كشف باحثون في الأمن السيبراني عن منصة تصيد احتيالي متطورة يقودها مهاجمون بشكل مباشر، تنتحل هوية خدمات وإعلانات مرتبطة بأشهر تطبيقات الذكاء الاصطناعي، بما في ذلك ChatGPT وGoogle Gemini وClaude وPerplexity وMuse وManus، بهدف سرقة بيانات تسجيل الدخول ورموز المصادقة متعددة العوامل MFA من المستخدمين والمؤسسات.
وتعكس الحملة تطورًا ملحوظًا في أساليب الهندسة الاجتماعية الرقمية، إذ لم يعد المهاجمون يعتمدون فقط على رسائل البريد الإلكتروني المزيفة أو المواقع المقلدة التقليدية، بل أصبحوا يوظفون الزخم الكبير المحيط بمنتجات الذكاء الاصطناعي لإنشاء منصات تبدو احترافية ومقنعة للغاية، ما يزيد من احتمالات وقوع الضحايا في الفخ.
كيف تستغل المواقع المزيفة شعبية ChatGPT وGemini؟
بحسب تقرير صادر عن شركة Island الأمنية، صُممت المنصة الاحتيالية لتبدو كأنها خدمات رسمية لإدارة الحملات الإعلانية وتحسين الأداء التسويقي وربط الحسابات التجارية الخاصة بمنصات الذكاء الاصطناعي الشهيرة.
وتدّعي هذه المواقع تقديم خدمات مثل تحسين الحملات التسويقية، ومراجعة الإنفاق الإعلاني، وإدارة الحسابات التجارية وربطها بالمنصات المختلفة، وهي خدمات تلقى اهتمامًا متزايدًا من الشركات ووكالات التسويق في عصر الذكاء الاصطناعي.
غير أن الهدف الحقيقي من هذه المنصات لا يتمثل في تقديم أي خدمات فعلية، بل في جمع بيانات اعتماد المستخدمين وسرقة كلمات المرور وأكواد المصادقة متعددة العوامل.
وأشار الباحثون إلى أن جميع هذه المواقع ترتكز على زر رئيسي يحمل اسم “Connect”، وبمجرد الضغط عليه تبدأ عملية الاحتيال.
تقنية “المتصفح داخل المتصفح” تخدع حتى المستخدمين المحترفين
تعتمد الحملة على أسلوب متطور يُعرف باسم Browser-in-the-Browser أو BitB، وهي تقنية تصيد متقدمة تهدف إلى إقناع الضحية بأنه يتفاعل مع نافذة تسجيل دخول حقيقية.
فعندما يضغط المستخدم على زر الاتصال، تظهر نافذة تبدو وكأنها صفحة تسجيل دخول أصلية لخدمات Google أو Meta أو TikTok أو Okta.
وتحتوي النافذة المزيفة على شريط عنوان يوحي بأن المستخدم يتصفح نطاقات موثوقة مثل accounts.google.com أو بوابات تسجيل دخول الشركات، بينما يكون المستخدم في الواقع لا يزال داخل موقع التصيد نفسه.
ويؤدي ذلك إلى منح الضحية إحساسًا زائفًا بالأمان والثقة، خاصة أن التصميم البصري يحاكي بدقة كبيرة واجهات تسجيل الدخول الأصلية المستخدمة من قبل الشركات الكبرى.
وبينما يعتقد المستخدم أنه يقوم بإدخال بياناته في موقع شرعي، تُرسل جميع المعلومات مباشرة إلى المهاجمين.
مراقبة الضحايا لحظة بلحظة
أحد الجوانب الأكثر خطورة في هذه الحملة يتمثل في أنها ليست عملية احتيال آلية بالكامل، بل تُدار من قبل مهاجمين حقيقيين يتابعون الضحية في الوقت الفعلي.
وأوضح الباحثون أن المنصة تحتفظ بكل محاولات إدخال كلمات المرور، كما تقوم ببصمة الجهاز Fingerprinting لجمع معلومات مفصلة عن بيئة المستخدم.
وبعد ذلك، يتم تبادل البيانات والأوامر بين الخادم والمهاجم بشكل مباشر، ما يسمح للمشغل البشري بمتابعة خطوات الضحية واتخاذ القرار المناسب في كل مرحلة.
فإذا نجحت سرقة كلمة المرور، يستطيع المهاجم توجيه الموقع المزيف لطلب رمز التحقق عبر الرسائل النصية أو تطبيقات المصادقة أو إشعارات الموافقة الخاصة بجوجل أو أنظمة Okta.
