يكشف بحث CTM360 كيف تطور التصيد الاحتيالي للتأمين إلى سرقة الحسابات في الوقت الفعلي

لسنوات، اتبعت حملات التصيد الاحتيالي التي تستهدف المؤسسات المالية نفس قواعد اللعبة. تم خداع الضحايا لإدخال أسماء المستخدمين وكلمات المرور، وقام المهاجمون بجمع بيانات الاعتماد، وتم اختراق الحسابات لاحقًا عندما سنحت الفرصة.

هذا النموذج يتغير.

تكشف التحقيقات الأخيرة في عمليات التصيد الاحتيالي التي تركز على التأمين عن نهج أكثر إلحاحًا. وبدلاً من جمع بيانات الاعتماد لاستخدامها لاحقًا، يقوم المهاجمون الآن بمزامنة نشاطهم مع الضحايا في الوقت الفعلي، والمصادقة على بوابات التأمين المشروعة عندما يكمل الضحايا عملية تسجيل الدخول دون علمهم. يمكن أن يتكشف الهجوم بأكمله خلال جلسة تصفح واحدة.

يسلط هذا التحول الضوء على اتجاه أوسع عبر مشهد الأمن السيبراني. نظرًا لأن حملات التصيد الاحتيالي أصبحت أكثر تعقيدًا، فإن مجرد تحديد مواقع الويب الضارة ونطاقات انتحال الهوية لم يعد كافيًا. تحتاج المؤسسات بشكل متزايد إلى فهم البنية التحتية والتقنيات وسير العمل التشغيلي وراء هذه الهجمات.

لقد أصبح التأمين هدفًا جذابًا بشكل متزايد

قام مقدمو خدمات التأمين بتوسيع خدماتهم عبر الإنترنت بسرعة. يمكن للعملاء الآن شراء السياسات، وتجديد التغطية، وتقديم المطالبات، وإدارة الحسابات، وتحديث المعلومات الشخصية، وإكمال المدفوعات بالكامل من خلال البوابات الرقمية.

وفي حين أن هذا يعمل على تحسين تجربة العملاء، فإنه يخلق أيضًا بيئة جذابة للجهات الفاعلة في مجال التهديد.

على عكس الهجمات المصرفية التقليدية التي تستهدف المعاملات المالية في المقام الأول، غالبًا ما تحتوي حسابات التأمين المخترقة على معلومات شخصية واسعة النطاق ووثائق الهوية وسجلات السياسات وطرق الدفع وغيرها من بيانات العملاء الحساسة التي يمكن أن تدعم الاحتيال بما يتجاوز التسوية الأولية.

أثناء التحقيق، تم تحديد عملية تصيد منسقة تستهدف مقدمي خدمات تأمين متعددين في عدة مناطق. وبدلاً من انتحال شخصية منظمة واحدة، أعادت الحملة استخدام نفس البنية التحتية التشغيلية عبر العديد من العلامات التجارية للتأمين، مع تكييف اللغة والعلامات التجارية والمحتوى لتتناسب مع الأسواق المحلية. ويبدو أن المملكة العربية السعودية هي الهدف الرئيسي، في حين لوحظ نشاط إضافي في جميع أنحاء أوروبا والولايات المتحدة والهند.

أصبحت إعلانات Google بمثابة ناقل الهجوم الأولي

كانت إحدى الملاحظات الأكثر بروزًا هي الاستخدام المتسق لإعلانات Google المدعومة كآلية التسليم الأساسية.

بدلاً من الاعتماد على رسائل البريد الإلكتروني التصيدية أو حملات الرسائل النصية القصيرة، يقوم المهاجمون بشراء الإعلانات التي تظهر عندما يبحث المستخدمون عن عروض أسعار التأمين أو التجديدات أو مقارنات الأسعار. روجت الإعلانات لعروض مثل “مقارنة عروض التأمين على السيارات” أو “أرخص تأمين لطرف ثالث”، مما شجع المستخدمين على النقر على ما يبدو أنه خدمات عرض أسعار مشروعة.

