اختطاف محركات البحث (SEO Hijack): مواقع التصيد الاحتيالي تحتل المرتبة الأولى في Bing

مسارا الهجوم

كشفت تحقيقاتنا عن عمليتان متوازيتان مختلفتان تمامًا تعمل هذه العمليات في وقت واحد لدفع مواقع التصيد الاحتيالي إلى صدارة نتائج بحث «بينغ» و«دوك دوك جو».

الطريقة أ: هجوم «حقن نتائج بحث ياهو» (Yahoo SERP Injection)

يمكن القول إن هذا هو الأكثر أناقة من الناحية التقنية هجوم «سيو» غير المشروع الذي قمنا بتوثيقه في عام 2026. ويستغل هذا الهجوم ثغرة جوهرية في الطريقة التي يقيّم بها محرك البحث «بينغ» مصداقية الروابط — وبالتحديد، عدم قدرته على التمييز بين الروابط التحريرية الحقيقية وصفحات نتائج البحث التي يتم إنشاؤها ديناميكيًّا من نطاقات موثوقة.

الآلية — خطوة بخطوة

الخطوة 1 — إنشاء عنوان URL الخاص بشركة الاتصالات الموثوقة. يقوم المهاجمون بإنشاء عناوين URL على نقاط نهاية البحث عبر الهاتف المحمول التابعة لـ Yahoo عبر عدة نطاقات فرعية دولية: [REDACTED] (النرويج)، [REDACTED] (فرنسا)، [REDACTED] (المكسيك)، [REDACTED] (بولندا)، [REDACTED] (اليونان)، [REDACTED] (كيبيك)، [REDACTED] (السويسرية الفرنسية)، [REDACTED] (كولومبيا). تحتوي هذه الصفحات على «مؤشر الموثوقية» الموروث من ياهو: 23–24.

الخطوة 2 — تضمين رابط التصيد الاحتيالي. يحتوي كل عنوان URL على استعلام بحث عشوائي تمامًا وبريء — «pele+fifa»، «Jean-Paul+Sartre»، «Radio+Stars»، «jucheck.exe» — لكن نص الرابط هو: curvefi.co Curve Finance. تضمن الاستعلامات العشوائية عدم اكتشافها من قبل مرشحات البريد العشوائي عن طريق مطابقة الأنماط.

الخطوة 3 — الزحف والفهرسة القسريان. يقوم المهاجمون بدفع «Bingbot» إلى الزحف إلى عناوين URL هذه باستخدام خدمات «البينغ» الجماعية، وإدراج التعليقات في المنتديات والمدونات، وأدوات تشغيل الزحف الآلي.

أدلة SEMrush الأولية — curvefi.co

المفارقة القاسية: يحتوي الموقع على صفر الكلمات المفتاحية العضوية، صفر حركة المرور في قاعدة بيانات SEMrush — ومع ذلك، فإنها تظهر في نتائج Bing/DDG لعبارة «Curve Finance» بفضل «السلطة المستعارة» من Yahoo.

المحور ب: شبكة PBN المنسقة

وهنا يصبح التحقيق مقلقًا حقًّا. خمسة مواقع تصيد احتيالي منفصلة — rabbys.at، dexscreener.at، monero-wallet.at، trezorsuite.at، و [REDACTED] — جميعها تشترك في مجموعة متطابقة من مصادر الروابط الخلفية. هذه ليست مصادفة. هذا هو عملية إجرامية منظمة واحدة تنفيذ حملات تصيد احتيالي متعددة من خلال بنية تحتية واحدة.

الدليل الدامغ — البنية التحتية المشتركة

ملفات تعريف نطاقات التصيد الاحتيالي

مزرعة المقالات المدعومة بالذكاء الاصطناعي

يستخدم إصدار aster-dex.at النهج المختلط، حيث تم الجمع بين تقنية «Yahoo Injection» ومحتوى مدونات تم إنشاؤه بواسطة الذكاء الاصطناعي، ونُشر على مواقع تم اختراقها أو أنشئت خصيصًا لهذا الغرض في فيتنام وإيطاليا وإندونيسيا وسويسرا.

