طُعم مألوف مع تطور خطير جديد
عمليات الاحتيال الوظيفي والتصيد عبر انتحال صفة القائمين على التوظيف ليست بالأمر الجديد، لكن الموجة الأخيرة من عملية "حلم الوظيفة" تُظهر إلى أي مدى يرغب المهاجمون في الذهاب لجعل الفرصة الوهمية تبدو حقيقية. وفقًا لأبحاث Check Point، يستهدف مهددون مرتبطون بحملة "حلم الوظيفة" المستمرة منذ مطلع عام 2026 قطاع الدفاع حول العالم، مع تركيز خاص على شركات الطيران والفضاء. وقد رُبطت الحملة سابقًا بنشاط مجموعة Lazarus المرتبطة بكوريا الشمالية، ويُقال إن هذه الموجة الأخيرة تجمع بين طعوم انتحال شخصية مسؤولي التوظيف واستغلال ثغرة من نوع zero-day في ويندوز، وهو ما يرفع المخاطر بشكل كبير لأي شخص يعمل في مجال متصل بالدفاع ويتلقى عرضًا وظيفيًا غير مرغوب فيه.
ما يجعل هذه الحملة جديرة بالملاحظة ليس فقط القطاع الذي تستهدفه، بل درجة التعقيد التي تقف وراءها. فبدلاً من الاعتماد فقط على إقناع الضحية بتسليم بيانات اعتماده، استخدم المهاجمون، وفقًا للتقارير، ثغرة برمجية غير معروفة سابقًا لتحقيق وصول أعمق بمجرد تفاعل الهدف مع الطُعم. هذا التحول من الهندسة الاجتماعية وحدها إلى الهندسة الاجتماعية المقترنة بثغرة zero-day هو جزء من نمط أوسع أشار إليه الباحثون مرارًا هذا العام، بما في ذلك تغطية Check Point لثغرات zero-day في وقت سابق من هذا الأسبوع، حيث تستمر الثغرات القديمة والجديدة في الظهور كمسارات للهجوم.
كيف يتكشف الهجوم
استنادًا إلى التقارير، يتبع تسلسل الهجوم نمطًا يصنفه باحثو الأمن ضمن تقنيات معروفة: الحصول على دخول أولي عبر مرفقات التصيد الموجّه، والتنفيذ الذي يعتمد على قيام المستخدم بفتح ملف خبيث أو التفاعل معه. ويعني هذا عمليًا أن الهدف يتلقى رسالة تبدو كأنها تواصل حقيقي من جهة توظيف، وغالبًا ما تشير إلى شركة أو وظيفة حقيقية، مع مرفق يوصف بأنه وصف وظيفي أو نموذج تقديم أو مهمة تقييم. بمجرد فتح المرفق، يُطلق الملف تنفيذ التعليمات البرمجية على جهاز الضحية، وعندها يسمح عنصر الثغرة zero-day للمهاجمين بتجاوز الحمايات التي كانت لتلتقط البرمجيات الخبيثة التقليدية في الظروف العادية.
ثمة تفصيل بارز من البحث: في حالة واحدة على الأقل، استخدم المهاجمون مؤسسة مخترقة في أوروبا الغربية لإطلاق المزيد من رسائل التصيد الموجّه، محوّلين بذلك هوية الضحية الموثوقة إلى منصة لإطلاق هجمات إضافية. هذا تصعيد ذو مغزى. فذلك يعني أن رسالة التصيد التي يتلقاها الهدف قد لا تأتي من عنوان مشبوه بشكل واضح؛ بل يمكن أن تأتي من جهة اتصال حقيقية وشرعية سابقًا تم اختراق أنظمتها بالفعل. يعكس هذا الأسلوب توجهًا أوسع في حوادث zero-day الأخيرة، وهو شبيه من حيث الجوهر بكيفية اعتماد المهاجمين الذين يستغلون ثغرة Cisco FMC من نوع zero-day على الاستغلال النشط للبنية التحتية الموثوقة لتوسيع نطاق وصولهم قبل أن تكتشفهم أدوات الرصد.
