لقد وجد مجرمو الإنترنت طريقة جديدة للالتفاف على مرشحات البريد الإلكتروني وحاصرات البريد العشوائي: إنهم يتصلون بالموظفين مباشرة عبر Microsoft Teams. وتُظهر حملة حديثة مرتبطة بفيروس الفدية Chaos أن المهاجمين يستخدمون التصيد الصوتي، أو ما يُعرف بـ "vishing"، داخل Teams لخداع العاملين لحملهم على تسليم صلاحيات الوصول إلى الشبكة، مما يؤدي في النهاية إلى نشر فيروس الفدية عبر أنظمة الشركة.
هذه ليست مجرد قصة تصيد عبر البريد الإلكتروني أخرى. إنها إشارة إلى أن المهاجمين يستهدفون عمداً منصات التعاون التي يثق بها ملايين الموظفين الآن بشكل افتراضي، مما يُجبر المؤسسات على إعادة التفكير في كيفية تدريب موظفيها على اكتشاف أساليب الهندسة الاجتماعية.
كيف تعمل هجمات التصيد الصوتي عبر Microsoft Teams
على عكس التصيد التقليدي الذي يعتمد على رابط أو مرفق خبيث يجلس في صندوق الوارد، يستخدم أسلوب الهجوم هذا التواصل الصوتي المباشر. يتواصل المهاجمون مع الموظفين عبر Microsoft Teams، وغالباً ما يتظاهرون بأنهم من قسم دعم تقنية المعلومات الداخلي أو من جهة موردة موثوقة، ويستخدمون المكالمة لخلق شعور بالإلحاح والمصداقية. ولأن التفاعل يحدث داخل منصة يستخدمها الموظفون بشكل يومي لأعمال مشروعة، فإن الحاجز النفسي الذي يجعل الناس عادةً يشكون في رسائل البريد الإلكتروني غير المرغوب فيها لا يكون موجوداً ببساطة.
بمجرد بناء الثقة، يصبح هدف المهاجم مباشراً: جعل الضحية يتخذ إجراءً يمنح صلاحية الوصول عن بُعد، سواء كان ذلك بالموافقة على طلب تسجيل دخول، أو تثبيت أداة وصول عن بُعد، أو مشاركة بيانات الاعتماد تحت غطاء بلاغ دعم فني. من هناك، يحصل المهاجم على موطئ قدم داخل شبكة الشركة، مما يُمهد الطريق لنشر حمولة فيروس الفدية.
يعكس هذا النهج اتجاهاً أوسع يتمثل في استغلال المهاجمين لبيئات Microsoft 365 بدلاً من مهاجمة الثغرات البرمجية مباشرة. وهو يكرر تكتيكات شوهدت في حملة Storm-2949 التي تستهدف إعادة تعيين كلمة مرور Microsoft 365، حيث تلاعب المهاجمون بسير العمل السحابي الموثوق بدلاً من الاعتماد على البرمجيات الخبيثة وحدها لاختراق المؤسسات.
لماذا يتجاوز التصيد الصوتي التدريب الأمني التقليدي
بُنيت معظم برامج التوعية الأمنية في الشركات حول البريد الإلكتروني: لا تنقر على الروابط المجهولة، تحقق من عنوان المُرسل، مرر المؤشر قبل أن تثق. يتجاوز التصيد الصوتي كل هذا التدريب تقريباً لأنه لا يوجد بريد إلكتروني لفحصه، ولا نطاق مُنتحَل بشكل واضح، ولا رسالة ثابتة يمكن للموظف إعادة توجيهها بهدوء إلى فريق الأمن لمراجعتها.
تُدخل المكالمة المباشرة عبر الهاتف أو Teams أيضاً ضغطاً اجتماعياً لا يوجد في البريد الإلكتروني. يمكن لصوت هادئ وبمهنية يدّعي أنه من دعم تقنية المعلومات، خاصة إذا استخدم مصطلحات داخلية حقيقية أو أشار إلى أحداث حديثة في الشركة، أن يدفع الموظف نحو الامتثال السريع قبل أن يتاح له الوقت للتفكير النقدي. وهذا المزيج من المنصة الموثوقة والضغط الآني وتحضير الموظف المحدود هو بالضبط ما جعل التصيد الصوتي نقطة دخول مغرية لمشغّلي فيروسات الفدية.