كما يمكنه إيهام الضحية بأن الرمز الذي أدخله غير صحيح وإجباره على محاولة جديدة، أو إبقاؤه في صفحة انتظار حتى يتمكن من استخدام البيانات المسروقة لتسجيل الدخول الفعلي إلى الحساب المستهدف.
لكل منصة قصة مقنعة لجذب الضحية
أظهرت التحقيقات أن المهاجمين طوروا صفحات مختلفة لكل علامة تجارية بهدف زيادة فرص النجاح.
فعلى سبيل المثال، تعد الصفحات المنتحلة لاسم ChatGPT العملاء بتقارير ذكية خاصة بإعلانات Google، بينما تزعم صفحات Gemini تقديم خدمات إدارة حسابات المعلنين والعملاء المرتبطين بها.
أما الصفحات المنتحلة لاسم Claude فتقدم نفسها كبوابات إعلانية متخصصة، في حين تروج صفحات Perplexity لخدمات تخطيط الحملات وتحليل الإنفاق التسويقي، بينما تدعي صفحات Manus وMuse توفير تكاملات حصرية مع منصات الإعلان التابعة لشركات التكنولوجيا الكبرى.
ويؤكد الباحثون أن نجاح هذه الحملة يعتمد على استغلال الثقة المتنامية في منتجات الذكاء الاصطناعي، ودمجها برسائل دعوة احترافية تصل إلى الموظفين ومديري الحسابات الإعلانية عبر البريد الإلكتروني.
الحسابات الإعلانية أصبحت هدفًا ثمينًا للقراصنة
تشير الأدلة إلى أن الحملة تستهدف أساسًا موظفي الوكالات التسويقية ومديري الحسابات الإعلانية والمشرفين على حسابات Google Ads وMeta Ads.
ويكمن الدافع وراء ذلك في القيمة الكبيرة التي تمثلها هذه الحسابات داخل الأسواق الإجرامية الإلكترونية.
فعندما ينجح المهاجم في السيطرة على حساب إعلاني موثوق يتمتع بسجل إنفاق نظيف وسمعة جيدة، يمكنه استخدامه لنشر حملاته الاحتيالية الخاصة أو بيعه في المنتديات السرية مقابل مبالغ مالية مرتفعة.
وأشارت تقارير أمنية سابقة إلى أن سرقة الحسابات الإعلانية تحولت خلال السنوات الأخيرة إلى نشاط إجرامي واسع النطاق، تدعمه برمجيات خبيثة متخصصة مثل VietCredCare وDuckTail وNodeStealer وPXA Stealer.
وغالبًا ما يعمد المهاجمون بعد الاستيلاء على الحساب إلى إضافة مدراء جدد يسيطرون على الأصول الرقمية بالكامل، ثم تقليص صلاحيات المالك الأصلي، ما يجعل استعادة الحساب عملية معقدة قد تستغرق أسابيع أو حتى أشهر.
بنية تحتية موحدة تكشف حجم العملية
توصل الباحثون إلى أن المواقع الاحتيالية المكتشفة ليست حملات منفصلة، بل جزء من منصة تصيد واسعة النطاق تستخدم البنية التقنية نفسها.
فجميع المواقع تعتمد على تقنيات Next.js وSocket.IO وتتواصل مع نقاط تشغيل وخوادم متشابهة، كما كشفت التحقيقات أن المهاجمين تسببوا سابقًا في تسريب أجزاء من الشيفرة المصدرية الخاصة بالمنصة عبر مستودعات GitHub أُعدت بشكل خاطئ.
كما تبين أن منظومة التصيد لا تقتصر على استهداف مستخدمي الذكاء الاصطناعي، بل تشمل أيضًا حملات أخرى تتعلق باسترداد أموال الإعلانات، وعمليات توظيف مزيفة تحمل أسماء شركات عالمية مثل Tesla وLouis Vuitton وNike وAdecco.
وحذر الباحثون من أن المهاجمين باتوا يستغلون الثقة التي يمنحها المستخدمون للمنصات التقنية الكبرى، دون الحاجة إلى استغلال أي ثغرات فعلية في ChatGPT أو Google أو غيرها من الخدمات المعروفة، بل من خلال المزج بين المحتوى الاحتيالي المدروس والإعلانات المدفوعة والهندسة الاجتماعية المتقنة للوصول إلى الضحايا.
