كيف تتحققون من تهديدات النطاقات المشابهة (lookalike / typosquat)؟

لماذا يُعدّ التهديد خطيراً؟

النطاق المشابه (lookalike) لا يسبب ضرراً بحد ذاته؛ الخطر الحقيقي فيما يُفعَل به:

• احتيال الفواتير (BEC): رسالة «تغيّر رقم IBAN لدينا» إلى عميلكم من accounts@yourcompany-ltd.com. هذا هو السيناريو الذي تخسر فيه الشركات الصغيرة والمتوسطة في شمال قبرص وتركيا أكبر قدر من المال.
• تصيّد موظفيكم: رسالة لإعادة تعيين كلمة المرور موقّعة باسم «قسم تقنية المعلومات»، مرسلة من نطاق مشابه.
• موقع مزيف / تطبيق مزيف: صفحة تسجيل دخول مبنية بشعار علامتكم التجارية تجمع معلومات العملاء.
• السمعة: عندما يتعرض عميل للاحتيال، فمن الواضح من سيحمّله المسؤولية.

ينجح هذا الهجوم حتى لو كان سجل DMARC لديكم صحيحاً، لأن المهاجم يستخدم نطاقه الخاص لا نطاقكم. لهذا يكمّل أمان البريد الإلكتروني وفحص نطاقات lookalike أحدهما الآخر؛ ولا يغني أحدهما عن الآخر.

ما المتغيّرات التي يتم توليدها؟

يجرّب الفحص الجيد الاشتقاقات التالية (أمثلة مبنية على arvenova.ai):

• الأخطاء المطبعية: arvenoa.ai، arvneova.ai، arvenovaa.ai
• تبديل الأحرف: arvenove.ai، arvenoba.ai
• الحروف المتشابهة بصرياً (homoglyph): arven0va.ai (بالصفر)، وarvenova ممزوجة بحرف «а» السيريلي
• الإضافة والحذف: arvenova-ai.com، arvenovaai.com، arvenova-support.com، my-arvenova.com
• تغيير الامتداد: arvenova.com، arvenova.net، arvenova.co، arvenova.com.tr
• الشرطات وعلامات الترقيم: arve-nova.ai، arvenova.a.i

يُطرح سؤالان لكل مرشّح: هل هو مسجَّل (هل يُحلّ سجل A)، وهل يستطيع إرسال البريد الإلكتروني (هل يوجد سجل MX)؟ ونطاق lookalike الذي لديه سجل MX هو الأرجح أن يكون قد أُعدّ للتصيّد الاحتيالي.

مثال حقيقي: مخرجات Fjordex

أُخذت المخرجات أدناه لـ arvenova.ai بتاريخ 24 أكتوبر 2026 باستخدام أداة find_lookalike_domains في موصّل Fjordex، ولم يُعدَّل فيها شيء:

{
  "domain": "arvenova.ai",
  "check": "lookalike_domains",
  "summary": { "critical": 0, "high": 0, "medium": 1, "low": 0, "info": 0 },
  "findings": [
    {
      "id": "brand.lookalike_registered",
      "title": "Look-alike domain registered: arvenova.com",
      "severity": "medium",
      "evidence": "arvenova.com resolves to ['199.36.158.100'].",
      "recommendation": "Verify ownership; if not yours, consider a takedown/abuse report or defensive registration.",
      "category": "brand"
    }
  ],
  "observations": {
    "candidates_tested": 57,
    "registered_lookalikes": [
      { "domain": "arvenova.com", "a": ["199.36.158.100"], "has_mx": false }
    ]
  }
}

كيفية قراءتها: جرى اختبار 57 متغيّراً، وواحد منها فقط مسجَّل. arvenova.com هو تسجيلنا الدفاعي الخاص ويعيد التوجيه إلى arvenova.ai؛ وتُظهر has_mx: false أنه لا يستطيع إرسال البريد الإلكتروني. لا تستطيع الأداة معرفة ذلك، لذا تصنّف النتيجة «medium» (متوسطة) وتقول «تحقّقوا من الملكية». وهذا هو السلوك الصحيح: النتيجة ليست قراراً؛ الإنسان هو من يتخذ القرار.

لو أظهرت المخرجات نفسها نطاقاً لديه has_mx: true ولا يعود إليكم، فهذه حالة «high» (مرتفعة)، وتنطبق الخطوات أدناه.

ما الذي تفعلونه عند ظهور نتيجة

1. تحقّقوا من الملكية. قد يعود النطاق إليكم أو إلى وكالة سابقة أو إلى شركة تابعة. راجعوا WHOIS وسجلاتكم الخاصة.
2. اجمعوا الأدلة. لقطات الشاشة، وسجلات DNS، ومحتوى الموقع إن وُجد، ونماذج من الرسائل المرسلة. احتفظوا بها مع الطوابع الزمنية.
3. قدّموا بلاغ إساءة استخدام (abuse). أبلغوا عن انتهاك العلامة التجارية / التصيّد الاحتيالي إلى مسجّل النطاق وإلى مزوّد الاستضافة. لدى معظم المسجّلين نموذج للإبلاغ عن إساءة الاستخدام؛ وشهادة تسجيل علامتكم التجارية تسرّع العملية.
4. حذّروا العملاء والموظفين. إشعار قصير وواضح: «نراسلكم فقط من عناوين @arvenova.ai؛ أكّدوا دائماً أي تغيير في رقم IBAN عبر الهاتف».
5. احظروه على خادم البريد لديكم. أضيفوا نطاق lookalike إلى قواعد البريد الوارد حتى لا يصل إلى موظفيكم.
6. سجّلوا دفاعياً. اشتروا بأنفسكم المتغيّرات الـ 5-10 الأكثر احتمالاً (خصوصاً .com و.net و.co وامتداد بلدكم) ووجّهوها إلى نطاقكم الرئيسي. والتكلفة السنوية منخفضة.
7. كرّروا الفحص بانتظام. تُسجَّل نطاقات lookalike جديدة كل شهر؛ ولهذا وُجدت المراقبة الشهرية.

علاقة فحص نطاقات lookalike بـ DMARC

يمنع DMARC انتحال نطاقكم أنتم: فلا يستطيع المهاجم الكتابة باسم info@arvenova.ai. أما فحص نطاقات lookalike فيجعل الهجمات بالنطاقات المشابهة مرئية: إذ يكتب المهاجم باسم info@arvenova.co. والحماية الكاملة تحتاج إلى الاثنين. تقدّم أداة full_scan من Fjordex كليهما في التقرير نفسه، كما يتضمن تقييم المستوى 1 من ArveNova الفحصين كليهما.