طق طق. كتحل الباب: «السلام، أنا technicien ديال الإنترنت، جيت نشوف الراوتر.» لابس جيلي، فيدو بادج، وكيهضر بثقة… ونتا كتبعد ليه باش يدوز. عمرك سولتي راسك: علاش الهاكر كيعيط عليك، ولا كيدق الباب… عوض ما يهكي؟
هادا هو المقال ديال الحلقة العاشرة، والأخيرة، من سلسلة “الأمن الرقمي من الألف للياء” (الفيديو كامل فـ القناة ديالنا فاليوتيوب). غادي تعرف خمسة ديال الحيل اللي كيخدمو بيهم النصابة، فأي ميساج. ومن بعد، فـ «جرب معايا»، غادي نفكو تلاتة ديال الميساجات ديال النصب: SMS، يعني Short Message Service، WhatsApp، وemail. وفالأخير، الليستة ديال السلسلة كاملة: عشرة ديال الحوايج، وحدة من كل حلقة.
الميساجات فهاد المقال مصاوبين للمثال: المرسلين عامين («شركة التوصيل»، «البنك»، «خوك»)، والروابط كلها فـ
.example، الـ domain اللي محجوز للأمثلة فالـ RFC 2606 (RFC يعني Request for Comments: الوثائق اللي فيها المعايير ديال الإنترنت). حتى شركة، حتى بنك، وحتى نمرة حقيقية ما كاينين هنا. والهدف هو تعرف الحيل باش تحمي راسك، ماشي العكس.
الـ technicien ما كسرش الباب
رجع للـ technicien ديالنا. ما كسرش الباب، ما حلش القفل. نتا اللي حليتي ليه.
هادشي سميتو social engineering: النصاب كيستعمل الهضرة والثقة، باش ياخد منك معلومة، ولا يدخل للحساب ديالك. وحتى CISA، يعني Cybersecurity and Infrastructure Security Agency، الوكالة الأمريكية ديال الأمن السيبراني، كتعطي نفس المثال: واحد كيدير راسو خدام جديد، ولا تقني جاي يصلح.
علاش كيعيط عوض ما يهكي؟
شوف هاد السلسلة: الـ hash، التشفير، المفاتيح، التوقيعات، الـ certificates، الـ passwords، الكود التاني… كل وحدة فيهم رياضيات صعيب بزاف تكسرها. إذن، الباب الساهل… هو نتا.
والتقرير ديال Verizon على الاختراقات (2026) كيقولها: الأسباب اللي كتعاود بزاف فيها بنادم.
phishing، smishing، vishing
الميساج اللي كيجيك باش يطيحك سميتو phishing. كتشبه fishing: الصيد بالسنارة والطعم. النصاب كيدير راسو شي شركة معروفة، فـ email ولا فموقع مزور، باش ياخد المعلومات ديالك.
- بالـ SMS: smishing.
- بالتليفون: vishing.
خمسة ديال الحيل
1. الزربة
«عندك 24 ساعة.» «الحساب ديالك غادي يتبلوكا اليوم.» الزربة كتقطع ليك التفكير. وCISA كتحطها فاللول فالعلامات: هضرة زربانة، وتهديد إلا ما جاوبتيش دغيا.
2. السلطة
«أنا من البنك.» «أنا من الشركة.» «أنا technicien.» ملي كيبان ليك شي واحد عندو الحق، كتنسى تسول: واش بصح هو؟ والقاعدة ديال CISA: ما تعطي حتى معلومة، حتى تكون متأكد شكون اللي طالبها، وبلي عندو الحق فيها.
3. الخوف
«لقينا نشاط مشبوه فالحساب ديالك.» والـ FTC، يعني Federal Trade Commission، الهيئة الأمريكية ديال حماية المستهلك، كتجاوب: ما لقاو والو.
4. الطمع
«ربحتي كادو.» «عندك فلوس غادي ترجع ليك.» حتى هي، حسب الـ FTC، ما كايناش. والخوف والطمع بجوج كيديرو نفس الخدمة: كيخليوك تكليكي قبل ما تفكر.
5. «صيفط ليا الكود اللي جاك»
هادي هي الخطيرة. عاقل على الحلقة السابعة؟ داك الكود هو الساروت التاني ديال الحساب. واللي بغا ياخد ليك الحساب ديال WhatsApp، خاصو الكود ديال الـ SMS اللي جاك.
