تحذير من حملة تصيد احتيالي تستغل آلية مصادقة مايكروسوفت.. ثغرات في استجابة المؤسسات للتهديدات الإلكترونية

أصدرت شركة كاسبرسكي تقريراً حديثاً عن حملة تصيد احتيالي استغل خلالها المهاجمون آلية مصادقة مايكروسوفت. واستمرت هذه الحملة منذ مطلع أبريل حتى منتصف مايو 2026، واتخذت شكل إشعار قانوني صادر عن أحد مكاتب المحاماة، وهدفت إلى سرقة بيانات اعتماد الضحايا والوصول إلى معلوماتهم الشخصية. ويأتي ذلك في وقت كشفت فيه كاسبرسكي، في تقرير منفصل، عن وجود ثغرات في استجابة عدد من المؤسسات للتهديدات الإلكترونية، وتأخر اكتشاف كثير من الحوادث الأمنية، مما يزيد من فرص نجاح مثل هذه الهجمات واستمرارها داخل الأنظمة لفترات طويلة.

المصادقة (OAuth 2.0 Device Authorization Grant)

وتتيح آلية المصادقة (OAuth 2.0 Device Authorization Grant) للمستخدمين تسجيل الدخول إلى حساباتهم في مايكروسوفت من أجهزة تفتقر إلى قدرات إدخال البيانات مثل أجهزة التلفزيون الذكية، وذلك عبر لصق أحد الرموز أو مسح رمز الاستجابة السريعة (QR) من جهاز آخر مثل الهاتف الذكي أو الحاسوب. بيد أنّ هذه التسهيلات تتيح للمهاجمين فرصة كبيرة لاستغلال هذه الآلية، مما يفضي أحياناً إلى اختراق الحسابات والسيطرة عليها من خلال رموز التحديث المسروقة.

وخلال الحملة، أرسل المهاجمون رسائل بريد إلكتروني للضحايا على شكل مراسلات قانونية وهمية من مكتب محاماة، وأرفقوا معها ملف PDF محمياً بكلمة مرور. وبعدما فتح الضحايا الملف وأدخلوا كلمة المرور، ظهرت أمامهم صفحة ويب فيها قائمة بمستندات كثيرة. وكان عليهم النقر على رابط مرفق مع المستندات لاستعراضها، وقادهم ذلك الرابط إلى عنوان موقع مايكروسوفت الرسمي. ومع ذلك، قام المهاجمون بتهيئة معلمات عنوان (URL) لإعادة توجيه الضحايا إلى موقع تصيد احتيالي بعد فتحهم صفحة مايكروسوفت.

يعيد الرابط الموجود في المستند توجيه المستخدم من منصة مايكروسوفت إلى صفحة تصيد احتيالي تحاكي بوابة عرض المستندات القانونية

صفحة التصيد الاحتيالي

وتضمنت صفحة التصيد الاحتيالي اختبارات أمان متعددة (CAPTCHA)، إذ يفترض أنّ الغرض من استخدامها تصفية البوتات الأمنية التي تستخدم لفحص المواقع الإلكترونية بحثاً عن التهديدات السيبرانية. وبعدما يتجاوز الضحية اختبارات الأمان، يُعاد توجيهه إلى صفحة أخيرة تطلب منه نسخ رمز تحقق يستخدم لمرة واحدة فقط، وهو الرمز نفسه الذي حصل عليه المهاجمون سابقاً عندما بدأوا عملية تسجيل الدخول من طرفهم.

الرمز المستخدم لمرة واحدة في صفحة التصيد الاحتيالي

ويؤدي النقر على رمز التحقق لمرة واحدة إلى نسخه تلقائياً في الحافظة، كما يعاد في الوقت نفسه توجيه المستخدم إلى صفحة المصادقة الرسمية لشركة مايكروسوفت، حيث يُطلب منه لصق الرمز وإدخاله. وبعد إتمام عملية المصادقة متعددة العوامل، يحصل المهاجمون على رموز الجلسة، ما يتيح لهم قراءة رسائل البريد الإلكتروني للضحية وإرسالها من صندوق البريد، واستخراج الملفات من OneDrive، والوصول إلى محادثات Teams.

