أمن البريد الإلكتروني للأعمال في عُمان: دليل مبسّط لأصحاب الشركات

لماذا البريد هو الباب الأوّل الذي يطرقه المهاجمون

اسأل معظم أصحاب الأعمال أين يبدأ الهجوم السيبراني، فيتخيّلون مخترِقاً يكسر جدار الحماية. أمّا في الواقع، فالطريق إلى معظم الشركات أكثر اعتيادية بكثير: رسالة بريد إلكتروني. رسالة مقنِعة تطلب من أحدهم سداد فاتورة، أو إعادة تعيين كلمة مرور، أو فتح مرفق، تُحدث ضرراً أكبر من أيّ شيفرة بارعة، لأنّها تصل مباشرة إلى شخص مشغول يثق بما يرد إلى صندوقه. لذلك يكون أمن البريد الإلكتروني للأعمال أوّل ما يستحقّ الضبط، قبل أيّ شيء آخر في نظامك تقريباً.

ومعظم هذه الهجمات آليّة وغير موجّهة. تُرسل برمجيات صفحة الدخول المزيّفة ذاتها أو رسالة المورّد المزيّفة ذاتها إلى آلاف العناوين وتنتظر أن يزلّ أحدهم. ولا يكلّف المهاجمَ شيئاً أن يحاول، ولهذا فكلّ شركة هدف، لا الكبيرة أو الثريّة وحدها. والخبر الجيّد أنّ الدفاعات القليلة ذاتها توقف الغالبية الساحقة من هذه المحاولات، ولا يتطلّب أيّ منها أن تصبح خبيراً تقنياً.

لماذا لا يكفي حساب Gmail أو Hotmail المجاني

ما زالت شركات صغيرة كثيرة في عُمان تعمل بحساب شخصي مجاني، شيء مثل yourcompany@gmail.com أو عنوان على Hotmail. إنّه يعمل، وهو مجاني، ومن هنا تبدأ المشكلة. فالعنوان الذي لا تملك زمامه يقع على نطاق لا تملكه، فلا تستطيع أبداً أن تُثبت أنّ البريد الصادر منه هو منك فعلاً، ولا أن تمنع غيرك من تسجيل عنوان مشابه لينتحل شخصيتك.

أمّا العنوان المهني على نطاقك الخاصّ (you@yourcompany.om) فيغيّر ذلك. أنت تملك النطاق، فأنت من يقرّر من يُسمح له بالإرسال منه، وأنت من يُحكم إغلاقه. كما يبدو موثوقاً لدى العملاء والمصارف، ويُبقي زمام الأمور في يد الشركة: إن غادر موظّف، احتفظتَ بصندوق بريده وسجلّه بدل أن يضيعا مع حساب شخصي. والانتقال إلى استضافة بريد الأعمال على نطاقك الخاصّ هو الأساس الذي يُبنى عليه بقيّة هذا الدليل.

السجلّات الثلاثة التي تُثبت أنّ بريدك منك حقاً

هذا هو الجزء الذي لم يسمع به معظم أصحاب الأعمال، وفيه يُوقَف البريد المزوّر أو يُمرَّر. ثلاثة إعدادات صغيرة على نطاقك تُخبر بقيّة العالم أيّ بريد هو منك حقاً. أنت لا تضبطها بيدك، بل يفعل ذلك من يُهيّئ بريدك. لكن من المفيد أن تعرف وظيفتها، لأنّه بدونها يستطيع المحتالون إرسال بريد يشبه بريدك تماماً.

• SPF قائمة معلَنة بالخوادم المسموح لها بإرسال البريد باسم نطاقك. فحين تصل رسالة تدّعي أنّها منك، يُقارنها المستقبِل بتلك القائمة. وإن جاءت من خادم ليس فيها، فتلك إشارة قويّة إلى أنّها مزيّفة.
• DKIM يُضيف توقيعاً غير مرئيّ إلى كلّ رسالة تُرسلها. يستعمله المستقبِل ليتأكّد أنّ الرسالة جاءت من نطاقك فعلاً ولم تُبدَّل في الطريق. وإن عبث محتال بالمحتوى، لم يعد التوقيع مطابقاً وجرى وسم الرسالة.
• DMARC يربط الاثنين معاً، والأهمّ أنّه يُخبر أنظمة البريد المستقبِلة بما تفعله بأيّ رسالة تفشل في الفحص: تمريرها، أو إرسالها إلى المزعج، أو رفضها تماماً. وسياسة DMARC المضبوطة جيّداً هي ما يوقف فعلاً المجرمين عن تزوير نطاقك للاحتيال على عملائك ومورّديك.

وضبط الثلاثة جميعاً دقيق ومُربك، وحرف واحد خاطئ قد يُرسل بريدك المشروع إلى المزعج، لذا يستحقّ أن يُنجَز على نحو صحيح ضمن تهيئة استضافة بريدك لا أن يُخمَّن.

