تمنح الوثائق المسربة المرتبطة بجماعة ابتزاز عثة لونا المدافعين نظرة نادرة على كيفية تنظيم العملية. وفقًا لمجلة Infosecurity، تشير المواد إلى جهد متعدد الجوانب يعمل فيه متخصصو الهندسة الاجتماعية ومهاجمون أكثر تقنيةً معًا للتلاعب بهدف واحد. بالنسبة لأي شخص يحاول فهم كتاب الهندسة الاجتماعية لعثة لونا، فإن هذا التقسيم للعمل هو التفصيل الأساسي، لأنه يفسر كيف يمكن لمكالمة هاتفية واحدة مقنعة أن تؤدي إلى اختراق أكبر بكثير.
ما تكشفه تسريبات كتاب الهندسة الاجتماعية لعثة لونا
تُعرف الجماعة أيضًا باسم مجموعة الفدية الصامتة (Silent Ransom Group) وChatty Spider وUNC3753. تصفها التنبيهات العامة، بما في ذلك أحد التنبيهات المشار إليها في نتائج البحث من مكتب التحقيقات الفيدرالي (FBI) ومركز شكاوى جرائم الإنترنت (IC3)، بأنها تستهدف مكاتب المحاماة بتقنيات الهندسة الاجتماعية، بما في ذلك انتحال شخصية موظفي الدعم التقني. ويصف بحث منفصل عن التهديدات استخدام التصيد عبر طلب معاودة الاتصال (callback phishing) كجزء من حملات ابتزاز البيانات الخاصة بها.
ما تضيفه التسريبات الجديدة، استنادًا إلى التقرير، هو رؤية من الداخل. فبدلاً من مهاجم منفرد يقوم بكل شيء، تشير الوثائق إلى جهد منسق يستهدف ضحية واحدة في كل مرة. تناولت تغطية سابقة على vpn.social كيف تكشف ملفات عثة لونا عن كتاب ابتزاز مكاتب المحاماة وكيف ظهرت مدفوعات مزعومة من خلال تسريب منفصل. مجتمعةً، تشير هذه التسريبات إلى عمل تجاري منظم بدلاً من مجموعة فضفاضة من الانتهازيين.
يجدر توخي الحذر هنا. المقال المصدر هو ملخص قصير، والوثائق المسربة نفسها هي ادعاءات لم يتم التحقق منها جميعًا بشكل مستقل. ومع ذلك، فإن النمط الذي تصفه يتطابق مع ما حذرت منه التنبيهات العامة بالفعل.
كيف يتقاسم المتصلون والمتسللون التقنيون العمل
الدرس العملي من الهيكل المُبلَّغ عنه هو أن الهجوم عبارة عن تتابع. تتولى مجموعة من الأشخاص الجانب البشري: بناء ذريعة مقنعة، وإشراك الهدف، وإقناعه باتخاذ إجراء محدد. وتتولى مجموعة أخرى الجانب التقني: استخدام أي وصول تنتجه تلك المحادثة للتنقل عبر الأنظمة وأخذ البيانات.
هذا التقسيم مهم لسببين.
أولاً، لا يحتاج الشخص الموجود على الهاتف إلى أن يكون متطورًا تقنيًا. وظيفته هي الإقناع. يحتاج فقط إلى أن يسلّم الهدف بيانات اعتماد، أو يوافق على مطالبة، أو يفتح بابًا، ويتولى المشغلون التقنيون الأمر من هناك.
ثانيًا، لا يحتاج المشغلون التقنيون إلى إيجاد ثغرة برمجية. إذا تم تسليمهم تسجيل دخول شرعي أو جلسة بعيدة موثوقة، فإن الكثير من عملهم يبدو كنشاط طبيعي. هذا هو السبب في صعوبة اكتشاف هجمات من هذا النوع بأدوات المحيط وحدها.
كانت العواقب مرئية في القطاع القانوني. أشارت التقارير التي تناولناها سابقًا إلى أن جونز داي وماير براون أكدتا سرقة ملفات حساسة، وفي حالة واحدة على الأقل نُشرت على الإنترنت بعد عدم دفع مطالب الابتزاز. يُظهر تقرير ذو صلة عن تصاعد هجمات مكاتب المحاماة وعمليات احتيال التصيد الصوتي (vishing) نفس الموضوع: نقطة الدخول غالبًا ما تكون شخصًا، وليس قطعة من البرمجيات الخبيثة.
اكتشاف ذرائع التصيد الإلكتروني والصوتي قبل أن تتصرف
بما أن المرحلة الأولى هي محادثة، فإن أفضل دفاع مبكر لديك هو عادة وليس أداة. تميل الذرائع التي تنتحل شخصية دعم تقني المعلومات (IT) إلى مشاركة بعض السمات:
- الإلحاح. يقول المتصل أو البريد الإلكتروني إن شيئًا ما معطل أو على وشك الانتهاء أو مخترق ويحتاج إلى إجراء الآن.
