تسميم العناوين يحاول إقناعك باختيار عنوان مستلم خاطئ من سجل يبدو مألوفًا. قد تنسخ النص كما ظهر تمامًا، ومع ذلك ترسل إلى جهة أخرى. لحماية قرار الإرسال، افصل إثبات هوية المستلم عن تشابه البداية والنهاية وعن مجرد ظهور معاملة في السجل.
جدول المحتويات
كيف يصبح السجل وسيلة تضليل؟
قد يرسل المهاجم معاملة صغيرة أو صفرية أو يستغل طريقة عرض نشاط الرموز حتى يظهر عنوان يشبه عنوانًا استخدمته. يراهن على أنك ستعود إلى السجل وتنسخ آخر إدخال مألوف بصريًا بدل الرجوع إلى تعليمات المستلم الأصلية.
لا يحتاج هذا السيناريو بالضرورة إلى امتلاك مفتاحك. نقطة التأثير هي اختيار الوجهة في العملية التالية. لذلك فإن وصول معاملة صغيرة غير مطلوبة لا يثبت وحده اختراق الحساب، لكنه يذكرك بأن السجل قد يحتوي جهات لم تقصد التعامل معها.
وتختلف تفاصيل السجلات والواجهات بين الشبكات والمنتجات. قد ترى اسم رمز أو عنوانًا مختصرًا أو حدثًا يحتاج تفسيرًا. لا تجعل ترتيب الصفوف أو أيقونة الأصل يختصران سؤالًا أهم: لمن يخص العنوان الذي سأرسِل إليه الآن؟
4 نقاط تكشف خطر النسخ من السجل
1. التشابه البصري لا يثبت الهوية
يعتمد المستخدم أحيانًا على أول أحرف العنوان وآخرها، لأن الواجهة تخفي الوسط. قد يُصمم عنوان مضلل ليستغل هذه العادة. افتح العرض الكامل وقارنه بالمصدر الموثق، ولا تكتفِ بأن الزاويتين تبدوان كما تتذكرهما.
كذلك لا تستخدم سلامة صيغة العنوان إثباتًا أنه يخص الشخص المقصود. قد يكون عنوان المهاجم صالحًا تمامًا لاستقبال الأصل. فحص الصيغة يكشف بعض أخطاء الإدخال، لكنه لا يتحقق من العلاقة بين العنوان وصاحب الفاتورة أو حساب الإيداع.
2. مصدر بيانات الاستلام أهم من موضعها في السجل
ارجع إلى صفحة الاستلام الرسمية أو إلى بيانات أرسلها الطرف عبر قناة تعرفها وتحققت منها. إذا وصلت رسالة مفاجئة تغيّر العنوان، فراجع التغيير عبر قناة مستقلة مناسبة قبل الدفع. لا تجعل حسابًا مشابه الاسم هو المرجع الوحيد لتأكيد نفسه.
وعند حفظ جهة اتصال، تحقق من العنوان وقت الحفظ واذكر الشبكة والغرض. دفتر عناوين نُسخت محتوياته من سجل مضلل سيحتفظ بالخطأ بدل أن يعالجه. القيمة تأتي من التحقق من الإدخال، لا من تسميته «محفوظًا».
3. ميّز اختيار عنوان خاطئ عن تبديل الحافظة
في تسميم السجل قد يكون النص الذي لصقته مطابقًا تمامًا لما نسخته، لكن المصدر كان عنوانًا مضللًا. أما تبديل الحافظة فيغيّر النص بين النسخ واللصق. الفحص الجيد يسأل عن صحة المصدر ثم عن بقاء النص نفسه خلال الإدخال.
لهذا لا تكفي مقارنة خانة الإرسال بالصف المضلل الذي بدأت منه؛ قد تثبت فقط أنك نسخت الخطأ بدقة. استخدم مرجعًا مستقلًا للمستلم، ثم قارن ما سيُعتمد به. وإذا اختلف النص بعد اللصق، فتوقف لتشخيص سبب مختلف أيضًا.
4. راجع العملية عند التأكيد لا عند الاختيار فقط
طابق العنوان الكامل والشبكة والأصل والمبلغ وأي بيانات مطلوبة في الوجهة. وإذا كان لديك جهاز توقيع يعرض التفاصيل، فراجع ما يدعمه من بيانات على شاشته وفق دليله. لا تؤكد لأنك تعرف شكل أيقونة المحفظة أو اسم جهة أضافته الواجهة.
وقد تساعد تحذيرات المنتج في اكتشاف عنوان مشابه لآخر استخدمته، لكن عدم ظهور تحذير لا يثبت صحة الوجهة. استفد من الحماية المتاحة دون تحويلها إلى بديل عن معرفة من طلب الدفعة وما البيانات التي اعتمدتها لإرسالها.
