تحريف جديد لحيلة قديمة: التصيد الصوتي يلتقي بالأتمتة

وجدت مجموعة تهديد تُعرف باسم UNC6671 طريقة للجمع بين أساليب الهندسة الاجتماعية التقليدية والأتمتة الحديثة، وأثبتت النتائج أنها مكلفة للمؤسسات التي تقع في طريقها. وفقًا للتقارير عن نشاط المجموعة، تنتحل UNC6671 شخصية موظفي مكتب مساعدة تقنية المعلومات الداخلي عبر الهاتف لخداع الموظفين لتسليمهم صلاحية الوصول إلى حسابات Microsoft 365 وOkta الخاصة بهم. بمجرد الدخول، تسرق المجموعة رموز الجلسات النشطة، مما يسمح للمهاجمين فعليًا بتجاوز كلمات المرور والمصادقة متعددة العوامل بالكامل، ثم تؤتمت سرقة بيانات الشركة بغرض الابتزاز.

ما يجعل هذه الحملة جديرة بالملاحظة ليس وسيلة الاتصال الأولية. التصيد الصوتي، أو "vishing"، يُعد تكتيكًا معروفًا منذ سنوات. بل إن الأتمتة المضافة فوق ذلك هي التي تحول مكالمة هاتفية واحدة ناجحة إلى عملية سرقة بيانات قابلة للتوسع، يمكنها أن تجمع بهدوء الملفات والمراسلات عبر بيئة Microsoft 365 بأكملها قبل أن ينتبه أحد.

كيف يعمل الهجوم فعليًا

يبدأ الهجوم عادةً بمكالمة هاتفية. يتلقى الموظف ما يبدو أنه مكالمة روتينية من فريق دعم تقنية المعلومات في شركته، وغالبًا ما تشير إلى مشكلة تقنية معقولة مثل مشكلة في تسجيل الدخول أو قفل حساب. يوجه المتصل الهدف عبر خطوات تؤدي في النهاية إلى تسليم رمز جلسة نشط أو بيانات اعتماد مرتبطة بـ Microsoft 365 أو Okta، منصة الهوية التي تستخدمها العديد من المؤسسات لإدارة وصول الدخول الموحد عبر أدواتها السحابية.

تُعتبر رموز الجلسات ذات قيمة خاصة للمهاجمين لأنها تمثل جلسة موثقة بالفعل. فبدلاً من الحاجة إلى كسر كلمة مرور أو هزيمة المصادقة متعددة العوامل، يعيد المهاجم ببساطة استخدام الرمز لانتحال شخصية المستخدم الشرعي، وغالبًا دون إثارة التنبيهات التي قد يولدها تسجيل دخول جديد مريب.

بمجرد تحقيق هذا الوصول، أفادت التقارير أن UNC6671 قامت بأتمتة عملية سحب البيانات من بيئة Microsoft 365 المخترقة. فبدلاً من أن يقوم مشغل بشري بالتنقيب يدويًا في صناديق البريد والمحركات المشتركة، تقوم أدوات نصية برمجية بالعمل الشاق، فتجمع رسائل البريد الإلكتروني والملفات وغيرها من المواد الحساسة على نطاق واسع. تصبح هذه البيانات المسروقة بعد ذلك وسيلة ضغط في مخطط ابتزاز، حيث تهدد المجموعة بتسريب المعلومات أو بيعها ما لم يتم الدفع.

هذا النمط يردد ما وثقه الباحثون في هجمات ضد صناديق التحوط مرتبطة بنفس مجموعة الابتزاز، حيث تم استهداف شركات مالية باستخدام أساليب مماثلة من الهندسة الاجتماعية وابتزاز البيانات. تميل مؤسسات الخدمات المالية إلى أن تكون أهدافًا جذابة لأنها تحتفظ بكميات كبيرة من بيانات العملاء الحساسة وغالبًا ما تواجه ضغوطًا لحل الحوادث بسرعة وبهدوء.

