كشف تقرير لموقع BleepingComputer عن حملة تصيّد إلكتروني تستخدم دعوات مزيفة لأحداث تُنسب إلى شركات OpenAI وSpaceX وAnthropic، بهدف خداع الموظفين وسرقة بيانات الدخول إلى حسابات مايكروسوفت وجوجل. وتعتمد الحملة على منصتين مختلفتين من منصات التصيّد كخدمة (Phishing-as-a-Service)، ما يسهّل على المهاجمين تنفيذ الهجمات على نطاق واسع دون الحاجة إلى خبرة تقنية متقدمة.

كيف تعمل الحملة؟

وفقاً للملخص المتاح، تُرسل دعوات تبدو رسمية لأحداث مرتبطة بشركات الذكاء الاصطناعي والفضاء البارزة، وهي أسماء تحظى باهتمام واسع بين الموظفين في قطاع التقنية. وعند تفاعل الضحية مع الدعوة، يُوجَّه إلى صفحات تصيّد مصممة لسرقة بيانات الاعتماد، وليس كلمات المرور فقط، بل أيضاً جلسات المصادقة (Authentication Sessions). وهذه النقطة الأخيرة خطيرة لأن سرقة الجلسة قد تتيح للمهاجم تجاوز خطوات التحقق الثنائي في بعض الحالات، والوصول إلى الحساب دون الحاجة إلى كلمة المرور نفسها.

لماذا تُستهدف حسابات العمل؟

تستهدف الحملة بحسب المصدر حسابات مايكروسوفت وجوجل، وهما من أكثر الأنظمة استخداماً في بيئات العمل المؤسسي. ويعني اختراق حساب موظف واحد إمكانية الوصول إلى البريد الإلكتروني والملفات والخدمات السحابية المرتبطة به، ما يفتح الباب لهجمات أوسع داخل المؤسسة. ويعتمد المهاجمون في هذا النوع من الحملات على عنصر الاستعجال والمصداقية، إذ إن دعوة إلى حدث تقني حصري قد تدفع الموظف إلى التسجيل بسرعة دون التحقق من مصدر الرسالة.

سياق أوسع: التصيّد كخدمة

يشير مصطلح التصيّد كخدمة إلى منصات جاهزة يبيعها مطورون لمجرمي الإنترنت، وتوفر قوالب صفحات تصيّد وأدوات إدارة الحملات وتتبع الضحايا. وتقلل هذه المنصات حاجز الدخول إلى الهجمات الإلكترونية، إذ لم يعد المهاجم بحاجة إلى بناء صفحة مزيفة من الصفر. وتوضح الحادثة الأخيرة كيف تُستغل أسماء الشركات الشهيرة في مجال الذكاء الاصطناعي كطُعم لجذب الانتباه، وهو اتجاه يتزايد مع الاهتمام الإعلامي الواسع بهذا القطاع.

كيف يحمي المستخدمون حساباتهم؟

ينصح الخبراء بالتحقق من نطاق المرسل قبل النقر على أي رابط في دعوة إلى حدث، وبعدم إدخال بيانات الدخول عبر روابط واردة في رسائل بريد إلكتروني. كما يُستحسن الوصول إلى الخدمات الحساسة عبر كتابة العنوان مباشرة في المتصفح بدلاً من اتباع الروابط، وتفعيل المصادقة متعددة العوامل، والانتباه إلى أي طلب لتسجيل الدخول غير متوقع. وعلى مستوى المؤسسات، يساعد تدريب الموظفين على التعرف على أساليب التصيّد في تقليل مخاطر هذه الحملات.

الخلاصة

تُظهر حملة الدعوات المزيفة لأحداث OpenAI وSpaceX وAnthropic أن المهاجمين يوظفون الأسماء الرنانة والاهتمام الإعلامي لبناء طُعم مقنع. ومع استخدام منصات تصيّد جاهزة، يصبح التحقق من المصدر واليقظة عند التعامل مع روابط تسجيل الدخول ضرورة يومية لحماية حسابات مايكروسوفت وجوجل.