لماذا قطاعا الدفاع والفضاء في مرمى الاستهداف
نمط الاستهداف هنا ليس عشوائيًا. إذ تمتلك شركات التعاقد الدفاعي والفضاء ملكية فكرية قيّمة ومعلومات تتعلق بالعقود الحكومية ووصولاً إلى سلاسل التوريد، مما يجعلها أهدافًا جذابة لعمليات التجسس المرتبطة بالدول. تعمل الطعوم ذات الطابع الوظيفي بشكل جيد ضد هذا القطاع لأن شركات الدفاع والفضاء تقوم باستمرار بتوظيف مهندسين ومحللين وكوادر فنية متخصصين، وكثير منهم نشطون على منصات التواصل المهني ومنفتحون على تواصل مسؤولي التوظيف الوارد. وهذا السلوك الوظيفي الطبيعي يصبح بالتحديد نقطة الضعف التي يستغلها المهاجمون.
كما أن استخدام ثغرة zero-day يشير إلى عملية تتمتع بموارد جيدة. فثغرات zero-day مكلفة الاكتشاف أو الحصول عليها، وعادة ما تُحجز لأهداف عالية القيمة بدلاً من عمليات الاحتيال الانتهازية واسعة النطاق. وظهورها هنا يعزز أن هذه الموجة من عملية "حلم الوظيفة" هي جهد تجسسي موجه وليس جريمة إلكترونية عامة.
ما الذي يعنيه هذا بالنسبة لك
إذا كنت تعمل في قطاع الدفاع أو الفضاء أو الطيران أو أحد المجالات المتصلة بها، فإن هذه الحملة بمثابة تذكير بأن كل رسالة غير معتادة من جهة توظيف ليست بالضرورة غير مؤذية، حتى عندما تبدو صادرة عن جهة اتصال أو مؤسسة مألوفة. إن اختراق مؤسسة شرعية في أوروبا الغربية لإرسال رسائل تصيد متسلسلة يُظهر أن إشارات الثقة وحدها (مُرسل معروف، اسم شركة حقيقي، نبرة مهنية) لم تعد مؤشرات موثوقة على الأمان.
على المستوى الشخصي، هذه أيضًا قصة خصوصية. فبمجرد أن يحصل المهاجمون على موطئ قدم عبر ثغرة zero-day، يمكنهم الوصول إلى ما هو أكثر بكثير من مجرد ملفات العمل، بما في ذلك الاتصالات الشخصية وبيانات الاعتماد ونشاط التصفح على الجهاز المخترق. ينبغي لأي شخص يتعامل مع معلومات مهنية حساسة أن يتعامل مع المرفقات غير المتوقعة، حتى تلك المصاغة بعناية، بقدر عالٍ من التدقيق، كما ينبغي للمؤسسات أن تضمن أن عمليات حماية نقاط النهاية والتحديثات الأمنية لا تعتمد حصرًا على رصد التهديدات المعروفة.
خلاصات قابلة للتنفيذ
كن متشككًا من أي تواصل وظيفي غير مرغوب فيه يطلب منك فتح مرفقات أو النقر على روابط، خصوصًا إذا وصلك خارج منصة عملك المعتادة. تحقق من هوية مسؤولي التوظيف بشكل مستقل قبل المتابعة. حافظ على تحديث أنظمة التشغيل وبرامج الأمان، فالحماية من ثغرات zero-day تعتمد في كثير من الأحيان على دفاعات متعددة الطبقات بدلاً من رقعة واحدة. إذا كنت تعمل في قطاع مستهدف، فأبلغ فريق الأمن في مؤسستك عن عروض العمل المشبوهة بدلاً من التعامل معها بشكل منفرد. تؤكد الموجة الأخيرة من عملية "حلم الوظيفة" على أن التفاعلات المهنية الروتينية يمكن أن تصبح نقطة دخول لهجمات متطورة وموجهة، وأن البقاء في حالة حذر يظل أحد أكثر الدفاعات فعالية المتاحة.