جدول تشخيص موضع الخطأ
| الحالة | ما الذي قد يكون صحيحًا؟ | ما الفحص الناقص؟ |
|---|---|---|
| عنوان مضلل في السجل | النسخ واللصق متطابقان | صلة العنوان بالمستلم المقصود |
| تبديل الحافظة | عنوان المصدر موثق | مطابقة النص بعد اللصق والتأكيد |
| شبكة غير مدعومة | العنوان يخص المستلم فعلًا | توافق مسار الإيداع والأصل |
| بيانات استلام قديمة | العنوان استُخدم في الماضي | تعليمات الاستقبال الحالية |
اسحب الجدول أفقيًا على الهاتف.
مثال: إعادة دفع فاتورة لمستلم سابق
لنفترض أن مروان دفع لمورّد سابقًا، ثم أراد دفع 250 وحدة في مثال تعليمي. فتح السجل فوجد إدخالًا أحدث بعنوان يشبه عنوان المورّد في بدايته ونهايته. نسخ العنوان، لكنه توقف قبل التوقيع لمطابقته مع بيانات الفاتورة المعتمدة.
كشفت المقارنة الكاملة اختلافًا في الوسط. لم يحتج مروان إلى إرسال تجربة لمعرفة أن النص لا يطابق المرجع. طلب تأكيد بيانات الاستلام من المورّد عبر القناة المعروفة، وتحقق كذلك من الشبكة والأصل قبل إنشاء عملية جديدة.
الأعداد هنا ليست سعرًا أو رسومًا حالية. الغرض توضيح أن مسار التحقق يبدأ قبل نسخ العنوان. ولو اكتفى مروان بتشابه الأطراف أو بنجاح نسخ النص، لظل سؤال هوية المستلم دون إجابة.
هل تكفي تجربة تحويل صغيرة؟
قد تصل التجربة إلى عنوان المهاجم بنجاح، فتثبت أن الشبكة نفذت التحويل إلى تلك الوجهة، ولا تثبت أنه المستلم المقصود. إذا استخدمت اختبارًا بعد التحقق من المصدر، فاعرف كيف ستتأكد من وصوله إلى الطرف الصحيح عبر قناة موثوقة.
ولا تعتمد على رسالة من حساب مجهول يقول إنه استلم التجربة. كذلك راجع بيانات التحويل التالي؛ قد تعود إلى السجل وتنسخ عنوانًا مختلفًا أو تختار شبكة أخرى. التجربة أداة داخل عملية تحقق واضحة، وليست ختم اعتماد لكل ما يأتي بعدها.
كيف تنظّم العناوين المتكررة؟
احفظ اسمًا واضحًا مع الشبكة والغرض ومصدر التحقق، وراجع تغييرات بيانات الاستلام عندما تطلبها الخدمة. لا تستخدم اسمًا عامًا لعدة أصول أو منصات. وضع حدود واضحة لما تم التحقق منه يمنع توسيع صلاحية ملاحظة قديمة إلى استخدام لم تُكتب له.
وعند العمل ضمن فريق، ميّز من اعتمد بيانات المستلم ومن نفذ التحويل. وجود مراجعين لا يفيد إذا كان كلاهما يقارن بالصف نفسه في السجل. يجب أن تعود المراجعة إلى مصدر الاستلام الموثق، مع حماية السجل من التعديل غير المقصود.
ماذا لو تكرر ظهور معاملات مجهولة؟
يمكنك توثيق النمط والإبلاغ عنه من القنوات الرسمية التي يدعمها المنتج، مع تجنب استخدام عناوين تلك الإدخالات كمراجع مستقبلية. لا ترد بإرسال مبلغ إلى المرسل لإثبات أنك لاحظته، فهذه ليست خطوة تحقق من بيانات المستلم الذي تتعامل معه.
وقد تخفي بعض الواجهات إدخالات أو تصنفها، لكن اختلاف العرض لا يمحو السجل العام. أبقِ معيار اختيار المستلم ثابتًا: بيانات موثقة تخص العملية الحالية، لا أحدث صف ظاهر في قائمة النشاط.
إذا أرسلت إلى العنوان الخطأ
احتفظ بمعرّف العملية والشبكة والعنوان والمبلغ، وحدد هل الطلب ما زال معلقًا أم نُفذ. اتبع الخيارات الرسمية التي تخص حالة المعاملة والمنتج؛ لا تفترض أن زرًا محليًا يمكنه عكس تنفيذ مؤكد على السلسلة.
يمكن توثيق الحالة والإبلاغ عبر القنوات المناسبة دون نشر الأسرار. ولا تجعل وعد استرداد مضمون يدفعك لكشف عبارة الاستعادة أو إرسال دفعات جديدة. فصل دليل ما حدث عن خطوات منع التكرار يساعدك على معالجة الحالة دون إضافة تعرض آخر.
