عندما يبدأ الاختراق بمكالمة صوتية، تصل الجدران النارية متأخرة
تُظهر حملة ابتزاز في الولايات المتحدة نُسبت إلى UNC3753 كيف يمكن للهندسة الاجتماعية والوصول المادي أن يحولا الثقة، لا البرمجيات الخبيثة، إلى مسار الهجوم الرئيسي.
الجزء الأكثر إزعاجا في هذه الحملة ليس التقنية، بل الثقة بالنفس. يمكن للمتصل أن يبدو كأنه من الدعم الداخلي، ويمكن للزائر أن يبدو كمقاول، ويمكن لموظف مستعجل أن يصبح أضعف عنصر تحكم في المبنى. وفي عملية ابتزاز تعتمد على سرقة البيانات، غالبا ما يكون ذلك كافيا.
بين يناير ومايو 2026، استُهدفت عشرات المؤسسات الأمريكية في قطاعات الخدمات المهنية والقانونية والمالية في حملة نُسبت إلى UNC3753. ولم يكن النمط الظاهر هو التشفير التقليدي ببرامج الفدية، بل كان ضغطا مبنيا على بيانات مسروقة وهندسة اجتماعية، وفي بعض الحالات، وجودا ماديا في مكان العمل.
حقائق سريعة
- تُوصف الحملة بأنها مدفوعة ماليا وتركز على ابتزاز سرقة البيانات.
- تركزت الأهداف في قطاعات الخدمات المهنية والقانونية والمالية في الولايات المتحدة.
- نُسب النشاط إلى UNC3753 من قبل Google Mandiant وGoogle Threat Intelligence Group.
- يعد التصيد الصوتي والتسللات المادية جزءا من التكتيكات المبلغ عنها.
- يمتد الخطر إلى الأشخاص والمقار ونقاط النهاية، وليس فقط البريد الإلكتروني والخوادم.
لماذا يهم هذا تقنيا
يعمل التصيد الصوتي، أو vishing، لأنه يهاجم العملية بدلا من البرمجيات. يمكن لمتصل مقنع أن يفعّل إعادة تعيين كلمات المرور أو جلسات الدعم عن بعد أو استثناءات لقواعد التحقق المعتادة. وتتتبع MITRE هذا باعتباره شكلا من spearphishing عبر الصوت، ولا يزال فعالا لأنه يستغل الإلحاح والسلطة وسلوك مكتب المساعدة الروتيني.
الجانب المادي من الاختراق يغير معادلة الدفاع مرة أخرى. فبمجرد أن يتمكن المهاجم من دخول بهو أو غرفة اجتماعات أو طابق مكتب، قد لا تعود الضوابط المصممة للتهديدات البعيدة مفيدة. وقد تكون مجرد مقابلة قصيرة في الموقع كافية للوصول إلى محطة عمل غير مقفلة، أو إساءة استخدام وسائط قابلة للإزالة، أو إقناع الموظفين بمنح وصول مؤقت. ولهذا يجب التعامل مع الأمن المادي والأمن السيبراني كأنهما سطح تشغيل واحد.
بالنسبة للمدافعين، لا تكمن العبرة في أن كل مؤسسة ستواجه نفس أسلوب العمل بالطريقة نفسها، بل في أن عصابات الابتزاز باتت تركز بشكل متزايد على أسهل مسار مقاومة. فإذا أمكن خداع شخص، أمكن تجاوز عملية. وإذا أمكن إدخال زائر إلى الداخل، فقد ينهار المحيط الدفاعي دون استغلال واحد.
حتى وقت كتابة هذا المقال، ما تزال بعض التفاصيل غير محددة في الحملة الموصوفة علنا، بما في ذلك الربط الدقيق للاسم المستعار UNC3753، والعدد الدقيق للضحايا، والمدى الكامل لأي عملية استخراج للبيانات. وتدعم المعلومات المتاحة تحليلا للمخاطر، لا ادعاء بحدوث اختراق شامل.
ما الذي ينبغي لفرق الأمن استخلاصه
ينبغي على المؤسسات في قطاعات الخدمات عالية القيمة أن تعامل مكتب المساعدة والاستقبال والردهة كجزء من سطح الهجوم. ويجب أن يكون التحقق خارج النطاق لإعادة تعيين كلمات المرور وتغييرات MFA وطلبات الدعم عن بعد إلزاميا. كما أن السماح بالدخول دون مرافقة لأي شخص يدعي أنه من دعم تقنية المعلومات ينبغي أن يكون استثناء لا إجراء روتينيا.
كما ينبغي أن تبحث مراقبة نقاط النهاية عن أدوات وصول عن بعد مشبوهة، ونشاط غير معتاد لنقل الملفات، واستخدام غير متوقع للوسائط القابلة للإزالة. ومن منظور دفاعي، لا يقتصر الخطر الأوسع على سرقة البيانات، بل يشمل أيضا السرعة التي يمكن بها تحويل المعلومات المسروقة إلى وسيلة ضغط.
والدرس الأوسع بسيط: قد تبدأ سلسلة الابتزاز الحديثة بصوت أو شارة أو طلب ودود عند مكتب الاستقبال. أما الأمن الذي يتوقف عند الجدار الناري فيفوت الجزء من الهجوم الذي تكون فيه الثقة قد كُسرت بالفعل.
الخلاصة
تذكير آخر بأن الجريمة السيبرانية أصبحت هجينة بشكل متزايد بحكم التصميم. فهي تمزج الهندسة الاجتماعية والضغط الميداني وسرقة البيانات في نموذج عمل واحد. وأفضل دفاع ليس الأدوات الأقوى فحسب، بل أيضا التحقق الأكثر صرامة، والضوابط المادية الأشد، وثقافة تعامل كل طلب عاجل على أنه لحظة للتوقف والتفكير.
TECHCROOK
مفتاح أمان عتادي: مفتاح الأمان العتادي هو جهاز صغير للمصادقة متعددة العوامل المقاومة للتصيد. ويمكنه إضافة خطوة ثانية إلى عمليات تسجيل الدخول إلى الحسابات وإعادة تعيين كلمات المرور وسير عمل الموافقة في مكتب المساعدة. وبالنسبة للفرق التي تواجه محاولات انتحال الهوية، فهو بديل عملي لرموز SMS أو مطالبات الموافقة القائمة على الضغط.
WIKICROOK
- التصيد الصوتي: تصيد يعتمد على الصوت ويستخدم المكالمات الهاتفية أو البريد الصوتي لخداع الأشخاص ودفعهم إلى كشف المعلومات أو الموافقة على الوصول.
- التسلل المادي: وصول غير مصرح به في الموقع إلى مكان عمل أو منشأة للوصول إلى الأنظمة أو الأجهزة أو الأشخاص.
- ابتزاز سرقة البيانات: إكراه يعتمد على المعلومات المسروقة بدلا من تشفير الملفات للضغط على الضحايا.
- التحقق خارج النطاق: تأكيد طلب عبر قناة منفصلة لتقليل خطر انتحال الهوية.
- الوسائط القابلة للإزالة: وسائط تخزين محمولة مثل أجهزة USB، ويمكن إساءة استخدامها لنقل البيانات أو إدخال مخاطر إلى نقاط النهاية.
