التصيّد الصوتي يجد نقطة ضعف جديدة: هاتفك الشخصي

تُظهر موجة جديدة من الهجمات لماذا أصبح الخط الفاصل بين الأجهزة الشخصية والمهنية أكثر أهمية من أي وقت مضى. وفقًا لتقارير عن نتائج استخبارات التهديدات لدى مايكروسوفت، فإن المجموعات المتتبَّعة باسم Storm-3032 وStorm-3121 تتصل بالموظفين وترسل لهم رسائل نصية على هواتفهم الشخصية، منتحلةً شخصية موظفي الدعم الفني الداخلي لتقنية المعلومات. وبمجرد أن يقتنع الموظف بأن المكالمة شرعية، يوجّهه المهاجمون عبر خطوات تمنح الوصول إلى حسابات Microsoft 365 الخاصة بالشركة، وغالبًا ما يستغلون إعدادات إحضار جهازك الخاص (BYOD) حيث تُستخدم الهواتف الشخصية أيضًا لتسجيل الدخول إلى بريد العمل وTeams وSharePoint.

ما يجعل هذه الحملة جديرة بالملاحظة ليس مجرد أسلوب التصيّد الصوتي نفسه، بل ما يحدث بعد الحصول على الوصول الأولي. إذ تُوصف هذه المجموعات بأنها تعمل كوسطاء وصول أولي: يدخلون إلى الشبكة، ويستخدمون Microsoft Graph API لاستطلاع البيانات والأنظمة المتاحة، ثم يحددون الضحايا الذين يستحقون عناء البيع أو التسليم. ومن هناك، يُنقل الوصول إلى مجموعات الابتزاز، بما في ذلك ShinyHunters، وهو اسم أصبح مألوفًا بشكل متزايد في حالات سرقة البيانات والابتزاز.

لماذا يجعل BYOD هذا الهجوم فعالًا إلى هذا الحد

تقع الأجهزة الشخصية خارج المحيط الأمني الذي تبنيه معظم الشركات حول الأجهزة المؤسسية. فقد يكون حاسوب العمل مزوّدًا بكشف نقاط النهاية، وأذونات تطبيقات مقيّدة، وإعدادات مُدارة من قسم تقنية المعلومات. أما الهاتف الشخصي المستخدم لتفقّد البريد أو الانضمام إلى مكالمة Teams فلا يملك عادةً أي من ذلك. كما أنه الجهاز الأرجح أن يجيب الموظف على مكالمة عليه دون تفكير، لأنه الهاتف نفسه الذي يستخدمه أفراد عائلته وأصدقاؤه.

هذه الفجوة في الثقة هي بالضبط ما يستغله التصيّد الصوتي (الذي يُسمى أحيانًا vishing). لا يحتاج المهاجمون إلى كسر التشفير أو العثور على ثغرة برمجية. بل يحتاجون إلى موظف يصدّق أن الشخص على الهاتف هو فعلًا من قسم تقنية المعلومات ويحاول المساعدة لا الإضرار. وتشير التقارير إلى أن المهاجمين يستغلون أيضًا ميزات التعاون الشرعية، مثل الوصول الخارجي في Microsoft Teams، للاندماج مع التواصل التجاري الطبيعي بدلًا من إثارة علامات تحذير واضحة.

يعكس هذا النمط اتجاهًا أوسع عبر قطاعات متعددة. ففي هجوم الفدية على Jack Henry، استخدم المهاجمون بالمثل مكالمة هاتفية بدلًا من استغلال تقني لتحقيق موطئ قدم، مما يؤكد أن الهندسة الاجتماعية الصوتية أصبحت نقطة دخول مفضّلة تحديدًا لأنها تتجاوز الدفاعات التقنية التقليدية.

