هجوم تجانس الأحرف كيف تخدعك الروابط المزيفة دون أن تلاحظ؟
في عالم الأمن السيبراني، لا تحتاج جميع الهجمات الإلكترونية إلى اختراق الأنظمة المعقدة أو استغلال الثغرات البرمجية. فقد يعتمد بعضها على خداع العين البشرية واستغلال الطريقة التي نقرأ بها النصوص وعناوين المواقع الإلكترونية.
تخيّل أنك تلقيت رسالة تحتوي على رابط يبدو أنه تابع لموقع مشهور، مثل موقع مصرفي أو منصة تواصل اجتماعي. تفحص الرابط سريعًا، فتجده مألوفًا، وتضغط عليه دون تردد. لكنك في الحقيقة قد تكون انتقلت إلى موقع مزيف صُمم لسرقة كلمة المرور أو معلوماتك الشخصية.
كيف يحدث ذلك رغم أنك تحققت من اسم الموقع؟
الإجابة قد تكون هجوم تجانس الأحرف (Homograph Attack)، وهو أسلوب من أساليب الهجمات السيبرانية يعتمد على استغلال التشابه البصري بين الأحرف، خصوصًا الأحرف القادمة من أنظمة الكتابة المختلفة، لإنشاء أسماء نطاقات تبدو وكأنها أصلية، بينما تشير إلى مواقع أخرى.
ما هو هجوم تجانس الأحرف (Homograph Attack)؟
هجوم تجانس الأحرف هو أسلوب خداع رقمي يستغل التشابه في الشكل بين حرفين أو أكثر لتمرير اسم نطاق أو نص مزيف على أنه اسم حقيقي.
يُعرف هذا النوع من الهجمات أيضًا باسم هجوم النطاقات المتشابهة بصريًا (Homograph Domain Attack)، ويُستخدم كثيرًا ضمن حملات التصيد الإلكتروني (Phishing).
تعتمد الفكرة على أن بعض الأحرف تبدو متطابقة أو متقاربة للغاية، رغم أنها تختلف في قيمتها الرقمية وهويتها ضمن معيار Unicode.
على سبيل المثال، يوجد اختلاف بين الحرف اللاتيني a والحرف السيرِيلي а، رغم أن شكلهما قد يبدو متطابقًا في بعض الخطوط:
- الحرف الأول:
a— حرف لاتيني صغير. - الحرف الثاني:
а— حرف سيرِيلي صغير.
قد لا يلاحظ المستخدم الفرق عند النظر إلى الأحرف بالعين المجردة، خصوصًا على شاشة الهاتف أو عند قراءة الرابط بسرعة.
لكن الحاسوب يتعامل معهما بوصفهما حرفين مختلفين.
ملاحظة علمية: يُعد Unicode معيارًا لترميز الأحرف والرموز المستخدمة في أنظمة الكتابة المختلفة، وليس جميع الأحرف المتشابهة متطابقة في قيمها الرقمية.
كيف يعمل هجوم تجانس الأحرف؟
لفهم هذا الهجوم، يجب أولًا معرفة أن أسماء النطاقات ليست مجرد كلمات تظهر في شريط العنوان، بل تخضع لقواعد تقنية تحدد كيفية تمثيلها ومعالجتها بواسطة أنظمة أسماء النطاقات (DNS).
تحدث الهجمات عادة عبر مجموعة من الخطوات.
1. اختيار اسم نطاق يشبه الموقع الأصلي
يبدأ المهاجم باختيار اسم نطاق يشبه اسم موقع معروف، مثل موقع مصرف أو منصة اجتماعية أو خدمة بريد إلكتروني.
وقد يستبدل حرفًا لاتينيًا بحرف من نظام كتابة آخر يشبهه بصريًا.
على سبيل المثال، قد يبدو حرف a اللاتيني مطابقًا لحرف а السيرِيلي في بعض الخطوط.