بعد النقر على الإعلان، تتم إعادة توجيه الضحايا إلى مواقع التصيد الاحتيالي المصممة لتشبه مقدمي خدمات التأمين الحقيقيين. قامت هذه المواقع بتكرار العلامات التجارية وواجهات المستخدم وسير عمل عروض الأسعار وبوابات العملاء بمستوى من الواقعية يهدف إلى تقليل الشك خلال التفاعل.

وكانت البنية التحتية الداعمة لهذه الحملات متاحة أيضًا. بدلاً من الاعتماد على استضافة ضارة مخصصة، استفاد المشغلون في كثير من الأحيان منشئي مواقع الويب الشرعية ومنصات الاستضافة المجانية مثل GitHub Pages وNetlify وHostinger وWix وLovable وغيرها من الخدمات السحابية. أتاحت النطاقات العشوائية التي لا تشبه علامات التأمين التجارية سوى القليل أو لا تشبهها على الإطلاق، السماح للحملات بالتناوب بسرعة مع تقليل فعالية جهود مراقبة العلامات التجارية التقليدية.

لقد تطور التصيد الاحتيالي إلى اختطاف الحساب في الوقت الفعلي

تُستخدم حملات التصيد الاحتيالي منذ فترة طويلة لسرقة المعلومات الحساسة، بما في ذلك المعلومات الشخصية والتفاصيل المالية وبيانات بطاقة الدفع وسجلات التأمين وبيانات اعتماد الحساب. وفي العديد من الحالات، كان الهدف هو جمع أكبر قدر ممكن من المعلومات واستغلالها لاحقًا من خلال الاستيلاء على الحساب أو الاحتيال في الهوية أو إساءة الاستخدام المالي.

تمثل حملات التصيد التأميني الحديثة تطورًا كبيرًا لهذا النموذج. وبدلاً من العمل كصفحات ثابتة لجمع البيانات، تتفاعل بوابات التصيد الاحتيالي هذه بشكل نشط مع الضحايا طوال عملية المصادقة. وعندما يقدم الضحايا معلوماتهم، يستخدم المهاجمون البيانات المجمعة في الوقت نفسه للتفاعل مع بوابة التأمين الشرعية في الوقت الفعلي، مما يحول صفحة التصيد الاحتيالي إلى وسيط مباشر بين الضحية والخدمة الحقيقية.

يسمح هذا النهج للمهاجمين بالتغلب على آليات المصادقة التي من شأنها أن تحد تقليديًا من فائدة بيانات الاعتماد المسروقة. عندما يرسل مزود التأمين الشرعي كلمة مرور لمرة واحدة (OTP) أو أي اختبار تحقق آخر، تطالب صفحة التصيد الاحتيالي الضحية على الفور بإدخال نفس الرمز تحت ستار التحقق الروتيني من الهوية. يتم بعد ذلك ترحيل كلمة المرور لمرة واحدة (OTP) المقدمة إلى البوابة الشرعية قبل انتهاء صلاحيتها، مما يمكّن المهاجمين من إكمال عملية المصادقة بينما تظل الضحية غير مدركة.

بدلاً من مجرد جمع المعلومات لاستخدامها في المستقبل، تقوم هذه الحملات بمزامنة كل مرحلة من عملية تسجيل الدخول، مما يسمح للمهاجمين بالتحقق من صحة بيانات الاعتماد، وتلبية متطلبات المصادقة متعددة العوامل، وإنشاء جلسات مصادق عليها في الوقت الفعلي. والنتيجة هي شكل أكثر فعالية من التصيد الاحتيالي الذي يحول ما كان في السابق عملية جمع البيانات إلى عملية اختطاف نشطة للحساب، مما يقلل بشكل كبير من فرصة الضحايا أو المدافعين عن اكتشاف الهجوم وإيقافه قبل الوصول إلى الوصول.

