في هذا الموضوع سأشرح أحد أنواع الهجمات الأمنية الشائعة في مواقع الويب وهي هجوم Tabnapping ( الذي يكتب أحيانًا باسم Tabnabbing لكونه ناشئ من كلمتين هما Tab التي تعني تبويب المتصفح و napping التي تعني اختطاف أو إلقاء القبض على شيء في كلتا الحالتين Tabnapping و Tabnabbing تعنيان نفس الأمر.
فيما يلي سأوضح باختصار ما هو هذا النوع من الهجمات؟ وكيف تتخذ التدابير اللازمة لحماية نفسك منه سواء كصاحب موقع ووردبريس أو كمستخدم عادي.
ما هو هجوم Tabnapping؟
هو عبارة هجوم يستهدف المستخدم الذي يفتح رابط موقع ما في علامة تبويب جديدة، ويقوم بعدها بنقله لموقع آخر احتيالي موهمًأ إياه أنه هو نفس الموقع الذي كان يتصفحه بالأصل في حين أنه قد انتقل لموقع أخر مزيف يشبه الموقع الأصل.
فصفحة الموقع الاحتيالي تقوم عادة بإعادة كتابة صفحة الموقع الأصلية واستبدالها بصفحة احتيالية بديلة مشابهة تمامًا وتطلب من المستخدم إرسال بيانات دخوله للموقع من جديد. ولكون تصميم الصفحة البديلة يشبه التصميم الأصلي لن ينتبه المستخدم لذلك وسيقوم بتسجيل الدخول للصفحة معتقدًا أنها الأصلية مما يعني أنه قد تم إرسال بياناته إلى موقع المخترق!
على سبيل المثال قد تقوم ذات مرة بفتح علامة تبويب في المتصفح لتصفح موقع مثل فيسبوك، أو لتفقد بريدك الالكتروني وتتركتها مفتوحة لفترة طويلة، ثم تعود لهذه العلامة وتجدها تطلب منك تسجيل الدخول للفيسبوك أو حساب بريدك مرة أخرى. ستعتقد غالبًا أنه تم تسجيل خروجك لسبب ما وستدخل بيانات تسجيل الدخول
إذا كنت قد واجهت مثل هذه الحالة فيؤسفني القول أنك تعرضت لمحاولة هجوم Tabnapping وإذا كنت قد أدخلت بياناتك الخاصة فعلاً فقد تمت سرقتها! فهذا النوع من الهجمات الإلكترونية يستهدف بشكل خاص مستخدمي المواقع التي تتعامل مع المعلومات الخاصة مثل شبكات التواصل الاجتماعي أو مزودي البريد الإلكتروني.
ويعتمد هجوم Tabnapping في عمله بشكل أساسي على استغلال ثقة المستخدم في هذه المواقع المعروفة وقيامه بإدخال بياناته للعودة للموقع من جديد ولأن المستخدم لن ينتبه لوجود فرق بين الموقع الأصلي والمزيف فلن يتردد في إدخال هذه البيانات وسيقع بذلك ضحية سهلة لهذا الهجوم لا سيما أن علامة التبويب المزيفة تظهر في علامة تبويب فتحها هو بنفسه!
لناخذ مثالاً آخر ولنفترض أنك انتقلت إلى موقع البنك الذي تتعامل معه بهدف تسجيل الدخول. وتوجهت إلى صفحة تسجيل الدخول الخاصة بهذا البنك من خلال كتابة عنوان URL للبنك بنفسك وبشكل صحيح، لكنك انشغلت بفعل شيء آخر وتركت علامة التبويب هذه مفتوحة لمدة ساعة ثم عدت لها وأردت الدخول للتحقق من حساباتك..
في هذه الأثناء يكون المهاجم قد وضع رابط إعادة توجيه إلى موقعه ونقل المتصفح إلى صفحة أخرى تنتحل هوية صفحة البنك وتشبهها وتطلب منك أن تدخل بياناتك.
