أكدت شركة الأمن السيبراني ReliaQuest تعرض أحد موظفيها لهجوم هندسة اجتماعية استخدم فيه المهاجمون انتحال صفة عضو في فريق الأمن، لكن محاولتهم للوصول إلى أنظمة الشركة وبياناتها لم تنجح. وأوضحت الشركة أن المهاجمين أجروا اتصالات هاتفية بعدة موظفين، وحاولوا توجيههم إلى صفحة دخول مزيفة لخدمة الدخول الموحد SSO مستضافة خلف شبكة لتوزيع المحتوى.
بدأت القضية بعد أن حذرت وحدة أبحاث التهديدات في ReliaQuest من حملة تنسبها إلى مجموعة الابتزاز ShinyHunters، تعتمد على تسجيل نطاقات تحت الامتداد .claims وإنشاء عناوين تشبه نطاقات مكاتب المساعدة وفرق تقنية المعلومات لدى المؤسسات المستهدفة. وذكرت الشركة أن النطاقات تتبع نمطاً يضم اسم المؤسسة أو اختصارها قبل الامتداد، فيما حددت مصادر BleepingComputer النطاق المستخدم في هذه الحادثة بأنه reliaquest.claims.
وصول مؤقت دون عبور إلى التطبيقات
نجح أحد الموظفين المستهدفين في إدخال بيانات اعتماده في صفحة SSO المزيفة، كما وافق على إشعار مصادقة متعددة العوامل عبر الهاتف. أدى ذلك إلى منح المهاجم وصولاً مؤقتاً للقراءة فقط إلى لوحة هوية ReliaQuest، ويبدو أن المهاجم استخدم اسم موظف حقيقي من فريق الأمن خلال مكالمات التصيد الصوتي.
لكن الوصول لم يتحول إلى اختراق أوسع. قالت الشركة إن ضوابط الثقة بالجهاز منعت محاولات الوصول اللاحقة إلى التطبيقات عبر لوحة الهوية، وإن المهاجم ظل يتلقى الرفض عند محاولة استخدام تلك التطبيقات. وبحسب ReliaQuest، لم يتم الوصول إلى أي من تطبيقاتها أو أنظمتها، كما لم تمس بيانات العملاء.
أنهت الشركة جلسات المهاجم، وألغت كلمة المرور المكشوفة، وأعادت ضبط جميع رموز المصادقة. كما راجعت دقة تطبيق ضوابط التحكم، وثقة الأجهزة، والوصول من داخل الشبكة منذ 21 أغسطس، وقالت إن التحقيق لم يجد دليلاً على الوصول إلى حسابات أو تطبيقات أو بيانات أخرى، أو على إنشاء المهاجم وسيلة بقاء داخل أنظمتها.
ماذا يوضح هذا الحادث عملياً؟
تكشف الواقعة أن نجاح التصيد وسرقة بيانات الاعتماد والموافقة على طلب MFA لا يعنيان تلقائياً قدرة المهاجم على الوصول إلى موارد المؤسسة. ففي هذه الحالة، أوقفت طبقة لاحقة من الضوابط المحاولات التي جاءت من جهاز أو سياق لم يستوفِ متطلبات الثقة. هذه قراءة مستندة إلى تسلسل الحادثة كما وصفته ReliaQuest، وليست دليلاً على أن المصادقة متعددة العوامل وحدها حالت دون الاختراق.
نشرت ShinyHunters لقطات قالت إنها تثبت اختراق حساب Okta SSO تابع لموظف في ReliaQuest، ثم أدرجت اللقطات في موقع تسريب البيانات الخاص بها. وأشارت المجموعة في منشور إلى تقارير ReliaQuest السابقة عنها، كما قالت لـBleepingComputer إن وصولها كان للقراءة فقط ولم يصل إلى التطبيقات أو الأنظمة أو بيانات العملاء. ومع ذلك، لم تؤكد ReliaQuest بشكل إضافي أن الجهة التي نفذت الهجوم هي ShinyHunters، لذلك تبقى نسبة الحادثة إلى المجموعة ادعاءً غير محسوم في المعلومات المتاحة.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.