لم يعد التصيّد الإلكتروني مجرد رسالة مزيفة تهدف إلى سرقة كلمة المرور. اليوم، يتحول إلى منظومات هجوم متكاملة تُدار بواجهات تشغيل جاهزة، وتستغل بروتوكولات المصادقة الحديثة بدلًا من مجرد تقليد صفحات تسجيل الدخول. وفي هذا السياق، برزت مجموعة أدوات تصيّد مدفوعة (Phishing-as-a-Service) تُعرف باسم (Greatness) لتضيف قدرات جديدة على تصيّد رمز الجهاز عبر إساءة استخدام تدفق OAuth 2.0 الخاص بمنح التفويض للجهاز، بما يسمح للمهاجمين بتجاوز الحماية التي تعتمد على (MFA) في سيناريوهات محددة.

القضية لا تتعلق فقط بأداة بعينها؛ بل بإشارة واضحة إلى اتجاه أوسع: الهجمات التي كانت تستهدف “بيانات الدخول” أصبحت الآن تستهدف “تدفقات التفويض” نفسها، وتحوّل سرقة الرموز إلى وصول طويل الأمد، مع استخدام بنيات تشغيل مشتركة وواجهات إدارة تسهّل تكرار الحملة وتوسيعها.

ما الذي يعنيه تصيّد رمز الجهاز للمؤسسات؟

لفهم خطورة التطور، يجب تبسيط المفاهيم دون فقد الدقة:

• OAuth 2.0: إطار عمل يسمح للتطبيقات بالحصول على صلاحيات للوصول إلى موارد المستخدم دون مشاركة كلمة المرور.
• منح تفويض الجهاز (Device Authorization Grant): تدفق يُستخدم عادةً عندما لا يكون لدى الجهاز واجهة إدخال كاملة (مثل التلفاز أو الأجهزة الطرفية)، حيث يُظهر النظام “رمز جهاز” للمستخدم لإكمال التفويض.
• تخيّل الهجوم: المهاجم يستغل هذا التدفق بطريقة مزيفة (أو مضللة)، بحيث يحصل على رموز وصول دون أن يلاحظ المستخدم أن “رمز الجهاز” تم إدخاله ضمن سياق غير شرعي.

وفقًا لتقارير تحليلية منشورة حول (Greatness)، فإن المنصة تدعم حزمة واسعة تشمل سرقة بيانات عبر هجمات (AiTM) (Adversary-in-the-Middle)، وتصيّد رمز الجهاز، وإساءة استخدام موافقة OAuth—كل ذلك من لوحة تحكم واحدة وبنية خلفية مشتركة. وهذا يرفع قيمة الأداة للمهاجم لأنها لا تكتفي بمرحلة أولية، بل تدمج مراحل لاحقة من الاستحواذ على الجلسات والرموز والتمدد داخل بيئة (Microsoft 365) أو خدمات سحابية أخرى.

للتوسع المفاهيمي: يمكنك الرجوع إلى OAuth والمصادقة متعددة العوامل وهجوم الرجل في الوسط.

لماذا هذا التهديد يهم القطاع المالي والصحي والحكومي خصوصًا؟

التصيّد عادة يستهدف “أي شخص لديه بريد أو صلاحيات”. لكن ما يميز هذه الموجة هو أنها تستهدف البنية التي تجعل الهوية قابلة للاستخدام: الرموز الممنوحة للتطبيقات، وإعدادات الثقة بين المرسل والمستلم، وتدفقات الموافقة.

