انتقل إلى المحتوى
أمن الحياة

البحث في الموقع

ابحث عن الصفحات والأقسام.

أمان البريد الإلكتروني

آخر تحديث:

البريد الإلكتروني هو أقدم جزء في الإنترنت الحديث لا يزال معظم الناس يعتمدون عليه، وقد صُمم في وقت لم تكن الخصوصية فيه محل اهتمام. وهو أيضًا المفتاح الأساسي لـكل ما تملكه تقريبًا عبر الإنترنت، لأن الخدمات الأخرى ترسل روابط إعادة ضبط كلمات المرور إليه. يجعل هذا الجمع أمان البريد الإلكتروني ينطوي على مشكلتين: حماية سرية الرسائل، وحماية الحساب نفسه.

تشرح هذه الصفحة من يمكنه قراءة بريدك الإلكتروني، ولماذا يسهل تزوير عنوان المرسل، وما يمكن للتشفير فعله وما لا يمكنه، وكيف يُستولى على حسابات البريد الإلكتروني. وهي لا توصي بمزودي بريد إلكتروني محددين، إذ إن هذه الاختيارات تعود لصفحة ذات معايير قابلة للاختبار.

ما هو البريد الإلكتروني بعبارات بسيطة

عندما ترسل رسالة، يسلمها برنامج البريد الإلكتروني إلى خادم مزود الخدمة لديك. ينقل هذا الخادم الرسالة إلى خادم مزود الخدمة لدى المستلم، ثم يجلبها برنامج المستلم. كل محطة هي جهاز كمبيوتر يديره شخص ما، ويمكن لكل منها مبدئيًا رؤية الرسالة وتخزينها. صُمم النظام بحيث يمكن لأي مزود خدمة التسليم لأي مزود آخر دون وجود سلطة مركزية.

يفسر هذا التصميم معظم نقاط ضعف البريد الإلكتروني: فالرسائل تنتقل عبر وسطاء لم تخترهم، والعنوان المعروض في سطر “من” (From) هو مجرد نص كتبه المرسل، والمعلومات المطلوبة لتسليم الرسالة (مثل من أرسلها ومن يتلقاها) يجب أن تكون قابلة للقراءة بواسطة الخوادم.

من يمكنه قراءة بريدك الإلكتروني

هناك ثلاثة أماكن يمكن أن تُكشف فيها الرسالة:

أثناء التنقل (In transit): يمكن حماية البريد الذي ينتقل بين الخوادم باستخدام بروتوكول أمان طبقة النقل (TLS)، وهي التكنولوجيا نفسها التي تقف خلف أيقونة القفل في المواقع الإلكترونية. وهي تعمل فقط عندما يدعم كِلا المزودين هذا البروتوكول. يُظهر تقرير الشفافية لـ Google أن 98% من البريد الصادر و99% من البريد الوارد في Gmail مشفر. هذا تغيير كبير مقارنة بعام 2014، عندما أفادت Google أن 40% إلى 50% من البريد بين Gmail والمزودين الآخرين لم يكن مشفرًا، وأقل من 1% من البريد المتجه إلى Comcast.net. يحمي بروتوكول TLS الرسالة بين الخوادم، وليس عند أي من الطرفين.

في حالة السكون (At rest): يخزن مزود الخدمة لديك بريدك (عادةً بصيغة يمكنه قراءتها)، وكذلك يفعل مزود الخدمة لدى المستلم. لا يفعل بروتوكول TLS شيئاً حيال ذلك. كما يستخدم المزودون أحيانًا خدمات طرف ثالث لتصفية الرسائل العشوائية. هذا يتبع المنطق نفسه لأي حساب تحتفظ به لدى شركة، ويغطي قسم لماذا تهم الخصوصية سبب امتلاك حامل المعلومات لسلطة عليها.

على أجهزتك وفي حسابك: يمكن لأي شخص يصل إلى حسابك أو هاتفك غير المقفل قراءته. هذا هو المسار الأكثر شيوعًا في الواقع، كما يوضح قسم الاستيلاء على الحساب أدناه.

التشفير بين الطرفين للبريد الإلكتروني، وحدوده

يعني التشفير بين الطرفين (End-to-End Encryption) ألا يتمكن أحد سواك أنت والمستلم من قراءة الرسالة، ولا حتى مزودي الخدمة. بالنسبة للبريد الإلكتروني، يأتي هذا من معايير إضافية، أهمها OpenPGP وS/MIME. يتطلب كلاهما أن يمتلك المستلم مفتاحًا، كما يحتاجان إلى برامج وإعدادات لا يستخدمها معظم الناس.