2. تسجيل النطاق المزيف
قد يسجل المهاجم اسم نطاق يحتوي على أحرف من أنظمة كتابة مختلفة، إذا سمحت قواعد تسجيل النطاقات بذلك.
تُعرف هذه النطاقات باسم أسماء النطاقات الدولية (Internationalized Domain Names - IDNs)، وهي تقنية تسمح باستخدام أحرف من لغات وأنظمة كتابة متعددة في أسماء النطاقات.
من المهم توضيح أن أسماء النطاقات الدولية ليست خطيرة بطبيعتها؛ فهي تقنية مشروعة ومفيدة، لكن المهاجمين قد يستغلونها في إنشاء أسماء مضللة.
3. إنشاء موقع يشبه الموقع الأصلي
بعد تجهيز النطاق، قد ينشئ المهاجم صفحة تحاكي تصميم موقع حقيقي، بما في ذلك الألوان والشعار وحقول تسجيل الدخول.
وقد يستخدم الموقع المزيف لإقناع الزائر بإدخال بيانات حساسة، مثل:
- اسم المستخدم وكلمة المرور.
- بيانات الحسابات المصرفية.
- رموز التحقق المؤقتة.
- المعلومات الشخصية.
4. نشر الرابط عبر رسائل التصيد
يرسل المهاجم الرابط عبر البريد الإلكتروني أو الرسائل النصية أو تطبيقات التواصل الاجتماعي.
وقد يرفق به رسالة تدّعي ضرورة تحديث الحساب أو تأكيد الهوية أو معالجة مشكلة أمنية عاجلة.
عندما يثق المستخدم في شكل الرابط، فقد يدخل بياناته في الصفحة المزيفة دون أن يدرك أنه يتعامل مع جهة غير موثوقة.
ما الفرق بين الحرف الأصلي والحرف المتشابه؟
من أهم الأسباب التي تجعل هذا الهجوم فعالًا أن العين البشرية لا تميّز دائمًا بين الأحرف المتشابهة.
انظر إلى المثال التالي:
| الحرف | نظام الكتابة | الاسم |
|---|---|---|
a |
اللاتينية | Latin Small Letter A |
а |
السيريلية | Cyrillic Small Letter A |
o |
اللاتينية | Latin Small Letter O |
о |
السيريلية | Cyrillic Small Letter O |
p |
اللاتينية | Latin Small Letter P |
р |
السيريلية | Cyrillic Small Letter Er |
قد تبدو هذه الأحرف متطابقة تقريبًا في بعض الخطوط، لكنها ليست الحرف نفسه.
وتعتمد درجة التشابه على نوع الخط وحجم النص وطريقة عرضه.
لماذا يمثل ذلك مشكلة أمنية؟
لأن المستخدم غالبًا ما يتعرف على المواقع من خلال شكل الاسم، وليس من خلال فحص الهوية التقنية لكل حرف.
وبالتالي، يمكن أن يصبح التشابه البصري وسيلة لتضليل المستخدم، خصوصًا عندما يكون الرابط طويلًا أو معروضًا بصورة مختصرة.
ما علاقة Unicode وPunycode بهجوم تجانس الأحرف؟
لفهم الجانب التقني لهذا الهجوم، يجب التعرف على تقنيتين مهمتين: Unicode وPunycode.
1. ما هو Unicode؟
Unicode معيار يهدف إلى تمثيل الأحرف والرموز من مختلف لغات العالم بطريقة موحدة.
فهو يسمح للحاسوب بالتعامل مع الأحرف العربية والإنجليزية والسيريلية والصينية وغيرها.
لكن وجود أحرف متشابهة بصريًا ضمن أنظمة كتابة مختلفة قد يخلق فرصًا للخداع عند استخدامها في أسماء النطاقات.
2. ما هو Punycode؟
Punycode هو أسلوب لترميز أسماء النطاقات التي تحتوي على أحرف غير لاتينية أو أحرف تتجاوز مجموعة الأحرف المسموح بها في تمثيل DNS التقليدي.