هذا ينعكس بشكل أكبر على قطاعات عالية القيمة مثل:

• القطاع المالي: لأن الوصول إلى البريد و(Teams) و(SharePoint) قد يفتح طريقًا سريعًا للتلاعب الداخلي، والتسريع في الاختراقات الموجهة للموظفين ذوي الصلاحيات.
• الصحة: لأن بيانات المريض حساسة وتؤدي خروقاتها إلى تبعات تنظيمية وسمعية ضخمة، بينما تُستخدم حسابات البريد كقناة أساسية للتنسيق.
• الجهات الحكومية: لأن إساءة استخدام التفويض قد تسمح بالوصول إلى وثائق وخدمات داخلية دون الحاجة إلى اختراق تقني معقد كل مرة.
• مزودو الاتصالات والخدمات (مثل شركات الاتصالات الصوتية): لأنهم يمتلكون مسارات ثقة وتواصل مع العملاء، ويمكن استغلال ذلك عبر رسائل “مشروعة المظهر”.

في حالات موثقة، تم استخدام قوالب تصيّد مستندة إلى رسائل صوتية مقلدة (مثل رسائل بريد مزيف لعملاء خدمة اتصالات فعلية) بهدف تجاوز فلاتر البريد التقليدية عبر استغلال “قوائم المرسلين الموثوقين” الخاصة بالضحية. الأهم هنا أن الرسائل لم تكتفِ بانتحال اسم شركة؛ بل استغلت حقيقة أن الضحية عميل فعلي لدى مزود خدمات—ما يجعل الثقة التنظيمية داخل النظام (Safe Sender) تعمل لصالح المهاجم.

كيف تعمل منظومات (Phishing-as-a-Service) على تقليل كلفة الهجوم؟

التحول الحقيقي في هذا النوع من الأدوات ليس تقنيًا فقط؛ بل اقتصادي. أدوات (Phishing-as-a-Service) تحوّل الهجوم إلى منتج: اشتراك، لوحة تحكم، قوالب جاهزة، وخيارات لإدارة البنية التحتية. وفقًا للتوثيق المتاح، كانت هناك قناة عامة على (Telegram) تضم آلاف المشتركين، وتوفر اشتراكات تبدأ بمستويات مالية ارتفعت مقارنة بما سُجّل سابقًا، ما يعكس أن الطلب يتزايد وأن المنافسة تدفع المطورين لتقديم ميزات جديدة.

من الناحية العملية، تقدم هذه المنصات:

• لوحة تشغيل تعرض إحصاءات الحملة وبيانات الضحايا (مثل ملفات تعريف الجلسة/الكوكيز إن تم جمعها).
• مولدات قوالب تشمل مرفقات جاهزة وعمليات إعادة توجيه (Redirectors) وواجهات تستهدف تفاعل المستخدم.
• اختيارات تخفي/تحايل مثل بوابات (CAPTCHA) وسلاسل إعادة توجيه متعددة متعددة القفزات.
• تكامل مراحل الهجوم بحيث يمكن الانتقال من تصيّد أولي إلى استحواذ على الرموز ثم إلى نشاط لاحق داخل بيئة الضحية.

هذا النهج يفسر لماذا تتسارع الهجمات الموجهة: لأن المشغل لا يحتاج إلى “بناء الهجوم من الصفر”، بل يطبق قوالب جاهزة على أهداف مختلفة مع تخصيص سريع بناءً على بيانات الاستهداف.

من سرقة الجلسة إلى الاستمرارية: ما الذي يحدث بعد الاختراق؟

أبرز ما ورد في التحليلات هو أن الرموز التي تُسرق لا تُستخدم فقط لفتح جلسة لحظية. بل يتم إعادة تشغيلها (Replay) بسرعة عبر بنى وسيطة، ثم يتم إجراء تعداد (Enumeration) لموارد متعددة داخل (Microsoft 365) مثل البريد و(Teams) و(SharePoint) و(OneDrive) وجهات الاتصال والتقويم والتطبيقات المسجلة—وهو ما يعزز القدرة على جمع البيانات أو تنفيذ إجراءات لاحقة.

كما تشير تقارير إلى أن بعض المهاجمين يستمرون في استخدام عناوين وسيطة لفترة طويلة بعد الحملة الأولى، ما يعني أن “وقت الصلاحية” للرموز قد يمنح نافذة وصول تمتد لأيام—أو أكثر—إذا لم تُجرِ المؤسسة إجراءات استجابة تمنع إعادة الاستخدام.

