على مدى سنوات، اتبعت حملات التصيّد المالي نمطاً تقليدياً يقوم على سرقة بيانات الدخول واستخدامها لاحقاً. لكن الأبحاث الأخيرة التي أجرتها CTM360 تكشف عن تحول جذري في هذا الأسلوب، حيث بات المهاجمون يستغلون بيانات الضحايا في الوقت الفعلي أثناء عملية تسجيل الدخول، ليتم الاستيلاء على الحساب خلال جلسة التصفح نفسها. هذا التطور يعكس اتجاهاً أوسع في مشهد الأمن السيبراني، حيث لم يعد مجرد رصد المواقع المزيفة كافياً، بل أصبح فهم البنية التحتية وأساليب التشغيل ضرورة ملحة.
استهداف شركات التأمين عبر الإعلانات الممولة
أصبحت شركات التأمين هدفاً مغرياً نظراً لتوسع خدماتها الرقمية التي تشمل شراء السياسات وتجديدها وتقديم المطالبات وإدارة الحسابات. بخلاف البنوك، تحتوي حسابات التأمين على بيانات شخصية ووثائق هوية وسجلات مالية يمكن استغلالها في عمليات احتيال واسعة. التحقيق أظهر أن المهاجمين يعتمدون على إعلانات جوجل الممولة كوسيلة رئيسية لجذب الضحايا، حيث تظهر إعلانات مثل “أرخص تأمين طرف ثالث” أو “قارن عروض التأمين” لتوجيه المستخدمين إلى مواقع مزيفة تحاكي بدقة واجهات شركات التأمين الأصلية. اللافت أن البنية التحتية لهذه الحملات تعتمد على منصات استضافة شرعية مثل GitHub Pages وNetlify وWix، ما يجعل تتبعها أكثر صعوبة.
من جمع البيانات إلى اختراق الجلسات
التحول الأبرز يتمثل في أن صفحات التصيّد لم تعد مجرد أدوات لجمع البيانات، بل أصبحت وسيطاً مباشراً بين الضحية والخدمة الأصلية. عند إدخال بيانات الدخول، يقوم المهاجم باستخدامها فوراً على البوابة الحقيقية، وعندما يُطلب رمز تحقق (OTP)، يُعاد توجيه الضحية لإدخاله في الصفحة المزيفة، ليتم تمريره مباشرة قبل انتهاء صلاحيته. هذا الأسلوب يمكّن المهاجمين من تجاوز أنظمة التحقق متعددة العوامل وتحقيق دخول كامل للحساب في الوقت نفسه، وهو ما يقلل فرص اكتشاف الهجوم أو منعه.
أدوات متطورة تدير العملية
أثناء التحقيق، تم رصد مجموعة أدوات جديدة أطلق عليها اسم InsureOTP Kit، وهي مصممة خصيصاً لحملات التصيّد في قطاع التأمين. هذه المجموعة توفر إدارة مباشرة للجلسات، لوحات تحكم خلفية، مراقبة فورية للضحايا، تكامل مع بوتات تيليغرام، وإمكانية طلب رموز تحقق إضافية عند فشل المحاولة الأولى. هذه القدرات تعكس تطور أدوات التصيّد من مجرد جامعات بيانات إلى منصات تشغيلية متكاملة لإدارة الهجمات في الزمن الحقيقي.
دلالات أمنية واستراتيجيات دفاعية
التحقيق أظهر أن فهم البنية التحتية والهياكل التشغيلية للحملات أهم من مجرد رصد الصفحات المزيفة. بالنسبة للمدافعين، لم يعد يكفي مراقبة النطاقات الجديدة، بل يجب متابعة الإعلانات الممولة، أنماط المصادقة المشبوهة، والبنية السحابية المؤقتة التي يعتمد عليها المهاجمون. هذا التحول يعكس أيضاً تطور مفهوم الاستخبارات السيبرانية، حيث لم يعد التركيز على مؤشرات فردية، بل على فهم شامل لآليات الخصوم وكيفية إدارة حملاتهم.
