تمنح مجموعة من المحادثات الداخلية المسرّبة من عصابة ابتزاز تُدعى مجموعة الفدية الصامتة (Silent Ransom Group) المدافعين نظرة نادرة على كيفية تنظيم احتيال مكتب المساعدة المنتحل لهوية تقنية المعلومات خلف الكواليس. وفقًا لتحليل من فريق الأبحاث GRIT التابع لشركة GuidePoint Security، تكشف المحادثات عن تكتيكات انتحال هوية تقنية المعلومات، واستخدام عملاء ميدانيين، ودفتر حسابات للمدفوعات يبلغ إجماليه 206.95 مليون دولار.
الملخص المنشور موجز، لذا يلتزم هذا المقال بما ورد فيه ويركز على ما يمكن للقراء فعله به.
ما الذي يكشفه تسريب مجموعة الفدية الصامتة
يُعدّ التسريب جديرًا بالملاحظة لأنه يأتي من المهاجمين أنفسهم. فبدلًا من إعادة بناء حملة من تقارير الضحايا، تمكن الباحثون من الوصول إلى محادثات المجموعة نفسها. يُبرز تحليل GRIT، كما ورد في الملخص، ثلاثة أمور:
- تكتيكات انتحال هوية تقنية المعلومات: تبني المجموعة نهجها حول انتحال شخصية الدعم الفني.
- عملاء ميدانيون: العملية ليست عن بُعد بالكامل.
- دفتر مدفوعات بقيمة 206.95 مليون دولار: سجل للمدفوعات يشير إلى حجم العملية.
لم نتحقق بشكل مستقل من المحادثات أو دفتر الحسابات، ولا يوضح الملخص كيفية حساب هذا الرقم. من الأفضل قراءته كمؤشر على مدى ربحية هذا النوع من الهجمات، وليس كإجمالي دقيق مُدقَّق.
كيف يعمل انتحال مكتب المساعدة
الفكرة الجوهرية وراء أي انتحال لمكتب المساعدة بسيطة: يتنكّر المهاجمون في هيئة الأشخاص الذين يثق بهم الموظفون بالفعل لإصلاح المشكلات. معظمنا مُهيّأ للتعاون مع تقنية المعلومات. إذا قال أحدهم إنه من الدعم ويحتاج لحظة من وقتك، فإن رد الفعل الافتراضي هو المساعدة.
هذه الثقة هي الثغرة التي يُستغَلّ استغلالًا. فبدلًا من البحث عن خلل برمجي، يستهدف المهاجم قرارًا بشريًا: الموافقة على طلب، أو مشاركة رمز، أو السماح لشخص بالدخول. ولأن الهجوم يعتمد على الإقناع، فإنه يمكن أن ينجح حتى عندما تكون الأدوات الأمنية مُهيّأة جيدًا.
يظهر النمط نفسه في حملات حديثة أخرى. فقد أُفيد بأن مجموعة قراصنة تسيء استخدام Microsoft Teams للوصول إلى الشبكات المؤسسية، كما ورد في مقالتنا حول الدعم التقني المزيّف على Microsoft Teams يغذي موجة فدية. وهناك عملية أخرى ظهرت في أوائل عام 2026 تجاوزت التشفير بالكامل، كما شرحنا في ابتزاز BlackFile عبر التصيّد الصوتي وسرقة البيانات دون برمجيات خبيثة. تتغير القناة (دردشة، هاتف، بريد إلكتروني)، لكن الذريعة "نحن من تقنية المعلومات، ونحتاج منك أن تفعل شيئًا" تبقى كما هي.
لماذا يهمّ العملاء الميدانيون ودفتر مدفوعات بقيمة 206.95 مليون دولار
ثمة تفصيلان من التسريب يبرزان.
أولًا، العملاء الميدانيون. تفترض العديد من دروس التوعية الأمنية أن الانتحال يحدث عبر شاشة أو خط هاتفي. أما عملية تستخدم أيضًا أشخاصًا على الأرض فتشير إلى أن ادعاء المتصل، أو شارة الاسم، أو السلوك الواثق لا ينبغي اعتبارها دليلًا على الهوية. يجب أن ينطبق التحقق على كل قناة، وليس فقط البريد الإلكتروني والهاتف.