تحمل جميع مقالات المدونة عناوين متطابقة تقريبًا: "لماذا لا تزال عمليات مبادلة التوكنات ومجمعات السيولة تشكل عقبة حتى أمام المتداولين المخضرمين في البورصات اللامركزية", "لماذا لا يزال صانعو السوق الآليون يفاجئون المتداولين". وهذه هي مقالات تم إنشاؤها بواسطة الذكاء الاصطناعي تم وضعها على مواقع تحمل الرموز AS 21–36، وجميعها ترتبط بموقع aster-dex.at.

تسلل التعليقات غير المرغوب فيها

يتبع موقع [REDACTED] نهجًا مختلفًا تمامًا — وهو نشر تعليقات غير مرغوب فيها بشكل صريح على مواقع ذات مصداقية عالية لا علاقة لها بالموضوع. وتقوم أسماء مستخدمين مزيفة مثل «ZackaryThymn» و«Fritzkah» و«Jamesboach» بإدراج روابط لمحافظ العملات المشفرة في مواقع تعليم الفلسفة (filozofija.edu.rs، AS 45)، ومنصات تعزيز مشاركة الموظفين ([REDACTED]، AS 63)، والمهرجانات الفنية ([REDACTED]، AS 50).

الحضيض: الرسائل غير المرغوب فيها المتعلقة بالأدوات الآلية

bscscan.cfd يستخدم الطريقة الأكثر فظاظةً على الإطلاق: حزم روابط خلفية مدفوعة الثمن بالجملة من مواقع تحمل أسماءً مثل [REDACTED] و [REDACTED]. جميع المصادر لها قيمة AS تساوي 0. ويُعد نطاق المستوى الأعلى .cfd مؤشراً معروفاً على البريد العشوائي. ومع ذلك، في محرك بحث Bing، حتى هذا الأسلوب يعمل جزئياً — حيث يمكن أن يؤثر حجم الروابط منخفضة الجودة على الترتيب في محركات البحث بالنسبة للنطاقات الجديدة تماماً التي لا يوجد لها سجل سلبي.

لماذا يعتبر كل من «بينغ» و«دوك دوك جو» عرضة للخطر بشكل خاص

استراتيجية استهداف الكلمات المفتاحية

تكشف ملفات تعريف الكلمات المفتاحية عن الدقة الجراحية في اختيار الأهداف. لا يستهدف المشغلون مصطلحات العلامات التجارية الأساسية فحسب، بل يستهدفون أيضًا مواقع «typosquats» («محفظة رابي», «محفظة روبي», «dexscrenner») وحتى الاستعلامات باللغة الصينية («بورصة أستر» (المركز رقم 25).

السياق التاريخي: مشكلة «[REDACTED]» و«DuckDuckGo»

حتى بعد أن تخلت «[REDACTED]» عن استخدام «DDG» كمتصفح افتراضي، لا تزال الثغرة الأمنية الأساسية قائمة. أي مستخدم يقوم بـ يختار DuckDuckGo يدويًّا حرصًا على الخصوصية — وهي فئة سكانية تتداخل إلى حد كبير مع مستخدمي العملات المشفرة — لا تزال معرضة لهذه الهجمات بالذات حتى اليوم. وقد استخدمت عمليات الاحتيال الموثقة في هذا التقرير أشكالاً مختلفة من هذه التقنية منذ عدة سنوات، مع التكيف مع قيام محركات البحث بتصحيح الثغرات الأمنية الفردية تدريجيًّا.