والقاعدة ساهلة، والـ FTC كتقولها بالحرف: أي واحد طلب منك الكود، نصاب. واخا يقول ليك من البنك.
جرب معايا: نفكو تلاتة ديال الميساجات
فالميساج الحقيقي، الحيل ما كيجيوش بالسمية ديالهم. كيجيو مخبيين. يالاه نفكو تلاتة.
الميساج 1: SMS من «شركة التوصيل»
الكولي ديالك محبوس. خلص 12 درهم قبل 24 ساعة.
https://secure-colis-ma.example/pay?id=48213
الحيل: الزربة (24 ساعة)، ومبلغ صغير باش ما تحسبش. والهدف ماشي 12 درهم… الهدف هو المعلومات ديال الكارطة ديالك.
لاستيس ديال الروابط: اقرا الـ domain
الـ domain هو داك الجزء اللي من بعد https://، حتى لأول /. واقراه من اليمين. هنا:
https://secure-colis-ma.example/pay?id=48213
^^^^^^^^^^^^^^^^^^^^^^^
secure-colis-ma.example
والكلمات secure وma ما كيعنيو والو: أي واحد يقدر يدير سمية بحالها. الشركة الحقيقية عندها موقع واحد معروف. وهادا ماشي هو.
وباش نتأكد بلي هاد القاعدة هي نفس الطريقة اللي كيقرا بيها البرامج الروابط، فكيت التلاتة ديال الروابط ديال المثال فالماك، بلا إنترنت، بالـ function urlsplit ديال Python (python3 -I host.py links.txt):
https://secure-colis-ma.example/pay?id=48213 → host = secure-colis-ma.example
https://bank.secure-login.example/verify → host = bank.secure-login.example
https://bank.example/compte → host = bank.example
الميساج 2: WhatsApp من «خوك»، بنمرة جديدة
سلام، أنا خوك، بدلت النمرة.
جاك واحد الكود بالغلط، صيفطو ليا عافاك.
الحيل: نمرة جديدة، زربة، وكيطلب كود. وWhatsApp براسو كيعطيك تلاتة ديال الأسئلة:
- واش النمرة ما معروفاش؟
- واش كيزربك؟
- واش كيطلب منك تصيفط فلوس، ولا password، ولا معلومات شخصية؟
داك الكود هو ديال الـ registration ديال WhatsApp. إلا عطيتيه، يقدر ياخد ليك الحساب.
الحل: عيط لخوك فالنمرة القديمة اللي عندك. ومن بعد، بلوكي ورابورطي النمرة الجديدة فـ WhatsApp.
الميساج 3: email من «البنك»
Cher client،
لقينا نشاط مشبوه. أكد الحساب ديالك فساعتين، ولا غادي يتسد.
«Cher client»؟ ما عرفش السمية ديالك. CISA كتقول: التحية العامة علامة قوية ديال الـ phishing، والشركة اللي كتعرفك غالبا كتكتب ليك بسميتك.
فالـ laptop، دير الفأرة فوق الرابط بلا ما تكليكي. الرابط الحقيقي اللي كيبان:
https://bank.secure-login.example/verify
اقرا من اليمين: secure-login.example. داك bank اللي فاللول ما كيعني والو. البنك ديال القصة ديالنا عندو bank.example.
وعلاه، الموقع المزور فيه القفل؟
عادي. الـ FTC كتقول: النصابة كيشفرو المواقع المزورة ديالهم باش يبانو آمنين. القفل كيقول بلي الطريق مشفرة… ماشي بلي اللي فالجيهة الأخرى نيتو مزيانة. بحال ما شفنا فـالحلقة الخامسة.
القواعد
- الكود والـ password ما كيتعطاوش لحتى واحد. لا فالتليفون، لا فالميساج.
- ما تجاوبش على نفس الميساج، وما تعيطش للنمرة اللي فيه.
- عيط نتا، فالنمرة الرسمية: اللي فالتطبيق ديال البنك، ولا فالورقة ديال الحساب.
- كليكيتي ولا عطيتي شي حاجة؟ ما تحشمش: عيط للبنك دغيا، وبدل الـ passwords اللي عطيتي.
