قراصنة يستهدفون حسابات Microsoft و Google بدعوات أحداث مزيفة

ما الذي حدث بالضبط؟

كشف تقرير جديد من Push Security عن حملة احتيال واسعة، حيث يستخدم القراصنة دعوات مزيفة لأحداث تخص شركات كبرى مثل OpenAI و SpaceX و Anthropic. هدفهم هو استدراج الموظفين لسرقة بيانات حساباتهم على Microsoft و Google، بالإضافة إلى جلسات المصادقة الخاصة بهم.

تعتمد هذه الهجمات على منصتين متخصصتين في الاحتيال كخدمة (PhaaS)، وهما Kali365 و VoidProxy. يعمل القراصنة على إنشاء صفحات تسجيل أحداث مقنعة للغاية، تعد الضحايا بتقديم مكافآت مغرية. من بين هذه المكافآت، وصول مجاني لمدة ثلاثة أشهر لخدمة ChatGPT Pro، أو حصة في شركة SpaceX، أو حتى ثلاثة أشهر من Grok Heavy.

رصدت Push Security هذه الصفحات الخبيثة وقامت بحظر الوصول إليها في أواخر أكتوبر 2026. وقد شملت الحملة دعوات لأحداث وهمية مثل "ChatGPT for Social & Digital Marketing Teams" من OpenAI، وحدث خاص لـ SpaceX في 12 نوفمبر، بالإضافة إلى حدث مزيف لـ Anthropic في AWS re:Invent 2026، والذي تم إزالته لاحقاً.

كيف يعمل هذا الاحتيال؟

يستخدم القراصنة منصات الاحتيال كخدمة (PhaaS) لإنشاء صفحات تسجيل وهمية تبدو حقيقية تماماً. هذه الصفحات تطلب من الضحايا تسجيل الدخول باستخدام حسابات عملهم للمطالبة بالمكافآت الموعودة. قبل عرض صفحة التسجيل، تظهر المواقع كود CAPTCHA من Cloudflare، لمنع أنظمة الأمن الآلية من اكتشافها.

عندما يختار الضحية خيار "Continue with Microsoft"، تتصل الصفحة بمنصة Kali365. هذه المنصة تقوم بإنشاء رمز مصادقة خاص بجهاز Microsoft. يطلب من الضحية نسخ هذا الرمز وإدخاله في موقع Microsoft الرسمي لتسجيل الدخول. بهذه الطريقة، تتمكن Kali365 من سرقة رموز المصادقة دون أن يضطر الضحية لإدخال كلمة مروره مباشرة. بعد نجاح مصادقة رمز الجهاز، يتم توجيه الضحية إلى صفحة تسجيل دخول Microsoft وهمية أخرى عبر VoidProxy، حيث يمكن للقراصنة التقاط كلمة المرور وملف تعريف الارتباط الخاص بالجلسة.

أما عند اختيار "Continue with Google"، تفتح الصفحة نافذة منبثقة تحتوي على صفحة تسجيل دخول Google من منصة VoidProxy. تعمل VoidProxy هنا كـ "وسيط مهاجم" (Adversary-in-the-Middle)؛ فهي تجلس بين متصفح الضحية وصفحة تسجيل الدخول الرسمية لـ Google، لتقوم بالتقاط بيانات الدخول، واستجابات المصادقة متعددة العوامل (MFA)، وملفات تعريف الارتباط الخاصة بالجلسة.

المثير للقلق هو أن كلتا المنصتين، Kali365 و VoidProxy، تسمحان للقراصنة بتجاوز المصادقة متعددة العوامل (MFA). إما عن طريق التقاط جلسة مصادقة نشطة بالفعل، أو في حالة مصادقة رمز الجهاز، بتجاوزها تماماً.

لماذا يهمك هذا الأمر؟

هذه الحملات لا تستهدف الأفراد فقط، بل تمثل خطراً كبيراً على الشركات والمؤسسات. تخيل أن يتمكن القراصنة من الوصول إلى حساب عملك؛ هذا يمنحهم مفتاحاً للدخول إلى موارد شركتك الحساسة مثل Microsoft 365، Salesforce، Google Workspace، Dropbox، وغيرها الكثير. هل فكرت يوماً في مدى سهولة سرقة بياناتك بهذه الطرق المبتكرة؟

لقد استخدمت هجمات التصيد التي تعتمد على رموز الجهاز في الماضي لسرقة البيانات وعمليات التجسس الإلكتروني. هذه الحملة ليست الأولى من نوعها؛ فقد وثقت حملات مشابهة في يوليو من قبل ANY.RUN، حيث استغل المهاجمون صفحات أحداث Zoom المشروعة للترويج لأحداث Meta و OpenAI و Anthropic المزيفة. كما أبلغت Cofense مؤخراً عن رسائل بريد إلكتروني احتيالية تنتحل دعوات أحداث Anthropic. هذا يؤكد أن هذا النوع من الاحتيال في تزايد، ويجب أن نكون جميعاً على حذر.

كيف تحمي نفسك وشركتك؟

حماية بياناتك تبدأ بخطوات بسيطة لكنها حاسمة. أولاً، كن حذراً للغاية وتجنب إدخال رموز مصادقة أجهزة Microsoft التي تحصل عليها من مواقع إلكترونية غير مألوفة أو مشبوهة. ثانياً، تعامل بحذر شديد مع أي دعوات لحضور أحداث تطلب منك تسجيل الدخول باستخدام حساب عملك للمطالبة بمكافآت. هل يبدو العرض جيداً لدرجة يصعب تصديقها؟ غالباً ما يكون كذلك.

بالنسبة للشركات، يمكن اتخاذ إجراءات وقائية أقوى. من المهم تقييد استخدام مصادقة رمز الجهاز في الأماكن التي لا تكون ضرورية فيها. والأهم من ذلك، استخدام طرق مصادقة متعددة العوامل (MFA) مقاومة للتصيد الاحتيالي، مثل مفاتيح أمان FIDO2. هذه الأدوات يمكن أن تساعد بشكل كبير في منع سرقة جلسات الدخول وحماية حسابات الموظفين من الوقوع في فخ هذه الهجمات المعقدة.