النصف الذي يُقطع

يقرأ موظف رسالة مشبوهة، يتردد، ثم يضغط الزر الذي علّمه برنامج التوعية أن يضغطه. تلك الضغطة هي اللحظة التي يصمد فيها البرنامج أو يتوقف بصمت، وهي خارج بند الشراء الذي دفع ثمن التدريب. تعليم الموظف أن يبلّغ مهارة تُشترى لكل مقعد. أما استقبال ما يبلّغ عنه فهو نوبة عمل، ومالك بالاسم، وردّ يعود إليه. والسؤال قبل التوقيع هو من في مؤسستك حصل على الثلاثة معاً.

ضابط واحد بنصفين

يُباع برنامج التوعية بوصفه تدريباً ويُقاس بوصفه تدريباً، لكنه لا ينتهي عند المستخدم. المستخدم المدرَّب لا ينتج أماناً. المستخدم المدرَّب ينتج رسالة. كل ساعة تدريب تشتريها ترفع عدد الرسائل الواصلة إلى العنوان الذي يشير إليه زر الإبلاغ، وهذا يجعل ذلك العنوان جزءاً من الضابط نفسه.

كما أن التوازن بين النصفين قد تحرّك. ظل منهج التوعية عشرين عاماً يعلّم العلامات السطحية، الأخطاء اللغوية، التحية الغريبة، الجملة التي تُقرأ كأنها ترجمة آلية. النص المولَّد يزيل هذه العلامات، ويزيلها في كل اللغات دفعة واحدة. الكشف يحتفظ بمهمته ويفقد بعض إشاراته. والإبلاغ يكتسب عملاً إضافياً، لأن ما يبقى بيد المستخدم إحساس بأن شيئاً ما لم يكن سليماً، والإحساس لا ينفع إلا إذا وجد عنواناً يذهب إليه.

يضع المركز الوطني للأمن السيبراني في المملكة المتحدة هذا الشرط داخل إرشاده حول الدفاع عن مؤسستك أمام التصيد، فيسأل إن كانت عملية الإبلاغ واضحة وبسيطة وسريعة، ويطلب من المؤسسات أن تعطي تغذية راجعة سريعة عن الإجراء الذي اتُّخذ، وأن يرى الموظف أن مساهمته أحدثت فرقاً. هذه ليست مجاملة. إنها المُدخل الذي يحتاجه المستخدم كي يواصل ما دفعت لتعليمه إياه.

قاس لاين وكوستياينن وتشابكون ذلك في ETH زيورخ على مدى خمسة عشر شهراً ومع أكثر من أربعة عشر ألف موظف، ونُشر البحث في IEEE Security and Privacy 2022. الموظفون الذين تلقّوا تغذية راجعة إيجابية بعد الإبلاغ أبلغوا أكثر ممن لم يتلقّوها، وهو فرق يسجّله الباحثون بدلالة إحصائية، ولم يرصدوا خلال الأشهر الخمسة عشر أي إجهاد من الإبلاغ ما دام الإبلاغ سهلاً. والمستخدم الذي يضغط الزر مرتين ولا يسمع شيئاً يكون قد تعلّم شيئاً أيضاً، وهو عكس الدرس المكتوب في الفاتورة.

لماذا يُقطع النصف الثاني

للنصفين شكلان مختلفان على أمر الشراء، وهذا ما يقرر أيهما ينجو من جولة الميزانية. التدريب رخصة لكل مقعد، ومكتبة محتوى، وتقرير إنجاز تمدّه للمدقق الذي يطلب دليلاً على أن التدريب جرى. أما الطابور فهو مالك بالاسم، وزمن استجابة، وخمس عشرة دقيقة من صباح أحدهم. تستطيع إدارة المشتريات أن تصدر أمر شراء مقابل رخصة، ولا تملك أداة مقابل نوبة عمل، فتتحول النوبة إلى شيء يُفترض أن يمتصه فريق قائم.

حجة عبء العمل لا تصمد أمام البيانات. في دراسة ETH زيورخ وصل زر الإبلاغ إلى أكثر من واحد وعشرين ألف موظف وجمع 7191 بلاغاً عن رسائل حقيقية خارج المحاكاة. تكفّل الفرز الآلي بالجزء الأكبر منها، ونحو 1.5 رسالة في اليوم احتاجت قراراً من مسؤول بشري. وتضع الدراسة نفسها متوسط دقة البلاغات عند 68 في المئة، أي أن نحو ثلث ما يصل ليس تهديداً. وصندوق بريد مشترك بلا فرز أمامه هو سبب هجر الطابور.

انخفاض معدل النقر ليس دليلاً

معدل النقر دالة على أمرين، الجمهور والطُّعم، ولوحة المنصة تغيّر أحدهما فقط عن قصد. اجعل المحاكاة التالية أوضح قليلاً وسينزل الخط، وسيبدو الرسم الذي تحمله إلى مجلس الإدارة مثل الرسم الذي كان سينتجه تحسّن صادق. والطُّعم المولَّد يزيد المشكلة حدة. فحين تُكتب كل حملة بدلاً من انتقائها من مكتبة قوالب، لا تكون الحملتان المتتاليتان الأداة ذاتها، ويحمل الفارق بين معدلي النقر صعوبة الصياغة بقدر ما يحمل حال مستخدميك.

