يُمنح للاستجابة للحوادث، أما الرسالة التي تُحذف بصمت أو يُنقر عليها بصمت فلا تكسبكم شيئًا. كل قرار في تصميم البرنامج يجب أن يدفع في اتجاه واحد: إبلاغ أكثر، وإبلاغ أسرع.

ليس هدف محاكاة التصيد أن تضبطوا الموظف وهو يخطئ. الهدف أن يصبح الإبلاغ عن الرسالة المشبوهة حركة معتادة مثل قفل الشاشة.

وللبنوك في المملكة العربية السعودية ليس هذا ممارسة جيدة فحسب. فإطار ساما للأمن السيبراني يطلب في القسم 3.1.6 برنامج توعية دوريًا يغطي التهديدات الناشئة مثل التصيد الموجّه، ويُقيَّم لقياس فعاليته؛ وتشمل الضوابط الأساسية للأمن السيبراني (ECC) الصادرة عن الهيئة الوطنية للأمن السيبراني في الضابط 1-10-3-1 التعامل الآمن مع البريد الإلكتروني ورسائل التصيد. هذه صياغة تلخيصية لا نص رسمي؛ ونتناول التفاصيل في صفحة الخدمات المالية.

ثمانية مبادئ لمحاكاة التصيد الاحتيالي

1. حدّدوا الهدف قبل أول إرسال

«خفض النقرات» ليس هدفًا، بل أثر جانبي. اكتبوا ما تحاولون تغييره فعلًا: الوقت حتى أول إبلاغ، ونسبة الموظفين الذين يبلّغون بدل التجاهل، وعدد من ينقرون مرارًا في الفرق عالية المخاطر. احصلوا على موافقة الإدارة العليا على هذه الأهداف وعلى القواعد الأساسية (لا عقوبات، لا تشهير بأحد). هكذا يبقى البرنامج محميًا حين ينقر أحد كبار المسؤولين. وسينقر أحدهم حتمًا.

2. قيسوا خط أساس صادقًا

نفّذوا الحملة الأولى قبل أي إعلان أو تدريب، بقالب متوسط الصعوبة، على المؤسسة كلها. هذا هو القياس المحايد الوحيد الذي ستحصلون عليه، وعليه ستُبنى كل ادعاءات التحسن لاحقًا. قاوموا الرغبة في تليين الاختبار الأول لتبدو الأرقام أفضل.

3. اختبروا كل شهر، واجعلوا كل شيء عشوائيًا

السلوك يضعف بمرور الوقت والكادر يتغيّر. الإيقاع الشهري بأوقات إرسال عشوائية وقوالب متناوبة ومجموعات مستهدفة متدرّجة يمنع خطأين معروفين: «موسم التصيد» الفصلي الذي يتعلّم الجميع توقّعه، والإرسال الجماعي لمرة واحدة الذي يُكشف خلال دقائق في مجموعة المراسلة الداخلية.

4. اضبطوا الصعوبة عن قصد

إذا كانت كل محاكاة سهلة الاكتشاف فستُظهركم مقاييسكم أفضل مما أنتم. وإذا كانت كل محاكاة تصيدًا موجّهًا متقنًا فسيتعلّم الموظفون العجز. يتيح مقياس NIST Phish Scale تقييم صعوبة اكتشاف كل قالب بطريقة قابلة للتكرار بحسب الإشارات التي يحملها ومدى ملاءمته للسياق. فتستطيعون مزج مستويات الصعوبة عن قصد وتفسير معدلات النقر بإنصاف: 12% نقرًا على قالب صعب نتيجة أفضل من 4% على قالب واضح.

مثال ملموس: إشعار من شركة شحن وهمية اسمها «شحن الخليج السريع»، من النطاق gulf-express.example، يقول «عنوان التسليم ناقص»، هو قالب سهل؛ إذ تجتمع فيه علامات النطاق المرسِل والتحية العامة والإلحاح. أما نسخة الإشعار نفسه التي تطابق طلبًا ينتظره الموظف فعلًا وتحاكي إجراء مشتريات داخليًا فهي أصعب بكثير. ووزن نتيجتيهما بميزان واحد يضلّلكم.

5. لا تعاقبوا على النقر أبدًا

هذه هي المسألة التي تستحق التمسك بها. البرامج التي تقتطع المكافآت ممن يفشلون في المحاكاة، أو تكشف أسماءهم، أو تهدّد بالفصل، تصل إلى النتيجة نفسها في كل مرة: ينهار الإبلاغ، ويحذّر الموظفون بعضهم، ويخسر فريق الأمن العلاقة التي يحتاجها أكثر ما يحتاجها أثناء حادثة حقيقية. ادعموا الأفراد بالتوجيه، ولا تصعّدوا إلا في الأنماط المستمرة، واكتبوا ذلك كله صراحةً في قواعد البرنامج.

6. قيسوا الإبلاغ لا النقر وحده

معدل النقر هو المقياس الاستعراضي لمحاكاة التصيد. أما الأرقام التي تتنبأ بالصمود في العالم الحقيقي فهي معدل الإبلاغ، ونسبة الإبلاغ إلى النقر، والوقت الوسيط بين وصول الرسالة وأول إبلاغ. الفريق الذي يبلغ معدل نقره 8% ومعدل إبلاغه 70% أكثر أمانًا بكثير من فريق معدل نقره 3% ولا يبلّغ فيه أحد عن شيء.

