كشف باحثون أمنيون عن منصة تصيد جديدة تعمل بنموذج «التصيد كخدمة» PhaaS، وتحمل اسم ARToken، ويبدو أنها مرتبطة بمنصة EvilTokens المعروفة باستهداف حسابات Microsoft 365، في تطور جديد يوضح كيف أصبحت هجمات التصيد أكثر تنظيمًا واحترافية، ولم تعد مجرد رسائل مزيفة عشوائية كما كان يظن البعض.
موضوعات مقترحة
وذكر موقع BleepingComputer أن تحليل منصة ARToken أتاح للباحثين نظرة داخلية على لوحة تحكم متقدمة يستخدمها المهاجمون لإدارة حملات تستهدف Microsoft 365، بما يشمل سرقة رموز الوصول، والوصول إلى البريد الإلكتروني، وتنفيذ عمليات احتيال عبر البريد التجاري BEC، ومحاولة استخراج بيانات من خدمات مثل SharePoint.
ما هي ARToken؟
ARToken ليست هجومًا واحدًا، بل منصة توفر أدوات جاهزة للمجرمين الإلكترونيين الذين يريدون تنفيذ حملات تصيد ضد حسابات Microsoft 365.
ويبدو أن المنصة تعمل كفرع أو واجهة تابعة لمنظومة EvilTokens، وهي مجموعة أدوات تصيد تعتمد على استغلال طرق تسجيل الدخول الشرعية في مايكروسوفت، خصوصًا أسلوب «رمز الجهاز» Device Code، لخداع الضحية ودفعه إلى منح المهاجم وصولًا إلى حسابه دون أن يكتب كلمة المرور في صفحة مزيفة.
وهذا هو الجانب الأخطر في هذه الهجمات: الضحية قد يتعامل مع صفحة حقيقية تابعة لمايكروسوفت، لكنه يدخل رمزًا أو يوافق على جلسة بدأها المهاجم، فينتهي الأمر بمنح الوصول لشخص آخر دون إدراك.
لماذا تعد خطيرة على Microsoft 365؟
تستخدم الشركات Microsoft 365 في البريد، والملفات، والاجتماعات، والتعاون الداخلي، ومشاركة المستندات. لذلك، عندما يحصل المهاجم على وصول إلى حساب موظف، فهو لا يحصل فقط على صندوق بريد، بل قد يصل إلى شبكة كاملة من المحادثات والفواتير والملفات وجهات الاتصال.
وهنا تظهر خطورة منصات مثل ARToken، لأنها لا تقف عند سرقة الحساب، بل توفر بيئة كاملة لما بعد الاختراق، تساعد المهاجم على قراءة البريد، والبحث داخل الرسائل، ومتابعة المحادثات، وربما إرسال رسائل احتيالية من حساب حقيقي داخل الشركة.
وفي هجمات BEC، يمكن للمهاجم استخدام الحساب المخترق لإرسال تعليمات دفع مزيفة، أو تغيير بيانات التحويل البنكي، أو خداع شركاء وموردين، لأن الرسالة تأتي من بريد حقيقي موثوق.
التصيد لم يعد يحتاج إلى صفحة مزيفة
الأسلوب التقليدي في التصيد كان يعتمد على صفحة تسجيل دخول مزيفة تشبه صفحة مايكروسوفت، ثم يكتب الضحية كلمة المرور داخلها. لكن حملات EvilTokens وARToken تشير إلى تحول أخطر، لأن المهاجم قد لا يحتاج إلى سرقة كلمة المرور مباشرة.
في هجمات Device Code Phishing، يستغل المهاجم آلية مشروعة صممت لتسجيل الدخول على الأجهزة التي لا تملك متصفحًا مريحًا، مثل التلفزيونات أو بعض الأجهزة الذكية.
يقوم المهاجم ببدء طلب تسجيل دخول ثم يرسل للضحية رمزًا ويطلب منه إدخاله في صفحة Microsoft الحقيقية. إذا فعل الضحية ذلك، فهو لا يسجل الدخول لنفسه كما يظن، بل يمنح المهاجم جلسة مصادقة يمكن استخدامها للوصول إلى حسابه.
ماذا كشف تحليل المنصة؟
بحسب باحثي Cisco Talos، كشفت لوحة ARToken عن أكثر من 80 نقطة برمجية داخلية، ما يشير إلى منصة واسعة الوظائف وليست أداة بسيطة. وتضمنت القدرات التي رُصدت وظائف مرتبطة بتصيد رموز الجهاز، ومحاولة الحفاظ على الوصول، والتعامل مع البريد الإلكتروني، وتنفيذ سيناريوهات احتيال عبر البريد التجاري، والوصول إلى ملفات SharePoint.
كما أظهر التحليل أن المنصة تعتمد على لوحة تحكم حديثة مبنية بواجهة ويب، بما يجعل استخدامها أقرب إلى برامج إدارة الحملات، لا إلى أدوات اختراق بدائية.
وهذا يعكس تحولًا خطيرًا في سوق الجريمة الإلكترونية، حيث يستطيع مهاجمون أقل خبرة شراء أو استئجار أدوات جاهزة لتنفيذ حملات معقدة كانت في السابق تحتاج إلى قدرات فنية أعلى.
ما معنى «التصيد كخدمة»؟
مصطلح «التصيد كخدمة» يعني أن مجرمين أو مطورين يبنون منصة تصيد جاهزة، ثم يبيعون الوصول إليها أو يؤجرونها لمهاجمين آخرين مقابل اشتراك أو عمولة.
