تستغل جماعات القرصنة الاهتمام المتزايد بتطورات الذكاء الاصطناعي والفعاليات التي تنظمها الشركات العاملة في هذا المجال، لتطوير أساليب احتيال تستهدف الموظفين وحساباتهم المؤسسية.
فمن خلال دعوات مزيفة لحضور مؤتمرات ولقاءات حصرية تحمل أسماء شركات مثل أوبن إيه آي وسبيس إكس وأنثروبيك، يستدرج المهاجمون ضحاياهم إلى صفحات تسجيل دخول مزورة، لا تهدف إلى تأكيد المشاركة، بل إلى سرقة بيانات الدخول ورموز المصادقة والاستيلاء على جلسات الحسابات.
وكشفت شركة الأمن السيبراني بوش سيكيوريتي (Push Security)، في تقرير نشرته الخميس، عن حملة تصيّد تستخدم منصتين هما كالي 365 (Kali365) وفويد بروكسي (VoidProxy) لاستهداف حسابات غوغل ومايكروسوفت.
وأوضحت الشركة أن المهاجمين لا يكتفون بجمع كلمات المرور، بل يستخدمون تقنيات تستهدف آليات المصادقة نفسها، بما يتيح لهم الوصول إلى الحسابات حتى عندما تكون محمية بطبقات إضافية للتحقق من الهوية.
تبدأ الحملة برسائل إلكترونية ودعوات تروّج لفعاليات تبدو مرتبطة بشركات الذكاء الاصطناعي المعروفة، وتقدم للمستهدفين وعودا بالمشاركة في لقاءات خاصة أو الحصول على مزايا حصرية.
ورصدت شركة بوش سيكيوريتي صفحة تنتحل هوية أكاديمية أوبن إيه آي، وتعلن عن فعالية تتناول استخدام شات جي بي تي في فرق التسويق، مع عرض اشتراك مجاني لمدة 3 أشهر في خدمة شات جي بي تي برو، كما اكتشف الباحثون صفحة تستخدم اسم سبيس إكس للترويج لإحاطة خاصة بشأن مشروع ستارشيب وتطبيقات الذكاء الاصطناعي في التسويق، مع إغراء الزوار باشتراك في خدمة غروك هيفي أو حصة من أسهم الشركة.
وامتدت أساليب الاستدراج إلى انتحال هوية أنثروبيك والترويج لفعالية مرتبطة بمؤتمر إيه دبليو إس ري (AWS re)، وفي جميع هذه الحالات، كان الهدف دفع الزائر إلى تسجيل الدخول باستخدام حساب العمل عبر غوغل أو مايكروسوفت، تحت ذريعة استكمال التسجيل أو الحصول على المكافأة المعلنة.
ولإضفاء المصداقية على هذه الصفحات، استخدم المهاجمون روابط مختصرة تابعة لخدمات معروفة، بينها غوغل وزابير (Zapier)، إلى جانب تقنيات تحاكي صفحات تسجيل الفعاليات الحقيقية، ويؤدي ذلك إلى إخفاء الوجهة النهائية للرابط، ويجعل التمييز بين الدعوة الأصلية والرسالة الاحتيالية أكثر صعوبة.
تعتمد الحملة على تقنيات مختلفة لاستهداف حسابات مايكروسوفت وغوغل، مستفيدة من منصتي كالي 365 وفويد بروكسي اللتين توفران أدوات لتنفيذ هجمات التصيّد.
وفي استهداف حسابات مايكروسوفت، يستخدم المهاجمون أسلوب التصيّد عبر رمز الجهاز (Device Code Phishing)، وتطلب الصفحة المزيفة من المستخدم نسخ رمز وإدخاله في صفحة المصادقة الرسمية لمايكروسوفت، بحجة تأكيد هويته أو استكمال التسجيل. لكن الرمز يكون مرتبطا بعملية تسجيل دخول بدأها المهاجم، وبمجرد إدخاله والموافقة على الطلب، يمكن للمهاجم الحصول على رموز وصول وتحديث تتيح له استخدام الحساب والخدمات المرتبطة به وفق صلاحيات الضحية.
أما في استهداف حسابات غوغل، فتستخدم الحملة تقنية الوسيط بين المستخدم والخدمة (Adversary-in-the-Middle)، التي تضع صفحة وسيطة بين المستخدم وموقع تسجيل الدخول الحقيقي، وتمر بيانات المصادقة عبر هذه الصفحة، بما يسمح للمهاجم بالتقاط كلمة المرور ورموز التحقق وملفات تعريف الارتباط المرتبطة بجلسة تسجيل الدخول.
