كشف تقرير أمني عن حملة تصيّد إلكتروني واسعة تستغل أسماء شركات تكنولوجية بارزة، من بينها «أوبن إيه آي» و«سبيس إكس» و«أنثروبيك»، عبر دعوات وهمية لحضور مؤتمرات وفعاليات متخصصة في الذكاء الاصطناعي، بهدف اختراق الحسابات المؤسسية للموظفين على منصتي «غوغل» و«مايكروسوفت»، والاستيلاء على بيانات الدخول وجلسات المستخدمين، حتى مع وجود وسائل للمصادقة متعددة العوامل.

ووفق تقرير نشرته شركة الأمن السيبراني «بوش سيكيوريتي»، يعتمد المهاجمون على منصتين متخصصتين في عمليات التصيّد، هما «كالي 365» و«فويد بروكسي»، تتيحان اعتراض بيانات تسجيل الدخول ورموز المصادقة، والاستحواذ على جلسات المستخدمين للوصول إلى حساباتهم وخدماتهم المؤسسية.

ورصد باحثو الشركة مجموعة من صفحات التسجيل المزيفة التي تحاكي فعاليات تبدو وكأنها تنظمها شركات معروفة في مجال التكنولوجيا والذكاء الاصطناعي، وتطلب من الزوار تسجيل الدخول باستخدام حسابات العمل، تحت ذرائع مختلفة، من بينها تأكيد المشاركة أو الحصول على اشتراكات ومكافآت حصرية.

ومن بين الصفحات المكتشفة موقع ينتحل هوية «أكاديمية أوبن إيه آي»، ويروج لفعالية تتناول توظيف «تشات جي بي تي» في فرق التسويق، مقابل وعد المشاركين باشتراك مجاني لمدة ثلاثة أشهر في خدمة «تشات جي بي تي برو».

كما رصد الباحثون صفحة تنتحل اسم شركة «سبيس إكس»، وتعرض دعوة لحضور إحاطة خاصة حول مشروع «ستارشيب» وتطبيقات الذكاء الاصطناعي في التسويق، مع إغراء المستخدمين بالحصول على اشتراك في خدمة «غروك هيفي» أو حصة من أسهم الشركة.

وامتدت عمليات الانتحال إلى شركة «أنثروبيك»، من خلال الترويج لفعالية مرتبطة بمؤتمر «إيه دبليو إس ري إنفنت»، في محاولة لاستقطاب الموظفين والمهتمين بالتكنولوجيا إلى صفحات تسجيل احتيالية.

وفي الحالات الثلاث، سعى المهاجمون إلى دفع المستهدفين لتسجيل الدخول باستخدام حساباتهم المهنية على «غوغل» أو «مايكروسوفت»، بذريعة استكمال إجراءات التسجيل أو الحصول على المكافآت المعلنة.

ولإضفاء طابع المصداقية على الدعوات، استعان المهاجمون بخدمات معروفة لاختصار الروابط، من بينها خدمات تابعة لـ«غوغل» و«زابير»، إلى جانب تصميم صفحات تحاكي واجهات التسجيل المستخدمة في الفعاليات الحقيقية. وتساعد هذه الأساليب على إخفاء الوجهة النهائية للروابط، وتجعل اكتشاف المواقع الاحتيالية أكثر صعوبة، خصوصاً عندما تبدو الدعوة وكأنها صادرة عبر خدمة موثوقة.

آليات اختراق الحسابات

وأوضح تقرير «بوش سيكيوريتي» أن الحملة تستخدم آليتين مختلفتين للاستيلاء على حسابات العمل، بحسب منصة تسجيل الدخول التي يختارها الضحية.

فعند اختيار تسجيل الدخول عبر حساب «مايكروسوفت»، تستخدم منصة «كالي 365» تقنية تُعرف باسم التصيّد عبر رمز الجهاز. وتعرض الصفحة المزيفة رمزاً تطلب من المستخدم نسخه وإدخاله في صفحة المصادقة الرسمية التابعة لمايكروسوفت، تحت ذريعة تأكيد هويته أو إتمام عملية التسجيل.

غير أن الرمز يكون مرتبطاً بعملية تسجيل دخول بدأها المهاجم مسبقاً، وليس المستخدم نفسه. وبمجرد إدخال الضحية الرمز والموافقة على طلب المصادقة، يتمكن المهاجم من الحصول على رموز وصول وتحديث تتيح له استخدام الحساب والخدمات المرتبطة به، وفق الصلاحيات الممنوحة للمستخدم.

ولا تنتهي العملية عند ذلك، إذ يعيد المهاجمون توجيه الضحية إلى صفحة تابعة لمنصة «فويد بروكسي»، في محاولة لاعتراض بيانات إضافية، تشمل كلمة المرور وملفات تعريف الارتباط المرتبطة بجلسة تسجيل الدخول.

أما عند اختيار تسجيل الدخول عبر «غوغل»، فتستخدم الحملة تقنية تُعرف بهجوم «الوسيط بين المستخدم والخدمة»، من خلال منصة «فويد بروكسي»، التي تضع صفحة وسيطة بين المستخدم وخدمة تسجيل الدخول الأصلية، بحيث تمر بيانات المصادقة عبرها.

ويتيح ذلك للمهاجمين اعتراض كلمات المرور ورموز التحقق وملفات تعريف الارتباط الخاصة بجلسة المستخدم، ثم استغلال بيانات الجلسة المسروقة للوصول إلى الحساب دون الحاجة إلى إعادة تنفيذ خطوات التحقق من الهوية، إذ يظهر المهاجم أمام الخدمة وكأنه مستخدم سبق له إتمام عملية المصادقة بنجاح.