ثانيًا، دفتر الحسابات. سجل مدفوعات بقيمة 206.95 مليون دولار، حتى مع أخذ الحذر، يشير إلى أن الابتزاز القائم على الهندسة الاجتماعية يمكن أن يكون منظمًا وقابلًا للتكرار، وليس انتهازيًا. وهذا يهمّ المؤسسات الأصغر على وجه الخصوص. فمن السهل افتراض أن المجرمين يطاردون المؤسسات الكبيرة فقط، لكن عصابة تعمل وفق عمليات منهجية لديها كل الحوافز لتطبيق الدليل نفسه على أي شخص يرد على المكالمة.
هذا يردّد أيضًا صدى المدة التي استمرت فيها هذه الأساليب. فقد قدّم تغطيتنا لـScattered Spider تدّعي ضحية جديدة بحيلة اجتماعية قديمة نقطة مماثلة: الإقناع المُجرَّب والمُثبت يستمر في النجاح لأنه يستهدف الأشخاص، لا الشيفرة.
ما يعنيه هذا بالنسبة لك
إذا كنت فردًا، فالدرس هو أن أي جهة اتصال "تقنية معلومات" تبدو شرعية ولم تطلبها أنت تستحق الشك، مهما بدت احترافية. وإذا كنت تدير شركة صغيرة، فمن المحتمل ألا يكون لديك فريق أمني مخصص، مما يجعل وجود عملية واضحة وبسيطة أكثر قيمة من أي أداة.
الهدف العملي هو الفصل بين من يتواصل معك ومن تثق به. يمكن للمتصل أن يدّعي أنه أي شخص. أما رقم هاتف تبحث عنه بنفسك، أو نظام تذاكر تستخدمه بالفعل، فلا يمكن لغريب أن يزوّره عبر نصه.
كيفية التحقق من جهات اتصال الدعم التقني غير المتوقعة
تنطبق هذه الخطوات سواء وصلت جهة الاتصال عبر الهاتف أو الدردشة أو البريد الإلكتروني أو شخصيًا:
- توقف عندما تكون جهة الاتصال غير مطلوبة. إذا لم تفتح تذكرة أو تطلب مساعدة، فتعامل مع جهة الاتصال على أنها غير موثّقة افتراضيًا.
- اعتمد عادة إعادة الاتصال. أغلق الهاتف أو أنهِ الدردشة، ثم تواصل مع تقنية المعلومات عبر رقم أو قناة تعرفها بالفعل من مواد الشركة الرسمية، وليس عبر رقم قدمته لك جهة الاتصال.
- لا تشارك الرموز أو توافق على الطلبات بناءً على الطلب أبدًا. رموز المصادقة متعددة العوامل وموافقات تسجيل الدخول مخصصة لتسجيلات دخولك أنت، وليست لاستخدام مساعد.
- احذر من طلبات الوصول عن بُعد. لا تثبّت أدوات أو تمنح التحكم بالشاشة بناءً على جهة اتصال غير متوقعة.
- تحقق من الزوار. إذا حضر شخص يدّعي أنه من تقنية المعلومات، فتأكد من مزوّد تقنية المعلومات الحقيقي أو مديرك قبل منح الوصول إلى جهاز أو غرفة.
- اتفقوا على عملية مسبقًا. ينبغي للفرق الصغيرة أن تحدد كيفية تقديم طلبات تقنية المعلومات الشرعية، حتى يعرف الموظفون كيف يبدو الطلب الحقيقي.
- أبلغ عنه. أخبر جهة اتصال تقنية المعلومات أو مديرك عن المحاولات المشبوهة، حتى لو لم تقع فيها. فقد يُستهدف آخرون بعد ذلك.
الخلاصة
تؤكد محادثات مجموعة الفدية الصامتة المسرّبة أن احتيال مكتب المساعدة المنتحل لهوية تقنية المعلومات هو عملية تجارية لمن يديرونها، وليس حيلة لمرة واحدة. والدفاع هو أيضًا عملية: تمهّل، وأغلق الخط، وأعد الاتصال عبر قناة تثق بها. اجعل التحقق بإعادة الاتصال عادة لكل جهة اتصال تقنية معلومات غير مطلوبة، وشاركها مع فريقك أو عائلتك. لمزيد من الأمثلة على التكتيك نفسه، اقرأ تغطيتنا لـالدعم التقني المزيّف على Microsoft Teams والابتزاز القائم على التصيّد الصوتي.
