السيرة الذاتية
مرشّح مثالي، وملف طلبتِه بنفسك
كيف يدخل مهاجم من الباب الأمامي لشركة عبر إعلان وظيفة ومقابلة مهذبة وسيرة ذاتية
الفكرة باختصار: نصيحة «لا تفتح مرفقات من مجهول» مستحيلة التطبيق على من يعمل في التوظيف أو المبيعات أو خدمة العملاء. وظيفتهم حرفيًا أن يفتحوا ملفات ممن لا يعرفونهم.
ستة عشر يومًا من التوظيف العادي
ريم أخصائية توظيف في شركة تقنية. في أسبوع عادي تفتح ما يزيد على مئتي ملف من أشخاص لم تلتقِ بأحدهم. هذا ليس تهاونًا، هذا وصف وظيفتها.
إعلان وظيفة عادي
نشرت الشركة إعلانًا لوظيفة مطوّر أول. الإعلان نفسه معلومة ثمينة لمن يبحث عن مدخل: يكشف التقنيات المستخدمة، وأسماء الأدوات الداخلية، واسم من يستقبل الطلبات وبريده المباشر.
ملف نظيف تمامًا
تقدّم «يوسف» بسيرة ذاتية بصيغة PDF. الملف سليم مئة بالمئة — لا شيء فيه إطلاقًا. مرّ على كل فحص لأنه لم يكن يحمل شيئًا يُفحص.
هذه خطوة مقصودة: الملف الأول وظيفته أن يبني في ذهنك صورة «مرشّح عادي»، لا أن يفعل شيئًا. ملفه المهني على الإنترنت كان مكتملًا أيضًا: صورة، خبرات، توصيات، نشاط قديم يمتد لسنوات.
مكالمة خمس وعشرين دقيقة
مقابلة فرز أولي بالهاتف. مهذب، هادئ، إجاباته التقنية دقيقة، وأسئلته عن الفريق ذكية. خرجت ريم من المكالمة وهي تكتب في ملاحظاتها: مرشّح قوي، يُرشَّح للمرحلة الثانية.
من هنا فصاعدًا لم يعد «مجهولًا» في ذهنها. صار شخصًا تحدثت معه.
هي التي طلبت الملف
كتبت له تطلب نماذج من أعماله السابقة قبل المقابلة الفنية. وهذه أهم تفصيلة في القصة كلها: الملف الذي سيصل لن يكون مرفقًا مفاجئًا من غريب، بل ملفًا مطلوبًا، في رسالة منتظرة، ضمن مراسلات بدأتها هي.
ملف مضغوط بكلمة مرور
اعتذر عن التأخير بلطف، وأرفق ملفًا مضغوطًا محميًا بكلمة مرور، وكتب الكلمة في متن الرسالة، مع تبرير معقول: «الأعمال تخص عملاء سابقين، وأفضّل ألا تكون مفتوحة للجميع».
التبرير مقنع مهنيًا، ونتيجته التقنية أن أنظمة الفحص الآلي لا تستطيع النظر داخل الملف. حماية الخصوصية هنا كانت غلافًا لتعطيل الفحص.
الملف فُتح فعلًا — وكان جيدًا
ظهرت أمامها أعمال حقيقية ومقنعة: واجهات، مخططات، وصف مشاريع. لم يحدث شيء غريب، ولم تظهر رسالة خطأ. المستند المعروض أمامها كان مجرد واجهة، بينما جرى في الخلفية ما لم تره.
لاحقًا تبيّن أن تلك الأعمال ليست له أصلًا، بل منقولة من محفظة شخص حقيقي آخر لا علاقة له بالقصة.
ردّت تشكره
أرسلت له رسالة تشكره على الملفات وتقترح موعدًا للمقابلة الفنية. أنهت يومها ومضت. لا شيء في القصة حتى هذه اللحظة يستدعي أي شك.
لماذا جهاز الموارد البشرية تحديدًا
على ذلك الجهاز وفي ذلك البريد: سير ذاتية بمئات البيانات الشخصية، وكشوف رواتب، وعقود، وتقييمات أداء، وبيانات بنكية للموظفين، ومراسلات مع كل الأقسام والإدارة العليا.