فعلى سبيل المثال، قد يظهر اسم نطاق دولي في المتصفح بصيغته المقروءة، بينما يُمثَّل داخليًا بصيغة تبدأ عادةً بالبادئة xn--.
تعتمد طريقة العرض على المتصفح وسياساته الأمنية، ولذلك لا تظهر جميع أسماء النطاقات الدولية بالشكل نفسه في كل المتصفحات.
يمكن أن يساعد عرض اسم النطاق بصيغة Punycode في كشف بعض النطاقات المضللة، لكنه ليس حلًا كاملًا؛ فليس كل نطاق يبدأ بـ xn-- خبيثًا، لأن كثيرًا من النطاقات الدولية مشروعة.
3. هل يستطيع المتصفح اكتشاف النطاقات المزيفة؟
تستخدم المتصفحات الحديثة مجموعة من السياسات والضوابط لتقليل مخاطر أسماء النطاقات المتشابهة.
وقد تعتمد هذه السياسات على عوامل مثل:
- الأحرف المستخدمة في اسم النطاق.
- خلط أنظمة الكتابة المختلفة.
- درجة التشابه مع أسماء نطاقات أخرى.
- قواعد عرض أسماء النطاقات الدولية.
- سمعة الموقع وإشارات الأمان المتاحة.
لكن هذه الحماية تختلف بين المتصفحات وإصداراتها، ولا تضمن اكتشاف كل رابط مضلل.
لذلك، لا ينبغي الاعتماد على المتصفح وحده لتحديد ما إذا كان الموقع آمنًا.
ما الفرق بين هجوم تجانس الأحرف وهجمات التصيد الأخرى؟
توجد عدة أساليب لإنشاء روابط مضللة، وقد تتشابه في أهدافها، لكنها تختلف في طريقة التنفيذ.
1. هجوم تجانس الأحرف (Homograph Attack)
يعتمد على التشابه البصري بين الأحرف، بما في ذلك الأحرف المأخوذة من أنظمة كتابة مختلفة.
2. هجوم Typosquatting
يعتمد على تسجيل أسماء نطاقات تحتوي على أخطاء إملائية شائعة أو تغييرات بسيطة في كتابة اسم الموقع.
قد يستهدف المهاجم المستخدم الذي يكتب اسم الموقع بطريقة خاطئة.
3. هجوم Subdomain Spoofing
يعتمد على استغلال سوء فهم المستخدم لبنية اسم النطاق، مثل وضع اسم علامة تجارية في جزء فرعي من نطاق يملكه المهاجم.
فعلى سبيل المثال، قد يحتوي الرابط على اسم شركة معروف قبل اسم نطاق مختلف، فيظن المستخدم أن الشركة هي المالكة للموقع.
القاعدة الأساسية هنا هي أن اسم النطاق الفعلي يُقرأ من اليمين إلى اليسار حتى نحدد النطاق المسجل، مع مراعاة قواعد أسماء النطاقات العامة والفرعية.
4. التصيد باستخدام الروابط المختصرة
يستخدم المهاجم رابطًا مختصرًا يخفي الوجهة الحقيقية، بحيث لا يستطيع المستخدم معرفة اسم النطاق المستهدف بمجرد النظر إلى الرابط المختصر.
قد تُستخدم هذه الطريقة في هجمات التصيد، لكنها ليست خبيثة في حد ذاتها.
ما مخاطر هجوم تجانس الأحرف؟
قد يؤدي هذا النوع من الهجمات إلى مجموعة من المخاطر الأمنية، وفقًا لطبيعة الموقع المزيف والبيانات التي يحاول جمعها.
- سرقة بيانات تسجيل الدخول : قد يدخل المستخدم كلمة المرور في صفحة مزيفة يعتقد أنها تابعة لخدمة حقيقية.
- الاستيلاء على الحسابات : إذا حصل المهاجم على بيانات تسجيل الدخول أو رموز التحقق، فقد يحاول استخدامها للوصول إلى حسابات الضحية. وقد تساعد المصادقة متعددة العوامل على تقليل بعض المخاطر، لكنها لا تمنع جميع أساليب التصيد، خصوصًا الهجمات التي تستهدف جلسات تسجيل الدخول أو رموز المصادقة.
