التهديد الخفي: تحليل عمليات إزالة التصيد الاحتيالي كخدمة واستراتيجيات الدفاع الاستباقي

يتغير المشهد الرقمي للتهديدات باستمرار، ومع ذلك تظل بعض نواقل الهجوم فعالة بشكل عنيد. شهد التصيد الاحتيالي، على وجه الخصوص، تطورًا ديمقراطيًا من خلال مجموعات التصيد الاحتيالي كخدمة (PaaS). تخفض هذه المجموعات حاجز الدخول إلى الجريمة الإلكترونية، مما يسمح حتى للممثلين غير المتطورين بنشر حملات مقنعة ومدمرة للغاية. تؤكد الإجراءات الأخيرة لإنفاذ القانون وتقارير الصناعة على الطبيعة المنتشرة لهذه الخدمات والحاجة الماسة لآليات دفاع قوية واستباقية.

ماذا حدث

لقد سلطت الحوادث الأخيرة الضوء على تطور عمليات التصيد الاحتيالي كخدمة (PaaS). كان أحد الأمثلة البارزة يتعلق بمجموعة PaaS، والتي أُفيد بأنها قد توقفت عن العمل. ارتبطت هذه الخدمة بالتأثير على العديد من صناديق البريد الوارد. استخدمت هذه المجموعة تقنية تُعرف باسم التصيد الاحتيالي لرمز الجهاز، وهي طريقة تُخرب تدفق جهاز OAuth القياسي للحصول على وصول غير مصرح به دون سرقة كلمات المرور مباشرة.

تم تحديد عملية PaaS مهمة أخرى لاستخدامها المكثف لمنصات التواصل الاجتماعي لنشر روابط التصيد الاحتيالي. استخدمت هذه المجموعة عروضًا مغرية لإغراء الضحايا. أظهرت هذه العملية انتشارًا واسعًا، حيث أثرت على المستخدمين في مناطق مختلفة واستهدفت علامات تجارية كبرى في قطاعات مثل التجزئة والخدمات المصرفية والاتصالات. يسلط حجم وانتشار هذه العمليات الضوء على التحدي المستمر الذي تشكله مجموعات PaaS.

لماذا يتكرر هذا النمط باستمرار

يعود النجاح الدائم لمجموعات PaaS إلى عدة عوامل تفيد المهاجمين بينما تتحدى المدافعين. أولاً، تقلل هذه الخدمات بشكل كبير من الحاجز التقني لدخول مجرمي الإنترنت. توفر المجموعات الجاهزة، والتي غالبًا ما تكون متاحة للشراء أو الاشتراك، بنية تحتية متطورة للتصيد الاحتيالي، وقوالب، وحتى أدوات لإدارة الضحايا، مما يتطلب الحد الأدنى من الخبرة التقنية من المشغل.

ثانيًا، تسمح قابلية تكيّف مجموعات PaaS بدمج تقنيات التهرب الجديدة بسرعة واستهداف مجموعة واسعة من المنصات والخدمات. تمكّن هذه المرونة من تجاوز ضوابط الأمان التقليدية واستغلال آليات المصادقة المتطورة، مثل تدفق رمز الجهاز المستخدم في بعض الحملات. إن الظهور المستمر للمتغيرات الجديدة ونواقل الهجوم يجعل من الصعب على المنظمات الحفاظ على دفاع ثابت.

أخيرًا، تؤدي الطبيعة العالمية لهذه الخدمات، التي غالبًا ما يتم استضافتها عبر ولايات قضائية مختلفة، إلى تعقيد جهود إنفاذ القانون. في حين أن عمليات إزالة العمليات المحددة حاسمة، فإن الطبيعة اللامركزية والمرنة للنظام البيئي للجريمة الإلكترونية تعني أن الخدمات أو المتغيرات الجديدة غالبًا ما تظهر لملء الفراغ. تساهم سهولة إعداد بنية تحتية جديدة وتوظيف مشغلين جدد في هذا النمط المتكرر.

دليل المهاجم خطوة بخطوة

تتبع المنهجية التشغيلية لمجموعات PaaS دليلًا مميزًا ومتعدد المراحل:

المرحلة 1: البنية التحتية وشراء المجموعة

يقوم المهاجمون أولاً بالحصول على مجموعة التصيد الاحتيالي أو تطويرها. يتم شراء الخدمات إما من المنتديات السرية أو تطويرها داخليًا. تتضمن هذه المجموعة قوالب صفحات التصيد الاحتيالي المصممة لتقليد بوابات تسجيل الدخول الشرعية، وآليات جمع بيانات الاعتماد، وأحيانًا حتى لوحات خلفية لإدارة الحملات والبيانات التي تم جمعها.