ستعتقد أنت أنه قد تم تسجيل الخروج من حسابك في البنك بسبب طول المدة وستقوم بتسجيل بيانات الدخول مرة أخرى، وبمجرد ان تدخل البيانات الخاصة بك ستتم سرقتها من قبل المخترق!
باختصار يعد Tabnapping هجومًا احتياليًا يتلاعب بصفحات الويب وهو يعتبر ضار لكل من سمعة موقع الويب الخاص بك ولزوارك على حد سواء.
طرق الحماية من هجوم Tabnapping
تحتوي معظم المتصفحات عادة على تدابير أمنية أخرى تحميك من هجمات Tabnapping. لكن رغم ذلك قد لا تسمح جميع المتصفحات بتعطيل عمليات إعادة توجيه علامة التبويب غير النشطة نظرًا لوجود حالات تكون فيها هذه العملية شرعية لذا سنذكر لك مجموعة من الخطوات التي يمكنك اتخاذها للحد من هذا النوع من الهجمات سواء كنت مستخدم عادي أو صاحب موقع ووردبريس.
كصاحب موقع هناك بعض الأمور التي يمكنك القيام بها للحد من اختراق موقعك وهي التأكد من أن روابطك الخارجية تشير إلى مصادر حسنة السمعة، وإضافة الواصفة rel = "noopener" والواصفة rel = "noreferrer" إلى أي رابط خارجي تم تعيينه لفتحه في علامة تبويب أو نافذة جديدة فهذا يمنع الأكواد الخبيثة من الوصول إلى علامة التبويب التي فتحتها ولا يقوم بإخبار الخادم التابع لعلامة التبويب الجديدة ما هي الصفحة التي أتى منها الزائر.
وهنا تجدر الإشارة لأن محرر Gutenberg يقوم تلقائيًا بتعيين الواصفتين rel = "noopener noreferrer" عند إضافة أي رابط للموقع وتفعيل خيار فتحه في علامة تبويب جديدة فقد وفر ووردبريس هذه الميزة للحماية من هذه الثغرة الأمنية بشكل خاص.
ويكون كود HTML لهذا الرابط بالشكل التالي:
<a href="[سجل الدخول لترى الرابط]" target="_blank" rel="noreferrer noopener">Arab Wordpress</a>
لكن انتبه إذا كنت تقوم بإنشاء أو تشغيل موقع الويب الخاص بك باستخدام أدوات بناء الصفحات الخارجية مثل المنتور Elementor فهذه الأداة لا تقوم بتعيين هذه الواصفات تلقائيًا ويجب أن تقوم بإضافتها يدويًا بنفسك عند وضع أي رابط خارجي في موقعك.
أما كمستخدم عادي فتحقق دومًا من عنوان URL لأي موقع قبل إدخال بياناتك الخاصة فيه-لا سيما إذا كنت تدخلها في موقع قد تم فتحه ضمن علامة تبويب لفترة طويلة- فالمخترق في الغالب سوف يزور التصميم الأصلي لكنه لن يتمكن من تزوير عنوان URL الشرعي لموقع الويب لذا تحقق جيدًا من العنوان وإذا كان مختلف عن عنوان موقعك الأصلي لا تكتب أو تنقر أي شيء ولا تتفاعل مع أي شيء فيه وأغلق علامة التبويب على الفور.
وإذا كنت تتصفح أي موقع ما وعرض لك المتصفح إشعارًا يفيد بأن هذا الموقع الذي تريد الانتقال له مشبوه أو يحاول سرقة بياناتك أو غيرها من التحذيرات الأمنية فخذ هذا التحذير على محمل الجد فالمتصفحات لديها فلاتر دقيقة خاصة بها وتملك قوائم سوداء للمواقع المشبوهة.
أخبرنا تجربتك هل سبق لك وتعرضت لهذا الهجوم من قبل أثناء تصفحك لموقع ما؟
