قد يحوّل اختبار “CAPTCHA” مزيف، يظهر على هيئة رسالة “I’m not a robot” أي “أنا لست روبوتًا”، عملية تحقق روتينية إلى فخ لنشر البرمجيات الخبيثة، من دون أن يدرك المستخدم ما يحدث. فبدلًا من مطالبتك بتحديد صور أو كتابة رموز أو مجرد تأكيد أنك إنسان، قد تطلب منك الصفحة الضغط على اختصارات معينة في لوحة المفاتيح، ولصق نص، ثم الضغط على مفتاح Enter.
هذا التغيير البسيط هو علامة التحذير الأساسية. فاختبارات “CAPTCHA” الحقيقية مصممة للتمييز بين الأشخاص والبرامج الآلية، ولا ينبغي أن تطلب منك فتح إحدى أدوات النظام، أو لصق أمر مجهول، أو تنزيل برنامج، أو تنفيذ تعليمات على جهازك.
وقد حذرت لجنة التجارة الفيدرالية الأميركية المستهلكين من صفحات CAPTCHA المزيفة التي تستخدم هذا النوع من الهندسة الاجتماعية، بحسب تقرير لموقع “Softech Alert” المتخصص في أخبار التهديدات الإلكترونية، اطلعت عليه “العربية Business”.
تعتمد هذه الحيلة على استغلال تفاعل أمني مألوف لدى المستخدمين. فمعظم الأشخاص سبق أن واجهوا اختبارات “CAPTCHA” عند تسجيل الدخول إلى حساباتهم، أو تصفح مواقع الإنترنت، أو نشر تعليق، أو ملء نموذج إلكتروني. لذلك، فإن ظهور رسالة “تحقق من أنك إنسان” لا يثير الشك فورًا.
ويستغل المهاجمون هذا الاعتياد، إذ قد تحاكي الصفحة المزيفة شكل اختبار “CAPTCHA” حقيقي، وتستخدم عبارات مطمئنة مثل “التحقق الأمني”، مع عرض تعليمات تبدو وكأنها جزء من عملية التحقق. والهدف هو جعل إجراء غير معتاد على الكمبيوتر يبدو أمرًا طبيعيًا.
ويُعرف هذا الأسلوب باسم “الهندسة الاجتماعية”، إذ لا يحاول المهاجم استغلال ثغرة تقنية مباشرة، بل يقنع الضحية بتنفيذ إجراء يؤدي إلى تشغيل العملية الخبيثة.
التعليقات (0)