وبدلًا من أن يطور كل مهاجم أدواته من الصفر، يحصل على لوحة تحكم، وقوالب، وطرق إدارة، وربما دعم فني وتحديثات، تمامًا كما تعمل بعض الخدمات الرقمية المشروعة، لكن لأغراض إجرامية.
هذه الفكرة تجعل الهجمات أسرع انتشارًا وأصعب في الاحتواء، لأن تعطيل حملة واحدة لا يعني بالضرورة القضاء على المنصة كلها أو منع ظهور حملة جديدة في اليوم التالي.
لماذا لا تكفي المصادقة متعددة العوامل وحدها؟
اعتاد المستخدمون والشركات الاعتماد على MFA باعتبارها خط دفاع قويًا، وهي بالفعل مهمة جدًا. لكن هذا النوع من الهجمات يحاول الالتفاف على المصادقة متعددة العوامل بدلًا من كسرها مباشرة.
فإذا خدع المهاجم الضحية لإتمام عملية تسجيل دخول مشروعة على موقع Microsoft الحقيقي، فقد يحصل على رموز وصول تفتح له الباب إلى الخدمات السحابية، حتى دون معرفة كلمة المرور.
لذلك لم يعد كافيًا أن تسأل الشركة: هل لدينا MFA؟ بل يجب أن تسأل أيضًا: هل نراقب محاولات تسجيل الدخول غير المعتادة؟ هل نمنع تدفقات Device Code غير الضرورية؟ هل نرصد التطبيقات والجلسات المشبوهة؟ وهل يفهم الموظفون خطورة إدخال أكواد لم يطلبوها بأنفسهم؟
كيف تحمي الشركات نفسها؟
أهم خطوة هي توعية الموظفين بعدم إدخال أي رمز تسجيل دخول أو Device Code إلا إذا بدأوا هم العملية بأنفسهم وبشكل واضح.
كما يجب على فرق الأمن مراجعة سياسات الوصول إلى Microsoft 365، وتقييد أو مراقبة تدفقات تسجيل الدخول التي تعتمد على رموز الأجهزة إذا لم تكن ضرورية، ومراقبة تسجيلات الدخول من مواقع أو أجهزة غير معتادة.
ومن المهم أيضًا تطبيق سياسات Conditional Access، ومراجعة التطبيقات التي حصلت على صلاحيات، ومراقبة نشاط البريد الإلكتروني، مثل إنشاء قواعد تحويل رسائل غريبة، أو تسجيل دخول مفاجئ من دولة غير معتادة، أو عمليات بحث مكثفة داخل البريد وSharePoint.
مؤشرات تستحق الانتباه
قد تظهر بعض العلامات بعد اختراق حساب Microsoft 365، مثل رسائل مرسلة لا يتذكرها المستخدم، أو قواعد بريد جديدة تقوم بتحويل الرسائل أو إخفائها، أو مطالبات MFA غير متوقعة، أو وصول من أجهزة ومناطق غير معتادة.
كما يجب الانتباه إلى أي رسالة تطلب من الموظف إدخال رمز على موقع Microsoft دون أن يكون هو من بدأ عملية تسجيل الدخول، حتى لو بدا الرابط حقيقيًا أو جاء الطلب ضمن رسالة تبدو داخلية.
في هذه الحالات، يجب إبلاغ فريق تقنية المعلومات فورًا، لأن سرعة الاستجابة قد تمنع تحول اختراق حساب واحد إلى حادث أوسع داخل المؤسسة.
خطر أكبر على الشركات الصغيرة
الشركات الكبيرة قد تملك فرق أمن متخصصة وأدوات مراقبة متقدمة، لكن الشركات الصغيرة والمتوسطة غالبًا تعتمد على Microsoft 365 دون إعدادات حماية كافية أو مراقبة مستمرة.
وهذا يجعلها هدفًا جذابًا لمنصات مثل ARToken، لأن حسابًا واحدًا مخترقًا قد يكفي للوصول إلى فواتير وموردين ومدفوعات ومراسلات حساسة.
ولهذا تحتاج الشركات الصغيرة إلى إجراءات بسيطة لكنها قوية، مثل تفعيل MFA، وتدريب الموظفين، ومراجعة قواعد البريد بانتظام، وتفعيل تنبيهات تسجيل الدخول المشبوه، والاستعانة بخبراء أمن عند الحاجة.
رسالة واضحة لمستخدمي Microsoft 365
يكشف ظهور ARToken أن هجمات التصيد ضد Microsoft 365 أصبحت أكثر تطورًا وتنظيمًا، وأن المهاجمين لم يعودوا يعتمدون فقط على خداع المستخدم بصفحة مزيفة، بل يستغلون آليات تسجيل دخول شرعية لتمرير الهجوم.
والدرس الأهم للمستخدمين أن الصفحة الحقيقية لا تعني دائمًا أن العملية آمنة، إذا كان الرمز أو الطلب جاء من شخص آخر.
أما بالنسبة للشركات، فالمعركة لم تعد حول منع كلمة المرور من التسرب فقط، بل حول حماية جلسات الدخول والرموز والصلاحيات وسلوك الحساب بعد المصادقة.
وبين ARToken وEvilTokens ومنصات التصيد كخدمة الأخرى، يبدو أن أمن Microsoft 365 يحتاج إلى يقظة أوسع، لأن الهجوم الحديث لا يطرق الباب دائمًا بكلمة مرور مسروقة، بل قد يدخل عبر موافقة واحدة منحها الموظف دون أن يدرك.