لماذا هذا الأمر مهم خارج عناوين الاختراقات

من المغري التعامل مع هذا كقصة اختراق مؤسسي أخرى، لكن تداعيات الخصوصية تمتد إلى الخارج. عندما تختطف مجموعة تهديد جلسة Microsoft 365 لموظف، فإنها لا تصل فقط إلى ملفات الشركة الداخلية. بل من المحتمل أن تحصل على رؤية لسجلات العملاء، والبيانات الشخصية التي تخص العملاء أو الشركاء، والمراسلات الداخلية التي لم يكن من المفترض أبدًا أن تغادر المؤسسة.

ولأن الوصول الأولي يعتمد على الهندسة الاجتماعية بدلاً من استغلال تقني، فإن أدوات الأمان التقليدية مثل التصحيح أو اكتشاف نقطة النهاية لا توقف الهجوم من المصدر. الثغرة التي يتم استغلالها هي الثقة البشرية، وتحديدًا افتراض الموظف المعقول بأن المكالمة التي تدعي أنها من دعم تقنية المعلومات هي فعلًا من دعم تقنية المعلومات. وهذا يجعل هذا النمط من الهجوم صعب القضاء عليه بالكامل من خلال التكنولوجيا وحدها، ويضع مزيدًا من الثقل على التدريب التنظيمي وعمليات التحقق.

زاوية الأتمتة مهمة أيضًا. فبمجرد سرقة رمز الجلسة، تترك السرعة والنطاق اللذان يمكن بهما تسريب البيانات نافذة متضائلة لفرق الأمان للكشف والاستجابة قبل أن تكون كميات كبيرة من المعلومات الحساسة قد رحلت بالفعل.

ماذا يعني هذا بالنسبة لك

إذا كنت تعمل في مؤسسة تستخدم Microsoft 365 أو Okta، ومعظم أصحاب العمل الكبار يفعلون ذلك، فإن هذه الحملة تذكير بأن يقظتك أثناء مكالمة دعم تقنية معلومات تبدو روتينية أهم مما قد تبدو. نادرًا ما تطلب أقسام تقنية المعلومات الشرعية من الموظفين قراءة رموز لمرة واحدة، أو الموافقة على مطالبات تسجيل دخول غير متوقعة، أو الانتقال إلى صفحات إعادة تعيين غير مألوفة خلال مكالمة غير مرغوب فيها.

بالنسبة للأفراد، فإن الدرس المستفاد يتعلق بالعادات أكثر من تحميل برامج جديدة. كن متشككًا من المكالمات غير المرغوب فيها التي تطلب الوصول إلى الحساب، حتى لو بدا المتصل على دراية بالأنظمة الداخلية لشركتك. تحقق من الطلبات عبر قناة منفصلة ومعروفة، مثل الاتصال بقسم تقنية المعلومات لديك مرة أخرى باستخدام رقم من دليل داخلي بدلاً من رقم يقدمه المتصل.

نصائح عملية قابلة للتنفيذ

بضع خطوات عملية يمكن أن تقلل من تعرضك لهذا النوع من الهجوم:

  • تعامل بحذر مع مكالمات دعم تقنية المعلومات غير المرغوب فيها، خاصة تلك التي تطلب رموز تسجيل الدخول، أو الموافقات على الجلسات، أو إعادة تعيين كلمات المرور.
  • تحقق من أي طلب دعم تقنية معلومات عبر رقم هاتف تم الحصول عليه بشكل مستقل أو نظام محادثة داخلي، وليس رقم معاودة اتصال يُعطى خلال المكالمة المشبوهة.
  • أبلغ فريق الأمان فورًا عن أي مكالمات مساعدة مشبوهة، حتى لو لم تشارك أي معلومات، لأن ذلك قد يشير إلى أن مؤسستك مستهدفة.
  • إذا كنت تشك في أن جلستك قد تعرضت للاختراق، فاطلب من قسم تقنية المعلومات إبطال الرموز النشطة وفرض تسجيل دخول جديد مع مصادقة متعددة العوامل.

تُظهر حملة UNC6671 أنه بينما تقوم المؤسسات بتحصين دفاعاتها التقنية، يستهدف المهاجمون بشكل متزايد الطبقة البشرية بدلاً من ذلك. يظل البقاء متيقظًا لمحاولات الهندسة الاجتماعية أحد أكثر الدفاعات فعالية وقلة تكلفة متاحة للموظفين العاديين.