حملة تصيد مالي تستخدم صفحات "تعليق حساب" وهمية لتضليل فرق الأمن

آلية التمويه المبتكرة

رصدت شركة الأمن السيبراني Kela حملة تصيد احتيالي متطورة تستهدف المؤسسات المالية، حيث يعتمد المهاجمون على تقنية تضليلية تمنع فرق الأمن ومزودي خدمات الإغلاق من كشف المحتوى الخبيث. تعتمد هذه الحملة على تسجيل عناوين IP للزوار؛ فبينما يرى الزائر الأول صفحة تسجيل دخول بنكية مزيفة، يواجه أي زائر لاحق (بما في ذلك أدوات الفحص الأمني) صفحة تظهر وكأنها "حساب معلق" من مزود استضافة، مما يوحي بأن الموقع قد تم إغلاقه بالفعل.

لماذا يهم هذا الخبر؟

تكمن خطورة هذه البنية التحتية في قدرتها على تجاوز إجراءات الحماية التقليدية. فعندما يقوم فريق أمني أو مزود خدمة بإبلاغ عن موقع مشبوه، فإنهم عادة ما يتحققون منه مرة أخرى لتأكيد الإغلاق. في هذه الحالة، تظهر الصفحة الوهمية للمحققين، مما يؤدي إلى تصنيف النطاق كـ "غير نشط" بينما يستمر الموقع في استهداف ضحايا جدد. هذا التكتيك يجعل من الصعب على فرق الاستجابة للحوادث إيقاف الحملة بشكل فعال، حيث يتطلب كشف المحتوى الحقيقي استخدام عنوان IP جديد لكل عملية فحص.

تفاصيل الحملة ونطاقها

بدأت الحملة منذ مايو 2026، وتوسعت لتشمل أكثر من 300 نطاق مزيف، استهدف 248 منها نحو 189 مؤسسة مالية أمريكية، مع تركيز خاص على البنوك الإقليمية متوسطة الحجم. كما أظهرت التحقيقات أن الحملة تمتد لتشمل ضحايا في المملكة المتحدة وأستراليا ونيوزيلندا. تستخدم المواقع أنماط تسمية تعتمد على كلمات مثل "secure" أو "authorize" متبوعة باسم البنك، مع ظهور فئة جديدة تستخدم مسميات مثل "help-desk" و"live-support" لمحاكاة بوابات الدعم الفني.

تحديات المواجهة

تحدد Kela أربعة عوامل تجعل هذه البنية التحتية صعبة الإيقاف:

• صيغة تسمية بسيطة: يمكن تكرارها بسهولة لأي مؤسسة مالية.
• استخدام Cloudflare: لإخفاء الموقع الفعلي للاستضافة.
• تقنية التمويه: عرض صفحة "معلق" عند الزيارة الثانية لتضليل الفاحصين.
• الخوادم المشتركة: التي تضمن استمرارية الحملة حتى لو تم إغلاق نطاق واحد.

تشير النتائج إلى أن الحملة تستهدف بشكل أساسي بيانات اعتماد الخدمات المصرفية للأعمال والخزينة، وتستخدم نصوصاً برمجية لمنع استخدام أدوات المطورين في المتصفحات، مما يزيد من تعقيد عملية التحليل التقني للموقع.