ويعلق على هذه المسألة رومان ديدينوك، خبير مكافحة البريد العشوائي في كاسبرسكي: «لا تعتمد جهات التهديدات دائماً على سرقة بيانات الاعتماد أو نشر البرمجيات الخبيثة للوصول إلى البيانات الحساسة، بل يمكنها استغلال الأدوات الشرعية لتحقيق هذه الغاية. لذلك، ينبغي للمستخدمين الحذر كثيراً عند زيارة المواقع المشبوهة واستخدام المنصات الرسمية على حد سواء. ونوصي فرق العمل في المؤسسات بتقييم الحاجة إلى استخدام ميزة Device Code Flow ضمن بنيتها التحتية. فلا بد من تعطيل آلية المصادقة إذا لم تكن ضرورية في العمليات اليومية.»

وفي السياق ذاته، كشف تقرير جديد من قسم تقييم الاختراق في كاسبرسكي (Kaspersky Compromise Assessment) عن إخفاق مؤسسات كثيرة في اكتشاف حوادث الأمن السيبراني بسبب اعتمادها على النهج التفاعلي مع الحوادث، وضعف آليات المراقبة والرصد، والقصور التشغيلي. وأظهرت نتائج التحليل أنّ الأنشطة الخبيثة استمرت في المؤسسات لأكثر من ثلاثة أشهر فيما نسبته 31% من المؤسسات الخاضعة للتحليل، كما أنّ أكثر من نصف الاختراقات عالية الخطورة (52%) لم تُكتشف إلا بعد 90 يوماً من نشاطها دون أي رصد، فيما ظلت أقدم حادثة رُصدت خلال العام الماضي غير مكتشفة داخل الأنظمة لمدة أربع سنوات.

التنبيهات الأمنية

وأوضح التقرير أن أدوات المراقبة والضبط وحدها ليست كافية؛ إذ جرى اكتشاف 20% من حوادث الاختراق بجهود يدوية بشرية، بينما لم تتمكن المؤسسات من اكتشاف 60% من تلك الحوادث بسبب افتقارها إلى التنبيهات الأمنية عالية الدقة والموثوقية.

كما أشار إلى أن 40% من جميع واجهات الأوامر عبر الويب (Web Shells) التي تم رصدها كانت موجودة في النسخ الاحتياطية دون اكتشاف، إلى جانب تسجيل مشكلات في التواصل الداخلي ضمن 32% من الحالات، وهو ما قد يؤدي إلى تفويت بعض الحوادث الأمنية.

وعلّق على نتائج تقرير تقييم الاختراقات أمجد وجيه، خبير في فريق تقييم الاختراقات لدى كاسبرسكي: «لا تتعرض المؤسسات لأخطار خارجية فحسب، بل تواجه أيضاً تهديدات خفية داخل بنيتها التحتية، ولا تكون مؤشرات الاختراق واضحة على الدوام. وتعزز عمليات التدقيق الأمني الاستباقية احتمال اكتشاف المؤسسات لحالات الاختراق. كما يقلل دمج تقييمات الاختراق الدورية التي تجريها جهات خارجية ضمن عمليات المؤسسة من احتمال وقوع حوادث أمنية شديدة الخطورة، ويرفع مستوى الجاهزية العام لمواجهة الأخطار.»

ولتقليل مخاطر هذه التهديدات، أوصت كاسبرسكي المؤسسات بنشر حلول أمنية قوية لحماية البريد الإلكتروني، وتقييم الحاجة إلى استخدام ميزة Device Code Flow وتعطيلها عند عدم الحاجة، إلى جانب إجراء فحص شامل لمحرك الاكتشاف، وضمان المراقبة الفعالة على مدار الساعة، وإعادة تقييم إدارة الثغرات الأمنية، وتحديث برامج التوعية الأمنية، وتنفيذ تدريبات محاكاة دورية، واعتماد اتفاقيات المستوى التشغيلي لضمان سرعة الاستجابة ورفع جاهزية المؤسسات في مواجهة التهديدات السيبرانية.

تابعنا الآن على شبكة نبض