تستهدف مجموعة تهديدات جديدة معروفة باسم PREY-0058 حسابات Microsoft 365 الخاصة بالشركات من خلال مزيج من الهندسة الاجتماعية التقليدية وسرقة الرموز الحديثة. وفقًا للبحث الذي غطاه موقع The Hacker News، تستخدم المجموعة مكالمات التصيد الصوتي عبر مكتب المساعدة (vishing) مقترنة بسرقة رموز الجلسة عبر هجمات الوسيط الخصم (AitM) لاقتحام Microsoft 365 ومنصات SaaS الأخرى، ثم تبتز الضحايا عبر البيانات المسروقة. تُعد هذه الحملة تذكيرًا بأنه حتى المصادقة متعددة العوامل (MFA) المكوّنة جيدًا يمكن اختراقها عندما يستهدف المهاجمون البشر والعمليات المحيطة بها بدلاً من شاشة تسجيل الدخول نفسها.
ما هي PREY-0058 وكيف تعمل عملية احتيال مكتب المساعدة
PREY-0058 هو التصنيف المُعطى لمجموعة الهجمات هذه، وتتركز طريقتها على انتحال صفة دعم تكنولوجيا المعلومات. وبدلاً من إرسال بريد إلكتروني تصيدي وأمل أن ينقر شخص ما على رابط، يقوم المهاجمون - وفقًا للتقارير - بإجراء مكالمات هاتفية للموظفين أو المديرين التنفيذيين أو مكاتب مساعدة تكنولوجيا المعلومات، متظاهرين بأنهم موظفو دعم فني شرعيون. هذا هو التصيد الصوتي: هندسة اجتماعية قائمة على الصوت مصممة لبناء الثقة بسرعة والضغط على الهدف للتصرف قبل أن يفكر في التحقق من هوية المتحدث الفعلي.
الهدف من هذه المكالمات عادةً هو إقناع الهدف بإعادة تعيين كلمة مرور، أو الموافقة على مطالبة تسجيل دخول، أو تسليم رمز لمرة واحدة. ولأن الطلب يبدو وكأنه صادر من مورد داخلي لتكنولوجيا المعلومات، فإنه يتسلل متجاوزًا الغريزة التي طورها العديد من الموظفين تجاه رسائل البريد الإلكتروني المشبوهة. يستغل التصيد الصوتي فجوة لا يمكن لأدوات أمان البريد الإلكتروني سدها: فالمكالمة الهاتفية تبدو شخصية وعاجلة بطريقة لا توفرها رسالة في صندوق الوارد.
كيف تتجاوز هجمات الوسيط الخصم المصادقة متعددة العوامل
ما يجعل PREY-0058 فعالة بشكل خاص هو الجزء الثاني من مخططها: سرقة رموز الجلسة عبر الوسيط الخصم. في هجوم AitM، لا يكتفي ممثل التهديد بسرقة اسم المستخدم وكلمة المرور. بدلاً من ذلك، يضع نفسه بين الضحية وخدمة تسجيل الدخول الحقيقية، غالبًا باستخدام صفحة مصادقة مزيفة مقنعة. عندما يسجل الضحية الدخول ويكمل خطوة المصادقة متعددة العوامل، يلتقط وكيل المهاجم رمز الجلسة الناتج، وهو الجزء من البيانات الذي يثبت أن المستخدم قد تمت مصادقته بالفعل.
هذا مهم لأن رمز الجلسة المسروق يسمح للمهاجم بتخطي عملية تسجيل الدخول بالكامل. لا يحتاج إلى تخمين كلمة مرور أو خداع شخص ما للموافقة على إشعار دفع مرة ثانية. إنه ببساطة يعيد استخدام الرمز الملتقط للوصول إلى Microsoft 365 كما لو كان المستخدم الشرعي، مع المصادقة متعددة العوامل وكل شيء. إنها تقنية استُخدمت ضد بيئات Microsoft 365 من قبل، لكن إقرانها بمكالمة تصيد صوتي حية للحصول على الوصول الأولي أو إعادة تعيين بيانات الاعتماد يضيف طبقة من التلاعب البشري يصعب على الدفاعات التقنية وحدها اكتشافها.