فين تبلغ فالمغرب؟
الموقع الرسمي ديال المديرية العامة لأمن نظم المعلومات (DGSSI، يعني Direction Générale de la Sécurité des Systèmes d’Information) كيوجهك لمنصة e-blagh.ma، باش تبلغ على المحتوى الإجرامي فالإنترنت.
e-blagh.ma: منصة ديال المديرية العامة للأمن الوطني، وفيها خانة سميتها «النصب عبر الانترنيت».- خطر دابا؟ البوليس: 19.
- الإدارات والمؤسسات العمومية كيصرحو بالحوادث عند maCERT، فنفس الموقع ديال الـ DGSSI. وCERT يعني Computer Emergency Response Team: المركز اللي كيراقب وكيتصدى للهجمات المعلوماتية.
الليستة ديال السلسلة كاملة
حاجة وحدة من كل حلقة… ديرها هاد السيمانة.
- الـ hash: قبل ما تحل شي ملف تيليشارجيتيه، قارن الـ checksum ديالو.
- التشفير: شعل FileVault ولا BitLocker، وحط كود للتليفون.
- المفاتيح: الـ private key ديالك، ما كيخرجش من عندك.
- التوقيعات: شوف التوقيع ديال أي تطبيق قبل ما تحلو.
- الـ certificates: القفل بوحدو ما كافيش، اقرا الـ domain.
- الـ passwords: password manager، وpassword مختلف لكل حساب.
- الـ 2FA (two-factor authentication) والـ passkeys: الكود التاني بالتطبيق، passkey، وخبي الـ backup codes.
- الـ end-to-end encryption: تأكد من الـ security code فـ WhatsApp، وشعل الـ backup المشفر.
- الـ VPN: قبل ما تتيق فشي VPN، يعني Virtual Private Network، سول الخمسة ديال الأسئلة.
- واليوم: الكود ما كيتعطاش، ونتا اللي كتعيط، فالنمرة الرسمية.
ودابا… طق طق. «أنا technicien ديال الإنترنت.» ما كتحلش دغيا. كتعيط للشركة فالنمرة الرسمية، وكتسول واش صيفطو شي واحد. حيت دابا عرفتي: الباب الساهل… كان هو نتا.
شكرا
وصافي، هادي هي الأخيرة. شكرا بزاف لكل واحد تبع معانا من الحلقة اللولة. كل كومونتير، كل سؤال، وكل share… هو اللي خلا هاد السلسلة تكمل. وإلا تعلمتي حاجة وحدة، صيفط هاد المقال لشي واحد فالعائلة، كتجيه ميساجات بحال هادو.
سؤال ليك
شمن ميساج من التلاتة كان غادي يطيحك؟ اللول، التاني، ولا التالت؟ وشحال من حاجة من العشرة درتيها؟ رقم بوحدو. وما تكتب لا كود، لا password، لا نمرة.
شنو السلسلة الجاية؟
جاوبني على هادي، حيت هي اللي غادي تعاوني نقرر: شنو بغيتي تكون السلسلة الجاية؟ كتب الموضوع اللي محيرك فالكومونتيرات. غادي نقراهم كاملين.
المصادر
- CISA، Avoiding Social Engineering and Phishing Attacks (التعريف، الـ repair person، phishing/smishing/vishing، السلطة، التحية العامة، الرابط، عيط للشركة، إلا طحتي): cisa.gov
- CISA، Recognize and Report Phishing (الزربة، العلامات): cisa.gov
- Verizon، 2026 Data Breach Investigations Report: verizon.com
- FTC، How To Recognize and Avoid Phishing Scams (الخوف والطمع): consumer.ftc.gov
- FTC، What’s a verification code and why would someone ask me for it?: consumer.ftc.gov
- FTC، Are Public Wi-Fi Networks Safe? (القفل فالمواقع المزورة): consumer.ftc.gov
- WhatsApp Help Center، Received verification code without requesting it: faq.whatsapp.com
- WhatsApp Help Center، How to protect yourself from suspicious messages and scams: faq.whatsapp.com
- DGSSI، Déclaration d’incidents (maCERT وe-blagh.ma): dgssi.gov.ma
- DGSSI، maCERT: dgssi.gov.ma
- e-blagh.ma، منصة الإبلاغ عن المحتوى غير المشروع على الانترنيت: e-blagh.ma
- IETF RFC 2606، الـ domain المحجوز
.example: rfc-editor.org/rfc/rfc2606
