الهندسة الاجتماعية: أدواتها وطرق الحماية

الهندسة الاجتماعية أو زي ما البعض بيقول اختراق العقول، مش اختراق أجهزة ولا حواسيب، دي فن اختراق الإنسان نفسه. الفكرة إنك توصل لمعلومات سرية أو توخد وصول لحسابات عن طريق التلاعب النفسي وبناء ثقة مع الضحية مش عن طريق كسر تشفير أو ثغرات تقنية. وصدق أو لا تصدق، في أدوات وتقنيات بتسهّل الشغل ده وتخلي العملية منظمة وفعّالة.

تجربة بسيطة توضح الفكرة ​

مثال عملي: تِحدَّد شخص هدف - زميل في الشغل مثلاً - تتواصل معاه بحسابك العادي أو بحساب تاني وتبدأ تكسب ثقته Gradually. مع الوقت تقدر تجمع عنه معلومات زي تاريخ الميلاد، اسم صديق طفولة، أو حتى إجابات لأسئلة استرجاع الحساب. بعد كده لما تيجي تعمل استرجاع كلمة سر لحسابه وتوصلك خانة "ما اسم صديق طفولتك؟" - أنت خلاص عندك الإجابة. العملية دي اسمها Social Engineering عمليًا.

ليه المعلومات هي سلاح الـSocial Engineering؟ ​

الفرق بين اللي ينجح واللي يفشل في الهندسة الاجتماعية إن اللي ناجح بيركّز على تجميع معلومات دقيقة ومترابطة عن الهدف - هنا بتدخل أدوات تحليل المعلومات وتنظيمها علشان تقدر تستخلص بيانات ثانية من اللي جمعتها. كل معلومة صغيرة ممكن تفتح لك باب كبير بعد كده.

---

أهم أدوات الهندسة الاجتماعية - شرح مبسّط وقصير ​

Social Engineer Toolkit (SET)​

أداة مشهورة جدًا مخصصة للهندسة الاجتماعية. بتشتغل من سطر الأوامر وبتسمح لك تعمل صفحات Phishing مقلّدة لمواقع مشهورة، تولّد روابط QR ملغّمة، وتبعت رسائل نصية خدّاعة. متوفرة في توزيعات زي Kali.

Maltego​

أداة رهيبة لتنظيم وربط المعلومات (Linked Analysis). بتخليك تعمل خرائط بيانية تربط الأسماء، الإيميلات، الدومينات، والحسابات الاجتماعية علشان تستخلص استنتاجات عن الهدف بسهولة.

Metasploit (MSF)​

رغم إنه معروف كأداة استغلال، لكن جواه تلاقي قدرات للهندسة الاجتماعية - زي MSFvenom لصنع Payloads وملفات خدّاعة ممكن تبعتها للضحية علشان تفتح باب قدامك.

Wifiphisher​

أداة متخصصة في عمل صفحات Phishing مخصّصة لشبكات الواي فاي - بتنسخ خصائص الشبكة وتبث نقطة مزيفة، ولما الضحية يدخل الباسويرد في الصفحة المزيفة تقدر تاخد الباسورد. هنا الهندسة الاجتماعية مطلوبة عشان الضحية يثق ويدخل بياناته.

BlackEye​

أداة جاهزة تبني صفحات دخول مقلّدة لكثير من المواقع (فيسبوك، جوجل، انستجرام...) وتطلعلك اللوجز لو الضحية دخل بياناته. سهلة الاستخدام وبتجي في عدة توزيعات.

Buster​

أداة بحث عن المنصات المرتبطة ببريد إلكتروني معين - مفيدة لو عايز تعرف فين الضحية مسجل وبنفس الإيميل، وتشدّك اتجاهات لجمع مزيد من التفاصيل.

Catphish​

بتساعدك تلاقي دومينات قريبة من اسم موقع مشهور علشان تحجز نطاق مشابه وتستخدمه مع صفحة Phishing - بالتالي الرابط يبقى شكله موثّق أكتر ومشتبهش فيه الضحية.

CredSniper​

أداة عمل صفحات مزيفة لكن بتدعم SSL وكمان بعض آليات التعامل مع 2FA - بتسهل خداع المستخدم لأن المتصفح هيشوف القفل الأخضر وبالتالي الثقة أعلى.

Email2Phonenumber​

تحاول تجيب رقم التليفون من الإيميل عن طريق البحث في مواقع أو محاولات مغايرة - مفيدة لو هتعمل SMS Phishing أو تحاول توصل للضحايا عبر رسائل نصية.

Evilginx​

أداة متقدّمة بتعمل MITM (Man-In-The-Middle) وتقدر تسحب Cookies وتخترق جلسات تسجيل الدخول بدل ما تاخد الباسورد مباشرة - أداة خطيرة للاختراق المتقدم.

---

أدوات تانية وتنوّع الاستخدام ​

في كتير أدوات تانية مش هنذكرها كلها هنا، لكن الفكرة إن مزيج من الأدوات التقنية + قراءة سلوك البني آدم + مهارة كلام وتواصل هو اللي بيخلق هجوم هندسة اجتماعية ناجح.

أخلاقيات وقانون - نقطة مهمة جدًا ​

قبل ما أي حد يفكر يجرب أي أداة من دول:

• ممنوع تستخدم الأدوات على حسابات أو شبكات مش بتاعتك بدون إذن صريح ومكتوب.
• التجربة لازم تكون في مختبر أو بيئة تدريب (VM، شبكات معتمدة، مواقع مختبرية زي DVWA أو Juice Shop).
• الهدف القانوني والأخلاقي هو التعلم والحماية مش الإضرار.

نصايح عملية لو هتتعلم المجال ​

• ابدأ بفهم علم النفس البسيط: ازاي الناس بتثق؟ ازاي بتستجيب للضغط الاجتماعي؟
• جَمّع معلومات بطريقة منظمة (استعمل Maltego أو CSV) قبل ما تبدأ.
• جرّب صفحات Phishing في مختبر، ودوّن الأخطاء علشان تتعلم منها.
• اتعلم كتابة تقارير احترافية - مهارة التقرير بتفرق في الشغل.

خاتمة - المعرفة قوة ​

الـSocial Engineering مجال قوي ومؤثر جدًا، وبيورّينا إن أحيانًا أضعف نقطة في نظام الأمان مش الجهاز لكن الإنسان. المهم إننا نستخدم المعرفة دي لحماية أنظمتنا وتوعية الناس بدل ما تتستخدم للإيذاء.