كيف تحمي نفسك

• أبدًا ربط محفظتك من إحدى نتائج البحث
• إضافة إلى المفضلة المواقع الشرعية مباشرةً
• استخدم محرك البحث DDG !bang الاختصار: !g curve finance يفرض البحث عبر Google
• تثبيت ملحق [REDACTED] للكشف عن عمليات التصيد الاحتيالي
• تحقق من أي نطاق على THE ENABLERS REGISTRY قبل التوصيل

توصيات موجهة إلى مايكروسوفت/بينغ

1. الكشف الديناميكي عن الصفحات: تصنيف صفحات نتائج البحث (ياهو، بايدو، جوجل) واستبعاد قيمة الروابط من الروابط الصادرة
2. الكشف المنسق عن شبكة الملاحة القائمة على البيانات (PBN): عندما تشير 9 نطاقات إلى 5 مواقع مختلفة بنماذج متطابقة، يُعتبر ذلك تلاعبًا
3. طبقة انتحال الهوية التجارية: الكشف عن هجمات استبدال نطاقات المستوى الأعلى (dexscreener.at ≈ [REDACTED])
4. مراقبة نطاقات .AT: تشديد الرقابة على نطاقات .at المسجلة حديثًا في نتائج بحث العملات المشفرة
5. الطريق السريع إلى DuckDuckGo: إنشاء واجهة برمجة تطبيقات (API) مخصصة لإزالة الرسائل غير المرغوب فيها يمكن لـ DDG الوصول إليها مباشرةً

مشغل واحد، 26 نطاقًا، مسجل واحد

أجرينا استعلامات RDAP على جميع نطاقات التصيد الاحتيالي البالغ عددها 26 نطاقًا. وأظهرت جميعها نفس الجهة المسجلة: شركة «[REDACTED]» المحدودة. ليس «معظم». وليس «الأغلبية». تم الاستعلام عن جميع الـ 23 بنجاح — مسجل متطابق، مع وجود 3 أخطاء في حدود المعدل قبل التحقق (تتطابق أنماط بنيتهما التحتية).

بيانات التسجيل في برنامج RDAP — مستندات التسجيل الجماعي

دليل «2 دولار» — خطوة بخطوة

انسَ أمور تحسين محركات البحث (SEO) المعقدة. انسَ أشهرًا من بناء الروابط. إليك تسلسل الهجوم الكامل والمُثبت الذي يضمن لك المركز الأول في نتائج بحث «بينغ».

الخطوة 1: سجل «Typosquat»

الخطوة 2: نسخ علامة العنوان (0 دولار، 5 دقائق)

يقوم المشغل بنسخ النص بالضبط <title> العلامة والوصف التعريفي المأخوذان من الموقع الإلكتروني للمشروع الفعلي. هذه هي الخطوة الأهم على الإطلاق. الصفحة نفسها تُستنزف رصيد المحفظة أو تستخرج عبارة البذرة — لكن <title> هذا ما يصنفه «بينغ».

الخطوة 3: الإرسال إلى شبكة PBN المخفية (0 دولار، دقيقة واحدة)

يزور المشغل أيًا من المواقع الـ15 التابعة لـPBN (bye.fyi, atomizelink.icu، وما إلى ذلك)، ويكتب اسم النطاق في حقل بعنوان «أدخل عنوان URL الخاص بك»، ثم ينقر على «تقصير». وبمجرد الضغط على زر الإرسال، يتم إنشاء صفحة على جميع المواقع الخمسة عشر في آن واحد — حيث تتشارك هذه المواقع قاعدة بيانات واحدة.

الخطوة 4: الانتظار (2-8 أسابيع، 0 دولار)

تفصيل التكلفة الإجمالية

داخل محرك التخفي

لقد قمنا باستخراج وتحليل كود HTML الأصلي من شبكة PBN. وتستخدم كل صفحة في كل نطاق نفس محرك الإخفاء.

بنية الصفحة: 400 كيلوبايت من HTML، أكثر من 3,500 رابط، 4 طبقات

<body style="overflow: hidden;">
  <div style="position:absolute; top:0; left:0;
              width:100%; height:5000px;
              background:white; z-index:1000000;
              font-size:32px; text-align:center;">
    <p>The domain report has Expired!</p>
  </div>

// work.js — identical on all 15 domains:
window.location.replace("https://scrib.li/ai-article-generator");

<p>Learn More Here <a rel="nofollow"
     href="https://POSSIBLY [REDACTED]">POSSIBLY [REDACTED]</a></p>
... x 3,500 links ...