- اتصال غير مرغوب فيه. لم تفتح تذكرة دعم، ومع ذلك يدّعي شخص أنه يساعد في واحدة.
- طلب للوصول. يُطلب منك قراءة رمز بصوت عالٍ، أو الموافقة على مطالبة تسجيل دخول، أو تثبيت برنامج، أو بدء جلسة بعيدة.
- رقم معاودة اتصال يقدمه المرسل. يعتمد التصيد عبر طلب معاودة الاتصال على اتصالك برقم يتحكم فيه المهاجم.
الاستجابة بسيطة، وإن كانت محرجة في اللحظة. أغلق الهاتف أو توقف عن الرد. ثم اتصل بفريق الدعم التقني أو مزود الخدمة باستخدام رقم أو قناة تعرف بالفعل أنها حقيقية، مثل دليل داخلي أو الموقع الرسمي للشركة. لا تستخدم تفاصيل الاتصال من الرسالة نفسها. لن يمانع موظفو الدعم الشرعيون في التحقق منهم.
يجب على المؤسسات الصغيرة أيضًا الاتفاق على قاعدة مسبقًا: لا يُطلب من أي شخص على الإطلاق الموافقة على تسجيل دخول أو تثبيت برنامج وصول عن بُعد بسبب مكالمة واردة. القاعدة المكتوبة تزيل الضغط عن الموظف الفردي.
الحد من الضرر بعد سرقة بيانات الاعتماد
افترض أن شخصًا ما سيُخدع في النهاية. الهدف حينها هو جعل بيانات الاعتماد المسروقة أقل فائدة.
استخدم المصادقة متعددة العوامل المقاومة للتصيد. يمكن استدراج الرموز المرسلة عبر رسائل نصية أو مطالبات التطبيق من الضحية في مكالمة. صُممت مفاتيح الأمان المادية ومفاتيح المرور (passkeys) للعمل فقط مع الموقع الحقيقي، مما يزيل الشيء الأكثر شيوعًا الذي يمكن للمتصل طلبه.
حدّد ما يمكن لأي حساب واحد الوصول إليه. إذا كان بإمكان تسجيل دخول واحد فتح كل مشاركات الملفات، فإن مكالمة واحدة يمكن أن تكشف كل شيء. افصل الوصول حسب الدور وأزل الأذونات القديمة.
راقب الأدوات البعيدة غير العادية وعمليات النقل الكبيرة. يجب أن يؤدي برنامج الوصول عن بُعد الجديد أو نقل البيانات بالجملة خارج ساعات العمل العادية إلى إطلاق مراجعة.
احصل على خطة استجابة. اعرف بمن تتصل، وكيف تتعطّل الحسابات بسرعة، وكيف تحافظ على الأدلة. تعتمد جماعات الابتزاز على الارتباك والتأخير.
ماذا يعني هذا بالنسبة لك
لا تحتاج إلى أن تكون مكتب محاماة لتكون هدفًا لهذا النمط من الهجوم. تعمل نفس الذرائع على أي موظف أو فرد لديه وصول يستحق السرقة. تؤكد التسريبات أن أضعف نقطة غالبًا ما تكون اللحظة التي يقرر فيها شخص ما الثقة بصوت ما. إذا كنت تعمل مع بيانات حساسة للعملاء أو العملاء، فإن الهيكل الموصوف في التسريبات يجب أن يشكّل أولوياتك: تحقق أولاً، واحمِ الحسابات بمصادقة أقوى، وقلّل ما يمكن لأي حساب واحد الوصول إليه.
النقاط الرئيسية القابلة للتنفيذ
- تعامل مع أي مكالمة غير متوقعة من "دعم تقني المعلومات" على أنها غير مؤكدة حتى تتحقق منها عبر قناة معروفة.
- لا تقرأ أبدًا رموزًا بصوت عالٍ أو توافق على مطالبات أو تثبّت أدوات بعيدة بناءً على طلب متصل وارد.
- انقل الحسابات الحساسة إلى المصادقة متعددة العوامل المقاومة للتصيد مثل مفاتيح الأمان أو مفاتيح المرور.
- قلّص أذونات الحسابات بحيث لا يمكن لتسجيل دخول مسروق واحد كشف كل شيء.
- اكتب قاعدة تحقق وقائمة جهات اتصال للحوادث قبل أن تحتاج إليها.
يعمل كتاب الهندسة الاجتماعية لعثة لونا لأنه يجمع بين صوت بشري مقنع ومتابعة تقنية صبورة. راجع تعرضك الخاص لمكالمات دعم تقني المعلومات المزيفة هذا الأسبوع، وانتقل إلى المصادقة متعددة العوامل المقاومة للتصيد حيثما أمكن، واقرأ تغطيتنا ذات الصلة لتسريبات عثة لونا والابتزاز المدعوم بالتصيد الصوتي لترى كيف تتكشف هذه الهجمات في الممارسة العملية.