ومن تكتيكات الاستمرارية التي تم رصدها في سياق تصيّد رمز الجهاز: تسجيل أجهزة جديدة بسرعة لإنشاء رموز تحديث أولية (مثل (PRT))، ثم تأخير تنفيذ قواعد صندوق البريد أو عمليات استخراج البيانات لعدة ساعات لتقليل فرص الاكتشاف المبكر.

للتوسع: راجع Access Token واختطاف الجلسة.

كيف تتقاطع هذه الهجمات مع اتجاهات أوسع في التصيّد؟

هذه ليست حالة منعزلة. هناك ثلاثة اتجاهات تتكرر في تقارير الصناعة:

• التصيّد المتسلسل (Cascaded Phishing): استغلال حسابات مخترقة أو “ثقة” من جهة شرعية لإرسال رسائل مخصصة للشركاء والجهات الثالثة.
• الانتقال من كلمة المرور إلى الرموز: التركيز على (Cookies) و(Access Tokens) و(Refresh Tokens) بدلًا من الاكتفاء بسرقة كلمة المرور.
• تعدد السبل لإكمال التفويض: الجمع بين هجمات (AiTM) وتصيّد رمز الجهاز وإساءة استخدام موافقة OAuth ضمن نفس اللوحة.

وبهذا المعنى، فإن (MFA) لم يعد “درعًا مطلقًا” في كل سيناريو. بل أصبح عنصرًا ضمن منظومة أوسع من سياسات الوصول، والتحقق من المخاطر، ومراقبة سلوك الهوية.

الأثر الأمني: ما المخاطر التي يجب أن تقلق منها فرق الدفاع؟

بالنسبة للأمن السيبراني داخل المؤسسات، ترتبط المخاطر بثلاث طبقات:

• طبقة الهوية: تجاوز المصادقة عبر إساءة استخدام تدفقات التفويض، أو سرقة رموز الجلسة.
• طبقة البريد والتعاون: استخدام رسائل تبدو “معتادة” لتوجيه الضحايا إلى تفاعل يؤدي إلى جمع رموز أو تفعيل قواعد داخل البريد.
• طبقة الاستجابة: إذا لم تُنفذ إجراءات “إبطال الجلسات” و”تنظيف الأجهزة” و”مراجعة قواعد صندوق البريد”، فقد تستمر آثار الاختراق.

كما أن هناك بعدًا تنظيميًا: في حال استغلال بيانات العملاء أو الموظفين، قد تتعرض المؤسسات لالتزامات امتثال إضافية وفق متطلبات الخصوصية وحماية البيانات، إضافة إلى تبعات السمعة.

إجراءات تخفيف عملية: كيف تقلل المؤسسات احتمال النجاح؟

توصيات الصناعة تميل إلى ثلاث محاور: الحد من مسارات التفويض القابلة للاستغلال، رفع مستوى (MFA) المقاوم للتصيّد، وتحسين تعليم المستخدمين والرقابة.

1) تضييق استخدام تدفق الجهاز عبر سياسات الوصول المشروط

يمكن منع تدفق المصادقة المرتبط بتصيّد رمز الجهاز عبر تعطيل طريقة المصادقة أو التدفق على مستوى سياسات (Conditional Access)، أو حصره بحالات محددة مع استثناءات دقيقة ومراجعة دورية.

2) الانتقال إلى طرق (MFA) مقاومة للتصيّد

لا يكفي الاعتماد على (MFA) التقليدية إذا كانت قابلة للالتفاف ضمن مسارات معينة. الاتجاه الأفضل هو استخدام طرق أكثر مقاومة لهجمات إعادة توجيه أو اعتراض، مع تقليل الاعتماد على رموز قابلة للسرقة أو إدخالها ضمن سياق مضلل.