أوصِد صندوق البريد نفسه بالمصادقة متعدّدة العوامل

حتى النطاق المضبوط ضبطاً تامّاً لا يُجدي إن دخل المهاجم ببساطة بكلمة مرور مسروقة. فكلمات المرور تتسرّب باستمرار، عبر تكرار الاستعمال والاختراقات السابقة، وكلمة مرور بريد صالحة هي المفتاح الرئيس للشركة: تستطيع إعادة تعيين كلمة المرور في كلّ حساب آخر تملكه تقريباً.

والمصادقة متعدّدة العوامل (MFA) تُغلق ذلك الباب. فوق كلمة المرور، يحتاج تسجيل الدخول إلى إثبات ثانٍ، عادةً رمز من تطبيق على هاتف صاحب الحساب، فتصبح كلمة المرور المسروقة وحدها بلا قيمة. فعّلها لكلّ صندوق بريد، وقبل كلّ شيء لحسابات المالك والمالية والإدارة التي يشتهيها المهاجمون أكثر. إنّها أعلى تغيير قيمةً تستطيع معظم الشركات إجراءه، ولا يستغرق سوى دقائق لكلّ شخص.

صفِّ البريد المزعج والتصيّد قبل أن يصل إلى أحد

كلّما رأى فريقك بريداً سيّئاً أقلّ، قلّت فرص الخطأ. فاستضافة بريد الأعمال الجيّدة تُمرّر الوارد عبر تصفية تلتقط البريد المزعج المعروف، والمرفقات الخبيثة، وصفحات الدخول المزيّفة الكامنة وراء معظم التصيّد. إنّها ليست كاملة أبداً، ولا ينبغي أن تكون دفاعك الوحيد، لكنّها تُزيل حصّة كبيرة من الخطر قبل أن يُطلب من إنسان الحكم عليه.

وما يستحقّ الانتباه هو الرسائل التي تتسلّل وتتظاهر بأنّها داخلية: مذكّرة من «المدير التنفيذي» تطلب من المالية تحويل مال بسرعة، أو «مورّد» غيّر فجأة بيانات حسابه المصرفي. هذه تستهدف الناس لا البرمجيات، ولهذا يجب أن تعمل التصفية ووعي الأمن السيبراني معاً. وإن أردت التوسّع في الحيل المستعملة محلياً، فانظر دليلنا إلى حيل التصيّد الشائعة التي تستهدف شركات عُمان.

عادات آمنة لا يُغني عنها أيّ برنامج

تتولّى التقنية معظم العبء، لكن عادات بسيطة تسدّ الثغرة التي يعتمد عليها المهاجمون:

• تمهّل في كلّ ما هو عاجل ويتعلّق بالمال. فتغيير الدفع الحقيقي يصمد أمام مكالمة هاتفية إلى رقم معروف للتأكيد، أمّا المزيّف فينهار.
• تحقّق من عنوان المُرسِل الفعلي، لا من الاسم الظاهر وحده، ومرّر المؤشّر فوق الروابط قبل النقر لترى وجهتها الحقيقية.
• لا تُعِد استعمال كلمة مرور بريدك في أيّ مكان آخر، واستعمل مدير كلمات مرور كي لا تضطرّ إلى حفظ العشرات.
• عامِل المرفقات وطلبات الدخول غير المتوقّعة بريبة، حتى حين تبدو مألوفة.
• حين يغادر أحدهم الشركة، غيّر كلمة مرور صندوقه أو أغلقه في اليوم ذاته.

لا شيء من هذا معقّد، ولا يحتاج أن يكون. اضبط سجلّات النطاق، والمصادقة متعدّدة العوامل، والتصفية، والعادات، تكن قد أوصدت معظم الأبواب التي يعبر منها المهاجمون.

باختصار

البريد هو أكثر الطرق شيوعاً لاختراق الشركات، لذا يستحقّ الاهتمام أوّلاً. انتقل من الحسابات الشخصية المجانية إلى عنوان مهني على نطاقك الخاصّ، واضبط SPF وDKIM وDMARC كي لا يستطيع أحد انتحالك، وفعّل المصادقة متعدّدة العوامل في كلّ مكان، ودع التصفية الجيّدة تحمل العبء الأكبر، وادعم ذلك كلّه بقليل من العادات المتأنّية. كلّ خطوة متواضعة وحدها، ومعاً تُخرج شركتك من كومة الأهداف السهلة، حيث تبحث معظم الهجمات. وإن كنت تفضّل أن يُضبط الأمر صحيحاً من المرّة الأولى، فذلك بالضبط ما تخدمه استضافة البريد السليمة وخطّ أساس أمنيّ معقول.