أظهر اختراق واحد لشركة تقنية تسويقية، مرة أخرى، مدى هشاشة سلسلة التوريد على الويب. وفقًا لتقرير من PCMag، اخترق المهاجمون Brevo، وهي شركة تسويق عبر الإنترنت، واستخدموا هذا الوصول لشن هجوم برمجيات خبيثة بأسلوب ClickFix عبر العديد من المواقع الإلكترونية في يوم واحد. هذه الحادثة مثال واضح على أن هجوم ClickFix لا يحتاج إلى استهداف الضحايا مباشرة. بل يمكنه التسلل عبر خدمة طرف ثالث موثوقة بدلاً من ذلك.

كيف فتح اختراق Brevo الباب

توفر Brevo أدوات تسويقية تدمجها العديد من الشركات مباشرة في مواقعها الإلكترونية، مثل نماذج الاشتراك بالبريد الإلكتروني، أو أدوات الدردشة، أو نصوص التتبع. عندما يتم اختراق مورّد كهذا، لا يحصل المهاجمون على وصول إلى موقع واحد فقط. بل يحصلون على موطئ قدم في كل موقع إلكتروني دمج كود المورّد. في هذه الحالة، خلق الاختراق في Brevo مسارًا للمهاجمين لحقن هجوم بأسلوب ClickFix في مجموعة واسعة من المواقع في وقت واحد، مما حوّل نقطة فشل واحدة إلى قناة توزيع جماعية للبرمجيات الخبيثة.

هذا ما يجعل الاختراقات من جانب المورّد خطيرة للغاية من منظور الخصوصية والأمان. غالبًا ما يكون لدى أصحاب المواقع رؤية محدودة للتغييرات التي تُجرى من طرف المورّد، ولا يملك الزوار أي وسيلة لمعرفة أن نصًا برمجيًا يعمل في خلفية موقع مألوف قد أصبح فجأة خبيثًا.

ما الذي تفعله هجمات ClickFix فعليًا

ClickFix هو أسلوب هندسة اجتماعية أصبح شائعًا بشكل متزايد. فبدلاً من استغلال ثغرة تقنية في متصفح أو نظام تشغيل، يعتمد على خداع الشخص الجالس أمام لوحة المفاتيح. عادةً، تظهر نافذة منبثقة مزيفة على صفحة ويب، وغالبًا ما تتنكر في شكل التحقق من CAPTCHA، أو رسالة خطأ، أو خطوة مطلوبة لإصلاح مشكلة مزعومة في الصفحة. توجّه النافذة الزائر إلى نسخ قطعة نصية ولصقها في نافذة أوامر أو مربع تشغيل على حاسوبه.

النص المُلصق هو في الواقع أمر خبيث. وبمجرد تنفيذه، يمكنه تثبيت برمجيات خبيثة دون أن يقوم المستخدم أبدًا بتنزيل ملف بالمعنى التقليدي أو النقر على رابط واضح. ولأن الهجوم يعتمد على إجراء من المستخدم بدلاً من عيب في البرمجيات، فإنه يمكنه تجاوز العديد من الدفاعات التقنية المصممة لاكتشاف طرق توصيل البرمجيات الخبيثة التقليدية. هذا جزء من سبب تحوّل ClickFix إلى تكتيك مفضل لدى المهاجمين الذين يسعون لاختراق عدد كبير من الأجهزة بسرعة.

نمط متزايد من اختراق سلسلة التوريد

تندرج حادثة Brevo ضمن نمط أوسع يستهدف فيه المهاجمون الأدوات والمنصات التي تعتمد عليها شركات أخرى، بدلاً من مهاجمة المستخدمين النهائيين أو حتى الشركات الفردية مباشرة. إنها ديناميكية مشابهة لما حدث عندما ادّعت ShinyHunters اختراق Metabase، وهي منصة تحليلات أعمال تستخدمها أكثر من 100,000 مؤسسة، مما عرض عددًا هائلًا من المستخدمين downstream لخطر محتمل من اختراق واحد. كما أنها تردد أصداء المخاوف التي أُثيرت حول ثغرات غير مصححة في منصات مستخدمة على نطاق واسع مثل GeoServer، حيث يمكن استغلال عيب واحد غير معالج في بنية تحتية مشتركة عبر العديد من المؤسسات في وقت واحد.

تشترك هذه الحوادث في خيط مشترك: فكلما أصبح الويب أكثر ترابطًا، مع اعتماد الشركات على نصوص برمجية وإضافات ومنصات تابعة لجهات خارجية، أصبح بإمكان مورّد واحد مخترق أن يمتد أثره إلى الخارج على شكل هجوم واسع الانتشار.

ماذا يعني هذا بالنسبة لك

بالنسبة لمستخدمي الإنترنت العاديين، فإن العبرة من هجوم ClickFix هذا ليست أن أي موقع إلكتروني بعينه غير موثوق. بل إن حتى المواقع الإلكترونية الشرعية والمألوفة يمكن أن تُستخدم مؤقتًا كسلاح دون أي خطأ من جانبها، فقط لأن مورّدًا تعتمد عليه قد تم اختراقه. الدفاع الحقيقي هنا يتلخص في التعرّف على نمط ClickFix نفسه. لن يطلب منك أي موقع إلكتروني شرعي أبدًا فتح نافذة أوامر أو مربع تشغيل ولصق نص فيها "للتحقق" من أنك إنسان أو "لإصلاح" مشكلة في العرض. تلك التعليمات، أينما ظهرت، ينبغي التعامل معها كإشارة تحذيرية في كل مرة.

خلاصات قابلة للتنفيذ

إذا صادفت نافذة تطلب منك نسخ أمر ولصقه في حاسوبك، فأغلق الصفحة فورًا بدلاً من اتباع التعليمات. حافظ على تحديث نظام التشغيل والمتصفح لديك، لأن التصحيحات يمكن أن تقلل أحيانًا من تأثير النصوص البرمجية التي تنجح في المرور. فكّر في استخدام إضافات المتصفح أو أدوات الأمان التي تُشير إلى سلوك النصوص البرمجية المشبوهة على صفحات الويب التي تزورها. وإذا كنت تدير موقعًا إلكترونيًا يعتمد على أدوات تسويق أو تحليلات تابعة لجهات خارجية، فراقب تلك التكاملات عن كثب وكن مستعدًا لفصلها بسرعة إذا أفصح مورّد عن اختراق. حوادث مثل اختراق Brevo تذكّرنا بأن اليقظة لا ينبغي أن تتوقف عند بابك الأمامي. بل يجب أن تمتد إلى كل مورّد وكل نص برمجي يلامس المواقع التي تستخدمها كل يوم.