تعمل مجموعات التصيد الاحتيالي الحديثة مثل المنصات التشغيلية

وكشف تحليل البنية التحتية للتصيد الاحتيالي أن هذه الحملات مدعومة بأكثر من مجرد صفحات التصيد الثابتة.

أثناء التحقيق، حددت CTM360 مجموعة أدوات تصيد غير موثقة سابقًا وأطلقت عليها اسمًا مجموعة التأمين OTP. تم تصميم المجموعة خصيصًا لعمليات التصيد الاحتيالي المتعلقة بالتأمين، وتوفير إدارة الجلسة المباشرة، وجمع البيانات في الوقت الفعلي، وإدارة الواجهة الخلفية، وطرق متعددة لاستخلاص البيانات.

على عكس مجموعات التصيد الاحتيالي القديمة التي كانت ترسل ببساطة بيانات الاعتماد التي تم التقاطها عبر البريد الإلكتروني، يسمح إطار العمل هذا للمشغلين بإدارة كل جلسة ضحية بشكل فعال.

وشملت القدرات الملحوظة:

• مراقبة الضحايا في الوقت الحقيقي
• لوحات المعلومات الإدارية الخلفية
• سير عمل الموافقة اليدوية
• تتبع الجلسة
• تكاملات Telegram Bot
• اتصال API الخلفي المباشر
• التعامل المباشر مع OTP

اعتمدت بعض المتغيرات على Telegram Bot APIs لتلقي عمليات إرسال الضحايا المنظمة على الفور، بينما نقل البعض الآخر المعلومات مباشرة إلى خوادم الواجهة الخلفية التي يتحكم فيها المهاجم. لاحظ الباحثون أيضًا واجهات خلفية قادرة على طلب عمليات إرسال OTP إضافية عند فشل المصادقة، مما يسمح للمشغلين بمواصلة محاولة الوصول إلى الحساب قبل انتهاء صلاحية رموز المصادقة.

توضح هذه القدرات كيف تستمر مجموعات التصيد الاحتيالي في التطور من جامعي بيانات الاعتماد البسيطة إلى منصات هجوم تفاعلية مصممة لتسوية الحسابات المباشرة.

البنية التحتية يمكن أن تكشف عن العملية برمتها

أحد الجوانب الأكثر قيمة لذكاء التهديدات السيبرانية هو القدرة على تجاوز صفحات التصيد الفردية وفهم النظام البيئي الأوسع للحملة.

أثناء التحقيق، حددت CTM360 موارد الواجهة الخلفية التي يمكن الوصول إليها بشكل عام والمرتبطة بالبنية التحتية للتصيد الاحتيالي. كشف تحليل الأرشيفات المكشوفة عن المكونات الإدارية، وشفرة المصدر الخلفية، وقواعد بيانات SQLite، والسجلات التشغيلية، والبنية التحتية الداعمة التي قدمت نظرة ثاقبة حول كيفية عمل إطار التصيد الاحتيالي.

يوضح التحقيق سبب توسع استخبارات التهديدات الحديثة إلى ما هو أبعد من تحديد النطاقات الضارة أو مواقع التصيد الاحتيالي. ومن خلال تحليل البنية التحتية الأساسية والأدوات ومكونات الواجهة الخلفية وسير عمل المهاجم، يمكن للمدافعين اكتساب فهم أعمق بكثير لكيفية تطوير الحملات وإدارتها وتنفيذها.

بدلا من أن نسأل “أين صفحة التصيد؟” ويتساءل المحققون “كيف تعمل الحملة؟”

ويعكس هذا التحول أحد أهم التغييرات في استخبارات التهديدات السيبرانية الحديثة، حيث يتجاوز الكشف عن التهديدات الفردية نحو فهم البنية التحتية للخصم وأدواته ومنهجيته التشغيلية.

