تشهد الساحة السيبرانية في الولايات المتحدة وأوروبا حملة متطورة أطلق عليها اسم EvilTokens، تستهدف المؤسسات عبر تقنية جديدة تُعرف بـ”التصيّد الشبحي” (Ghost Phishing). هذه التقنية الماكرة تُخفي الصفحة الخبيثة داخل المتصفح، فلا تظهر إلا بعد فك تشفيرها، ما يجعل أدوات الفحص التقليدية لعناوين الروابط عاجزة عن كشفها في الوقت المناسب. النتيجة: حسابات Microsoft 365، البيانات الحساسة، ووقت الاستجابة الأمني جميعها تصبح في دائرة الخطر.
طبيعة الهجوم وآلياته
الهجوم يبدأ برسالة بريد إلكتروني تبدو آمنة، لكن عند فتح الرابط في المتصفح، يُفك تشفير الصفحة باستخدام AES-GCM لتظهر محتويات التصيّد داخل الـDOM. الأخطر أن المهاجمين لا يحتاجون إلى سرقة كلمة المرور مباشرة، بل يستغلون تقنية Microsoft Device Code Phishing لإقناع الضحية بإتمام عملية تسجيل دخول شرعية، مما يمنحهم وصولاً غير مصرح به إلى الحسابات.
هذا الأسلوب يخلق فجوة في الرؤية الأمنية، حيث تلتقط أنظمة الفحص الشبكي الاستجابة الأولية دون أن ترى ما يواجهه الموظف فعلياً على الشاشة. النتيجة هي:
- اختراق حسابات وتأخير في احتواء الهجوم.
- زيادة الضغط على فرق التحليل الأمني.
- تكاليف تشغيلية أعلى نتيجة التحقيقات المطولة.
- أدلة غير مكتملة تعيق حجب البنية التحتية المرتبطة.
القطاعات الأكثر استهدافاً
وفقاً لتقارير ANY.RUN Threat Intelligence، تركزت أنشطة EvilTokens في قطاعات التكنولوجيا، التصنيع، التعليم، البنوك، الخدمات المالية، والاستشارات. الأرقام تكشف أن نسبة التعرض للتصيّد في عام 2026 بلغت:
- 75.6% في قطاع الاستشارات.
- 72.8% في الخدمات المالية.
- 71.9% في التصنيع.
- 67.9% في التكنولوجيا.
- 66.7% في البنوك.
- 66.1% لدى مزوّدي خدمات الأمن المُدار (MSSPs).
هذه النسب المرتفعة تعني أن اختراق حساب واحد في Microsoft 365 قد يتحول سريعاً إلى حادثة مؤسسية واسعة النطاق، تشمل احتيال البريد الإلكتروني، تسريب البيانات، وتكاليف استجابة باهظة.
دور الـ Sandbox في كشف الهجوم
التحليل داخل ANY.RUN Interactive Sandbox كشف تفاصيل دقيقة للهجوم، حيث تمكن الباحثون من رؤية الصفحة بعد فك التشفير ومتابعة تدفق البيانات عبر طلبات HTTP. هذه الرؤية المتقدمة تتيح:
- لقطات DOM تُظهر التغيرات الخفية في الصفحة.
- تتبع الاتصالات بين المتصفح والخوادم الخبيثة.
- كشف الوجهات النهائية وعناوين البنية التحتية.
- استخراج المؤشرات مثل النطاقات والهاشات لدعم عمليات الصيد الرقمي.
هذه الأدلة تُسهّل انتقال التحقيق من فرق المستوى الأول إلى المستوى الثاني، وتقلل من العمل المكرر، وتسرّع عملية الاحتواء.
التحدي أمام فرق الأمن
تكشف حملة EvilTokens حقيقة مزعجة: البريد الإلكتروني قد يمر عبر الفحص دون مشاكل، بينما الهجوم الحقيقي ينتظر داخل المتصفح. غياب الرؤية على مستوى المتصفح يجبر مراكز العمليات الأمنية (SOC) على اتخاذ قرارات مصيرية بأدلة ناقصة، ما يمنح المهاجمين وقتاً إضافياً للتوسع والسيطرة.
الحل يكمن في تعزيز الرؤية عبر أدوات تحليل متقدمة، تقلّص نافذة التعرض، وتمنح فرق الأمن القدرة على احتواء الهجمات قبل أن تتحول إلى كوارث مؤسسية.