كيف تتجاوز الحملة المصادقة متعددة العوامل؟

تُعد المصادقة متعددة العوامل إحدى طبقات الحماية الإضافية للحسابات، إذ تشترط، إلى جانب كلمة المرور، إدخال رمز تحقق أو الموافقة على طلب تسجيل الدخول. غير أن الأساليب المستخدمة في هذه الحملة تستهدف آليات المصادقة ذاتها، بدلاً من الاكتفاء بسرقة كلمات المرور.

ففي هجمات الوسيط، يستطيع المهاجم اعتراض بيانات جلسة الدخول بعد أن يُكمل المستخدم عملية التحقق بنجاح عبر الصفحة الوسيطة، بينما تعتمد هجمات رمز الجهاز على خداع الضحية للموافقة على عملية تسجيل دخول بدأها المهاجم دون علمه.

وبذلك، لا توفر جميع وسائل المصادقة متعددة العوامل المستوى نفسه من الحماية أمام أساليب التصيّد المتقدمة، الأمر الذي يبرز أهمية استخدام وسائل تحقق مصممة لمقاومة هذا النوع من الهجمات.

وفي هذا السياق، توصي «مايكروسوفت» باستخدام وسائل مصادقة مقاومة للتصيّد، مثل مفاتيح المرور ومفاتيح الأمان المتوافقة مع معيار «فايدو 2»، الذي يربط عملية التحقق بالموقع الإلكتروني الحقيقي للخدمة، ويحد من قدرة المهاجمين على استغلال بيانات المصادقة عبر صفحات مزيفة.

حملة أخرى تنتحل اسم «أنثروبيك»

وفي تقرير منفصل نشرته شركة الأمن السيبراني «كوفينس» في 29 أكتوبر/تشرين الأول 2026، كشف باحثون عن حملة احتيالية أخرى تستغل اسم «أنثروبيك» لاستهداف الموظفين بدعوات لمعاينة تقنية جديدة بصورة حصرية.

وذكر التقرير أن المهاجمين استخدموا خدمة «غو تو ويبينار» لإرسال الدعوات، إلى جانب روابط مختصرة عبر «زابير»، قبل إعادة توجيه المستهدفين إلى صفحات مزيفة تحاكي واجهات تسجيل الدخول في «غوغل» و«مايكروسوفت».

وأشار الباحثون إلى أن الاستعانة بخدمات موثوقة لإرسال الرسائل واختصار الروابط تساعد المهاجمين على تجاوز بعض أنظمة الحماية، نظراً إلى أن هذه الخدمات تُستخدم على نطاق واسع في الاتصالات المهنية المشروعة.

كما لجأ المهاجمون إلى استخدام اختبارات للتحقق من أن زائر الموقع إنسان وليس برنامجاً آلياً، بهدف إعاقة أدوات الفحص الآلي التي ترصد المواقع الاحتيالية، وإضفاء مظهر يوحي بموثوقية الصفحات المستهدفة.

مؤشرات تكشف الدعوات الاحتيالية

وتشير التقارير الأمنية إلى مجموعة من العلامات التي يمكن أن تساعد الموظفين على اكتشاف هذا النوع من الهجمات، أبرزها تقديم اشتراكات مجانية أو مكافآت غير معتادة مقابل التسجيل في فعالية، أو مطالبة المستخدم باستخدام حساب العمل لحضور لقاء لا يتطلب بطبيعته الوصول إلى الموارد المؤسسية.

ومن المؤشرات الأخرى استخدام عناوين مواقع لا تتبع النطاقات الرسمية للشركات، والتنقل بين خدمات ومواقع مختلفة خلال عملية التسجيل، ووجود اختلافات بين هوية الجهة المرسلة وتصميم صفحة الفعالية.

كما يُعد طلب إدخال رمز المصادقة في صفحة أخرى، أو الموافقة على عملية تسجيل دخول لم يبدأها المستخدم بنفسه، من العلامات التحذيرية التي تستدعي التوقف عن استكمال الإجراءات والتحقق من مصدر الطلب.

وتؤكد هذه الحالات أهمية التأكد من صحة الفعاليات والدعوات عبر المواقع الرسمية للشركات المنظمة، وعدم اعتبار وجود شعارات شركات معروفة أو استخدام روابط مختصرة تابعة لخدمات موثوقة دليلاً كافياً على سلامة الدعوة.

وعلى مستوى المؤسسات، تشمل التدابير الوقائية تقييد استخدام المصادقة عبر رموز الأجهزة عندما لا تكون ضرورية، واعتماد وسائل تحقق مقاومة للتصيّد، ومراقبة محاولات تسجيل الدخول غير المعتادة، إلى جانب إلغاء جلسات الدخول ورموز الوصول المشبوهة فور الاشتباه في اختراق الحسابات.

وتكشف الحملات التي رصدتها شركتا «بوش سيكيوريتي» و«كوفينس» عن استغلال متزايد للاهتمام العالمي بتقنيات الذكاء الاصطناعي والفعاليات المرتبطة بها لاستهداف الحسابات المؤسسية، من خلال أساليب تتجاوز سرقة كلمات المرور التقليدية إلى اعتراض عمليات المصادقة والاستيلاء على جلسات تسجيل الدخول، بما يتيح للمهاجمين الوصول إلى الحسابات حتى في ظل وجود طبقات حماية إضافية.