رصدت كاسبرسكي أكثر من 4.7 مليون هجمة على شكل أدوات عمل مع بداية موسم الأعمال ، بينما ما يزال كثير من الأفراد يستمتعون بموسم الإجازة الصيفية ويستكشفون وجهات جديدة معتمدين على أدلة إرشادية مثل دليل Kaspersky Safe Travel Insights، تستعد الشركات لاستئناف أعمالها بوتيرة أكثر نشاطا.
وقد يستغل المجرمون السيبرانيون هذا النشاط الرقمي المتزايد عبر تمويه الملفات والروابط الخبيثة لتبدو كأنها مراسلات أعمال مشروعة.
وتكشف تحليلات كاسبرسكي طوال الشهور الاثني عشر الماضية عن مواظبة المهاجمين على استغلال أدوات الأعمال الموثوقة؛ إذ رصدت الشركة بالتحديد 4.7 مليون محاولة هجوم تستخدم محتوى شبيهاً بخدمات العمل الشائعة مثل Zoom، وOutlook، وOneDrive، وغيرها*.
عقب انتهاء الإجازة الصيفية، يستأنف الموظفون عملهم غالبا بوتيرة أكثر زخما ونشاطا؛ حيث يتجدد العمل في المشاريع، ويعود التواصل بين مجموعات العمل المختلفة، ويزداد عدد رسائل البريد الإلكتروني، والاجتماعات، والملفات المشاركة.
ويهيئ هذا التحول ظروفا قد يستغلها المجرمون السيبرانيون؛ فربما تظهر دعوة مزيفة لمكالمة مرئية وسط اجتماعات حقيقية ومشروعة، أو ربما يتم إخفاء مرفق خبيث كمستند عمل، أو قد تحاكي صفحة تصيد احتيالية خدمة معروفة للتخزين السحابي أو البريد الإلكتروني. وحينما يتعامل الموظفون مع كم هائل من الرسائل الروتينية، يتعذر التمييز بين الرسالة الاحتيالية والحقيقية.
خلال الفترة بين يوليو 2025 ويوليو 2026، رصدت شركة كاسبرسكي 4,781,846 محاولة هجوم تضمنت محتوى مرتبطاً بإحدى منصات العمل المعروفة والشائعة الاستخدام. وكانت منصة Zoom الاسم الأكثر تعرضاً للاستغلال بواقع 2,658,283 محاولة هجوم، وجاءت Outlook في المرتبة الثانية بواقع 1,546,122 حالة مكتشفة.
كما وظف المجرمون السيبرانيون محتوى مرتبطا بمنصات وتطبيقات متعددة منها: منصة OneDrive (بواقع 197,030 محاولة هجوم)، وMicrosoft Excel (بواقع 151,948 محاولة)، وMicrosoft Teams (بواقع 111,402 محاولة).
وتصدرت برامج التحميل قائمة التهديدات السيبرانية التي رصدت خلال تلك الفترة؛ إذ بلغ عدد الحالات المكتشفة 2,733,204 حالة. حيث تستطيع هذه البرامج تحميل وتثبيت برمجيات إضافية على جهاز المستخدم، مما يؤدي إلى تسلل عناصر ومكونات إضافية خبيثة أو غير مرغوب فيها إلى النظام.
كما حلّت برمجيات حصان طروادة في المرتبة الثانية ضمن قائمة التهديدات من حيث الحجم، وذلك بعدما بلغ عدد حالاتها المكتشفة 989,377 حالة.
حيث تتخفى هذه البرمجيات الخبيثة على هيئة ملفات أو تطبيقات مشروعة، ويمكنها سرقة البيانات، أو مراقبة أنشطة المستخدم، أو تمكين المهاجمين من الوصول إلى الجهاز عن بعد، أو تثبيت برمجيات خبيثة إضافية. وجاءت أدوات الاستغلال في المرتبة التالية بواقع 341,165 حالة مكتشفة؛ حيث تستغل الثغرات الأمنية في البرمجيات أو الأنظمة لاختراق الأجهزة.
مخططات التصيد الاحتيالي تستهدف حسابات الشركات من خلال سيناريوهات عمل اعتيادية
تم تصميم مخططات التصيد الاحتيالي، التي رصدتها كاسبرسكي، لاختراق حسابات الشركات. وقد لجأ بعضها إلى تقنية تصيد احتيالي أكثر تطورا تعتمد على رمز الجهاز؛ فموقع التصيد الاحتيالي لا يطالب الضحية بإدخال كلمة المرور مباشرة في صفحة تسجيل دخول مزيفة، وإنما يعرض رمزا يستخدم لمرة واحدة ويطلب من المستخدم نسخه. ويتم إنشاء هذا الرمز باعتباره جزءاً من آلية «تفويض مصادقة الجهاز» الشرعية من مايكروسوفت، التي تسهل على المستخدمين
عملية المصادقة من أجهزة ذات قدرات إدخال محدودة. حيث يقوم المهاجمون ببدء عملية التفويض لتطبيقهم الخاص، ثم يخدعون الضحية لإدخال الرمز عبر بوابة تسجيل الدخول الرسمية المعتمدة من مايكروسوفت.
ومن خلال استكمال عملية المصادقة، التي تتضمن خيار المصادقة متعددة العوامل، يقوم المستخدمون دون علم منهم بمنح صلاحية الوصول والتفويض إلى تطبيق يتحكم به المهاجمون.
وبخلاف أساليب التصيد الاحتيالي التقليدية، لا تنكشف بيانات اعتماد حساب الضحية في مايكروسوفت بشكل مباشر، وإنما يحصل المهاجمون على حق الوصول عبر «رمز التفويض» الذي تصدره مايكروسوفت بعد موافقة المستخدم على الطلب.
