في تطور خطير يسلط الضوء على ثغرات في أنظمة المصادقة الحديثة، كشفت شركة Okta عن حملة تصيّد صوتي (Vishing) تستهدف مستخدمي مايكروسوفت 365 عبر إيهامهم بضرورة تسجيل مفتاح أمني جديد ضمن خدمة Microsoft Entra Passkey. هذه الهجمات، التي يقودها تهديد يُعرف باسم O-UNC-066، تهدف إلى الاستيلاء على الحسابات المؤسسية وتنفيذ عمليات ابتزاز بيانات واسعة النطاق.
خلفية الهجوم وأساليبه
يعتمد المهاجمون على تسجيل نطاقات تحمل كلمة “passkey”، ثم يتواصلون هاتفيًا مع الموظفين المستهدفين لإقناعهم بضرورة إضافة مفتاح جديد. بمجرد استجابة الضحية، يتم توجيهه إلى مجموعة صفحات تصيّد تحاكي بدقة واجهة تسجيل مفاتيح مايكروسوفت، ما يمنح المهاجمين القدرة على تسجيل مفاتيحهم الخاصة داخل حسابات الضحايا. اللافت أن هذه التقنية تستغل ميزة أطلقتها مايكروسوفت مؤخرًا لتشجيع المؤسسات على اعتماد مفاتيح الدخول المقاومة للتصيّد، وهو ما حول التحديث الأمني نفسه إلى أداة خداع.
تفاصيل تقنية للهجوم
يتكون مسار الهجوم من سلسلة صفحات تبدأ بواجهة “/gate” التي تجري فحوصات مضادة للتحليل، ثم صفحة “/identify” لطلب اسم المستخدم، تليها “/password” لجمع كلمة المرور. يتم إرسال البيانات المسروقة إلى لوحة تحكم خاصة بالمهاجم عبر “/backend.php”، حيث يقوم المشغل بإدخالها في صفحة تسجيل الدخول الرسمية لمايكروسوفت. بعد ذلك، يتم توجيه الضحية إلى صفحات متعددة لمحاكاة تحديات المصادقة متعددة العوامل (OTP عبر الرسائل النصية، تطبيقات المصادقة، أو إشعارات الدفع)، ليتم تمرير الرموز الملتقطة إلى المهاجم في الوقت الفعلي. المرحلة الأخيرة تتمثل في صفحة “/passkey/register” التي تطلب من المستخدم إنشاء مفتاح جديد، مع إدخال عبارة استرداد مكونة من 12 كلمة، وهي خطوة تُستخدم كإلهاء بينما يقوم المهاجم بتسجيل مفتاحه الخاص داخل الحساب.
القطاعات المستهدفة والجهات المتورطة
تشير بيانات Okta إلى أن الهجمات ركزت على قطاعات متعددة تشمل الأغذية والمشروبات، التكنولوجيا، الرعاية الصحية، السيارات، البناء، والطيران. كما رُصد ارتباط المجموعة بموقع تسريب بيانات يُعرف باسم Pink منذ أبريل 2026، فيما تتبعت وحدة Palo Alto Networks Unit 42 نفس الكيان تحت اسم CL-CRI-1147، مؤكدة أنه جزء من تجمع سيبراني لامركزي يُعرف بـ The Com، ويضم مجموعات بارزة مثل Scattered Spider و ShinyHunters و LAPSUS$.
دلالات أمنية واستراتيجية المواجهة
تكشف هذه الحملة عن ثغرة خطيرة في وعي المستخدمين بمفهوم مفاتيح الدخول الجديدة، حيث يستغل المهاجمون ضعف المعرفة التقنية لإقناع الضحايا بخطوات تبدو شرعية. ويؤكد الخبراء أن مواجهة هذا النوع من الهجمات تتطلب:
- تعزيز التدريب والتوعية الأمنية حول آليات تسجيل المفاتيح.
- اعتماد أدوات تحليل ديناميكية قادرة على كشف صفحات التصيّد في الوقت الفعلي.
- مراقبة الاتصالات الهاتفية المشبوهة التي تستهدف الموظفين.
- تطبيق سياسات صارمة لمراجعة عمليات تسجيل المفاتيح الجديدة داخل المؤسسات.
إن استغلال المهاجمين لميزات أمنية حديثة مثل Entra Passkey يبرز التحدي المستمر في موازنة الابتكار الأمني مع وعي المستخدم، ويؤكد أن أي تحديث تقني قد يتحول إلى سلاح بيد الخصوم إذا لم يُرافق بجهود توعوية ورقابية متقدمة.