أثر الطُّعم قِيس فعلاً. تجربة عشوائية مضبوطة استمرت ثمانية أشهر في UC San Diego Health، بعشر حملات محاكاة أُرسلت إلى أكثر من 19500 موظف ونُشرت في IEEE Security and Privacy 2025، وجدت أن الطُّعم العادي اجتذب نقرات من 1 إلى 2 في المئة من المستخدمين، بينما أنتجت طُعوم أخرى معدلات إخفاق تتجاوز 30 في المئة، وهو ما يصفه الباحثون بأنه يفوق بكثير المكسب الذي يمكن نسبته إلى التدريب. وتعليماتهم لمن يمسك رسماً بيانياً لما قبل وما بعد أن يقرأه في مقابل مجموعة ضابطة لم تتدرب.

هناك مقياسان يصمدان أمام الاعتراضين معاً، وكلاهما من النصف الثاني. معدل الإبلاغ هو نسبة من ضغطوا الزر من متلقي الحملة، ولا يرتفع إلا حين يصدّق المستخدمون أن الضغط يحرّك شيئاً. وزمن أول بلاغ هو المدة التي بقيت فيها الحملة في صناديق البريد قبل أن ينبّه إليها أحد، وهو ما يقرر إمكانية سحب النسخ المتبقية في الوقت المناسب. في دراسة ETH زيورخ وصل نحو 10 في المئة من البلاغات خلال خمس دقائق، و20 في المئة خلال خمس عشرة دقيقة، و30 إلى 40 في المئة خلال نصف ساعة. ويطلب المركز الوطني للأمن السيبراني التحول نفسه، أي عدّ البلاغات إلى جانب النقرات. فإذا لم ينبّه أحد إلى محاكاتك حتى عصر اليوم التالي، فتلك جملة عن الزر والطابور، لا عن مستخدميك.

المحاكاة لا تقيس إلا باللغة التي يقرأها المستخدم

هناك طريقة أخرى لإنتاج معدل نقر مُرضٍ دون تحسين أي شيء، والوقوع فيها بالخطأ أسهل. أرسل المحاكاة بلغة لا يعمل بها المكتب.

استطلع هاسيغاوا وياماشيتا وأكياما وموري آراء 862 شخصاً ممن ليست الإنجليزية لغتهم الأم في ألمانيا وكوريا الجنوبية واليابان ضمن بحث SOUPS 2021، ووجدوا أن المشاركين، وخصوصاً الأقل ثقة بإنجليزيتهم، يتجاهلون الرسائل الإنجليزية دون فحص دقيق أكثر مما يفعلون مع رسائل بلغتهم. وعدم النقر لأن الرسالة تُخطّيت وعدم النقر لأن المستخدم قرأها وحكم عليها حدثان متطابقان على اللوحة ومختلفان تماماً داخل المبنى.

المهاجم لا يواجه هذه المشكلة. الحملة الموجهة إلى مكتب يعمل بالتركية تصل بالتركية، وهي اليوم تصل بتركية سليمة. والرسالة التي تُقرأ كأنها ترجمة آلية كانت واحدة من إشارات قليلة تعمل دون أي تدريب، وكان وزنها خارج الإنجليزية أكبر منه داخلها. النص المولَّد يسحب هذه الإشارة ويترك القارئ بشك بلا دليل تحته. شغّل في ذلك المكتب محاكاة بالإنجليزية وحدها وستكون قد قست مهارة القراءة وسجّلت النتيجة تحت عنوان الوعي الأمني.

أربعة أشياء يجب أن تتوفر بلغة المكتب، وقد تترجم المنصة بعضها وتترك الباقي. قوالب المحاكاة، ووحدة التدريب التي تُسند بعد الإخفاق، ونص الزر نفسه، والرد الذي يصل إلى المستخدم.

خمسة أسئلة تفصل النصفين

اسأل هذه الأسئلة لأي منصة تجلس أمامك.

• أين يصل البلاغ، ومن يملك ذلك العنوان بالاسم، وأي زمن استجابة مكتوب في نوبته؟
• ما الذي يعمل آلياً قبل أن يرى البلاغ إنسان، وماذا يحدث للجزء الذي يتبين أنه غير ضار؟
• هل يتلقى المستخدم المبلِّغ رداً، وهل تولّده المنصة نفسها؟
• حين يكشف بلاغ واحد حملة جارية، هل يمكن سحب الرسالة ذاتها من بقية صناديق البريد، ومن أي وحدة تحكم؟
• هل تستطيع المنصة تفصيل معدل الإبلاغ وزمن أول بلاغ حسب الإدارة، أم تعدّ النقرات فقط؟

تأتي KnowBe4 وProofpoint وHoxhunt جميعها بزر يتيح للمستخدم الإبلاغ عن رسالة. والأسئلة أعلاه عمّا يتصل به هذا الزر.

أين يقع هذا في المحفظة

يضم مجال الطبقة البشرية في المحفظة منتجاً واحداً، BeamSec. يرسل PhishPro المحاكاة، ويُسند Academy التدريب حيث وقع الإخفاق، وPhishTrace هو النصف الثاني، أي الطابور الذي يصل إليه البلاغ ومعه مالك ورد. ومحتوى التدريب والمحاكاة منشور بالإنجليزية والتركية، وهذا ما يحدد أين يمكن اجتياز اختبار اللغة أعلاه اليوم.