من المستهدف وما هي البيانات المعرضة للخطر
تشير التقارير حول PREY-0058 إلى أن الحملة تركز على سرقة البيانات من Microsoft 365 وخدمات SaaS الأخرى، بهدف نهائي هو الابتزاز بدلاً من الاستيلاء البسيط على الحسابات لأغراض البريد العشوائي أو الاحتيال. هذا النمط - الحصول على الوصول، واستخراج الملفات أو الاتصالات الحساسة، ثم المطالبة بالدفع لمنع الكشف - يعكس تحولًا أوسع في الجرائم الإلكترونية نحو سرقة البيانات والابتزاز بدلاً من تشفير برامج الفدية التقليدية. يبدو أن المديرين التنفيذيين وغيرهم من الموظفين ذوي القيمة العالية هم محط التركيز، على الأرجح لأن صناديق بريدهم وتخزينهم السحابي يحوي النوع من المعلومات المالية أو القانونية أو الاستراتيجية الحساسة التي تشكل نفوذًا فعالًا في محاولة الابتزاز.
يتناسب هذا مع اتجاه أوسع موثق عبر الصناعة: الهندسة الاجتماعية، المعززة بشكل متزايد بتكتيكات انتحال شخصية مقنعة، تتفوق على الدفاعات الحالية لدى العديد من المؤسسات. وجد استطلاع حديث حول التصيد بالذكاء الاصطناعي والصور المزيفة العميقة أن غالبية قادة الأعمال يشعرون بالثقة في وضعهم الأمني حتى مع استمرار نجاح هجمات انتحال الشخصية الصوتية والمدعومة بالذكاء الاصطناعي. PREY-0058 هي مثال واقعي على تلك الفجوة بين الثقة والاستعداد.
ما معنى هذا بالنسبة لك
إذا كانت مؤسستك تعتمد على Microsoft 365، فهذه الحملة إشارة إلى ضرورة النظر إلى ما هو أبعد من قوة كلمات المرور ومعدلات التسجيل في المصادقة متعددة العوامل. لقد تكيف المهاجمون مع عالم أصبحت فيه المصادقة متعددة العوامل معيارية، وهم الآن يستهدفون عمليات التحقق المحيطة بها، بما في ذلك مكاتب المساعدة، وإعادة تعيين كلمات المرور، وطلبات الدعم الهاتفي. يحتاج الموظفون، خاصة المديرون التنفيذيون وموظفو تكنولوجيا المعلومات، إلى معرفة أن المكالمة الهاتفية التي تدّعي أنها من الدعم الداخلي ليست موثوقة تلقائيًا لمجرد أنها تبدو رسمية.
خطوات عملية لحماية حسابات الشركات
يمكن للمؤسسات تقليل تعرضها لهجمات مثل PREY-0058 من خلال عدد من التغييرات الملموسة. يجب أن تستخدم مكاتب المساعدة إجراءات تحقق صارمة من الهوية لأي طلب إعادة تعيين كلمة مرور أو إعادة تسجيل في المصادقة متعددة العوامل، ويفضل أن تتطلب اتصالًا هاتفيًا عكسيًا برقم معروف أو تحققًا عبر قناة منفصلة ومحددة مسبقًا بدلاً من الثقة بكلام المتصل. يجب على فرق الأمان أيضًا النظر في طرق مصادقة مقاومة للتصيد، مثل مفاتيح الأمان الفعلية (hardware security keys)، والتي يصعب على وكلاء AitM اعتراضها مقارنة بالرموز لمرة واحدة أو موافقات الدفع. تساعد مراقبة الاستخدام غير المعتاد لرموز الجلسة، مثل عمليات تسجيل الدخول من مواقع غير متوقعة مباشرة بعد تفاعل مع مكتب المساعدة، في اكتشاف الاختراق قبل استخراج البيانات. أخيرًا، التدريب المنتظم الذي يغطي سيناريوهات التصيد الصوتي على وجه التحديد، وليس فقط التصيد عبر البريد الإلكتروني، يمنح الموظفين سيناريو يتبعونه عندما تبدو المكالمة مريبة.
الدرس الأوسع من PREY-0058 هو أن هجوم التصيد الصوتي على Microsoft 365 ينجح من خلال استغلال ثغرات الثقة والعمليات، وليس ثغرات تقنية في المنصة نفسها. بينما يواصل المهاجمون دمج الهندسة الاجتماعية مع سرقة الرموز التقنية، لم تعد الدفاعات متعددة الطبقات التي تراعي السلوك البشري خيارًا إضافيًا. خذ بضع دقائق هذا الأسبوع لمراجعة سياسة التحقق في مكتب المساعدة بمؤسستك وتأكد من أن فريقك يعرف كيف يبدو طلب تكنولوجيا المعلومات الشرعي فعليًا.