زاوية Graph API: تحويل الوصول إلى استخبارات

بمجرد الدخول إلى الحساب، يُقال إن المهاجمين يستخدمون Microsoft Graph API، وهي أداة شرعية يستخدمها المطورون للتفاعل مع بيانات Microsoft 365، لرسم خريطة بيئة المؤسسة. يتيح لهم ذلك تحديد صناديق البريد أو الملفات أو حسابات المستخدمين الأكثر قيمة بسرعة، مما ينجزون فعليًا استطلاعًا باستخدام البنية التحتية للهدف نفسه. وبدلًا من تسريب البيانات بأنفسهم في كل حالة، يبدو أن وسطاء الوصول الأولي يسلّمون مواطئ القدم عالية القيمة إلى مجموعات ابتزاز مثل ShinyHunters، المتخصصة في تحقيق الربح من الوصول المسروق عبر سرقة البيانات ومطالب الابتزاز.

هذا التقسيم للعمل، مجموعة تقتحم وأخرى تجني الأرباح، يعكس ما شوهد في حالات اختراق حديثة أخرى. ففي اختراق بيانات Napoleon Perdis، سُرّبت سجلات العملاء المسروقة وأعلن مسؤوليتها عنها فاعل تهديد يعمل بشكل مستقل عن أي جهة ربما وصلت إلى البيانات أصلًا، مما يوضح كيف يُعالَج الوصول المخترق والتسريبات العامة للبيانات غالبًا من قبل أطراف منفصلة تمامًا.

ما يعنيه هذا لك

إذا كان صاحب العمل يسمح بالوصول عبر BYOD إلى Microsoft 365 أو Teams أو بريد الشركة، فأنت نقطة دخول محتملة لهذا النوع من الهجوم، بغض النظر عن مسمى وظيفتك أو قسمك. الخطر الجوهري ليس عيبًا في برمجيات مايكروسوفت، بل الافتراض بأن المتصل الذي يدّعي أنه من "الدعم الفني" هو فعلًا كذلك. ينبغي للموظفين أن يكونوا متشككين في أي مكالمة أو رسالة نصية غير مطلوبة تطلب منهم إعادة تعيين بيانات الاعتماد، أو الموافقة على طلب تسجيل دخول، أو تثبيت أي شيء، حتى لو بدا المتصل ملمًّا بالأنظمة الداخلية أو استخدم أسماء موظفين حقيقية.

كما ينبغي للمؤسسات أن تعيد النظر في كيفية التحقق من أجهزة BYOD ومراقبتها، لأن هاتفًا شخصيًا يملك صلاحية الوصول إلى الخدمات السحابية للشركة يمكن أن يصبح مسارًا مباشرًا إلى بيانات حساسة دون أن يلمس حتى حاسوبًا مملوكًا للشركة.

خلاصات قابلة للتنفيذ

  • تحقّق من أي جهة اتصال تخص الدعم الفني لتقنية المعلومات عبر قناة داخلية معروفة قبل اتخاذ أي إجراء، وليس أبدًا عبر الرقم أو الطريقة التي يقدمها المتصل.
  • فعّل المصادقة متعددة العوامل التي تتطلب أكثر من مجرد نقرة موافقة بسيطة، لأن إجهاد المصادقة متعددة العوامل والهندسة الاجتماعية غالبًا ما يسيران جنبًا إلى جنب.
  • اسأل صاحب العمل عن سياسات أمان BYOD، بما في ذلك ما إذا كانت الأجهزة الشخصية التي تصل إلى Microsoft 365 خاضعة لقواعد الوصول الشرطي أو فحوصات امتثال الأجهزة.
  • أبلغ فورًا عن أي مكالمات أو رسائل نصية مشبوهة تدّعي أنها من قسم تقنية المعلومات، حتى لو لم تتخذ أي إجراء بناءً عليها، كي تتمكن فرق الأمن من تتبّع الحملة الأوسع.

تنجح حملات التصيّد الصوتي مثل هذه لأنها تستهدف الثقة البشرية بدلًا من ثغرات البرمجيات. ويبقى الحذر من المكالمات غير المتوقعة وتأكيد الطلبات عبر القنوات الرسمية واحدًا من أبسط الدفاعات الفعالة المتاحة وأكثرها نجاعة.