أصدر مكتب التحقيقات الفيدرالي الأمريكي (إف بي آي) تحذيرًا بشأن احتيال تصيد جديد يستهدف مستخدمي مايكروسوفت 365 ويتيح الوصول إلى الحسابات دون إدخال كلمة مرور. تهدد منصة التصيد كخدمة المسماة كالي 365 بشكل خاص تطبيقات مايكروسوفت 365 مثل أوتلوك وتيمز وون درايف.
وفقًا لإف بي آي، تم اكتشاف المنصة لأول مرة في أبريل 2026، وهي تنتشر بشكل كبير عبر تيليغرام. توفر للمهاجمين رسائل تصيد منشأة بالذكاء الاصطناعي، وقوالب حملات تلقائية، ولوحات مراقبة، وأدوات لاختطاف رموز OAuth.
كيف تتجاوز المصادقة متعددة العوامل؟
يسيء الاحتيال استخدام عملية تسجيل الدخول برمز الجهاز من مايكروسوفت. يبدأ المهاجم عملية تسجيل الدخول من جهازه ويقنع الضحية بإدخال الرمز في صفحة تحقق حقيقية من مايكروسوفت. عندما يدخل الضحية الرمز، فإنه يوافق دون علمه على منح الوصول لجهاز المهاجم. عند هذه النقطة، يتمكن المهاجم من تسجيل الدخول إلى أوتلوك وتيمز وون درايف دون الحاجة إلى كلمة مرور أو موافقة مصادقة متعددة العوامل جديدة.
يصبح اكتشاف البريد الإلكتروني المزيف صعبًا لأن الصفحة المعاد توجيهها تحمل عنوان مايكروسوفت الحقيقي، ولا تصدر مديرو كلمات المرور تحذيرات، وتبدو الصفحة آمنة.
الشركات الصغيرة أكثر عرضة للخطر
يؤكد إف بي آي على أن الشركات الصغيرة بشكل خاص يجب أن تكون حذرة. من خلال حساب تم اختراقه، يمكن للمهاجمين فحص مراسلات البريد الإلكتروني وإرسال فواتير مزيفة، أو طلب مشاركة ملفات، أو إرسال تعليمات لإعادة تعيين كلمة المرور. يصعب اكتشاف الهجوم لأنه يبدو وكأنه من شخص معروف.
كيف يحدث الهجوم خطوة بخطوة؟
- يُرسل إلى الضحية بريد إلكتروني تصيد يبدو وكأنه من خدمة مشاركة ملفات أو خدمة إنتاجية موثوقة.
- يحتوي البريد الإلكتروني على رمز جهاز ويُطلب من الضحية إدخاله في صفحة التحقق الحقيقية من مايكروسوفت.
- عندما يدخل الضحية الرمز، فإنه يوافق على منح الوصول لجهاز المهاجم.
- يختطف المهاجم رموز الوصول والتحديث OAuth.
- يتم الوصول إلى خدمات مايكروسوفت 365 (أوتلوك، تيمز، وون درايف) دون الحاجة إلى كلمة مرور.
العلامات التحذيرية وبيان مايكروسوفت
يحذر إف بي آي من طلبات إدخال رمز جهاز مايكروسوفت الواردة بشكل غير متوقع. يجب اعتبار الرسائل العاجلة بشكل خاص (مثل انتهاء صلاحية مستند، أو الحاجة إلى التحقق من الحساب) وعمليات تسجيل الدخول التي لم تبدأها أنت علامات خطر.
ذكرت مايكروسوفت أنه يجب على المستخدمين اتباع توصيات إف بي آي وأدلة أفضل الممارسات الخاصة بها. كما أعلنت الشركة أنها تعمل على تعطيل الأنظمة البيئية للجرائم الإلكترونية المرتبطة بخدمة التصيد وأنشطة الاستيلاء على الحسابات، وتدخلت مؤخرًا في عمليات مثل Fake ONNX وRaccoonO365 وTycoon 2FA.
توصيات إف بي آي لحماية حسابك
- لا تدخل أي رمز جهاز لم تبدأه بنفسك شخصيًا.
- اذهب مباشرة إلى حساب مايكروسوفت الخاص بك بدلاً من النقر على الروابط في الرسائل المشبوهة.
- افحص نشاط حسابك بانتظام، وأنهِ أي جلسات غير معروفة.
- إذا أدخلت رمزًا مشبوهًا، فأغلق جميع الجلسات فورًا، وألغِ أذونات التطبيقات، وغيّر كلمة المرور الخاصة بك.
- أبقِ المصادقة متعددة العوامل مفعلة؛ فهذا الاحتيال لا يجعل المصادقة متعددة العوامل عديمة الفائدة تمامًا، لكنه يتطلب الحذر من طلبات التأكيد.
- إذا كانت أعمالك لا تحتاج إلى تدفق رمز الجهاز، فقم بتقييد هذا التدفق عبر سياسة الوصول المشروط.
- في حالة الوصول غير المصرح به، أبلغ مركز شكاوى جرائم الإنترنت التابع لإف بي آي (IC3.gov).
ينصح إف بي آي المستخدمين الذين أدخلوا الكود بالفعل بالتحرك بسرعة، وتسجيل الخروج من جميع الأجهزة وتغيير كلمة المرور، والتحقق من البريد الإلكتروني للاسترداد ورقم الهاتف، ومراجعة قواعد إعادة التوجيه وقواعد صندوق الوارد في أوتلوك، وإبلاغ فريق تكنولوجيا المعلومات بالتأكيد.
