اكتشفت شركة الأمن السيبراني ReliaQuest حملة تصيد متطورة تستهدف شبكات الواي فاي في الفنادق ومراكز المؤتمرات بعدة مدن أمريكية. وأوضحت الشركة أن المهاجمين حصلوا على وصول إداري إلى البوابات، ووجهوا المسافرين بغرض العمل إلى صفحات تسجيل دخول مزيفة لحسابات Microsoft 365. وتبين أن الحملة نشطة منذ يونيو على الأقل.
تغيير إعدادات DNS
بعد السيطرة على بوابات الواي فاي، يغير القراصنة إعدادات DNS. وعندما يحاول المستخدمون الوصول إلى صفحة تسجيل دخول شرعية لـ Microsoft، يُعاد توجيه متصفحاتهم إلى موقع مزيف يتحكم فيه المهاجمون. ويصعب اكتشاف الهجوم لأن الجهاز يبدو متصلاً بشكل طبيعي وتعمل المواقع الأخرى دون مشاكل.
نطاقات مزيفة تحتوي مصطلحات Microsoft
وفقاً لتحقيقات ReliaQuest، سجل المهاجمون أربعة نطاقات مزيفة على الأقل تحتوي على مصطلحات Microsoft: m365-owa[.]com و owa-ms365[.]com و ms365-device[.]com و ms365-live[.]com. تجمع هذه الصفحات المزيفة عناوين البريد الإلكتروني وكلمات المرور للمستخدمين. ويمكن للحسابات المخترقة أن تمنح وصولاً كاملاً إلى البريد الإلكتروني المؤسسي والمستندات والخدمات السحابية.
تجاوز المصادقة متعددة العوامل
أبرز ما يميز الهجوم قدرته على تجاوز المصادقة متعددة العوامل (MFA). ففي بعض الحالات، استخدم المهاجمون تدفق مصادقة أكثر تعقيداً يعتمد على رمز الجهاز. يظهر للمستخدم طلب تفويض على صفحة مزيفة، بينما يكون المخترق قد بدأ جلسة بالفعل في الخلفية. وعندما يوافق المستخدم على الطلب، تمنح Microsoft رمز OAuth صالحاً لعميل المهاجم. ويمكن لهذه الطريقة تعطيل MFA لأن الموافقة صادرة من المستخدم.
محاولات استغلال WPAD
أشارت ReliaQuest أيضاً إلى أن المهاجمين حاولوا في حوالي ثلث الحالات استغلال بروتوكول الاكتشاف التلقائي للبروكسي على الويب (WPAD). يعتمد Windows على WPAD لاكتشاف إعدادات البروكسي تلقائياً، وقد حاول المهاجمون استغلاله بالرد بملف تكوين بروكسي ضار. لكن لم يتم التأكد بعد مما إذا كانت هذه المحاولات قد نجحت.
توصيات أمنية من الخبراء
ينصح الخبراء باتباع الإجراءات التالية خاصة عند استخدام شبكات الواي فاي في الفنادق والمؤتمرات:
- استخدم VPN بالنفق الكامل: يقوم VPN بتشفير كامل حركة الإنترنت ويمنع اعتراض بياناتك.
- فضل نقطة الاتصال المحمولة: للمعاملات الحساسة، استخدم بيانات الهاتف المحمول بدلاً من شبكة الفندق.
- تحقق من عناوين تسجيل الدخول: قبل إدخال كلمة المرور، افحص اسم النطاق في شريط العنوان بعناية. استخدم علامة مرجعية محفوظة للدخول إلى بوابة شركتك.
- انتبه لطلبات رمز الجهاز: تعامل بحذر مع طلبات الموافقة على رموز من أجهزة غير معروفة. إذا واجهت طلباً غير متوقع، استشر قسم تكنولوجيا المعلومات.
- حدث أجهزتك: قبل السفر، تأكد من أن نظام التشغيل والمتصفح وبرامج الأمان محدثة.
- استخدم برامج أمان قوية: يمكن لبرامج مكافحة الفيروسات المساعدة في اكتشاف صفحات التصيد.
كما توصي ReliaQuest الشركات بتعطيل مصادقة رمز الجهاز في Microsoft Entra ID إذا لم تكن ضرورية، ومراجعة سجلات الدخول بانتظام بحثاً عن أي نشاط غير طبيعي.
