مؤتمرات وهمية: حملة تصيّد تستهدف مستخدمي "غوغل" و"مايكروسوفت"

كشف تقرير أمني عن حملة تصيّد إلكتروني تنتحل أسماء شركات تكنولوجية بارزة، بينها "أوبن إيه آي" و"سبيس إكس" و"أنثروبيك"، لاستدراج الموظفين عبر دعوات مزيفة لحضور مؤتمرات وفعاليات مرتبطة بالذكاء الاصطناعي، بهدف الاستيلاء على حساباتهم المؤسسية في "غوغل" و"مايكروسوفت"، باستخدام تقنيات قادرة على تجاوز بعض وسائل المصادقة متعددة العوامل.
ووفق تقرير نشرته شركة الأمن السيبراني "بوش سيكيوريتي"، تعتمد الحملة على منصتين للتصيّد الإلكتروني هما "كالي 365" و"فويد بروكسي"، اللتان تتيحان للمهاجمين اعتراض بيانات تسجيل الدخول ورموز المصادقة والاستيلاء على جلسات المستخدمين.
ورصد باحثو الشركة صفحات تسجيل مزيفة تعرض فعاليات تبدو وكأنها منظمة من شركات الذكاء الاصطناعي المعروفة، وتطلب من الزوار استخدام حسابات العمل لتأكيد مشاركتهم أو الحصول على مكافآت حصرية.
ومن بين الصفحات التي اكتشفها الباحثون موقع ينتحل هوية "أكاديمية أوبن إيه آي"، ويروّج لفعالية تتناول استخدام "تشات جي بي تي" في فرق التسويق، مع وعد المشاركين باشتراك مجاني لمدة ثلاثة أشهر في خدمة "تشات جي بي تي برو".
كما رصدوا صفحة أخرى تنتحل اسم "سبيس إكس"، وتعرض دعوة لحضور إحاطة خاصة بشأن مشروع "ستارشيب" وتطبيقات الذكاء الاصطناعي في التسويق، مع إغراء الزوار باشتراك في خدمة "غروك هيفي" أو الحصول على حصة من أسهم الشركة.
وامتدت الحملة إلى انتحال هوية "أنثروبيك"، من خلال الترويج لفعالية مرتبطة بمؤتمر "إيه دبليو إس ري إنفنت".
وفي الحالات الثلاث، كان الهدف إقناع المستخدمين بتسجيل الدخول عبر حساباتهم المهنية في "غوغل" أو "مايكروسوفت"، تحت ذريعة استكمال إجراءات التسجيل أو المطالبة بالمكافآت المعلنة.
ولتعزيز مصداقية الدعوات، استخدم المهاجمون خدمات اختصار روابط تابعة لجهات معروفة، بينها "غوغل" و"زابير"، إلى جانب صفحات تحاكي واجهات تسجيل الفعاليات الحقيقية.
وتساعد هذه الأساليب على إخفاء الوجهة النهائية للروابط، ما يصعّب اكتشاف المواقع الاحتيالية اعتمادًا على مظهر الدعوة أو الجهة التي أرسلت الرابط.
وتعتمد الحملة على آليتين مختلفتين لاختراق حسابات العمل، بحسب الخدمة التي يختارها المستخدم عند تسجيل الدخول.
فعند اختيار حساب "مايكروسوفت"، تستخدم منصة "كالي 365" أسلوبًا يُعرف بالتصيّد عبر رمز الجهاز، إذ تعرض الصفحة المزيفة رمزًا وتطلب من المستخدم نسخه وإدخاله في صفحة المصادقة الرسمية التابعة للشركة، بحجة تأكيد هويته.
لكن الرمز يكون مرتبطًا بعملية تسجيل دخول بدأها المهاجم، وليس المستخدم نفسه. وعندما يُدخل الضحية الرمز ويوافق على الطلب، يمكن للمهاجم الحصول على رموز وصول وتحديث تسمح له باستخدام الحساب والخدمات المرتبطة به، وفق الصلاحيات المتاحة للمستخدم.
ولا تتوقف العملية عند هذه المرحلة، إذ يوضح تقرير "بوش سيكيوريتي" أن المهاجمين يعيدون توجيه المستخدم بعد ذلك إلى صفحة تابعة لمنصة "فويد بروكسي"، بهدف اعتراض بيانات إضافية، بينها كلمة المرور وملفات تعريف الارتباط الخاصة بجلسة تسجيل الدخول.
أما عند اختيار تسجيل الدخول عبر "غوغل"، فتستخدم الحملة تقنية تُعرف بهجوم الوسيط بين المستخدم والخدمة، عبر منصة "فويد بروكسي".