لماذا يحتاج المدافعون إلى نهج مختلف؟

إن السمة المميزة لهذه الحملة ليست مجرد سرقة بيانات الاعتماد؛ إنها تسوية وقت الجلسة.

تفترض الاستجابة التقليدية للحوادث وجود تأخير بين سرقة بيانات الاعتماد وإساءة استخدام الحساب. ولم يعد هذا الافتراض قائما دائما.

في هذه العمليات، يتم جمع بيانات الاعتماد واعتراض OTP والاستيلاء على الحساب كجزء من سير عمل واحد مستمر. بحلول الوقت الذي تدرك فيه الضحية أن هناك خطأ ما، قد يكون المهاجم قد قام بالفعل بالمصادقة بنجاح وتمكن من الوصول إلى الحساب الشرعي.

بالنسبة للمدافعين، هذا يعني أن الكشف لا يمكن أن يعتمد فقط على تحديد نطاقات التصيد الاحتيالي بعد ظهورها عبر الإنترنت.

يجب على المؤسسات مراقبة الإعلانات المدفوعة التي تسيء استخدام علاماتها التجارية، والنطاقات المشابهة المسجلة حديثًا، والبنية التحتية للتصيد الاحتيالي المستضافة على السحابة، وأنماط المصادقة التي تشير إلى اعتراض OTP في الوقت الفعلي.

ومن المهم بنفس القدر فهم النظام البيئي للمهاجم وراء هذه الحملات بدلاً من التعامل مع كل موقع تصيد على أنه حادثة معزولة.

النظر إلى ما هو أبعد من صفحة التصيد الاحتيالي

تقدم حملات التصيد التأميني مثالاً واضحًا على كيفية استمرار تطور التهديدات الخارجية.

يقوم المهاجمون بتحسين السرعة والأتمتة والوصول الفوري بدلاً من الاستغلال المؤجل. أصبحت البنية التحتية قابلة للتصرف بشكل متزايد، وأصبحت مجموعات التصيد الاحتيالي منصات تشغيلية، ويتم الآن اختراق الحساب أثناء الجلسة النشطة للضحية وليس بعدها.

وبالنسبة للمدافعين، فإن هذا يعزز حقيقة مهمة. لم يعد تحديد مواقع الويب الضارة وحده كافيًا. تحتاج فرق الأمان بشكل متزايد إلى الذكاء السياقي الذي يربط البنية التحتية وسير عمل المهاجم والأدوات وسلوك الحملة لفهم كيفية تطور التهديدات وأين يمكن تعطيلها قبل أن تصل إلى العملاء.

ويعكس هذا تحولًا أوسع يحدث في صناعة الأمن السيبراني أيضًا. ركزت الحماية من المخاطر الرقمية (DRP) تقليديًا على تحديد التهديدات الخارجية مثل مواقع التصيد الاحتيالي وانتحال هوية العلامة التجارية والنطاقات الضارة. اليوم، تحتاج المؤسسات بشكل متزايد إلى معلومات حول التهديدات السيبرانية (CTI) التي تشرح كيفية عمل الحملات، وكيفية اتصال البنية التحتية للمهاجم، وكيفية تطور مجموعات التصيد الاحتيالي، وكيفية تنفيذ الخصوم لعملياتهم وتكييفها.

وقد خضعت CTM360 لهذا التطور نفسه، حيث توسعت من منصة الحماية من المخاطر الرقمية إلى منصة أوسع لاستخبارات التهديدات السيبرانية. في وقت سابق من هذا العام، تم الاعتراف بشركة CTM360 كأحد الموردين المدرجين في تقرير Gartner الافتتاحي Magic Quadrant™ لتقنيات ذكاء التهديدات السيبرانية.

وبينما يركز هذا التحقيق على حملة التصيد الاحتيالي في مجال التأمين، فإنه يوضح أيضًا سبب حاجة برامج الأمان الحديثة إلى معلومات استخباراتية تتجاوز تحديد المؤشرات الفردية لفهم عمليات الخصم الكاملة.