المرحلة 2: اختيار الهدف والاستطلاع

تتضمن الخطوة التالية تحديد الأهداف. يمكن أن يتراوح هذا من حملات واسعة النطاق وغير تمييزية تستهدف قاعدة مستخدمين كبيرة، كما هو الحال مع خصومات وسائل التواصل الاجتماعي، إلى حملات أكثر تركيزًا تستهدف منظمات محددة. قد يتضمن الاستطلاع تحديد الخدمات الشائعة التي يستخدمها الهدف، مثل مجموعات الإنتاجية السحابية، لتخصيص إغراء التصيد الاحتيالي.

المرحلة 3: صياغة الإغراء والتسليم

يصمم المهاجمون إغراءات مقنعة لخداع الضحايا. بالنسبة لبعض العمليات، تضمن ذلك إعلانات على وسائل التواصل الاجتماعي تعد بخصومات ضخمة، مما يؤدي بالمستخدمين إلى مواقع تجارة إلكترونية مزيفة. استخدمت حملات أخرى التصيد الاحتيالي لرمز الجهاز. في هذا السيناريو، يتم توجيه الضحية إلى موقع ضار، وبدلاً من طلب كلمة مرور، يطلب منهم إدخال رمز جهاز معروض على شاشة أخرى. يتم بعد ذلك استخدام هذا الرمز من قبل المهاجم لتخويل جهازه الخاص باستخدام صفحة تسجيل الدخول الشرعية للضحية.

المرحلة 4: جمع بيانات الاعتماد واختطاف الجلسة

عند التفاعل الناجح مع صفحة التصيد الاحتيالي، تقوم المجموعة بجمع بيانات الاعتماد أو، في حالة التصيد الاحتيالي لرمز الجهاز، تحصل على رمز مصادقة. باستخدام التصيد الاحتيالي لرمز الجهاز، يحصل المهاجم على وصول إلى جلسة الضحية، متجاوزًا بشكل فعال المصادقة متعددة العوامل (MFA) إذا لم يتم تكوينها بشكل صحيح أو إذا وافق المستخدم على تسجيل الدخول الضار. يسمح هذا بالوصول إلى الموارد الحساسة مثل صناديق البريد الإلكتروني.

المرحلة 5: تحقيق الدخل والاستمرارية

أخيرًا، يتم تحقيق الدخل من البيانات التي تم جمعها. يمكن أن يتضمن ذلك بيع الوصول إلى الحسابات المخترقة، أو شن المزيد من الهجمات من داخل البيئة المخترقة، أو تسريب البيانات الحساسة مباشرة. غالبًا ما يهدف المهاجمون إلى الاستمرارية، والحفاظ على الوصول لأطول فترة ممكنة قبل الكشف.

يكمن تطور مجموعات التصيد الاحتيالي الحديثة ليس فقط في براعتها التقنية، ولكن في قدرتها على استغلال علم النفس البشري وتدفقات المصادقة الشرعية، مما يجعل الدفاعات التقليدية غير كافية.

ما فات المدافعين

في الحوادث التي تنطوي على مجموعات PaaS، غالبًا ما تظهر عدة ثغرات دفاعية. يتمثل التحدي الأساسي في الانتشار السريع لنطاقات التصيد الاحتيالي الجديدة والمواقع المشابهة. تكافح أساليب القائمة السوداء التقليدية لمواكبة الحجم الهائل من التسجيلات الجديدة، وأسماء النطاقات المتشابهة (typosquats)، ونطاقات Punycode التي تولدها هذه المجموعات. تُعد الخدمات التي تقدم البحث الاستباقي المستمر وعمليات الإزالة القانونية العالمية السريعة استجابة لهذا التحدي، مما يسلط الضوء على الحاجة إلى اكتشاف واستجابة أسرع مما يمكن للعديد من المنظمات تحقيقه داخليًا.

هناك جانب حاسم آخر فات المدافعين وهو الطبيعة المتطورة لتجاوزات المصادقة. أظهرت الحوادث الأخيرة كيف يمكن للمهاجمين تحويل تدفقات المصادقة الشرعية مثل تدفق رمز جهاز OAuth إلى أسلحة. قد لا تكون العديد من المنظمات قد دربت مستخدميها بشكل كافٍ أو قامت بتكوين حلولها الأمنية لاكتشاف أو منع الهجمات التي لا تتضمن سرقة كلمة المرور مباشرة. غالبًا ما يظل التركيز على جمع بيانات الاعتماد عبر صفحات تسجيل الدخول المزيفة، متجاهلين تكتيكات الهندسة الاجتماعية الأكثر دقة التي تستفيد من سلوكيات النظام الشرعية.