نشرح حساب هذه المقاييس وعرضها بالتفصيل في مقالنا عن مقاييس محاكاة التصيد.

7. تجاوزوا البريد الإلكتروني

المهاجمون الحقيقيون تجاوزوه منذ زمن. التصيد الصوتي (vishing)، والتصيد بالرسائل النصية (smishing)، وفخاخ رموز QR (quishing)، وإشعارات إرهاق المصادقة متعددة العوامل صارت تقنيات وصول أولي اعتيادية. البرنامج الذي يختبر البريد وحده يقيس نموذج تهديد الأمس. أدخلوا سيناريوهات الرسائل النصية وQR في دورتكم، واستكملوا المحاكاة بتدريب قائم على السيناريوهات في القنوات التي لا يمكن محاكاتها بأمان. ونتابع سرعة تغيّر مزيج القنوات في مجموعة إحصاءات الهندسة الاجتماعية.

8. صنّفوا حسب المخاطر لا حسب الهيكل التنظيمي

الإدارة المالية تعتمد المدفوعات، ومساعدو التنفيذيين يديرون التقويم والسفر، ومسؤولو تقنية المعلومات يملكون الصلاحيات المميزة. كل منهم يواجه فخاخًا مختلفة ويستحق سيناريوهات مختلفة. البرامج الناضجة تعطي كل موظف مستوى مخاطر بحسب دوره وصلاحياته وسلوكه السابق في المحاكاة، ثم تضبط صعوبة السيناريو وتكراره وفقًا لذلك. وُجدت Human Risk Score لحل هذه المشكلة تحديدًا: تحوّل نتائج المحاكاة المتفرقة إلى إشارة مخاطر لكل شخص يمكن العمل عليها.

خطة بدء لمدة 90 يومًا

الأيام 1–15: الأساس. اكتبوا قواعد البرنامج (الأهداف، والقواعد الأساسية، ونهج بلا عقوبات)، واحصلوا على موافقة الإدارة العليا، وثبّتوا زر الإبلاغ عن التصيد وأعلنوا عنه. إن لم يكن لدى الموظفين طريق للإبلاغ بنقرة واحدة فحلّوا هذا قبل أي شيء.

الأيام 16–30: قياس البداية. نفّذوا حملة البداية دون إعلان مسبق، بقالب متوسط مُقيَّم الصعوبة. سجّلوا معدل النقر ومعدل الإبلاغ والوقت حتى أول إبلاغ. اعرضوا النتائج على الإدارة دون ذكر أسماء.

الأيام 31–60: أول دورة تدريب. أعلنوا البرنامج المستمر. قدّموا تدريبات قصيرة مناسبة للأدوار؛ فالأبحاث التي تُظهر سرعة نسيان المعلومات تدعم الجلسات القصيرة المتكررة أكثر من ماراثون سنوي. نفّذوا الحملة الثانية بقوالب متناوبة وإرسال عشوائي.

الأيام 61–90: التحويل إلى روتين. انتقلوا إلى الإيقاع الشهري. أضيفوا سيناريو خارج البريد الإلكتروني. ابدأوا دورة التوجيه لمن ينقرون مرارًا. انشروا لوحة للبرنامج تُظهر اتجاه معدلي النقر والإبلاغ؛ فالشفافية في النتائج المجمّعة تبني الثقة التي تهدمها البرامج العقابية.

من اليوم 91 يصبح البرنامج عجلة تدور بنفسها: حاكِ، قِس، وجّه، ارفع الصعوبة، كرّر. تؤتمت محاكاة التصيد في NOUSEC آليات هذا العمل: تبديل القوالب، وضبط الصعوبة، والجدولة لكل شخص، والتدريب الفوري لحظة النقر؛ فيستطيع فريق أمن صغير تشغيل برنامج على مستوى مؤسسة كبيرة.

أخطاء شائعة تُفشل البرامج

نصادف أنماط الفشل نفسها مرة بعد مرة:

• الاختبار على فترات فصلية يتوقعها الجميع؛
• تقييم البرنامج بمعدل النقر وحده؛
• استخدام فخاخ ثقيلة عاطفيًا تولّد ردّ فعل لا تعلّمًا (مكافأة مزيفة، إعلان فصل مزيف)؛
• استثناء كبار المسؤولين من الاختبار؛
• معاملة المحاكاة على أنها المنتج نفسه لا أداة قياس.

التصيد والانتحال (spoofing) ومشتقاتهما تهديد حقيقي بما يكفي؛ لا حاجة إلى صنع غضب مصطنع داخل المؤسسة.

برنامج محاكاة التصيد في جوهره عمل لبناء الثقة على نطاق واسع. حين يُدار بأهداف واضحة وقياس صادق وصفر عقوبات، يكون بين أيديكم ما تريدونه يوم يصل هجوم حقيقي إلى صندوق البريد: نقرات أقل، وإبلاغ أكثر بكثير.