المحتوى المخترق: ماذا يحدث فعلا حين يكون الموقع نفسه، لا أحد المعلنين، هو الطرف المخترَق
نادرا ما تأتي العلامة الأولى من جهة رسمية. قد تكون بضعة عناوين غريبة في Search Console لا يتذكر أحد في الفريق أنه أنشأها، أو حركة زيارات عضوية تنخفض دون سبب ظاهر في اللوحات المعتادة، أو معلن يكتب متسائلا لماذا تعيد صفحة إعلانه التوجيه إلى شيء لا علاقة له بالموقع. وأحيانا يكون زائر يبلغ بأن متصفحه رفض فتح الصفحة. لا شيء من هذا يشبه احتيال معلن، ولا شيء يشبه حالة الإعلان الخبيث التي تجعل موقعا يُصنَّف خطرا دون أن يكون كود الموقع نفسه مسؤولا عن ذلك.
هذه هي الحالة الأخرى، وهي مشكلة مختلفة بحل مختلف. هنا، أُضيف شيء فعليا إلى ملفات الموقع أو قاعدة بياناته دون أن يضعه هناك أحد في الفريق. لا يمكن لدليل إعلانات من هذه الفئة أن يتحمل أن يبدو غير موثوق ولو لأسبوع واحد: لا أمام Google، ولا أمام معالج دفع يعامل هذا القطاع أصلا كأعلى خطورة من المتوسط، ولا أمام مضيف قد يكون على بعد شكوى واحدة من تعليق الحساب. معرفة ما حدث بالضبط، وما الذي يتحقق منه Google فعلا، وبأي ترتيب يعمل الحل فعليا، تساوي هنا أكثر مما تساويه بالنسبة إلى مدونة شركة صغيرة عادية، لأن تكلفة الترتيب الخاطئ أعلى.
كيف يدخل المهاجم فعلا، ونادرا ما يكون الأمر دراميا
على هذا المستوى لا يستهدف أحد تقريبا دليل إعلانات للبالغين بعينه. النمط المعتاد هو روبوت يمسح الويب المفتوح بحثا عن أي موقع يشغّل برنامجا معينا فيه ثغرة معروفة وغير مُصلَحة، تماما كما يمسح مواقع المطاعم أو مدونات مكاتب المحاماة. يُصاب الموقع لأنه يصادف أنه يشغّل نفس نظام إدارة المحتوى أو نفس الإضافة أو نفس المكتبة القديمة التي يشغّلها مليون موقع آخر، لا لأن أحدا رصده وقرر أنه يستحق الجهد.
البرمجيات القديمة عامل حقيقي وشائع، لكنها ليست القصة كلها، ومعاملتها كأنها كذلك يترك نصف نقاط الدخول الفعلية مكشوفة. وجد تقرير المواقع المخترقة الصادر عن Sucuri، الخاص بالمواقع التي نُظِّفت في 2023، أن 39.1% من تثبيتات أنظمة إدارة المحتوى المخترَقة كانت تشغّل برمجيات قديمة وقت الإصابة، منخفضة من 50.58% في العام السابق. ووجد التقرير نفسه أن نحو 14% فقط من تلك المواقع كان لا يزال لديها إضافة أو قالب معروف الثغرة وقت أن فحصت Sucuri عملية الإصلاح عن قرب. بعبارة أخرى، لم تُخترَق معظم المواقع التي نظّفتها فعليا عبر الثغرة البرمجية التي كان العامل سيتوقع أنه عليه إصلاحها أولا.
النصف الآخر من الصورة هو بيانات الاعتماد. وجد تقرير Verizon لاستقصاء خروقات البيانات لعام 2025، الذي ينظر إلى كل قطاع يتتبعه لا إلى المواقع فقط، أن بيانات الاعتماد المسروقة أو المخمَّنة تتقدم بفارق ضئيل على الثغرات البرمجية المستغَلة كطريقة يحصل بها المهاجمون على موطئ قدمهم الأول: 22% من الخروقات مقابل 20%. هذا ليس رقما مبنيا فقط على مواقع الإعلانات المبوبة، لكنه يتطابق مع ما تلاحظه Sucuri في عمليات التنظيف الخاصة بمنصات إدارة المحتوى تحديدا. كلمة مرور إدارية أُعيد استخدامها من حساب بريد إلكتروني شخصي تسرّب في خرق غير متصل قبل سنوات، تمثل عمليا طريق دخول محتملا بقدر إضافة غير مُحدَّثة.
النتيجة العملية أن تأمين موقع ما هو عمل على جبهتين متقاربتين في الوزن تقريبا، لا جبهة واحدة. جدول تحديثات يغلق نصف الثغرات البرمجية. وانضباط منفصل بشأن من يملك صلاحية الدخول، وما هي كلمة مروره فعلا، وهل يُعاد استخدامها في مكان آخر، يغلق النصف الآخر. العامل الذي يكتفي بإبقاء الإضافات محدَّثة يكون قد أنجز نصف العمل وقد لا يدرك ذلك أبدا، لأن شاشة التحذير تظهر متطابقة بغض النظر عن أي نصف أُهمل.