ليس جهاز موظف عادي. هو من أغنى الأجهزة بالبيانات في أي شركة، وغالبًا من أقلها حماية.
رسالة خرجت من بريد ريم
وصلت إلى قسم المالية رسالة من بريدها تطلب تحديث بيانات الحساب البنكي لأحد الموظفين قبل صرف الرواتب. الطلب في محله تمامًا: هذا نوع الرسائل التي ترسلها الموارد البشرية فعلًا، من البريد الذي ترسل منه دائمًا.
أوقفها موظف في المالية لسبب واحد: كانت لديهم قاعدة تقول إن أي تغيير لبيانات حساب يُتحقق منه بمكالمة. تلك المكالمة هي التي كشفت كل شيء.
يوسف لم يكن موجودًا
الصورة مولّدة، والخبرات منسوخة من ملفات أشخاص حقيقيين، والتوصيات من حسابات أُنشئت في نفس الفترة، ورقم الهاتف توقف عن العمل بعد أسبوعين.
وعاد الخيط كله إلى لحظة واحدة: ٤:٥٢ من عصر يوم عادي، حين فتحت موظفة ملفًا طلبته بنفسها من مرشّح تحدثت معه بالهاتف.
يومًا من المراسلات المهذبة قبل أن يصل الملف.
لم يكن مرفقًا مجهولًا في رسالة عشوائية. كان الملف الثاني، من مرشّح في مسار توظيف حقيقي، بعد مكالمة هاتفية، وردًّا على طلب صريح منها. كل معيار تستخدمه للتمييز بين الغريب والمعروف كان قد تحقق قبل أن يصل.
لماذا الموارد البشرية هدف مثالي
اختيار هذا القسم ليس عشوائيًا. هو الوحيد تقريبًا الذي تجتمع فيه أربع خصائص لا تجتمع في غيره.
باب مفتوح بحكم الوظيفة
استقبال ملفات من أشخاص مجهولين ليس خطأ يُرتكب، بل مهمة تُؤدّى يوميًا. لا يمكن لأي تدريب أن يطلب من موظف التوظيف ألا يفتح السير الذاتية.
أغنى جهاز بالبيانات
بيانات شخصية لمئات المتقدمين، ورواتب، وعقود، وتقييمات. جهاز واحد يكفي لتحقيق تسريب ضخم دون الحاجة للوصول إلى أي خادم.
بريد موثوق داخليًا
رسائل الموارد البشرية تصل إلى كل الأقسام وتُفتح دائمًا: عقود، سياسات، ملفات للتوقيع. بريد مخترق هنا يساوي وصولًا مقنعًا إلى الشركة كلها.
ضغط الحجم
مئتا ملف في أسبوع لا تسمح بتدقيق متأنٍّ لكل رسالة. الحجم نفسه هو الثغرة، ولا يُعالَج بمزيد من الحرص بل بتغيير الطريقة.
سبع علامات في مسار توظيف يبدو سليمًا
العلامات هنا لا تظهر في الملف نفسه، بل في الطريقة التي وصل بها.
ملف مضغوط بكلمة مرور
أوضح علامة في القصة. مهما كان التبرير مهنيًا، فالنتيجة الوحيدة لكلمة المرور هنا هي منع الفحص الآلي. اطلب الملفات مفتوحة أو عبر رابط مشاركة، ولا تفتح أرشيفًا محميًا من متقدّم.
الملف الأول نظيف والثاني هو الحمولة
بناء الثقة بمرفق سليم ثم إرسال الحقيقي لاحقًا نمط متكرر. تعامل مع كل ملف على حدة؛ سلامة المرفق السابق ليست شهادة للمرفق التالي.
طلب «تمكين المحتوى»
أي مستند يطلب منك تفعيل محتوى أو تحرير أو تشغيل شيء لعرض محتواه هو طلب لتشغيل برنامج، لا لقراءة ملف. سيرة ذاتية حقيقية تُعرض فورًا بلا شروط.