ماذا يفعل فيروس الفدية Chaos بمجرد دخوله الشبكة
بمجرد أن يستخدم المهاجمون مكالمة التصيد الصوتي لإنشاء صلاحية الوصول، تكون المرحلة التالية هي نشر فيروس الفدية Chaos. ومثله مثل عائلات فيروسات الفدية الأخرى، صُمم Chaos للتحرك عبر الشبكة المخترقة وتشفير الملفات والأنظمة واحتجاز تلك البيانات حتى يُدفع الفدية. لا يقتصر الضرر على جهاز واحد؛ يحاول مشغّلو فيروسات الفدية عادةً الانتشار على أوسع نطاق ممكن داخل الشبكة قبل بدء التشفير، مما يزيد الضغط على المؤسسة الضحية للدفع.
ما يجعل هذه الحملة جديرة بالملاحظة هو أسلوب التسليم لا فيروس الفدية بحد ذاته. فمن خلال الحصول على وصول يبدو شرعياً عبر قناة تواصل موثوقة، يمكن للمهاجمين تجاوز عدة طبقات من الدفاعات التقنية التي عادةً ما تُنبه إلى التحميلات المشبوهة أو محاولات تسجيل الدخول غير المعتادة.
وسائل الحماية للعاملين عن بُعد وهجيناً: المصادقة متعددة العوامل، والشبكات الافتراضية الخاصة، والتحقق الصوتي
بالنسبة للمؤسسات التي لديها فرق موزعة أو هجينة، يُذكّر هذا النوع من الهجمات بأن التحقق من الهوية يحتاج إلى أن يمتد إلى ما وراء البريد الإلكتروني وشاشات تسجيل الدخول. هناك بعض الخطوات العملية التي يمكن أن تقلل المخاطر بشكل ملموس:
- اشتراط المصادقة متعددة العوامل (MFA) لجميع عمليات الوصول عن بُعد والأنظمة الحساسة، وتدريب الموظفين على ألا يوافقوا أبداً على طلب MFA لم يبادروا هم بأنفسهم إليه.
- وضع سياسة واضحة على مستوى الشركة للتحقق من طلبات دعم تقنية المعلومات، مثل مطالبة الموظفين بالاتصال مُجدداً برقم داخلي معروف بدلاً من الوثوق بمكالمة أو رسالة Teams واردة.
- استخدام شبكة افتراضية خاصة (VPN) مع ضوابط وصول صارمة بحيث يصبح من الصعب على المخترق التحرك جانبياً عبر الشبكة حتى لو تم اختراق بيانات الاعتماد.
- توسيع نطاق التدريب على التوعية بالتصيد ليشمل الهندسة الاجتماعية عبر الصوت والدردشة، وليس البريد الإلكتروني فقط.
ماذا يعني هذا بالنسبة لك
إذا كنت تعمل عن بُعد أو بنموذج هجين وتستخدم Microsoft Teams بانتظام، فعامل المكالمات أو الرسائل غير المتوقعة من "دعم تقنية المعلومات" بنفس الشك الذي قد تبديه تجاه بريد إلكتروني مريب. نادراً ما تتواصل أقسام تقنية المعلومات الشرعية بشكل مفاجئ عبر منصات الدردشة لتطلب منك تثبيت برامج أو الموافقة على طلبات وصول فورية. عندما تكون في شك، أغلق المكالمة، وتحقق عبر قناة رسمية، وأبلغ فريق الأمن لديك فوراً.
النقاط الرئيسية
يُظهر تصاعد هجمات التصيد الصوتي عبر Microsoft Teams المرتبطة بفيروسات الفدية أن مجرمي الإنترنت يتأقلمون بسرعة أكبر من العديد من برامج التدريب المؤسسية. ومع تحول أدوات التعاون إلى خط المواجهة الجديد للهندسة الاجتماعية، تحتاج المؤسسات إلى تحديث دفاعاتها وفقاً لذلك: تعزيز سياسات المصادقة متعددة العوامل، وإضفاء الطابع الرسمي على إجراءات التحقق من تقنية المعلومات، والتأكد من فهم الموظفين أن الثقة في المنصة لا تعني الثقة في كل شخص يستخدمها. يبقى البقاء يقظاً تجاه طلبات الصوت والدردشة غير المرغوب فيها، مهما بدت مقنعة، أحد أبسط الطرق وأكثرها فعالية لإيقاف هجوم فيروس الفدية قبل أن يبدأ.