كيف يسمّي Google هذا فعلا، ولماذا هي مشكلة مختلفة عن إعلان خبيث
عولج هنا من قبل نوع مختلف من تحذيرات Chrome: الحالة التي تبث فيها شبكة إعلانية متعاقَد معها تصميما خادعا أو خبيثا عبر المساحات الإعلانية الخاصة بالموقع نفسه، فيصنّف Google الموقع بسبب محتوى لم يلمسه قط. هذه ليست تلك الحالة. هنا أُضيف شيء إلى صفحات الموقع أو قاعدة بياناته دون علم العامل، وهذا بالضبط ما تعرّفه سياسات Google لمكافحة البريد المزعج بأنه محتوى مخترق: محتوى وُضع على موقع دون إذن مالكه، بسبب ثغرة في أمن الموقع نفسه.
تميّز وثائق Google ثلاثة أنماط محددة. حقن الكود هو كود خبيث، غالبا JavaScript، يُدرج مباشرة في صفحات أو إطارات iframe موجودة أصلا. حقن الصفحات هو صفحات جديدة تُضاف إلى الموقع لم تكن موجودة من قبل، مبنية للتلاعب بترتيب نتائج البحث أو لتنفيذ محاولة تصيّد، بينما الصفحات التي كان الزائر يعرفها مسبقا غالبا ما لا تُظهر أي علامة مرئية على وجود خلل. أما حقن المحتوى فهو أكثر دقة: نص أو روابط مخفية تُضاف إلى صفحات موجودة عبر حيل CSS أو HTML، مرئية لزاحف محرك البحث لكن غير مرئية لشخص ينظر إلى الصفحة نفسها في المتصفح.
حقن الصفحات عادة هو النمط الذي يكتشفه العاملون أخيرا، ومن المفيد فهم سبب تكبّد المهاجم هذا العناء بدلا من بناء موقع يستخدمه مرة واحدة خاص به. نطاق له بالفعل تاريخ وروابط خلفية قائمة ومكانة راسخة في نتائج البحث يُدخل محتوى البريد المزعج إلى الترتيب أسرع بكثير مما يفعله نطاق جديد تماما، لذا يفضّل المهاجمون استعارة سمعة موقع قائم بدل بناء سمعتهم من الصفر. هذه آلية مختلفة عن هجوم الروابط الخارجي الذي عولج في مكان آخر: هناك يوجّه الهجوم روابط من مواقع أخرى نحو الهدف من الخارج؛ أما هنا فصفحات البريد المزعج مبنية لتعيش على نطاق الهدف نفسه، داخل بنية ملفاته الخاصة.
وبمجرد وجود ذلك المحتوى على الموقع، تتراكم العواقب. يصنّف تقرير مشكلات الأمان في Search Console الموقع مباشرة، ويمكن حذف بعض الصفحات من النتائج أو استبدالها بتحذير في القائمة، وقد يبدأ Safe Browsing في Chrome بعرض الشاشة الحمراء الفاصلة نفسها الموصوفة سابقا لحالة الشبكة الإعلانية على الزوار، لكن هذه المرة لأن الموقع يستضيف فعلا محتوى خبيثا أو خادعا، لا بسبب تصميم إعلاني معيب يمر عبره.
رفع التحذير: الترتيب الذي ينجح فعلا
إرشادات Google نفسها محددة بشأن الترتيب، ومعظم الوقت الضائع في الممارسة العملية ينشأ من تنفيذ هذه الخطوات خارج تسلسلها. المهمة الأولى هي إيجاد وإزالة كل نسخة من المحتوى المحقون، لا الصفحة النموذجية فقط التي ذكرها Search Console كمثال على المشكلة. ذلك العنوان عيّنة لا جرد كامل، وعملية تنظيف تتوقف بعد إصلاحه عادة ما تترك معظم الحقن الفعلي قائما.
المهمة الثانية هي معرفة كيف دخل المهاجم وإغلاق تلك الثغرة بالتحديد، سواء كانت إضافة غير محدَّثة، أو بيانات اعتماد متسربة، أو صلاحية مُعدة بشكل خاطئ، لأن حذف صفحات البريد المزعج دون إصلاح نقطة الدخول يعيد الساعة إلى الصفر فحسب إلى أن يعود المهاجم نفسه، أو المسح الآلي نفسه، عبر الباب نفسه. توضح وثائق Google صراحة أن الإصلاح يجب أن يغطي الموقع بأكمله، لا الصفحة الرئيسية فقط أو الصفحة التي أبلغ عنها زائر، ويوصي جزء مرتبط من الدليل نفسه بتغيير كل كلمة مرور مرتبطة بحساب له صلاحية إدارية: تسجيل دخول نظام إدارة المحتوى، لوحة تحكم الاستضافة، FTP أو SFTP، وقاعدة البيانات، تحديدا لأن نقطة الدخول غالبا ما تكون واحدة من هذه لا الصفحة التي ظهر فيها العرَض.