3) تدريب المستخدمين على “الرموز غير المتوقعة” مع ربط التدريب بالسياسة

يوصي خبراء الأمن بتعليم الموظفين التعامل بحذر مع أي (code) أو رمز يأتي ضمن رسالة غير متوقعة، وربطه بسلوك تحقق مثل الاتصال بالمصدر عبر قناة بديلة.

4) مراجعة قوائم الثقة وقواعد البريد بعد أي اختراق لمزودين

عندما يتم اختراق جهة مزودة لخدمة يستخدمها العملاء، فإن ذلك قد يكشف قوائم العملاء الذين من المحتمل أن تكون لديهم ثقة مهيأة (مثل قوائم المرسلين الموثوقين). هنا تصبح إفصاحات خروقات الموردين “إشارة إنذار” لمراجعة قواعد الاستبعاد/القبول (Allowlisting/Exclusion) لمجالات المورد المتأثرة.

5) خطة استجابة هوية تستهدف الرموز والجلسات

عند الاشتباه، يجب أن تتضمن الاستجابة إجراءات مثل:

• إبطال الجلسات والرموز ذات الصلة.
• مراجعة الأجهزة المسجلة وإزالة الأجهزة غير المعروفة.
• تدقيق قواعد البريد التي قد يتم إنشاؤها بعد فترة تأخير.
• تتبع استخدام واجهات (Microsoft Graph) إن كانت متاحة عبر سجلات التدقيق.

للاستفادة من مرجعيات تنظيمية وبنيوية: راجع إطار عمل NIST للأمن السيبراني ومفهوم الثقة المعدومة (Zero Trust).

ملاحظة حول القانون والامتثال: لماذا يجب أن يتعاون الأمن مع الامتثال؟

حتى عندما لا تكون هناك “بيانات مالية” مباشرة، فإن اختراق حسابات البريد والتعاون قد يؤدي إلى وصول غير مصرح به إلى معلومات شخصية أو أسرار تجارية. لذلك من المهم مواءمة سياسات الهوية والاستجابة للحوادث مع متطلبات الامتثال الداخلي والخارجي (مثل متطلبات حماية البيانات والاحتفاظ بالسجلات والتحقيقات اللاحقة).

كما أن أطر مثل (NIST) و(Zero Trust) تساعد المؤسسات على تحويل الدروس إلى سياسات قابلة للقياس: من منع مسارات الهجوم إلى مراقبة سلوك الهوية، وليس فقط الاستجابة بعد وقوع الضرر.

كيف يمكننا قياس ما إذا كانت دفاعاتنا “تقاوم التصيّد” فعلاً؟

السؤال الأكثر أهمية ليس “هل لدينا (MFA)؟” بل: هل لدينا ضوابط تمنع إساءة استخدام تدفقات التفويض؟ وهل نستطيع اكتشاف إعادة استخدام الرموز والاستمرارية السريعة؟

إذا كانت الهجمات تستغل OAuth وتدفق الجهاز وتعيد تشغيل الرموز خلال دقائق، فهل تُظهر سجلاتكم تلك الأنماط؟ وهل تستطيعون اتخاذ إجراءات إبطال فورية وتقييد مسارات التفويض دون تعطيل الأعمال بشكل مفرط؟

سؤال للنقاش

عند وصولك إلى حالة اشتباه تصيّد مرتبط بتدفقات OAuth، ما الإجراء الأول الذي تطبقه مؤسستك: إبطال الجلسات والرموز فورًا، أم الاعتماد على تغيير كلمات المرور فقط؟

شارك معنا: ما أكثر نقطة ضعف لاحظتموها في الدفاعات—سياسات الوصول المشروط، أو مراقبة الهوية، أو التدريب—وما التعديل الأكثر فاعلية الذي وجدتموه بعد التجربة؟

تابع النقاش على وسائل التواصل:
فيسبوك،
إكس.