- الاحتيال المالي : قد تُستخدم المواقع المزيفة لخداع المستخدمين ودفعهم إلى إدخال بيانات مالية أو تنفيذ تحويلات إلى جهات غير موثوقة.
- نشر البرمجيات الخبيثة : قد يحاول الموقع المزيف إقناع الزائر بتنزيل ملف ضار أو تثبيت تطبيق غير موثوق.ومع ذلك، فإن مجرد زيارة نطاق مشابه بصريًا لا تعني بالضرورة أن الجهاز قد أُصيب ببرمجية خبيثة؛ إذ يعتمد ذلك على سلوك الموقع والتفاعلات التي حدثت.
- الإضرار بسمعة المؤسسات : يمكن استخدام النطاقات المتشابهة بصريًا لانتحال هوية الشركات والمؤسسات، مما قد يؤدي إلى خسائر مالية وإضعاف ثقة العملاء.
كيف تكتشف هجوم تجانس الأحرف؟
يمكن اتباع مجموعة من الخطوات العملية لتقليل احتمال الوقوع ضحية لهذا النوع من الهجمات.
1. افحص اسم النطاق بدقة
لا تعتمد على المظهر العام للرابط وحده.
تحقق من اسم النطاق الذي يشير إليه الرابط، وانتبه إلى الأحرف التي قد تكون متشابهة بصريًا.
على سبيل المثال، قارن بين الحرفين التاليين:
a وа
قد يصعب التفريق بينهما بصريًا، لكنهما مختلفان في الترميز.
2. ادخل إلى الموقع من مصدر موثوق
إذا وصلتك رسالة تدّعي وجود مشكلة في حسابك المصرفي أو حساب التواصل الاجتماعي، فلا تضغط على الرابط مباشرة.
بدلًا من ذلك، افتح التطبيق الرسمي أو اكتب عنوان الموقع الذي تعرفه بنفسك، أو استخدم إشارة مرجعية سبق أن حفظتها بعد التحقق منها.
3. لا تثق بوجود HTTPS وحده
يشير HTTPS إلى استخدام اتصال مشفر بين المتصفح والموقع، لكنه لا يثبت أن الموقع تابع لجهة موثوقة.
فقد تستخدم المواقع المزيفة شهادات TLS صحيحة وتوفر اتصالًا مشفرًا أيضًا.
لذلك، يجب التحقق من اسم النطاق وهوية الجهة التي تتعامل معها، وليس الاكتفاء بوجود رمز القفل.
4. انتبه للرسائل المستعجلة
إذا طلبت منك رسالة تسجيل الدخول فورًا أو هددتك بإغلاق الحساب خلال دقائق، فتحقق من صحتها عبر القنوات الرسمية.
تُستخدم الاستعجالية والتهديد أحيانًا للضغط على المستخدم وتقليل الوقت الذي يمنحه لفحص الرابط.
5. استخدم مدير كلمات المرور
تساعد بعض برامج إدارة كلمات المرور في تقليل أخطاء تسجيل الدخول؛ إذ ترتبط بيانات الاعتماد عادةً بالنطاق الذي حُفظت له.
إذا لم يقترح مدير كلمات المرور بيانات الدخول المعتادة، فقد يكون ذلك مؤشرًا يستحق التحقق، لكنه ليس دليلًا قاطعًا على أن الموقع مزيف.
6. حدّث المتصفح ونظام التشغيل
تساعد التحديثات الأمنية على الاستفادة من التحسينات المتعلقة بعرض أسماء النطاقات واكتشاف المواقع الضارة.
احرص على تحديث المتصفح ونظام التشغيل باستمرار، وتجنب تثبيت الإضافات من مصادر غير موثوقة.