وتكمن خطورة هذه الطريقة في أن المهاجم لا يحتاج بالضرورة إلى إعادة تنفيذ عملية تسجيل الدخول، إذ يمكنه استخدام بيانات الجلسة المسروقة للوصول إلى الحساب باعتباره مستخدما سبق التحقق من هويته، ووفقا لشركة بوش سيكيوريتي، تستخدم منصة فويد بروكسي هذه التقنية أيضا في مرحلة لاحقة لاستهداف حسابات مايكروسوفت.
تعتمد المصادقة متعددة العوامل على إضافة خطوة تحقق إلى جانب كلمة المرور، مثل إدخال رمز يصل إلى الهاتف أو الموافقة على إشعار تسجيل الدخول، غير أن بعض أساليب التصيّد الحديثة تستهدف هذه الخطوة بدلا من محاولة تجاوزها مباشرة.
فعندما يمرر المهاجم عملية تسجيل الدخول عبر صفحة وسيطة، قد يتمكن من التقاط بيانات الجلسة بعد إتمام المستخدم عملية التحقق بنجاح. وفي هجمات رمز الجهاز، يستغل المهاجم آلية مصادقة مشروعة، لكنه يخدع الضحية للموافقة على طلب لم يبدأه بنفسه.
ولهذا لا توفر جميع وسائل المصادقة المستوى نفسه من الحماية، وتوصي مايكروسوفت باستخدام وسائل مقاومة للتصيّد، مثل مفاتيح المرور ومفاتيح الأمان المعتمدة على معيار إف آي دي أو 2 (FIDO2)، التي تربط عملية المصادقة بالموقع الحقيقي، بما يحد من فرص استخدامها عبر صفحات مزيفة.
تتضمن هذه الحملات مجموعة من العلامات التي يمكن أن تساعد الموظفين على اكتشاف محاولات الاحتيال قبل التفاعل معها، ومن أبرزها تقديم اشتراكات مجانية أو مكافآت غير معتادة مقابل التسجيل، واستخدام عناوين مواقع لا تتبع النطاقات الرسمية للشركات، وطلب بيانات حساب العمل لحضور فعالية لا تستدعي الوصول إلى الموارد المؤسسية.
كما ينبغي الانتباه إلى اختلاف هوية الجهة المنظمة بين الرسالة وصفحة التسجيل، أو الانتقال المفاجئ من خدمة إلى أخرى، فضلا عن طلب إدخال رمز مصادقة أو الموافقة على تسجيل دخول لم يبدأه المستخدم.
وفي تقرير منفصل نشرته شركة الأمن السيبراني كوفينس (Cofense) في 29 أكتوبر/تشرين الأول الماضي، رصد الباحثون حملة تنتحل اسم أنثروبيك عبر دعوات لمعاينة تقنية خاصة، واستخدم المهاجمون خدمة غو تو ويبينار (GoTo Webinar) لإرسال الدعوات، وروابط مختصرة من زابير، قبل توجيه الضحايا إلى صفحات تسجيل دخول مزيفة تحاكي غوغل ومايكروسوفت.
تتطلب مواجهة هذه الهجمات الجمع بين التدابير التقنية ورفع وعي الموظفين، ويشمل ذلك التحقق من الفعاليات عبر المواقع الرسمية للشركات المنظمة، وعدم الاعتماد على الشعارات أو الروابط المختصرة دليلا على موثوقية الدعوة، فضلا عن تجنب إدخال رموز المصادقة أو الموافقة على طلبات تسجيل دخول غير متوقعة.
وعلى مستوى المؤسسات، تبرز أهمية تقييد استخدام المصادقة عبر رموز الأجهزة عندما لا تكون ضرورية، واعتماد وسائل تحقق مقاومة للتصيّد، ومراقبة محاولات الدخول غير المعتادة، وإلغاء الجلسات ورموز الوصول المشبوهة عند الاشتباه في تعرض الحساب للاختراق.
وتكشف هذه الحملات أن أسماء شركات الذكاء الاصطناعي باتت أدوات للاستدراج في عمليات احتيال تستهدف البنية الرقمية للمؤسسات، مستفيدة من ثقة المستخدمين بالعلامات التجارية المعروفة واهتمامهم بالفرص التقنية الجديدة، كما تؤكد أن حماية الحسابات المؤسسية لم تعد مسألة تتعلق بكلمات المرور وحدها، بل ترتبط بقدرة الموظفين على التحقق من مصادر الدعوات، وبمدى اعتماد المؤسسات وسائل مصادقة قادرة على مقاومة أساليب التصيّد المتطورة.