هناك حدود ثلاثة تستحق المعرفة:

  • البيانات الوصفية (Metadata) تظل مرئية: يجب أن يظل المرسل، والمستلم، والتاريخ، وعادةً سطر الموضوع قابلة للقراءة لكي تتمكن الخوادم من تسليم الرسالة. تشفير متن الرسالة لا يخفي من أرسل بريدًا إلكترونيًا لمن ومتى.
  • الثغرات البرمجية: في عام 2018، كشف باحثون أوروبيون عن ثغرة EFAIL، وهي مجموعة هجمات على OpenPGP وS/MIME. المهاجم الذي يمتلك رسالة مشفرة كان بإمكانه تعديلها بحيث ينقل برنامج البريد الإلكتروني المصاب النص الصريح إلى خادم المهاجم عند فك التشفير وتحميل المحتوى الخارجي مثل الصور في بريد HTML. تلى ذلك إصلاحات ونصائح: تحديث برنامج البريد الإلكتروني، وإيقاف تشغيل عرض HTML والمحتوى الخارجي، وهو ما أوصت به شركة Sophos. وجادل بعض المحللين بأن الثغرة كانت في تطبيقات محددة وليست في OpenPGP نفسه.
  • الصعوبة العملية: تكون الرسالة محمية فقط إذا كان الشخص الآخر يستخدم التشفير أيضًا، والحفاظ على أمان المفاتيح الخاصة هو مسؤوليتك. بالنسبة للمحادثات الخاصة الفردية، يخدم تطبيق المراسلة المشفر بين الطرفين معظم الناس بشكل أفضل من البريد الإلكتروني المشفر. ولحاجة محددة مثل التعامل مع مصدر أو محامٍ أو صحفي، يمكن للبريد الإلكتروني المشفر أن يكون خيارًا منطقيًا، ونموذج التهديد هو ما يحسم ذلك.

لماذا ينطلي تزوير المرسل، وما الذي يوقفه

عنوان “من” (From) في الرسالة هو مجرد حقل نصي. وبدون فحوصات، يمكن لأي شخص كتابة عنوان بنكك فيه. تساعد ثلاثة معايير خوادم الاستقبال في تحديد ما إذا كانت الرسالة قد جاءت حقًا من النطاق الذي تدعيه:

  • إطار سياسة المرسل (SPF): يدرج الخوادم المسموح لها بالإرسال نيابة عن النطاق.
  • البريد المعرّف بالمفاتيح المحددة للنطاق (DKIM): يضيف توقيعًا رقميًا يمكن للمستلم التحقق منه.
  • مصادقة الرسائل والتقارير والمطابقة القائمة على النطاق (DMARC): يبني على كلا المعيارين ويخبر خوادم الاستقبال بما يجب فعله بالبريد الذي يفشل في الاختبارات.

هذه المعايير تهمك حتى لو كان مالكو النطاقات هم من يقومون بإعدادها. في فبراير 2024، بدأت Google وYahoo بإلزام مرسلي البريد المجمع إلى عناوين Gmail وYahoo باستخدام SPF وDKIM، ومرسلي أكثر من 5,000 رسالة يوميًا باستخدام DMARC. أدى ذلك إلى تقليل بعض البريد المزور الموجه لمستخدميهم. لكنه لا يجعل كل رسالة آمنة؛ إذ يستخدم المهاجمون نطاقات شبيهم تجتاز جميع الفحوصات، بينما لا تقول الفحوصات شيئاً عما إذا كان المرسل نزيهًا.

يظل التصيد الاحتيالي الطريقة الرئيسية لاستخدام البريد الإلكتروني ضد الناس. سجل مركز شكاوى جرائم الإنترنت (IC3) التابع لـ FBI نحو 191,561 بلاغًا عن التصيد والتزوير في عام 2025، وهو الأكثر بين جميع الأنواع من حيث الحجم. بينما تكبد اختراق البريد الإلكتروني للأعمال (BEC)، حيث ينتحل المجرمون صفة طرف موثوق لإعادة توجيه المدفوعات، خسائر مسجلة بلغت نحو 3 مليارات دولار. هذه أرقام أمريكية مكونة من بلاغات اختار الناس تقديمها. ويغطي قسم التهديدات الشائعة التصيد الاحتيالي بالتفصيل.

هناك عادتان تساعدان في الوقاية: تحقق من نطاق الإرسال الفعلي وليس الاسم المعروض فقط، وتصرف بحذر مع أي رسالة تدفعك للتصرف بسرعة بشأن المال أو تسجيلات الدخول، وتأكد عبر مسار آخر. كما ينصح مكتب التحقيقات الفيدرالي بتمييز الرسائل التي يختلف فيها عنوان الرد عن عنوان المرسل، إذ يُعد ذلك مؤشرًا شائعًا على الاحتيال.

التتبع داخل الرسائل

تحتوي العديد من الرسائل الإلكترونية التجارية على بكسل تتبع (Tracking pixel)، وهو صورة صغيرة غير مرئية. عندما يحمل برنامج البريد الإلكتروني هذه الصورة، يتعرف خادم المرسل على أنك فتحت الرسالة، ومتى، وعلى أي نوع من الأجهزة، وموقعك التقريبي من عنوان IP الخاص بك. تذكر شركة Proton، التي تبيع بريدًا إلكترونيًا يركز على الخصوصية، أن ما يقرب من نصف جميع الرسائل تحتوي على نوع من أدوات التتبع. ووجدت دراسة منفصلة لجامعة برينستون أن 70% من رسائل القوائم البريدية تحتوي عليها.

