مجموعة ابتزاز جديدة تستهدف القطاع المالي
ربطت موجة من الهجمات السيبرانية ضد صناديق التحوط وشركات الأسهم الخاصة ومؤسسات مالية أخرى بمجموعة UNC6671، وهي مجموعة ابتزاز يُقال إنها مرتبطة بجهات التهديد BlackFile. وأشارت التقارير التي نشرها BleepingComputer إلى وجود صلة تشير إلى حملة منسقة تستهدف بعض أكثر أركان الصناعة المالية ثراءً ولكنها الأقل تدقيقاً من الناحية التاريخية.
تدير صناديق التحوط وشركات الأسهم الخاصة مبالغ طائلة من رأس المال وتحتفظ ببيانات حساسة عن المستثمرين وخطوط الصفقات القادمة والشركات التابعة. هذا المزيج من المعلومات عالية القيمة، إضافة إلى فِرق أمنية غالباً ما تكون أقل حجماً مما هو موجود في البنوك الكبيرة، يجعلها هدفاً جذاباً للمجموعات المتخصصة في الابتزاز بدلاً من تشفير البيانات التقليدي عبر برامج الفدية.
من هما UNC6671 و BlackFile؟
UNC6671 هو التصنيف المُستخدم لتعقب هذه المجموعة المحددة من الاختراقات، ويشير ارتباطها المبلغ عنه مع BlackFile إلى وجود مجموعة أدوات أو بنية تحتية أو دليل تشغيلي مشترك بينهما. تتبع مجموعات الابتزاز من هذا النوع نمطاً مألوفاً عادةً: الوصول إلى الشبكة، وسحب الملفات الحساسة بهدوء، ثم الضغط على الضحية للدفع عبر التهديد بتسريب البيانات المسروقة للعموم. وعلى عكس مشغلي برامج الفدية التقليدية الذين يركزون على تشفير الأنظمة والمطالبة بفدية مقابل مفتاح فك التشفير، غالباً ما تتخطى المجموعات التي تركز على الابتزاز عملية التشفير بالكامل وتعتمد فقط على التهديد بالفضح، الأمر الذي قد يصعّب على المدافعين اكتشافه حتى يقع الضرر فعلاً.
يعكس هذا النهج ما حدث في حوادث أخرى مؤخراً. ففي اختراق بيانات Stadler Rail على سبيل المثال، طالبت عصابة إيفرست بدفع ملايين الدولارات مرتبطة باختراق منصة تبادل بيانات بدلاً من الإغلاق الشامل للنظام. أصبحت تكتيكات الابتزاز أولاً أكثر شيوعاً عبر القطاعات على وجه التحديد لأنها تتطلب جهداً تقنياً أقل من نشر وإدارة حمولات برامج الفدية، بينما لا تزال تمنح المهاجمين نفوذاً كبيراً على الضحايا القلقين من التداعيات السمعة والتنظيمية.
لماذا تعتبر الشركات المالية أهدافاً رئيسية
تحتل صناديق التحوط وشركات الأسهم الخاصة موقعاً فريداً في مشهد التهديدات. فهي تتعامل مع معلومات سرية للمستثمرين، وشروط صفقات غير معلنة، وبيانات مالية يمكن أن تكون قيّمة ليس فقط للابتزاز بل ربما للتداول بناءً على معلومات داخلية أو ذكاء تنافسي إذا ما تم تسريبها أو بيعها. بالمقارنة مع البنوك الخاضعة للتنظيم، يعمل العديد من هذه الشركات بفِرق أمن داخلي أصغر وتعتمد بشكل كبير على مورّدين خارجيين ومنصات سحابية وأدوات وصول عن بُعد، وكل منها يمكن أن يصبح نقطة دخول للمهاجمين.
هذا يتسق مع اتجاه أوسع شوهد في مشهد التهديدات هذا العام، حيث يستهدف المهاجمون بشكل متزايد الأجهزة الطرفية والبنية التحتية للوصول عن بُعد لتثبيت موطئ قدم. فالحملات التي تضمنت استغلال INC ransomware لثغرة اليوم صفر في SonicWall SMA 1000 و ثغرة اليوم صفر في Cisco FMC تحت هجوم نشط توضحان مدى سرعة تحرك الجهات التهديدية بمجرد أن تصبح ثغرة في أجهزة مؤسسية منتشرة على نطاق واسع معروفة. أما ما إذا كانت UNC6671 قد اعتمدت على وصول مماثل على مستوى البنية التحتية أو على تصيد وهندسة اجتماعية أكثر استهدافاً فلم يتم تفصيله، لكن الدرس الأساسي ينطبق على جميع القطاعات: قوة النطاق الخارجي بقدر قوة أضعف نقطة دخول وأقلها مراقبة.
ماذا يعني هذا لك
إذا كنت تعمل في صندوق تحوط أو شركة أسهم خاصة أو أي شركة خدمات مالية، أو تستثمر من خلالها، فإن هذه الحملة تذكير بأن معلوماتك الشخصية والمالية قد تمر عبر مؤسسات تعتبرها مجموعات الابتزاز أهدافاً سهلة بشكل متزايد. عادةً ما تكون رؤية المستثمرين محدودة حول مدى حماية الصندوق للبيانات التي يجمعها أثناء عملية التسجيل والعناية الواجبة والتقارير الدورية.
بالنسبة للموظفين في هذه الشركات، فإن الخطر أكثر إلحاحاً. غالباً ما تحصل مجموعات الابتزاز على الوصول الأولي من خلال بيانات اعتماد مخترقة أو رسائل تصيد إلكتروني أو برامج وصول عن بُعد غير محدثة بدلاً من الاعتماد فقط على ثغرات صفرية معقدة. وهذا يعني أن الالتزام بالممارسات الأساسية، مثل المصادقة متعددة العوامل والتحقق الدقيق من البريد الإلكتروني والتحديث الفوري للبرامج، لا يزال يغلق حصة كبيرة من نقاط الدخول المحتملة.
البقاء متقدماً على الهجمات القائمة على الابتزاز
يؤكد الارتباط بين UNC6671 و BlackFile كيف أصبحت تكتيكات الابتزاز استراتيجية مفضلة للجهات التهديدية التي تستهدف القطاع المالي، حيث يمكن أن تكون المخاطر السمعة وحدها كافية لإجبار الضحية على الدفع. كما هو الحال مع حوادث أخرى حديثة شاركت فيها مجموعات مثل Qilin ransomware التي تستغل ثغرة تجاوز في PAN-OS، فإن النمط ثابت: يبحث المهاجمون عن الطريق الأقل مقاومة إلى الشبكات القيّمة، ثم يعتمدون على تعريض البيانات بدلاً من التعطيل لانتزاع استجابة.
إذا كنت تتعامل مع صندوق تحوط أو شركة أسهم خاصة أو مؤسسة مالية مماثلة، فاطرح أسئلة مباشرة حول كيفية حماية بياناتك، وهل يُستخدم التشفير للسجلات الحساسة، وما هي خطط الاستجابة للحوادث الموجودة. أما بالنسبة للشركات نفسها، فإن التعامل مع مجموعات الابتزاز مثل UNC6671 كفئة مخاطر متميزة ومتنامية، منفصلة عن برامج الفدية التقليدية، يُعد خطوة ضرورية نحو سد الثغرات التي يستغلها هؤلاء المهاجمون بنشاط.
