التصيد والهندسة الاجتماعية

الإبلاغ، لا النقر

نقدّم لك أرقامًا إجمالية ولا نسلّم قائمة بمن نقر. هذا قيد مقصود، وهو قابل للتفاوض في اتجاه مزيد من الخصوصية فقط، لا أقل. والسبب عملي لا مبدئي: التمرين الذي يُنتج قائمة للإجراءات التأديبية يُنتج موظفين يخفون رسالة التصيد الحقيقية القادمة، وهو بالضبط نمط الفشل الذي تحاول منعه.

أما ما نقيسه بدقة فهو مسار الإبلاغ: كم استغرق أول بلاغ، وعبر أي قناة، وماذا جرى بعده. فالمؤسسة التي ينقر فيها أربعون بالمئة لكن يصل أول بلاغ خلال تسعين ثانية ويُطلق استجابة، في حال أفضل بكثير من مؤسسة ينقر فيها خمسة بالمئة ولا يخبر أحد أحدًا.

التفويض والحدود

تفويض كتابي من شخص يملك منحه عن الأشخاص الخاضعين للاختبار، وقائمة أهداف صريحة، وقائمة استثناءات صريحة، ونافذة زمنية محددة. ولا ذرائع تنتحل شخصية موظف حقيقي مُسمّى، أو جهة تنظيمية، أو مقدّم رعاية صحية، أو أي شيء يمسّ حالة طارئة شخصية حقيقية. ولا جمع لبيانات الاعتماد بما يتجاوز واقعة أن بيانات اعتماد قد أُدخلت؛ فنحن نسجّل أن ذلك حدث، لا ما كانت عليه.

من أين يأتي البحث

جودة الذريعة هي الفارق بين تمرين يعلّم شيئًا وتمرين يكشفه الجميع. نبني الذرائع مما يمكن اكتشافه فعليًا عن مؤسستك، من المصادر المفتوحة نفسها التي سيستخدمها المهاجم - وهو أيضًا نتيجة بحد ذاته حين يتبين أن السطح القابل للاكتشاف أوسع مما توقعت. ويستند هذا العمل إلى أبحاث منشورة في حِرفة التصيد وإساءة استخدام البنى التحتية الموثوقة.