الدليل: شبكة واحدة، قاعدة بيانات واحدة

[REDACTED] يظهر عبر عدة نطاقات تابعة لشبكة PBN مع أرقام تعريف متسلسلة من نفس قاعدة البيانات:

تطابق المعرّفات عبر «العلامات التجارية» المختلفة = نظام خلفي واحد، مشغل واحد. 15 نطاقًا. نفس قالب HTML. نفس CSS (style.css). نفس جافا سكريبت (work.js). نفس الصفحات التي تحتوي على 3,500 رابط.

شبكة PBN الثانية — شبكة فحص النطاقات

توفر شبكة روابط منفصلة وأكثر فعالية روابط خلفية من نوع «dofollow» إلى أهداف محددة. الخادم الرئيسي: [REDACTED] — تثبيت لـ WordPress 6.6.2 يقدم ملفات CSS وJS والقوالب إلى 50-80 نطاقًا تابعًا.

لماذا يقع «بينغ» في هذا الفخ؟

ثغرة «Title-Match»

[REDACTED] يحتوي على رابط خلفي واحد فقط — وهو صفحة من نتائج بحث ياهو مخزنة في ذاكرة التخزين المؤقت. ويحتل المرتبة الأولى في محرك بحث «بينغ» عند البحث عن عبارة «Thruster Finance». وهذا يثبت أن ترتيب «بينغ» لعمليات البحث المتعلقة بالعلامات التجارية ذات المنافسة المنخفضة يعتمد بشكل أساسي على:

1. المطابقة التامة لعلامة العنوان بشأن استعلام البحث
2. تم فهرسة النطاق (أي إشارة — حتى لو كانت رابطًا واحدًا يحمل علامة «nofollow» — تكفي)
3. لا توجد إشارات سلبية تدل على انعدام الثقة (النطاق جديد، وسجله خالٍ من أي مشاكل)

تتطلب «جوجل» وجود إشارات قوية تدل على المصداقية، كما أنها تقوم بمقارنة النتائج مع نطاقات العلامات التجارية المعروفة. أما «بينغ» فلا تفعل ذلك.

نتائج Bing رقم 1 (تم التحقق منها عبر SerpAPI، أبريل 2026)

قائمة الحماية المحدثة (العلامات التجارية في الجزء الثاني)

التوصيات (الجزء الثاني)

إلى مايكروسوفت/بينغ:

1. المنافسة على اللقب وحدها لا تعني السلطة. لا ينبغي أن يؤدي العنوان المطابق إلى تصنيف نطاق جديد في المرتبة الأولى في نتائج البحث المتعلقة بالعلامة التجارية. يجب اشتراط عمر النطاق، أو مصداقية الروابط الخلفية، أو إشارات التحقق من العلامة التجارية.
2. الكشف عن إخفاء المحتوى باستخدام CSS. يجب الإبلاغ عن الصفحات التي تستخدم طبقات «z-index» التي تخفي المحتوى عن المستخدمين ولكنها تعرضه لبرامج الزحف.
3. الكشف عن شبكات PBN المنسقة. إن وجود 15 نطاقًا تشترك في بنية خلفية واحدة وترتبط بنفس الوجهات لا يُعد بناءً عضويًّا للروابط.
4. تمييز النطاقات المسجلة لدى IANA #3765 في نتائج بحث العملات المشفرة من أجل إجراء تدقيق أكثر دقة.
5. إنشاء مسار سريع للتعامل مع الرسائل غير المرغوب فيها في DuckDuckGo. يرث محرك البحث DDG جميع الثغرات الأمنية الموجودة في Bing، لكنه يفتقر إلى آلية مستقلة للإبلاغ عن الرسائل غير المرغوب فيها.

إلى شركة «[REDACTED]»:

إلى IANA #1910:

تستخدم جميع النطاقات الـ 26 خدمة DNS والبروكسي من IANA #1910. وتُستخدم هذه النطاقات لخدمة برامج استنزاف المحافظ وجمع عبارات البذور من خلال البنية التحتية لشركة IANA #1910.