أيقونة تقول شيئًا والامتداد يقول آخر
الأيقونة صورة يمكن اختيارها. فعّل إظهار امتدادات الملفات دائمًا، وانتبه للاختصارات والامتدادات المزدوجة داخل الملفات المضغوطة.
مسار مهني لا يصمد أمام تحقق مستقل
حسابات أُنشئت حديثًا رغم خبرة طويلة مزعومة، وتوصيات من ملفات فارغة، وشركات سابقة لا يعرفه فيها أحد. تحقّق من خارج الملف لا من داخله.
أعمال تخص شخصًا آخر
بحث سريع بالصور أو بجملة من وصف المشروع يكشف أحيانًا أن المحفظة منسوخة بالكامل. الجودة العالية المفاجئة تستحق تحققًا لا إعجابًا فقط.
الإعلان نفسه يكشف أكثر مما يجب
ذكر الأدوات الداخلية وأسماء الأنظمة والبريد الشخصي لمن يستقبل الطلبات يمنح المهاجم خريطة مجانية. اكتب الإعلان بما يكفي للمرشّح، لا بما يكفي للمهاجم.
الحل بنيوي لا سلوكي
لا يمكن حل هذه المشكلة بمطالبة الموظف بمزيد من الانتباه، لأن المطلوب منه أصلًا أن يفتح. الحل أن نغيّر أين يُفتح الملف وماذا يستطيع أن يفعل.
بوابة تقديم موحّدة بدل المرفقات بالبريد. يرفع المتقدّم ملفه في نظام التوظيف، وتُعرض السير الذاتية داخل المتصفح بلا تنزيل. هذه الخطوة وحدها تغلق أغلب الباب.
افتح الملفات في بيئة معزولة — معاينة سحابية أو جهاز مخصص خارج الشبكة — بدل فتحها على الجهاز الذي يحمل بيانات الموظفين.
امنع الأرشيفات المحمية بكلمة مرور على مستوى نظام البريد، مع رسالة تلقائية تطلب من المرسل إعادة الإرسال بصيغة مفتوحة.
عطّل المحتوى النشط والماكرو افتراضيًا في مستندات المصادر الخارجية، واجعل تفعيله يحتاج موافقة إدارية لا نقرة موظف.
حساب بلا صلاحيات إدارية لأجهزة الاستقبال والتوظيف، مع فصل بيانات الموارد البشرية عن بقية الشبكة وتقييد من يصل إليها.
قاعدة المكالمة قبل أي تغيير مالي — هي التي أوقفت الضرر في هذه القصة، وهي أرخص إجراء في القائمة كلها.
- اعزل الجهاز عن الشبكة فورًا وأبلغ في اللحظة نفسها، ولا تحاول فحصه أو تنظيفه بنفسك.
- راجع الرسائل الصادرة من بريد الموارد البشرية خلال الفترة كلها، وقواعد إعادة التوجيه وأذونات التطبيقات المضافة حديثًا.
- افترض أن ما على الجهاز قد نُسخ. هنا بيانات أشخاص لا بيانات شركة فقط، وقد يترتب على ذلك التزام بإبلاغ الموظفين والمتقدّمين والجهات المعنية.
- غيّر كلمات المرور وأنهِ كل الجلسات من جهاز نظيف، وأبلغ الأقسام التي راسلها هذا البريد مؤخرًا.
- احتفظ بالرسائل والملف كما هي بترويستها الكاملة، وأبلغ الجهة المختصة بجرائم الإنترنت.
ولا تجعل الموظف هو الخلاصة. من فتحت الملف كانت تؤدي عملها بدقة: راجعت، واتصلت، وطلبت نماذج، ووثّقت. لو كان الأداء الجيد سببًا للوم، فلن يبلّغك أحد في المرة القادمة.
هناك وظائف لا تستطيع تطبيق نصيحة «لا تفتح ملفات الغرباء»، لأن فتحها هو العمل نفسه. ولهذا لا يُحمى هؤلاء بالتحذير، بل بأن نغيّر المكان الذي يُفتح فيه الملف — فيصبح فتحه بلا أثر حتى لو كان ملغومًا.