وتعتمد هذه التقنية على وضع صفحة وسيطة بين المستخدم وخدمة تسجيل الدخول الحقيقية، تمر عبرها بيانات المصادقة، بما يتيح للمهاجم التقاط كلمات المرور ورموز التحقق وملفات تعريف الارتباط المرتبطة بالجلسة.
وتكمن خطورة هذه الطريقة في إمكانية استخدام بيانات الجلسة المسروقة للوصول إلى الحساب من دون الحاجة إلى إعادة تنفيذ خطوات التحقق من الهوية، إذ يظهر المهاجم أمام الخدمة باعتباره مستخدمًا سبق أن أكمل عملية المصادقة.
تضيف المصادقة متعددة العوامل طبقة حماية إلى كلمات المرور، من خلال اشتراط رمز تحقق أو موافقة إضافية عند تسجيل الدخول. غير أن أساليب التصيّد المستخدمة في هذه الحملة تستهدف آليات التحقق نفسها.
ففي هجمات الوسيط، يستطيع المهاجم اعتراض بيانات الجلسة بعد أن يُكمل المستخدم إجراءات المصادقة بنجاح، بينما تعتمد هجمات رمز الجهاز على خداع الضحية للموافقة على عملية تسجيل دخول لم يبدأها.
ولهذا، لا توفر جميع وسائل المصادقة المستوى نفسه من الحماية في مواجهة محاولات التصيّد المتطورة.
وتوصي "مايكروسوفت" باستخدام وسائل مصادقة مقاومة للتصيّد، مثل مفاتيح المرور ومفاتيح الأمان المعتمدة على معيار "فايدو 2"، الذي يربط عملية التحقق بالموقع الحقيقي للخدمة، ويحد من إمكانية استغلال بيانات المصادقة عبر صفحات مزيفة.
وفي تقرير منفصل نشرته شركة الأمن السيبراني "كوفينس"، في 29 أكتوبر/ تشرين الأول 2026، كشف باحثون عن حملة احتيالية تستغل اسم "أنثروبيك" لإرسال دعوات إلى موظفين لمعاينة تقنية جديدة بصورة حصرية.
واستخدم المهاجمون خدمة "غو تو ويبينار" لإرسال الدعوات، وروابط مختصرة عبر "زابير"، قبل إعادة توجيه المستهدفين إلى صفحات مزيفة تحاكي خدمات تسجيل الدخول في "غوغل" و"مايكروسوفت".
وأشار التقرير إلى أن استخدام خدمات موثوقة لإرسال الرسائل واختصار الروابط يساعد المهاجمين على تجاوز بعض أنظمة الحماية، لأن هذه الخدمات تُستخدم أيضًا في الاتصالات المهنية المشروعة.
كما استخدم المهاجمون اختبارات للتحقق من أن الزائر إنسان، بهدف إعاقة أدوات الفحص الآلي للمواقع الاحتيالية، وإضفاء مظهر يوحي بموثوقية الصفحات.
تشير التقارير الأمنية إلى علامات تحذيرية قد تساعد الموظفين على تمييز الدعوات الاحتيالية، أبرزها تقديم اشتراكات مجانية أو مكافآت غير معتادة مقابل التسجيل في فعالية، أو طلب استخدام حساب العمل لحضور لقاء لا يستدعي الوصول إلى الموارد المؤسسية.
وتشمل المؤشرات أيضًا استخدام عناوين مواقع لا تتبع النطاقات الرسمية للشركات، والانتقال بين خدمات مختلفة أثناء التسجيل، ووجود اختلافات بين هوية الجهة المرسلة وتصميم صفحة الفعالية.
ويُعد طلب إدخال رمز مصادقة في صفحة أخرى، أو الموافقة على عملية تسجيل دخول لم يبدأها المستخدم، من العلامات التي تستدعي الحذر.
وتؤكد هذه الحالات أهمية التحقق من الفعاليات عبر المواقع الرسمية للشركات المنظمة، وعدم اعتبار الشعارات المعروفة أو الروابط المختصرة دليلًا كافيًا على صحة الدعوات.
وعلى مستوى المؤسسات، تشمل الإجراءات الوقائية تقييد استخدام المصادقة عبر رموز الأجهزة عندما لا تكون ضرورية، واعتماد وسائل تحقق مقاومة للتصيّد، ومراقبة محاولات الدخول غير المعتادة، وإلغاء الجلسات ورموز الوصول المشبوهة عند الاشتباه في اختراق الحسابات.
وتُظهر الحملات التي رصدتها "بوش سيكيوريتي" و"كوفينس" كيف يستغل المهاجمون الاهتمام المتزايد بتقنيات الذكاء الاصطناعي والفعاليات المرتبطة بها لاستهداف الحسابات المؤسسية، عبر أساليب لا تقتصر على سرقة كلمات المرور، بل تمتد إلى اعتراض عمليات المصادقة والاستيلاء على جلسات تسجيل الدخول.