ويمنحهم هذا الأمر القدرة على الوصول إلى رسائل البريد الإلكتروني، وملفات OneDrive، ورسائل Teams. ويظهر هذا الهجوم بشكل متقن ومخادع للغاية بسبب استخدام صفحة رسمية تابعة لمايكروسوفت، لا سيما أنّ التحقق من صحة اسم النطاق ليس كافياً لاكتشاف هذا التهديد.
نموذج لصفحة تصيد احتيالي تطلب من المستخدم إدخال الرمز.
تتضمن التهديدات الأخرى التي استهدفت الشركات، والتي رصدها خبراء كاسبرسكي، دعوات مزيفة تنتحل هوية فريق التوظيف في جوجل وتدعو الضحايا المحتملين إلى مقابلات عمل. حيث زعمت الرسالة أنّ المؤهلات المهنية للمستلم جذبت اهتمام الشركة، ودعته لترتيب موعد مكالمة تعارف مرئية عبر رابط مضمن في الرسالة.
وقد جرى نشر وتوزيع هذه الرسائل الاحتيالية عبر منصة Google AppSheet الشرعية والمملوكة لشركة جوجل، وأرسلت من عنوان بريد إلكتروني حقيقي تابع للمنصة. وبذلك، استغل المهاجمون هذه الخدمة لنشر وتوزيع محتوى احتيالي، كما استغلوا اسمها لمنح الرسائل طابعاً موثوقاً ورسميا.
وكان الرابط المضمن في الرسائل يعيد توجيه المستلمين إلى موقع تصيد احتيالي بغرض جمع المعلومات الشخصية، وبيانات اعتماد الحسابات.
نموذج لدعوة مزيفة إلى مقابلة مرئية.
ربما يكون ذلك الشكل من أساليب الخداع مقنعاً للغاية عند انطلاق موسم العمل مجددا، حيث تستأنف الشركات عمليات التوظيف وتزداد احتمالية تلقي الموظفين لعروض ورسائل من مسؤولي التوظيف في شركات أخرى. ويرتفع مستوى المصداقية في هذه الحيلة نظرا لاستخدام خدمة موثوقة وشرعية مثل AppSheet ، فيما يكون عرض العمل المخصص محبوكا لإثارة الفضول عند المستلمين، ودفعهم إلى النقر على الرابط قبل التحقق من صحة الوظيفة الشاغرة عبر قائمة الوظائف المطلوبة في الموقع الرسمي للشركة.
يعلق على هذه المسألة يفغيني كوسكوف، وهو باحث أمني رئيسي لدى كاسبرسكي: «بعد انقضاء العطلة الصيفية، يتلقى الموظفون دعوات لحضور الاجتماعات، ويستلمون مستندات وإشعارات خاصة بالحسابات، وطلبات من جهات اتصال معروفة وأخرى جديدة.
ويدرك المجرمون السيبرانيون هذه الظروف جيدا، فيلجؤون إلى محاكاة الأدوات التي يتوقع من الأفراد استخدامها في أثناء العمل؛ فالخطر لا يأتي بالضرورة من رسالة تبدو مشبوهة بشكل صريح وواضح، بل يكمن في رسالة تبدو في ظاهرها اعتيادية لدرجة تدفع المستخدم لفتحها دون تردد أو أدنى تفكير.»
وللحد من المخاطر المتعلقة بالهجمات التي تحاكي أدوات وتطبيقات العمل، توصي كاسبرسكي الموظفين بالخطوات التالية:
· التحقق من عنوان المرسل ووجهة الروابط قبل النقر على دعوات الاجتماعات، أو المستندات المشتركة، أو إشعارات الحسابات؛ فقد تكون التغييرات الطفيفة في اسم النطاق دليلاً على محاولة انتحال هوية.
· تحميل تطبيقات العمل أو التحديثات حصرا من مواقعها الرسمية، أو متاجر التطبيقات الموثوقة، أو أنظمة البرمجيات التي تعتمدها الشركة.
· التزام الحذر الشديد عندما يطلب أحد المستندات، بشكل مفاجئ، من المستخدمين تفعيل الماكرو (Macros)، أو تعطيل إعدادات الأمان، أو تثبيت برمجيات إضافية.
· استخدام كلمات مرور قوية وفريدة لحسابات الشركة، وتخزينها بطريقة آمنة في برنامج مخصص لحفظ كلمات المرور وإدارتها.
· تفعيل خيار المصادقة متعددة العوامل لحساب البريد الإلكتروني، وخدمات التخزين السحابي، ومنصات العمل التعاوني، وخدمات الأعمال المهمة الأخرى.
· التحقق من صحة طلبات الدفع غير الاعتيادية، أو دعوات مشاركة المستندات، أو طلبات الوصول المرسلة عبر قناة اتصال منفصلة، لا سيما إذا غلبت نبرة الاستعجال والإلحاح على تلك الطلبات.
· توفير تدريبات دورية للموظفين للتوعية بقضايا الأمن السيبراني، بحيث تتضمن نماذج واقعية عن عمليات التصيد الاحتيالي، وصفحات تسجيل الدخول المزيفة، والإشعارات الخبيثة الخاصة بالعمل.
· تزويد أجهزة الشركة والأجهزة الشخصية المستخدمة في العمل بحل أمني موثوق، مثل Kaspersky Next وKaspersky Premium، وذلك لاكتشاف الملفات الخبيثة، وصفحات التصيد الاحتيالي، والأنشطة المشبوهة.
تضمنت قائمة الكلمات الرئيسية التي خضعت للتحليل كلا من: Zoom، وOutlook، وOneDrive، وMicrosoft Excel، وMicrosoft Teams، وGmail، وDropbox، وFigma، وGoogle Drive، وBasecamp، وSlack.