ماذا تفعل إذا فتحت رابطًا مزيفًا؟
إذا اكتشفت أنك زرت موقعًا قد يكون مزيفًا، فلا داعي لافتراض أن بياناتك سُرقت تلقائيًا. اتخذ الإجراءات المناسبة وفقًا لما حدث.
إذا فتحت الرابط فقط:
- أغلق الصفحة إذا كانت مشبوهة.
- لا تنزّل الملفات ولا تسمح بالإشعارات أو الأذونات غير الضرورية.
- حدّث المتصفح ونظام التشغيل إذا لم يكونا محدثين.
- إذا نُزّل ملف أو ظهرت مؤشرات غير طبيعية، افحص الجهاز بأداة حماية موثوقة.
إذا أدخلت كلمة المرور:
- غيّرها فورًا من الموقع أو التطبيق الرسمي.
- إذا كنت تستخدم كلمة المرور نفسها في مواقع أخرى، فغيّرها هناك أيضًا.
- سجّل الخروج من الجلسات الأخرى إذا كانت الخدمة تتيح ذلك.
- فعّل المصادقة متعددة العوامل.
إذا أدخلت بيانات مصرفية أو مالية:
- اتصل بالمصرف عبر رقم أو قناة رسمية.
- اطلب إيقاف المعاملات أو البطاقة عند الحاجة.
- راجع سجل المعاملات وأبلغ عن أي عملية مشبوهة.
إذا أدخلت رمز تحقق مؤقتًا:
- تعامل مع الأمر باعتباره احتمالًا لوصول المهاجم إلى حسابك.
- أمّن الحساب فورًا، وراجع الجلسات والأجهزة المسجلة.
- تواصل مع مزود الخدمة إذا فقدت القدرة على الدخول.
كيف يمكن للمطورين ومسؤولي الأمن السيبراني الحد من الهجوم؟
لا تقع مسؤولية مواجهة هجمات تجانس الأحرف على المستخدم وحده؛ إذ يمكن للمطورين ومسؤولي الأنظمة تطبيق مجموعة من التدابير الوقائية.
- مراقبة النطاقات المتشابهة : يمكن للمؤسسات مراقبة أسماء النطاقات الجديدة التي تشبه علاماتها التجارية، والتحقق من النطاقات المشتبه بها، والإبلاغ عنها للجهات المختصة عند الحاجة.
- تطبيق سياسات أمنية مناسبة : ينبغي لمطوري المتصفحات والتطبيقات استخدام آليات مناسبة للتعامل مع أسماء النطاقات الدولية، بما في ذلك السياسات التي تحدد متى يُعرض اسم النطاق بصيغته المقروءة ومتى يُعرض بترميز Punycode.
- استخدام المصادقة متعددة العوامل : تساعد المصادقة متعددة العوامل على تقليل الاعتماد على كلمة المرور وحدها، رغم أنها لا تمنع جميع هجمات التصيد. وتوفر مفاتيح الأمان وتقنيات المصادقة المقاومة للتصيد، مثل WebAuthn وPasskeys، حماية أقوى ضد بعض الهجمات التي تحاول سرقة بيانات تسجيل الدخول.
- تطبيق سياسات حماية البريد الإلكتروني : يمكن للمؤسسات استخدام تقنيات مثل SPF وDKIM وDMARC للمساعدة في الحد من انتحال نطاقات البريد الإلكتروني. لكن يجب التنبيه إلى أن هذه التقنيات لا تمنع وحدها تسجيل نطاق مشابه بصريًا أو إنشاء موقع تصيد مستقل.
- التوعية الأمنية : تدريب الموظفين والمستخدمين على فحص الروابط والتعرف على أساليب التصيد يقلل من فرص نجاح الهجمات، خصوصًا عند اقتران التدريب بإجراءات تقنية واضحة.
مثال تعليمي آمن لفهم هجوم تجانس الأحرف
يمكنك تجربة الفرق بين الحرفين التاليين مباشرة في محرر نصوص أو بيئة برمجية:
الحرف الأول: a
الحرف الثاني: а
على الرغم من التشابه البصري، فإن الأول حرف لاتيني، والثاني حرف سيرِيلي.
