أداة التصيّد

التصيّد على نطاق واسع لا يُبنى يدويًا. فالمشغّلون يشترون أداة تصيّد (phishing kit) جاهزة أو ينزّلونها، وتضمّ: واجهة منسوخة عن صفحة الدخول الحقيقية، ونصًا برمجيًا يلتقط ما يُدخَل ويرسله، ومنطق تهرّب يحجب أدوات الفحص ويحصر العرض في ضحايا من مناطق جغرافية محدَّدة، وإعدادات نشر تتيح تشغيل المنظومة كلها على مضيف جديد خلال دقائق.

ولأن الأداة نفسها تتكرّر في حملات كثيرة، فهي تترك آثارًا ثابتة: بصمة (hash) متطابقة لأيقونة الموقع، وبنية المجلدات نفسها، والجهة نفسها لإصدار شهادات TLS، وشبكة استضافة مشتركة (ASN). وهذه البصمات هدية للمدافعين، لأنها تحوّل رابطًا واحدًا مكتشَفًا إلى المجموعة الكاملة من النطاقات التي تشغّل الأداة نفسها، بما فيها نطاقات لم تُستخدم في هجوم بعد.

وطبقة التهرّب هي السبب في أن الصفحة قد تبدو سليمة أمام الفحص الآلي وهي نشطة أمام الضحايا. فهذه الأدوات تعرض عادةً صفحة فارغة لنطاقات عناوين IP المعروفة لأدوات الفحص، ولزيارات مراكز البيانات، ولكل زائر من خارج البلد المستهدف.

والدرس العملي أن تحدّد البصمة قبل تقديم البلاغ. فالحملة التي تُلاحَق رابطًا رابطًا تعمّر أطول من الجهد المبذول ضدها، أما التي تُضرب في بنيتها التحتية المشتركة فلا.