يمكنك الحد من هذا؛ حيث تقوم ميزة حماية خصوصية البريد في Apple Mail بتحميل الصور البعيدة عبر خوادم Apple مسبقًا، فلا يرى المرسلون عنوان IP الحقيقي الخاص بك أو ما إذا كنت قد قرأت الرسالة بالفعل. وتتيح لك العديد من برامج البريد الإلكتروني حظر الصور البعيدة حتى تطلب ذلك، والتكلفة هي أن بعض الرسائل تبدو غير مكتملة حتى تقوم بتحميل الصور.

حساب بريدك الإلكتروني هو المفتاح الرئيسي

إذا سيطر مهاجم على بريدك الإلكتروني، يمكنه إعادة ضبط كلمة المرور لبنكك وحسابات التسوق وتواصلك الاجتماعي. حماية الحساب تتجاوز في أهميتها حماية أي رسالة فردية.

يدخل المهاجمون بالطرق المعتادة: كلمة مرور معادة الاستخدام من خرق آخر، أو صفحة تصيد، أو جلسة مسروقة. وبمجرد الدخول، فإن الخطوة الشائعة هي إنشاء قواعد لصندوق الوارد. في عام 2021، حذر مكتب التحقيقات الفيدرالي من أن المجرمين ينشئون قواعد إعادة توجيه تلقائي في البريد الإلكتروني المستند إلى الويب للضحايا (وغالباً ما تكون غير مرئية في برنامج البريد على سطح المكتب) لنسخ الرسائل لأنفسهم وإخفاء نشاطهم. كما يمكن للقواعد نقل التنبيهات الأمنية أو حذفها فلا تراها. ولأن القاعدة يمكنها الاستمرار في توجيه النسخ، فإن مجرد إعادة ضبط كلمة المرور قد لا ينهي الاختراق.

تشمل علامات الاستيلاء وجود قواعد أو مرشحات (فلاتر) أو عناوين إعادة توجيه لم تقم بإنشائها، ورسائل صادرة لا تتذكرها، ورسائل إعادة ضبط كلمة المرور لم تطلبها. إذا شككت في ذلك، تنصح إرشادات الأمن السيبراني الحكومية بتغيير كلمة المرور، وإزالة القواعد وقواعد التوجيه الغريبة، وإخبار جهات اتصالك بعدم الوثوق بالرسائل الأخيرة القادمة منك، وتفعيل المصادقة متعددة العوامل. وإذا لم تتمكن من الدخول، استخدم عملية استرداد الحساب لدى المزود بسرعة.

هناك حمايتان هما الأكثر أهمية: كلمة مرور طويلة وفريدة (يغطيها قسم مقدمة في كلمات المرور)، وخطوة تسجيل دخول ثانية (يغطيها قسم المصادقة متعددة العوامل). تفصيل إضافي من الإرشادات المتعلقة بـ FBI: بروتوكولات البريد القديمة مثل POP وIMAP قد تسمح للمهاجمين بتجاوز المصادقة متعددة العوامل في بعض الحسابات، لذا أوقف تشغيل أي وصول قديم لا تستخدمه.

ما يصلح له البريد الإلكتروني

تعامل مع البريد الإلكتروني كبطاقة بريدية تعمل أيضًا كمفتاح رئيسي. فهو جيد للإشعارات والإيصالات وإعادة ضبط كلمات المرور، وللتواصل مع الأشخاص غير الموجودين على أي قناة أخرى. بالنسبة للمحادثات التي تريدها خاصة، يكون تطبيق المراسلة المزود بالتشفير بين الطرفين هو الأداة الأفضل عادةً. ويشرح قسم إنشاء الحسابات كيف يمكن لأسماء البريد المستعارة (Aliases) إبقاء عنوانك الرئيسي بعيدًا عن كل عملية تسجيل.

من أين تبدأ

تتدرج هذه الخطوات من الأكثر إلى الأقل فائدة:

  1. امنح حساب بريدك الإلكتروني كلمة مرور طويلة وفريدة، وفعّل خطوة تسجيل دخول ثانية (مفتاح الأمان أو تطبيق المصادقة أقوى من الرموز النصية).
  2. تحقق من إعدادات حسابك بحثًا عن عناوين إعادة التوجيه وقواعد صندوق الوارد والتطبيقات المتصلة التي لا تعرفها، وقم بإزالتها.
  3. كن متشككًا في الرسائل العاجلة بشأن المال أو تسجيلات الدخول أو عمليات التسليم، وتأكد باستخدام رقم أو موقع إلكتروني وجدته بنفسك.
  4. احظر الصور البعيدة أو فعّل حماية التتبع في برنامج البريد الإلكتروني الخاص بك.
  5. استخدم البريد الإلكتروني المشفر فقط إذا كانت لديك حاجة محددة، واستخدم عنوانًا منفصلاً للحسابات التي لا يمكنك تحمل خسارتها.

يعتمد مقدار ما تحتاجه من هذا على ما يحميه الحساب، وهو ما يساعدك قسم نمذجة التهديدات في تقديره.

المصادر

صفحات ذات صلة

الأسئلة الشائعة