المهاجمون ينتحلون صفة موظفي مكتب المساعدة داخل مايكروسوفت تيمز
مجموعة قرصنة ذات دوافع مالية تسيء استخدام مايكروسوفت تيمز لاختراق شبكات الشركات، وفقاً لباحثين نقل عنهم موقع Cybersecurity Dive. وقد طالت الحملة عشرات الشركات في الولايات المتحدة وكندا، حيث يستخدم المهاجمون شخصيات دعم تكنولوجيا معلومات مزيفة لخداع الموظفين ومنحهم وصولاً عن بُعد إلى أجهزتهم. وبمجرد الدخول، ينشر المهاجمون برامج الفدية ويقومون بتشفير الملفات ويطالبون بفدية.
على عكس العديد من الاختراقات البارزة المرتبطة بالتجسس الحكومي، يقول الباحثون إن هذه العملية تبدو مالية بحتة. فالمهاجمون لا يسعون وراء معلومات استخباراتية أو وصول مراقبة طويل الأمد، بل يريدون الحصول على فدية، وقد أصبحت مايكروسوفت تيمز أداة مريحة لتحقيق ذلك.
كيف تعمل عملية الاحتيال
يعتمد الأسلوب على الهندسة الاجتماعية بدلاً من الثغرات البرمجية. يتواصل المهاجمون مع الموظفين عبر مايكروسوفت تيمز منتحلين صفة موظفي دعم تكنولوجيا المعلومات الداخليين. ولأن تيمز أداة تواصل موثوقة ويومية داخل معظم المؤسسات، فمن المرجح أن يتخلى الموظفون عن حذرهم مقارنة بتلقّي بريد إلكتروني أو مكالمة هاتفية مجهولة من رقم غير معروف.
وبمجرد أن يقتنع الموظف بأنه يتحدث مع دعم تكنولوجيا معلومات شرعي، يقنعه المهاجم بمنحه وصولاً عن بُعد إلى جهازه، غالباً بحجة حل مشكلة تقنية. ومن هناك، يمكن للمتسللين التحرك أفقياً عبر الشبكة، وجمع بيانات الاعتماد، وفي نهاية المطاف نشر برامج الفدية عبر الأنظمة والخوادم المشتركة.
تعكس هذه الطريقة اتجاهاً أوسع في الجرائم الإلكترونية: فالمهاجمون يفضلون بشكل متزايد انتحال الشخصية واستغلال الثقة على الثغرات التقنية، لأنه غالباً ما يكون إقناع شخص بفتح الباب أسهل من اختراق جدار ناري.
التداعيات الخصوصية لخرق بيانات ببرامج الفدية
بينما تُصوَّر برامج الفدية عادةً على أنها مشكلة استمرارية أعمال، فإن الملفات المشفرة والأنظمة المقفلة ليست سوى جزء من القصة. غالباً ما تتضمن هذه الحملات تسريب البيانات قبل بدء التشفير، مما يعني أن سجلات الموظفين ومعلومات العملاء والمراسلات الداخلية قد تكون في أيدي المهاجمين بحلول وقت ظهور طلب الفدية.
هذه البيانات لا تختفي بالضرورة بمجرد دفع الفدية أو استعادة النظام. إذ يمكن بيعها أو تسريبها أو الاحتفاظ بها لابتزاز مستقبلي. وتمتد العواقب إلى ما هو أبعد من الشركة المخترقة. فالموظفون الذين سُرقت بيانات اعتمادهم، والعملاء الذين خُزّنت سجلاتهم على خوادم مخترقة، والشركاء الذين تبادلوا ملفات حساسة، جميعهم قد يتعرضون للاختراق.
غالباً ما تعتمد البنية التحتية وراء هذه الحملات على مزودي استضافة مستعدين لصرف النظر. وقد انتبهت أجهزة إنفاذ القانون لهذه المشكلة في أماكن أخرى: فقد صادرت السلطات الهولندية مؤخراً 800 خادم واعتقلت شخصين مرتبطين بعملية استضافة محصنة كانت تدعم أنشطة الجرائم الإلكترونية، في تذكير بأن حملات برامج الفدية نادراً ما تعمل بمعزل عن غيرها. فهي تعتمد على منظومة أوسع من خدمات الاستضافة وغسل الأموال والتوزيع التي تمتد عبر الحدود.
ماذا يعني هذا بالنسبة لك
إذا كانت مؤسستك تستخدم مايكروسوفت تيمز، ومعظم المؤسسات تفعل ذلك، فإن هذه الحملة تحذير مباشر بأن منصات الدردشة الداخلية أصبحت الآن نواقل هجوم حقيقية، وليس فقط البريد الإلكتروني. ينبغي لأقسام تكنولوجيا المعلومات أن تتعامل مع رسائل تيمز غير المرغوب فيها من جهات اتصال "الدعم" بنفس الشك المخصص عادة لرسائل التصيد الإلكتروني.
أما بالنسبة للموظفين الأفراد، فالدرس بسيط: دعم تكنولوجيا المعلومات الشرعي نادراً ما يبادر بالتواصل بهذه الطريقة، ويكاد لا يطلب منك مطلقاً منح وصول عن بُعد فورياً دون تحقق مسبق من خلال نظام تذاكر معروف أو قناة داخلية. إذا بدا الأمر متسرعاً أو عاجلاً بشكل غير معتاد، فهذه الاستعجال غالباً ما تكون العلامة الفارقة.
بالنسبة للشركات التي تتعامل مع بيانات العملاء أو الموظفين، تؤكد هذه الحملة أيضاً على سبب أهمية تقليل البيانات وتجزئة الشبكة. فالحد من كمية المعلومات الحساسة الموجودة على أي نظام واحد يمكن الوصول إليه يقلل مما يمكن للمهاجم استخراجه حتى لو تجاوز خط الدفاع الأول.
خطوات عملية لتقليل المخاطر
- تحقق من أي تواصل لدعم تكنولوجيا المعلومات من خلال نظام تذاكر رسمي أو خط هاتفي داخلي معروف قبل منح وصول عن بُعد لجهازك.
- قم بتمكين المصادقة متعددة العوامل عبر تيمز والبريد الإلكتروني وأدوات الوصول عن بُعد لكي لا يكون اختراق بيانات اعتماد واحدة كافياً للتحرك أفقياً.
- درّب الموظفين تحديداً على أساليب انتحال الشخصية عبر تيمز، وليس فقط على التصيد عبر البريد الإلكتروني، لأن المهاجمين ينوعون بوضوح نقاط دخولهم.
- قسّم البيانات الحساسة وقيّد صلاحيات المسؤولين الإداريين بحيث لا يتمكن حساب مخترق واحد من الوصول إلى الشبكة بأكملها.
- حافظ على نسخ احتياطية غير متصلة بالإنترنت ومختبرة لكي تفقد مطالب برامج الفدية قوتها الضاغطة.
تذكّرنا حملة برامج الفدية عبر مايكروسوفت تيمز بأن المهاجمين يذهبون حيث توجد الثقة مسبقاً. ومع اعتماد المؤسسات بشكل أكبر على منصات التعاون في العمليات اليومية، تصبح هذه الأدوات نفسها أهدافاً مغرية لانتحال الشخصية. البقاء متيقظاً لطلبات "الدعم" غير المتوقعة، والتحقق من الهويات عبر قنوات منفصلة، وتحديث التدريب الأمني باستمرار، هي طرق بسيطة لكنها فعالة للبقاء على بعد خطوة للأمام.
