الأمن السيبراني للمشاريع الصغيرة 101

المكالمة التي تغيّر طريقة تفكيرك

الساعة 9:40 من صباح يوم ثلاثاء عادي في عمّان. صاحب عيادة أسنان صغيرة يستلم رسالة واتساب من مريضة: «دكتور، حوّلت العربون على اسم كليك (CLIQ) اللي بعتّوه لي أمس، إيمتى موعدي؟». العيادة لم ترسل شيئًا لأحد. شخص ما استولى ليلًا على حساب إنستغرام الخاص بالعيادة، وصار يراسل المرضى واحدًا واحدًا ويطلب «عربون حجز». أول سؤال خطر على بال صاحب العيادة هو السؤال نفسه الذي يخطر لكل صاحب مشروع صغير: «ليش أنا؟ عيادة صغيرة، مين رح يتعب حاله عليّ؟»

هذا السؤال هو سبب وجود هذا الكورس، لأنه يحمل بداخله أخطر خرافة في أمن المشاريع الصغيرة.

خرافة «أنا أصغر من أن أكون هدفًا»

الحقيقة البسيطة: في الغالبية الساحقة من الحالات، المهاجم لا يختارك أنت. البرنامج هو الذي يختارك. المجموعات الإجرامية تشغّل أدوات آلية تجرّب كلمات مرور مسرّبة على آلاف الحسابات، وترسل رسائل تصيّد لقوائم بريد ضخمة، وتفحص المواقع بحثًا عن إضافات قديمة غير محدّثة. هذه الأدوات لا تعرف اسمك ولا حجم مشروعك، ولا يهمها. هي تبحث عن شيء واحد فقط: باب غير مقفل.

محل صغير بكلمة مرور معاد استخدامها، بلا تحقق بخطوتين، وبموقع لم يُحدَّث منذ سنة — أسهل غنيمة من بنك عنده فريق حماية كامل. لذلك اقلب الجملة في رأسك: أنت لا تُستهدف لأنك مهم؛ أنت تُهاجَم لأنك غير محمي. والخبر الجيد المختبئ داخل هذه الجملة: بما أن السبب هو غياب الحماية وليس أهميتك، فإن خطوات بسيطة ومجانية في معظمها تُخرجك من قائمة «الأبواب السهلة» — وهذا بالضبط ما ستفعله الدروس القادمة.

الهجمات الخمس التي تصيب المشاريع الصغيرة فعلًا

1. الاستيلاء على الحسابات (Account Takeover). المهاجم يدخل إلى بريدك أو إنستغرام أو واتساب المشروع بكلمة مرور مسرّبة أو مخمّنة، ثم يغيّرها ويقفل الباب خلفه. مثل قصة العيادة أعلاه: الحساب نفسه يصبح سلاحًا ضد زبائنك. الدفاع في الدرس 2.

2. التصيّد (Phishing) والهندسة الاجتماعية (Social Engineering). رسالة تتظاهر بأنها من البنك أو أرامكس أو «دعم فيسبوك»: «حسابك سيُغلق، اضغط هنا». الضغطة تأخذك لصفحة مزيفة تسرق كلمة مرورك، أو مكالمة من «موظف بنك» يطلب رمز التحقق. الدفاع في الدرس 4.

3. احتيال الدفعات والفواتير. مورّد تتعامل معه منذ سنوات «يغيّر رقم حسابه البنكي» عبر بريد مخترق، أو «زبون» يرسل صورة إشعار تحويل مزوّر ويستعجل استلام البضاعة قبل أن تتأكد من وصول المبلغ. الدفاع في الدرسين 4 و6.

4. برمجيات الفدية (Ransomware) وفقدان البيانات. ملف مرفق أو برنامج «مكرّك» يشفّر كل ملفات اللابتوب: الفواتير، أسماء الزبائن، الصور — ويطلب فدية لفكها. وأحيانًا لا يوجد مهاجم أصلًا: جهاز يقع، هاتف يُسرق، والنتيجة نفسها إذا لم يكن هناك نسخ احتياطي. الدفاع في الدرس 3.

