شارك
الرئيسية
8 دقائق 
يمثل انتشار فيروس كورونا المستجد في الوقت الحاليّ أحد أكبر التحديات الصحية التي تواجهنا في العصر الحديث، فقد تسبب هذا الفيروس منذ بدء تفشيه أواخر سنة 2019 وحتى اليوم في إصابة أكثر من 3 مليون شخص حول العالم، توفي منهم أكثر من 210 ألف شخص. المشكلة أن المخاطر الصحية ليست الوحيدة التي ترافقت مع فيروس كورونا، بل إن هناك المخاطر المتعلقة بالأمن الرّقمي والخصوصية، لا سيما مع إجراءات الحجر الصحي والتباعد الاجتماعي التي دفعت الأفراد للاعتماد على الإنترنت أكثر من أي وقتٍ من قبل.
كنا قد استعرضنا سابقاً ضمن تقريرٍ مطوّل أبرزَ المخاطر الرقمية والهجمات المرتبطة بفيروس كورونا المستجد وكيفية استغلال القراصنة لمخاوف المستخدمين من أجل استهدافهم برسائل إلكترونية تتضمن مرفقاتٍ تؤدي لتحميل برمجياتٍ خبيثة على أجهزتهم، بهدف سرقة معلوماتهم وبياناتهم أو حتى إتاحة الوصول والتحكم عن بعد في جهاز الضحية. الآن سنحاول تسليط الضوء على أبرز الإجراءات التي يمكن اتباعها والتي من شأنها حماية الخصوصية أثناء استخدام الإنترنت.
- الحذر والتحقق من كل شيء:
هذه هي النصيحة الأبرز والقاعدة الأساسية. في كل لحظة، هنالك هجمات رقمية في مكانٍ ما، ولا يوجد أحد محمي 100% على الإنترنت، وتاريخ الاختراقات التي حدثت للعديد من الشركات والخدمات الكبيرة -والتي أدت لتسريب بيانات مستخدميها- هو أكبر دليل على ذلك. - كلمة السر:
تمثل كلمة السر طبقة الحماية الأساسية التي نستخدمها لجعل الأجهزة والبرامج والملفات والحسابات الخاصة بنا محمية من الغرباء، ولذلك فإن اختيارها بعناية هو أمرٌ بالغ الأهمية. أبسط وسائل الاختراق هي ما يعرف بهجمات القوة العمياء Brute Force Attacks، التي يتم عبرها محاولة اكتشاف كلمة السر عبر تجريب كل الاحتمالات الممكنة، وبالتالي كلما كانت كلمة السر أطول، كانت احتمالية كشفها أقل؛ ولذلك فإن من المفيد دوماً تشكيل كلمات سر تمتلك على الأقل 9 محارف تتضمن أرقاماً ورموزاً، ولا تحتوي أي معلوماتٍ مرتبطة بالحساب أو صاحبه (مثل اسمه، تاريخ ميلاده، مكان العمل، مكان السكن، بلد المنشأ، المهنة… إلخ)، وهي أمور تصب في صالح جعل كلمة السر أقوى، خصوصاً أنه يمكن الآن تخمين كلمات السر عبر إدخال معطياتٍ أولية مرتبطة بصاحب الحساب، بما يسهل في عملية تخمين وكشف كلمة السر.
ومن الوسائل المتاحة أيضاً استخدام برامج إدارة كلمات السر (مثل LastPass)، التي تقوم بتوليد كلمات سر عشوائية ومشفرة للحسابات المختلفة يصعب اختراقها، وتطلب من المستخدم إنشاء كلمة سر أساسية واحدة فقط تسمح له بالولوج لإعدادات البرنامج. هنالك وسيلة تحايل يمكن اللجوء إليها من قِبل المتسللين، وهي تجريب أسماء الحسابات بدلاً من تجريب كلمات السر؛ وذلك عبر تثبيت كلمة سر سهلة (مثل abc123)، ومن ثم تجريب عناوين بريد إلكتروني موثوقة (تم الحصول عليها من تسريباتٍ أو هجماتٍ سابقة) على افتراض أن أحد المستخدمين أو العديد منهم لم يقوموا بتخصيص كلمة سر قوية وفعالة. - التحقق من المحتوى وهوية المرسل:
عند وصول بريد إلكتروني مثير للريبة (مثل بريد إلكتروني مفاجئ من البنك يخبرك بضرورة تفقد حسابك بسبب نشاط مشبوه، أو بريد إلكتروني يبدو أنه من خدمة مثل نتفليكس يطلب منك تجديد الاشتراك، أو بريد إلكتروني من منظمة الصحة العالمية يتضمن ملفاً يفترض أنه يحمل تعليمات صحية معينة) فإن أول ما يجب التأكد منه هو هوية المرسل والتأكد إن كان البريد الإلكترونيّ يعود بالفعل للشخص أو المنظمة أو الجهة التي تدعي أنها أرسلته. بالنسبة للمحتوى، وفي حال كان البريد الإلكتروني المفاجئ يتضمن ملفاتٍ مرفقة (ملفاتٍ نصية، أو ملفات بصيغة بي دي إف pdf، أو جداول بيانية بصيغة إكسل Excel)، يُنصح بعدم فتح المرفقات كونها الوسيلة الأكثر استخداماً من قِبل المهاجمين للتحايل على وسائل الحماية الموجودة في خدمات البريد الإلكترونيّ، ولسهولة تزويرها وجعلها تبدو موثوقة في حين أنها تتضمن بداخلها ماكروات خبيثة تؤدي لتنصيب برامج بالخلفية من دون علم المستخدم. هنالك بعض الأمور البسيطة في محتوى البريد الإلكترونيّ التي قد تدل على أنه غير موثوق؛ مثل أخطاء إملائية كثيرة، واستخدام الخطوط والأحرف الكبيرة، ووجود صور بدقة منخفضة لبريدٍ يفترض أنه من شركة كبيرة أو منظمة عالمية مرموقة وحشوه بالعديد من الروابط. أخيراً،
وفي حال وجود روابط مضمنة داخل البريد الإلكتروني، يمكن تحريك الفأرة فوقها (من دون النقر عليها) بما سيؤدي لعرض الرابط الذي سيتم فتحه عند النقر على الرابط المضمن. هل يظهر رابط غريب لا ينتمي للجهة المرسلة؟ أفضل ما يمكن القيام به في مثل حالات كهذه -إن لم يكن بالإمكان التأكد من وثوقية البريد- هو عدم الضغط على أي رابط أو فتح أي ملف والتوجه للجهة (الشركة أو المنظمة أو حتى الشخص) بشكلٍ مباشر، ومحاولة الحصول على المعلومة المرفقة بالبريد الإلكترونيّ من موقعهم مباشرةً. - هل أنتظر بالفعل هذا البريد الإلكتروني:
يعتبر التحقق عبر خطوتين Two-Step Authentication إحدى الوسائل الهامة التي ترفع من درجة الحماية والأمان، إلا أنها نفسها تُستغل من قِبل المهاجمين للإيقاع بالضحايا عبر إرسال بريدٍ إلكترونيّ يبدو وكأنه يتضمن رمز التفعيل الخاصة بخدمة التحقق بخطوتين على منصة مثل إنستقرام. يمكن كشف البريد الإلكتروني الخبيث إن كان يتضمناً رابطاً، ويطلب من المستخدم التسجيل عبره: إن كان هدف الرسالة هو فقط إرسال رمز التفعيل، فلماذا هنالك رابط تسجيل دخول، والأهم، لماذا تم إرسال هذا الرمز لي الآن إن لم أقم بعملية تسجيل دخول إلى حسابي؟ هذه الملاحظات البسيطة تُسهم في كشف العديد من الرسائل الخبيثة. - الحذر من المواقع غير الآمنة والخبيثة:
أولى النصائح الهامة عند تصفح المواقع عبر الإنترنت هي التحقق من كونها تعتمد على معيار HTTPS، ويمكن معرفة ذلك عبر النظر لرابط الموقع ضمن المتصفح، إذ إن اسم الموقع سيكون مسبوقاً بمعيار التواصل المستخدم: إما https أو http، وفي حين أن كلاهما هو وسيلة لإنشاء قناة اتصال، إلا أن الفرق الأساسيّ بينهما هو أن https يؤمن إنشاء قناة اتصال مشفرة، ولذلك لا ينصح بزيارة المواقع التي تعتمد على معيار http. الأمر الثاني الهام هو أن العديد من المواقع الخبيثة قد تستخدم معيار https، ولكنها تحث المستخدم كي يضغط على رابطٍ معين (عبر مربعات "التحميل" الكبيرة التي تملأ الصفحة) عبر حوافز مختلفة، مثل أن نظام التشغيل لديك في خطر ويجب تحميل هذا البرنامج لحمايته، أو أنه يوجد لديك الكثير من الملفات المهملة وهذا البرنامج يساعدك على التخلص منها، أو عرض برامج تسريع أداء المعالج وتنظيف الذواكر، أو غيرها من الأدوات التي لا تقدم فعلياً فوائد هامة، وتشكل مصادر خطر محتملة لوجود برمجياتٍ خبيثة داخلها.