الجزء الذي يخطئ فيه العاملون الأكثر هو توقيت طلب مراجعة جديدة من Google. طلب مراجعة قبل اكتمال التنظيف الموصوف أعلاه فعليا لا يسرّع شيئا؛ يقول Google صراحة إن طلب مراجعة بينما لا تزال المشكلة قائمة لا يفعل سوى إطالة المدة التي يبقى فيها الموقع مصنَّفا. تختلف أوقات المراجعة حسب الفئة: تستغرق مراجعة برمجية خبيثة بسيطة عادة أياما قليلة، ومراجعة التصيّد نحو يوم واحد، لكن مراجعة محتوى مخترق يتضمن صفحات بريد مزعج محقونة قد تستغرق حتى عدة أسابيع، لأن Google يتعامل مع هذه الفئة باعتبارها قد تحتاج إلى فحص يدوي فعلي بدل إعادة فحص آلية.
ظهور الجولة الثانية من التحذير نفسه بعد اجتياز مراجعة سابقا هو عادة إشارة إلى أن نقطة الدخول لم تُغلَق فعليا أبدا في المرة الأولى، بل أُزيل العرَض فقط. حذف صفحات البريد المزعج الظاهرة يبدو وكأنه ينهي العمل، لكن إذا كانت الإضافة الثغرة لا تزال موجودة أو كانت كلمة المرور المتسربة لا تزال تعمل، تُستخدم الثغرة نفسها مجددا، أحيانا خلال أيام قليلة من رفع التحذير.
ما يمنع هذا فعلا، بميزانية يستطيع هذا النشاط التجاري تحمّلها
لا يتطلب شيء من هذا توظيف فريق أمني متفرغ، والعاملون الذين يتجاوزون الأساسيات يفعلون ذلك عادة لأن القائمة تبدو أطول مما هي عليه فعلا. يحتاج نظام إدارة المحتوى وقالبه وكل إضافة مثبّتة إلى جدول تحديث ثابت، يُراجَع أسبوعيا بدل "متى تسنى الوقت"، وكل ما ثُبِّت مرة ولم يعد يُستخدم ينبغي إزالته كليا بدل تركه خاملا، لأن الإضافة غير النشطة تبقى بابا لم يُقفَل قط.
انضباط بيانات الاعتماد يساوي وزن التحديثات، بالنظر إلى ما تظهره فعليا أرقام Sucuri وVerizon المذكورة أعلاه. يعني هذا كلمة مرور فريدة لكل حساب يمكنه لمس الموقع، مولَّدة ومحفوظة في مدير كلمات مرور بدل الذاكرة، ومصادقة ثنائية العامل مفعّلة على كل دخول يتيحها، وعدم وجود تسجيلات دخول مشتركة تمرَّر بين الموظفين أو المشرفين، إذ أن تسجيل الدخول المشترك هو أيضا صلاحية لا يمكن تتبعها إلى شخص محدد حين يسوء شيء ما.
النسخ الاحتياطية مهمة بقدر أهمية الوقاية، لأنها ما يعيد الموقع إلى الإنترنت خلال ساعات بدل انتظار مراجعة من Google قد تستغرق أسابيع. نسخة احتياطية تعيش على حساب الاستضافة نفسه الذي يفترض أن تحميه ليست نسخة احتياطية جيدة، إذ أن المهاجم بصلاحية إدارية يستطيع عادة الوصول إليها أيضا؛ نسخة محفوظة في مكان منفصل، ومختبَرة فعليا باستعادتها مرة واحدة على الأقل بدل تركها تعمل دون تحقق، هي الفارق بين أسبوع سيئ وشهر سيئ.
أما العنصر الأخير فهو ببساطة معرفة ذلك مبكرا. تنبيهات البريد الإلكتروني الخاصة بـ Search Console تُوصل تقرير مشكلات الأمان إلى صندوق وارد يقرؤه أحد فعلا، بدل أن يكتشف العامل المشكلة من شكوى زائر أو من نزيف بطيء في حركة الزيارات العضوية بعد أيام أو أسابيع من وقوعها. لا تكلّف أي من هذه الخطوات أكثر من الوقت، وجميعها أرخص إن نُفّذت الآن مقارنة بما بعد أن تكون شاشة التحذير قد كلّفت بالفعل أسبوعا من الزيارات ريثما يُرتَّب التنظيف.
الترتيب، إن كان التحذير قد ظهر بالفعل، هو التنظيف الكامل أولا، ثم إغلاق الثغرة المحددة التي سمحت بذلك، وعندها فقط طلب مراجعة جديدة من Google، لا العكس أبدا. والترتيب، إن لم يحدث شيء بعد، هو فعل الأشياء الأربعة نفسها على أي حال وفق جدول هذا الأسبوع: تحديث ما هو مثبّت، وتغيير كل كلمة مرور ذات صلاحية إدارية، وتفعيل المصادقة الثنائية العامل حيثما أُتيحت، واختبار استعادة حقيقية من نسخة احتياطية. في الحالتين، لم يكن الحل يوما مسألة ولاية قضائية للشهادة أو حجم مكتب المحاماة المتعاقَد معه: إنه مسألة من يستطيع تسجيل الدخول، ومدى حداثة البرمجيات، وهل سيلاحظ أحد ذلك في الوقت المناسب.