5. اختراق الموقع الإلكتروني. موقع المشروع — خصوصًا إذا كان ووردبريس بإضافات قديمة — يُخترق آليًا ويُستخدم لنشر روابط احتيالية أو صفحات تصيّد باسمك، وقد تكتشف ذلك فقط عندما يحظره جوجل. الدفاع في الدرس 5.

ماذا يريد المهاجم منك أنت بالذات؟

فهم الدافع يجعل كل الدروس القادمة منطقية. المهاجم يريد واحدًا أو أكثر من أربعة أشياء: المال مباشرة — تحويل بنكي مزوّر أو فاتورة محرّفة. حساباتك كأداة — واتساب وإنستغرام المشروع كنز، لأن زبائنك يثقون بهما؛ من يستولي عليهما يحتال على زبائنك بلسانك أنت. بيانات عملائك — أسماء وأرقام هواتف وعناوين تُباع أو تُستخدم في احتيالات لاحقة. الفدية — تشفير ملفاتك أو حجز حسابك ثم مطالبتك بالدفع لاستعادته. لاحظ أن ثلاثة من الأربعة لا تحتاج أن تكون «شركة كبيرة» — تحتاج فقط أن يكون لك زبائن يثقون بك.

مهمتك الأولى: جرد الأصول (Asset Inventory)

لا يمكنك حماية ما لا تعرف أنك تملكه. مهمة هذا الدرس العملية: صفحة واحدة، جدول واحد، تعبئه اليوم. ستعود إليه في الدروس 2 و3 و5 و8.

املأ أربعة أقسام: الحسابات (بريد، سوشال ميديا، بنك، Google Business، موقع/استضافة)، الأجهزة (كل هاتف ولابتوب يُستخدم للشغل)، أماكن بيانات العملاء (دفتر، إكسل، هاتف، نظام محاسبة)، الأشخاص (من يعرف أي كلمة سر ومن يمسك أي جهاز). كن صادقًا في خانة «من يملك وصولًا» — هذه الخانة تحديدًا ستكشف لك مفاجآت.

تمرين «عين المهاجم»

أجب كتابيًا — على ورقة الجرد نفسها — عن ثلاثة أسئلة. لا تحلّ المشاكل الآن؛ فقط اكتب الإجابات بصدق:

1. لو حصل شخص على كلمة مرور بريدي الإلكتروني، ما الذي يستطيع الوصول إليه؟ (تلميح: جرّب «نسيت كلمة المرور» ذهنيًا على بقية حساباتك)
2. لو سُرق هاتفي اليوم، ماذا يخسر المشروع وماذا يكسب السارق؟
3. لو تعطّل لابتوبي الآن نهائيًا، ما البيانات التي لا نسخة ثانية منها؟

إذا أزعجتك الإجابات فهذا ممتاز — معناها أنك ترى مشروعك بعين المهاجم لأول مرة، قبل أن يراه هو.

خريطة الطريق

هذا الكورس سلّم من ثماني درجات: الدرس 2 يحصّن حساباتك (كلمات المرور والتحقق بخطوتين)، والدرس 3 يحصّن أجهزتك ونسخك الاحتياطية، والدرس 4 يدرّبك على كشف التصيّد واحتيال الدفعات، والدرس 5 يحمي بيانات عملائك وموقعك، والدرس 6 يؤمّن الواي فاي ونقاط البيع والمدفوعات، والدرس 7 يعطيك خطة «ماذا أفعل عندما تقع المصيبة». ثم يجمع الدرس 8 كل ذلك في خطة تنفيذ عملية مدتها 30 يومًا. ورقة الجرد التي كتبتها اليوم هي الخيط الذي يربط الرحلة كلها.