هنالك خطرٌ آخر ضمن المواقع الإلكترونية لا يتطلب من المستخدم النقر على أي زرٍ أو رابطٍ ضمن الصفحة، وهو خطر هجمات التحميل العابرة Drive-by downloads، التي تُصنف من أخطر أنواع الهجمات؛ كونها لا تتطلب قيام المستخدم بأي شيء، فهي عبارة عن برمجياتٍ مضمنة داخل مواقع تعمل من تلقاء نفسها بمجرّد زيارة المستخدم للموقع المصاب بهذه البرمجيات، وتقوم بتحميل وتنصيب برمجياتٍ خبيثة على جهاز الضحية من دون علمه. المشكلة الأكبر في هذا النوع من الهجمات هو أن البرمجيات الخبيثة قد تكون موجودة في المواقع من دون علم أصحابها، وقد تكون المواقع موثوقة بالفعل وتقدم خدماتٍ جيدة، إلا أنها مخترقة وتُستخدم من قِبل القراصنة من أجل تنفيذ هجمات التحميل العابرة. وبطبيعة الحال، فإن اعتماد معايير حماية وأمان متقدمة من قِبل المواقع الإلكترونية هو أمرٌ سيصعب من إمكانية اختراقها واستغلالها كمنصاتٍ لتنفيذ هجمات رقمية، ولذلك فإن من الأفضل دوماً عدم الثقة في المواقع (أو الروابط) التي لا تدعم معيار https، وكذلك الأمر بالنسبة للمواقع الغريبة وغير الموثوقة. - تنصيب آخر التحديثات:
تمثل التحديثات أحد وسائل الحماية الهامة ضد المخاطر البرمجية، وذلك سواء كانت لنظام التشغيل أو التطبيقات على الهواتف الذكية أو البرامج على الحواسيب الشخصية؛ حيث يتم بشكلٍ مستمر اكتشاف ثغرات برمجية يمكن استغلالها لاستهداف المستخدمين، ومن ثم يتم إصلاح هذه الثغرات عبر التحديثات المستمرة. لذلك فإن الحرص على امتلاك آخر نسخة من البرامج المستخدمة (خصوصاً المتصفحات وأنظمة التشغيل) هو أمرٌ ضروريّ. - استخدام برامج الحماية من الفيروسات:
تُوفر برامج الحماية من الفيروسات طبقة حماية إضافية تستطيع الكشف عن البرمجيات الخبيثة ومنع تأثيراتها الضارة على المستخدمين، خصوصاً عند إبقائها محدثة باستمرار بما يضمن الحصول على التحديثات الجديدة، التي تتضمن لصاقاتٍ برمجية تقي من الثغرات المكتشفة حديثاً. - استخدام خيارات حماية متقدمة في المتصفحات:
مع تزايد المخاطر المتعلقة بخصوصية البيانات على الإنترنت، ومع الفضائح المتنوعة التي ضربت بمصداقية العديد من المنصات الشهيرة (مثل فيسبوك) والمرتبطة بتسريب بيانات المستخدمين، يعتبر تفعيل خيارات الحماية المتقدمة في المتصفحات أمراً ينصح به بشدة. تمتلك معظم المتصفحات الشهيرة (مثل جوجل كروم وموزيلا فايرفوكس ومتصفح إيدج من مايكروسوفت) خياراتٍ تتيح للمستخدمين منع حفظ ملفات الارتباط (كوكيز Cookies) وملفات الحفظ المؤقت (كاش Cache)، وكذلك منع حفظ ذاكرة التصفح، بالإضافة لمنع إظهار النوافذ الفجائية Pop-up Windows، أو يمكن ببساطة تفعيل وضعية التصفح الخفي Incognito-Mode، التي تعرف أيضاً باسم وضعية التصفح الخاص Private-Mode. تتيح بعض المتصفحات مثل موزيلا فايرفوكس استخدام كلمة سر رئيسية للمتصفح Master-Password بحيث لا يمكن الوصول لبعض البيانات المحفوظة (مثل كلمات السر) إلا بعد إدخالها، كما تتيح منع المتعقبات Trackers من تسجيل نشاط المستخدمين أثناء التصفح. يجب أيضاً الحذر من الإضافات Add-ons غير الموثوقة، التي قد تتضمن بداخلها برمجياتٍ خبيثة. - تخصيص عدة حسابات على الحاسب الشخصي وعدم استخدام حساب المدير:
حساب المدير Administrator هو الحساب الذي يتيح للمستخدمين الوصول -تقريباً- لكل الملفات والإعدادات على الحاسب الشخصي، وتتطلب العديد من البرامج صلاحية المدير لتكون قابلة للتنصيب، وكذلك فإن عملية تنصيب التحديثات الخاصة بنظام التشغيل تتطلب صلاحيات المدير. من ناحيةٍ أخرى، وإذا تم استخدام حساب المدير بشكلٍ افتراضيّ على الدوام من قِبل المستخدمين، فإن هذا سيؤدي لمخاطر كبيرة في حال تم تنصيب برمجية خبيثة على جهازهم خصوصاً إذا كانت تتضمن خيارات التحكم عن بعد بما يعني أن المخترق سيستطيع التلاعب بمعلومات وإعدادات الحاسب بشكلٍ كبيرٍ جداً. تخصيص حسابٍ محليّ Local Account هو أمرٌ ينصح به بشدة، بحيث يتم استخدام هذا الحساب لمعظم الأنشطة المختلفة (مثل تصفح الإنترنت واستخدام برامج البريد الإلكتروني)، بحيث يتم تخصيص هذا الحساب ليكون ذا صلاحياتٍ محدودة، ويتم استخدام صلاحيات المدير عند الضرورة فقط، مثل عند الحاجة لتنصيب برنامجٍ جديد. - تفعيل التحقق من خطوتين في حال توافره:
تُعتبر ميزة التحقق بخطوتين من الخصائص الأمنية الهامة جداً التي تضيف طبقة حماية إضافية من شأنها جعل عملية سرقة بيانات المستخدمين والولوج إلى حساباتهم أمراً بالغ الصعوبة. الفكرة ببساطة هي تخصيص وسيلة تحقق إضافية من أجل السماح بالولوج لحسابٍ ما، وذلك بدلاً من الاقتصار فقط على كلمة السر. تعتمد معظم تقنيات التحقق بخطوتين على إرسال رمزٍ للهاتف الشخصيّ، إما عن طريق رسالة نصية أو عن طريق تطبيقات تقوم بتوليد رموزٍ عشوائية تتغير كل 30 ثانية، ويجب أن يتم إدخال هذا الرمز بعد إدخال كلمة السر الصحيحة كي يتم المصادقة على عملية تسجيل الدخول. توفر الكثير من المنصات والخدمات على الإنترنت خدمة التحقق عبر خطوتين، ويجب تفعيلها عبر الدخول لإعدادات الحساب ومن ثم الدخول لإعدادات الحماية والخصوصية. من أشهر تطبيقات التحقق بخطوتين تطبيق مايكروسوفت Authenticator وتطبيق جوجل Google Authenticator، التي يمكن استخدامها مع الحسابات الشخصية من مايكروسوفت أو جوجل أو أي خدمةٍ أخرى تتيح ميزة التحقق عبر خطوتين. - فصل بيانات العمل عن البيانات الشخصية:
اضطر الكثيرون في ظل الظروف الحجر الصحيّ المفروضة إلى العمل من منازلهم، والبعض اضطر لاستخدام حاسوبه الشخصيّ كوسيلةٍ لإنجاز الأعمال المختلفة. هذا الأمر ينطوي على عدة مخاطر؛ فمن ناحية، هنالك وصول لشبكة المعلومات الخاصة بالشركات والمنظمات من قِبل شبكات الإنترنت المنزلية التي لا توفر نفس درجة الحماية، وبالرّغم من أن استخدام الشبكات الافتراضية الخاصة VPNs هو أمرٌ من شأنه إنشاء قناة اتصال آمنة، إلا أنها ليست على نفس السوية المتوافرة ضمن نظام المعلومات الداخليّ للشركة أو المستشفى. ومن ناحيةٍ أخرى -وعند اضطرار المستخدمين إلى استعمال حواسيبهم الشخصية لإنجاز أعمالهم- فإن هذا يفرض حذراً إضافياً لكون البيانات المهددة أصبحت تشمل بيانات العمل والشركة، كما أنهم في حال تعرضهم لاختراق قد يمثلوا باباً خلفياً يتم استغلاله من أجل استهداف الشركة بأكملها. من المفضل دوماً استخدام حاسوب خاص بالعمل وآخر شخصي، وإن لم يتوافر ذلك فإن تخصيص حساباتٍ بصلاحيات وصول مختلفة سيكون أمراً يساعد على التقليل من المخاطر المحتملة.
على الرّغم من كل النصائح والوسائل المذكورة، يجب مرة أخرى التأكيد على النقطة الأساسية المتعلقة بالحماية والخصوصية في عصر الإنترنت عموماً، وفي الوقت الحاليّ خصوصاً، وهي أن الحذر وعدم الضغط العشوائيّ على الروابط والتأكد من وثوقية رسائل البريد الإلكتروني والبرامج المستخدمة هي أهم ما يمكن القيام به. لا يوجد أي وسيلة تكفل حماية مطلقة وبنسبة 100%، ولذلك فإن الحذر المستمر ورفع الوعي بالمخاطر التي قد تنجم عن سلوكٍ غير مسؤول يعد من أهم ما يجب أن يتم القيام به.