وفي Python، يمكن فحص نقطة الترميز لكل حرف باستخدام الدالة ord():
latin_a = "a"
cyrillic_a = "а"
print("Latin a:", hex(ord(latin_a)))
print("Cyrillic a:", hex(ord(cyrillic_a)))
print("Are they identical?", latin_a == cyrillic_a)
ستظهر النتيجة بالشكل التالي:
Latin a: 0x61 Cyrillic a: 0x430 Are they identical? False
يوضح المثال أن الحرفين مختلفان من الناحية الرقمية، حتى عندما يصعب التمييز بينهما بالعين.
يمكن استخدام هذا النوع من الاختبارات في تعليم الأمن السيبراني، وفهم Unicode، وتطوير أدوات فحص النصوص وأسماء النطاقات.
لكن هذا الاختبار البسيط لا يكفي وحده لاكتشاف جميع النطاقات المشبوهة؛ إذ يتطلب التقييم الأمني مراعاة قواعد أسماء النطاقات الدولية وسياسات المتصفحات وسياق الاستخدام.
هل يمكن أن تحدث هذه الهجمات باللغة العربية؟
نعم، يمكن أن تظهر مشكلات التشابه البصري في سياقات تتضمن العربية وغيرها من أنظمة الكتابة.
لكن ليس كل تشابه بين الأحرف العربية واللاتينية هجومًا، كما أن دعم أسماء النطاقات العربية لا يعني أنها غير آمنة بطبيعتها.
تختلف مخاطر التشابه وفقًا للأحرف المستخدمة والخطوط المعروضة وسياسات معالجة أسماء النطاقات.
كذلك يجب التمييز بين هجوم تجانس الأحرف، الذي يستغل التشابه البصري، وهجمات أخرى تعتمد على اتجاه النص أو طريقة عرض الأحرف المختلطة.
وبالنسبة للمستخدم العربي، تظل النصيحة الأهم هي التحقق من النطاق الفعلي وعدم الاعتماد على الشكل وحده، خصوصًا عند التعامل مع الحسابات المالية والخدمات الحساسة.
أهم النصائح لتجنب هجوم تجانس الأحرف
لزيادة مستوى الأمان أثناء تصفح الإنترنت، اتبع الإرشادات التالية:
- لا تضغط على الروابط الحساسة الواردة من مصادر مجهولة.
- تحقق من اسم النطاق قبل إدخال بيانات تسجيل الدخول.
- استخدم التطبيقات الرسمية عند الوصول إلى الحسابات المالية.
- لا تعتبر HTTPS دليلًا كافيًا على موثوقية الموقع.
- استخدم مدير كلمات مرور موثوقًا.
- فعّل المصادقة متعددة العوامل.
- حدّث المتصفح ونظام التشغيل باستمرار.
- لا تثق في الرسائل التي تطلب منك اتخاذ إجراء عاجل دون تحقق.
- تجنب تنزيل الملفات من المواقع المشبوهة.
- أبلغ عن النطاقات المزيفة للجهة المنتحلة هويتها أو لمزود الخدمة المناسب.
يُظهر هجوم تجانس الأحرف أن المخاطر السيبرانية لا تعتمد دائمًا على تعقيد البرمجيات أو قوة الاختراق؛ فقد تبدأ أحيانًا من اختلاف صغير في حرف واحد لا تلاحظه العين البشرية.
وتساعد معرفة الفرق بين الأحرف المتشابهة، وفهم آلية عمل أسماء النطاقات الدولية، والتحقق من الروابط قبل استخدامها، على تقليل مخاطر التصيد وسرقة الحسابات.
ومع تطور تقنيات المتصفحات وأدوات الحماية، تظل الممارسات الأمنية الواعية جزءًا أساسيًا من حماية الهوية الرقمية والبيانات الشخصية.
تذكّر: قد يبدو الرابط صحيحًا، لكن التشابه في الشكل لا يعني التطابق في الهوية.