حملات تصيد متقدمة تهدد بيانات 115 مليون بطاقة دفع أمريكية

كشفت حملات تصيد احتيالي متطورة، يُعتقد أن مجموعات إجرامية صينية تديرها، عن تهديد خطير قد يكون طال أكثر من 115 مليون بطاقة دفع في الولايات المتحدة خلال عام واحد. وحذر خبراء الأمن السيبراني من أن هذه العمليات تمثل تطوراً مقلقاً يجمع بين الهندسة الاجتماعية، وتقنيات تجاوز المصادقة متعددة العوامل في الوقت الفعلي، والبنية التحتية للتصيد الاحتيالي المصممة للتوسع على نطاق واسع.

منصات التصيد الاحتيالي كخدمة (PhaaS)

وقد كشف باحثون في SecAlliance أن شخصية غامضة تُعرف باسم "لاو وانغ" هي العقل المدبر وراء إنشاء منصة تُستخدم الآن على نطاق واسع لجمع بيانات الاعتماد عبر الهواتف المحمولة. هذه المنصات، التي تُعرف بـ "التصيد الاحتيالي كخدمة" (PhaaS)، هي نماذج أعمال إجرامية تتيح للمهاجمين استئجار بنية تحتية وأدوات تصيد جاهزة، مما يسهل عليهم شن هجمات معقدة دون الحاجة لخبرة فنية متقدمة. يتم توزيع مجموعات التصيد هذه عبر قنوات على تليجرام مثل "dy-tongbu"، مما ساهم في انتشارها السريع بين المهاجمين.

صُممت هذه الأدوات بعناية لتجنب الكشف من قبل الباحثين الأمنيين والمنصات التقنية، حيث تستخدم تقنيات متقدمة مثل التحديد الجغرافي الدقيق، وحجب عناوين IP المشبوهة، واستهداف الأجهزة المحمولة بشكل حصري. يمنح هذا التحكم الدقيق المهاجمين القدرة على عرض صفحات التصيد الاحتيالي للضحايا المستهدفين فقط، مع إخفائها عن أي حركة مرور قد تكشف عن نشاطهم الإجرامي.

آلية الهجمات وتجاوز المصادقة متعددة العوامل

تبدأ الهجمات عادةً برسائل نصية قصيرة (SMS) أو عبر iMessage أو RCS، وتعتمد على سيناريوهات شائعة ومقنعة مثل تنبيهات دفع الرسوم، أو تحديثات تسليم الطرود، لدفع الضحايا إلى النقر على روابط تقودهم إلى صفحات تحقق مزيفة. هناك، يُطلب من المستخدمين إدخال معلومات شخصية حساسة، تليها بيانات بطاقات الدفع الخاصة بهم. غالبًا ما تكون هذه المواقع مصممة خصيصًا للأجهزة المحمولة، لتتوافق مع الأجهزة التي تستقبل رموز المرور لمرة واحدة (OTP)، مما يتيح للمهاجمين اعتراض هذه الرموز وتجاوز المصادقة متعددة العوامل (MFA) في الوقت الفعلي.

بعد الحصول على بيانات البطاقة ورمز OTP، يتم إدخالها فورًا في المحافظ الرقمية مثل Apple Pay أو Google Pay على أجهزة يتحكم بها المهاجمون. تتيح هذه الخطوة لهم تجاوز إجراءات التحقق الإضافية التي تُطلب عادةً في المعاملات التي لا تتطلب وجود بطاقة فعلية (Card-Not-Present). وقد وصف الباحثون هذا الأسلوب بأنه تحول "جوهري" في منهجيات الاحتيال على بطاقات الدفع، حيث يمكّن المهاجمين من استخدام البيانات المسروقة في المتاجر الفعلية، وعبر الإنترنت، وحتى في سحب الأموال من أجهزة الصراف الآلي دون الحاجة إلى البطاقة البلاستيكية.

تطور استراتيجيات الاحتيال وتحقيق الدخل

وقد لوحظ أن الشبكات الإجرامية لم تعد تقتصر على حملات التصيد عبر الرسائل النصية، بل توسعت لتشمل أساليب أكثر خداعًا. فهناك أدلة متزايدة على استخدام مواقع تجارة إلكترونية مزيفة ومنصات وساطة وهمية لجمع بيانات الاعتماد من مستخدمين غير مدركين يظنون أنهم يشاركون في معاملات حقيقية. وقد تطورت هذه العمليات لتشمل طبقات متعددة لتحقيق الدخل، بما في ذلك بيع الأجهزة المحملة مسبقًا بالبرمجيات الخبيثة، وإنشاء حسابات تجار مزيفة، واستخدام الإعلانات المدفوعة على منصات كبرى مثل جوجل وميتا للوصول إلى عدد أكبر من الضحايا.

وبينما تسعى جهات إصدار البطاقات والبنوك إلى إيجاد طرق فعالة للدفاع ضد هذه التهديدات المتطورة، فإن حلول الأمان القياسية، مثل حماية جدران الحماية وفلاتر الرسائل النصية، قد توفر حماية محدودة فقط نظرًا للدقة العالية والاستهداف المخصص الذي تتميز به هذه الهجمات.

كيف تحمي نفسك من هذه الهجمات؟

نظرًا للطبيعة السرية لهذه الحملات، لا توجد قاعدة بيانات عامة وموحدة تسجل جميع البطاقات المتأثرة. ومع ذلك، يمكن للأفراد اتخاذ الخطوات التالية لتقييم ما إذا كانوا قد تعرضوا للاختراق وحماية أنفسهم:

• مراجعة المعاملات الأخيرة: تحقق من كشوف حساباتك البنكية وبطاقات الائتمان بانتظام بحثًا عن أي معاملات لم تقم بها.
• البحث عن نشاط غير متوقع في المحفظة الرقمية: راقب أي إضافات لبطاقاتك في محافظ مثل Apple Pay أو Google Pay لم تقم بها بنفسك.
• مراقبة طلبات التحقق: كن حذرًا من أي رسائل تطلب منك رموز تحقق أو كلمات مرور لمرة واحدة (OTP) لم تبادر بطلبها.
• التحقق من خدمات الإخطار بالاختراق: استخدم خدمات الإخطار بالاختراق، وهي مواقع متخصصة تتيح لك معرفة ما إذا كان بريدك الإلكتروني أو بياناتك الشخصية قد ظهرت في تسريبات بيانات معروفة.
• تفعيل تنبيهات المعاملات الفورية: قم بتفعيل الإشعارات الفورية عبر الرسائل النصية أو البريد الإلكتروني لكل معاملة تتم باستخدام بطاقاتك.

للأسف، قد يظل ملايين المستخدمين غير مدركين أن بياناتهم قد تم استغلالها في عمليات سرقة الهوية على نطاق واسع واحتيال مالي، والذي لم يعد يعتمد فقط على الاختراقات التقليدية بل تطور ليشمل أساليب أكثر خداعًا وتعقيدًا.