علاوة على ذلك، فإن سرعة الاختراق وحجم هذه الهجمات غالبًا ما تطغى على قدرات الاستجابة للحوادث. بحلول الوقت الذي يتم فيه اكتشاف حملة تصيد احتيالي ومعالجتها، قد يكون عدد كبير من الحسابات قد تعرض للاختراق بالفعل. يشير هذا إلى الحاجة إلى معلومات استخباراتية تهديدية أكثر استباقية ومواقف دفاعية وقائية بدلاً من مجرد إجراءات تفاعلية.

قائمة تحقق دفاعية عملية

يجب على كبار مسؤولي أمن المعلومات (CISOs) ومهندسي الأمن تنفيذ استراتيجية دفاع متعددة الطبقات لمواجهة التهديد المتطور لمجموعات PaaS. يتضمن ذلك كلاً من الأساليب التكنولوجية والأساليب التي تركز على الإنسان.

• تعزيز أمان بوابات البريد الإلكتروني والويب: تطبيق تصفية بريد إلكتروني متقدمة تكتشف تقنيات التصيد الاحتيالي المتطورة، بما في ذلك إعادة كتابة عناوين URL، وتشابه النطاق، وتحليل المحتوى. نشر بوابات ويب مزودة بخلاصات معلومات التهديد في الوقت الفعلي لحظر الوصول إلى النطاقات الضارة المعروفة والمواقع المشبوهة المسجلة حديثًا.
• تقوية آليات المصادقة: فرض مصادقة قوية متعددة العوامل (MFA) عبر جميع الخدمات الحيوية. بالنسبة لتدفقات رمز الجهاز، تأكد من تدريب المستخدمين على التحقق من شرعية الطلب والجهاز الذي يبدأه. ضع في اعتبارك مفاتيح المرور المتوافقة مع FIDO2 أو مفاتيح الأمان المادية حيثما أمكن، لأنها أكثر مقاومة للتصيد الاحتيالي بطبيعتها.
• إجراء تدريب مستمر لتوعية المستخدمين: تثقيف الموظفين بانتظام حول أحدث تكتيكات التصيد الاحتيالي، بما في ذلك إغراءات الهندسة الاجتماعية، والتصيد الاحتيالي لرمز الجهاز، ومخاطر النقر على الروابط المشبوهة أو إدخال بيانات الاعتماد على مواقع غير موثوقة. التأكيد على التفكير النقدي وعمليات التحقق.
• تطبيق خدمات حماية العلامة التجارية وإزالتها القوية: الشراكة مع الخدمات التي تقدم بحثًا استباقيًا مستمرًا عن نطاقات التصيد الاحتيالي، وأسماء النطاقات المتشابهة (typosquats)، وتطبيقات الهاتف المحمول الاحتيالية. تأكد من أن هذه الخدمات توفر عمليات إزالة سريعة وملزمة قانونًا مع اتفاقيات مستوى خدمة قصيرة.
• نشر حلول اكتشاف واستجابة نقطة النهاية (EDR): استخدام حلول EDR لمراقبة النشاط المشبوه على نقاط النهاية، بما في ذلك محاولات الوصول غير المصرح بها، وتنفيذ العمليات غير المعتادة، وتسريب البيانات، حتى لو حدث اختراق أولي.
• الاستفادة من معلومات التهديد: دمج خلاصات معلومات التهديد في الوقت الفعلي في العمليات الأمنية للبقاء على اطلاع دائم بمجموعات PaaS الناشئة، وتكتيكاتها، وتقنياتها، وإجراءاتها (TTPs)، ومؤشرات الاختراق (IoCs). يسمح هذا بقواعد الحظر والكشف الاستباقية.
• التدقيق والاختبار المنتظم لضوابط الأمان: مراجعة واختبار فعالية ضوابط الأمان الحالية بشكل دوري ضد تقنيات التصيد الاحتيالي المعروفة والناشئة. يتضمن ذلك محاكاة هجمات التصيد الاحتيالي داخليًا لقياس قابلية المستخدمين للاختراق وفعالية الضوابط.

