كشف تقرير Fortra لمحاكاة التصيد الاحتيالي لعام 2025، الذي استند إلى تحليل 13.9 مليون رسالة محاكاة عبر أكثر من 7,500 حملة، عن فجوة صارخة في الاستجابة البشرية، إذ لم يبلغ سوى 10% فقط من المستلمين عن محاولات التصيد، بينما بلغ متوسط معدل النقر 5.4% على الروابط الخبيثة، وسجل معدل تسليم كلمات المرور بنسبة 1.99% عبر إكمال النماذج فعلياً. هذه الأرقام ترسم صورة قاتمة لسلوك المستخدمين في مواجهة هجمات أصبحت منظمة ومؤتمتة أكثر من أي وقت مضى.
ويشير التقرير إلى أن الاعتماد على معدل الإبلاغ كمؤشر وحيد قد يكون مضللاً. فعلى الرغم من أن مؤسسات القطاع المصرفي سجلت أعلى نسبة إبلاغ (30.98%)، إلا أنها أظهرت في الوقت نفسه أدنى معدلات إكمال للنماذج. وفي مفارقة لافتة، نقر العاملون في قطاع الدفاع على الروابط المشبوهة بنسبة 13.02%، رغم أن ربعهم تقريباً أبلغوا عن التهديدات.
ويقول جون ويلسون، الباحث الأول للتهديدات في Fortra:
“رغم أن إكمال النموذج يمثل أسوأ نتيجة في التصيد التقليدي لسرقة بيانات الدخول، فإن نقرة واحدة فقط قد تصيب المؤسسة ببرمجيات خبيثة دون أن يُرسل المستخدم كلمة مروره. لهذا، أعتقد أن معدل النقر هو المقياس الأهم لتقييم فعالية التدريب”.
وتكشف البيانات أيضاً عن تباينات حادة بحسب اللغة والقطاع. فقد بلغ معدل الإبلاغ بين المتلقين الناطقين بالفرنسية 19.55%، أي ضعف المجموعة الناطقة بالإنجليزية. أما موظفو قطاع التأمين، فقد فتحوا المرفقات الخبيثة بنسبة 12.65%، وهي النسبة الأعلى بين جميع القطاعات التي شملتها الدراسة. وبالنظر إلى حجم المؤسسات، كانت الشركات الصغيرة والمتوسطة الأكثر عرضة للنقر وتسليم كلمات المرور والأقل إبلاغاً، بينما تنفق المؤسسات الكبيرة ميزانيات تدريب تصل إلى ثمانية أرقام.
ويحذر ويلسون من أن ملاحقة أحدث أساليب التصيد لن تجدي نفعاً، موضحاً:
“رغم الابتكارات التقنية المتلاحقة كالتصيد عبر رمز الجهاز والتصيد الصوتي الهجين ومنصات التصيد كخدمة، فإن مبادئ الهندسة الاجتماعية الأساسية، مثل الاستعجال والسلطة والخوف والجشع، لم تتغير. يجب أن يركز التدريب على هذه المبادئ الجوهرية بدلاً من ملاحقة الطعوم المتطورة”.
ويؤكد التقرير أن منصات التصيد كخدمة أصبحت تتيح شن الهجمات بتكلفة زهيدة ودون الحاجة إلى مهارات تقنية متقدمة، ما يجعل العنصر البشري خط الدفاع الأخير الذي يُختبر بلا هوادة.
وتعكس هذه النتائج تحولاً في طبيعة التهديد؛ فلم يعد التصيد مشكلة بريد إلكتروني فحسب، بل أزمة هوية متكاملة. ومع انتقال المؤسسات إلى بيئات سحابية، مثل Microsoft 365، يمكن لبيانات اعتماد واحدة مسروقة أن تمنح المهاجمين مدخلاً مباشراً إلى أنظمة حساسة دون الحاجة إلى برمجيات خبيثة.
ويشدد التقرير على ضرورة بناء ثقافة أمنية يُنظر فيها إلى الموظفين كجزء من المحيط الدفاعي، لا كمجرد ضحايا محتملين، مع الحفاظ على تحديث الضوابط التقنية واختبار المستخدمين بشكل منتظم.