كيف كان الاختبار الهجومي الحديث سيكشف هذا

غالبًا ما تقصر عمليات التدقيق الأمني التقليدية في تحديد نقاط الضعف الدقيقة التي تستغلها مجموعات PaaS المتقدمة. هنا يصبح الاختبار الهجومي الحديث، وخاصة الاختبار الهجومي المستقل مع إثباتات المفهوم (PoCs) القابلة للتنفيذ، لا غنى عنه. منصتنا، التي تقدم معلومات التهديد جنبًا إلى جنب مع الاختبار الهجومي المستقل، كانت ستقدم رؤى حاسمة حول قابلية المنظمة للهجمات مثل تلك التي ترتكبها عمليات التصيد الاحتيالي المتقدمة.

بالنسبة لهجوم التصيد الاحتيالي لرمز الجهاز، سيقوم الاختبار الهجومي المستقل بمحاكاة منهجية المهاجم. سيحاول بدء تدفق رمز الجهاز، وصياغة إغراء تصيد احتيالي مقنع يستهدف الموظفين، ثم مراقبة كيفية استجابة ضوابط أمان المنظمة (بوابات البريد الإلكتروني، وفلاتر الويب، وEDR) والموظفين. ستوضح إثباتات المفهوم القابلة للتنفيذ الخطوات الدقيقة التي سيتخذها المهاجم، من الهندسة الاجتماعية الأولية إلى اختطاف الجلسة المحتمل، دون اختراق فعلي.

يتجاوز هذا النوع من الاختبار مجرد فحص الثغرات الأمنية. إنه يتحقق من فعالية تكوينات MFA، وتدريب توعية المستخدمين، وخطط الاستجابة للحوادث ضد سلاسل الهجوم الواقعية. على سبيل المثال، إذا تمكن النظام بنجاح من محاكاة هجوم تصيد احتيالي لرمز الجهاز يتجاوز الضوابط الحالية ويمكن أن يؤدي إلى اختراق صندوق البريد الوارد، فإنه يوفر إثبات مفهوم قابل للتنفيذ. يوضح إثبات المفهوم هذا بوضوح نقطة الضعف، مما يسمح لفرق الأمن بتحديد بالضبط أين فشلت الدفاعات - سواء كان ذلك مرشح البريد الإلكتروني، أو يقظة المستخدم، أو فجوة في تطبيق MFA. يضمن مكون معلومات التهديد أن تستند هذه المحاكاة إلى أحدث تكتيكات وتقنيات وإجراءات المهاجم، مما يعكس التهديدات الحالية مثل إغراءات وسائل التواصل الاجتماعي أو التجاوزات التقنية المحددة.

ما يجب مراقبته بعد ذلك

لا تظهر مجموعات PaaS أي علامات على التباطؤ في تطورها. يجب على المدافعين توقع عدة اتجاهات رئيسية. أولاً، توقع تركيزًا متزايدًا على تجاوز آليات المصادقة المتقدمة، بما في ذلك المصادقة البيومترية متعددة العوامل ومفاتيح المرور، من خلال هندسة اجتماعية متطورة بشكل متزايد أو عيوب تقنية. بينما توفر مفاتيح المرور مقاومة قوية للتصيد الاحتيالي، سيبحث المهاجمون عن نواقل جديدة إذا لم يتم تنفيذها بشكل مثالي.

ثانيًا، من المرجح أن يتسارع دمج الذكاء الاصطناعي والتعلم الآلي في مجموعات PaaS. يمكن أن يظهر هذا في إغراءات تصيد احتيالي أكثر ديناميكية وشخصية، وتصيد احتيالي صوتي أو مرئي عميق مزيف تم إنشاؤه بواسطة الذكاء الاصطناعي، واستطلاع آلي يحدد الأهداف عالية القيمة بكفاءة أكبر. سيرتفع مستوى تعقيد محتوى الهجوم بشكل كبير.

أخيرًا، ستستمر لعبة القط والفأر بين عمليات إنفاذ القانون وظهور عمليات PaaS جديدة. يجب على المنظمات أن تدرك أنه بينما تعطل عمليات الإزالة خدمات فردية، فإن النظام البيئي الأساسي مرن. يتطلب هذا تحولًا نحو موقف دفاعي استباقي يعتمد على معلومات التهديد ويتكيف باستمرار مع التكتيكات والتقنيات والإجراءات الناشئة بدلاً من مجرد التفاعل مع الحوادث الماضية. يجب أن يكون التركيز على فهم عقلية المهاجم واختبار الدفاعات ضد تلك الخطط المتطورة.