تحذير عاجل للشركات: موجة هجمات إلكترونية ذكية تخترق Microsoft 365 دون سرقة كلمات المرور

أطلقت شركة الأمن السيبراني العالمية Proofpoint تحذيرًا شديد اللهجة من تصاعد غير مسبوق في الهجمات الإلكترونية التي تستهدف حسابات Microsoft 365 الخاصة بالشركات، عبر أسلوب خبيث يستغل ميزة مصادقة رسمية ومشروعة تابعة لمايكروسوفت نفسها، في تطور خطير بأساليب الاختراق الرقمية.

وأكدت الشركة أن هذه الهجمات تنجح في تجاوز المصادقة متعددة العوامل (MFA) دون الحاجة إلى سرقة كلمات المرور أو الرموز المؤقتة، من خلال خداع المستخدمين ودفعهم للموافقة بأنفسهم على منح صلاحيات الوصول، ما يجعل الاختراق أكثر تعقيدًا وأصعب في الاكتشاف.

تصاعد مقلق منذ سبتمبر 2025

وبحسب باحثي Proofpoint، شهد هذا النشاط قفزة كبيرة منذ سبتمبر 2025، مع تورط مجرمي إنترنت بدوافع مالية إلى جانب جهات تهديد مرتبطة بدول، في تحول لافت عن أساليب التصيّد التقليدية التي تعتمد على سرقة بيانات الدخول.

وأوضحت الشركة، في تدوينة رسمية، أن المهاجمين أساؤوا استخدام ميزة تدفق رمز الجهاز (Device Code Flow) ضمن بروتوكول OAuth 2.0، وهي آلية صُممت أساسًا لخدمة الأجهزة ذات إمكانيات الإدخال المحدودة، مثل أجهزة التلفزيون الذكية وإنترنت الأشياء.

كيف تتم عملية الاختراق؟

يتلقى الضحايا رسائل تصيّد عبر البريد الإلكتروني أو تطبيقات المراسلة، تزعم وجود إجراء أمني عاجل، أو مستندات تتطلب الاطلاع، أو ضرورة التحقق من الحساب.
وتحتوي الرسائل على روابط أو رموز QR Code، وعند التفاعل معها يُعرض على المستخدم رمز جهاز يُقدَّم بشكل مضلل على أنه رمز أمان أو تحقق مؤقت.

وعند إدخال هذا الرمز في صفحة تسجيل الدخول الرسمية لمايكروسوفت، تقوم المنصة – دون علم المستخدم – بمنح رمز وصول OAuth (Access Token) لتطبيق يسيطر عليه المهاجم، ما يمنحه وصولًا فوريًا وكاملًا إلى حساب Microsoft 365.

لماذا يصعب اكتشاف الهجوم؟

أشارت Proofpoint إلى أن تسجيل الدخول يتم عبر نطاق رسمي تابع لمايكروسوفت، ما يؤدي إلى فشل العديد من أدوات كشف التصيّد الإلكتروني في رصد الهجوم.
وبمجرد نجاح الاختراق، يتمكن المهاجمون من سرقة البيانات، والتنقل داخل أنظمة الشركة، والحفاظ على وصول طويل الأمد، بل واستخدامه لاحقًا في عمليات ابتزاز إلكتروني.

جهات تهديد وأدوات جاهزة

رصد الباحثون عدة مجموعات استخدمت هذا الأسلوب، من بينها مجموعات مالية مثل TA2723، التي تعتمد على رسائل خداع مرتبطة بتحديثات الرواتب والمزايا الوظيفية ومشاركة المستندات.

كما تم رصد نشاط لجهات يُعتقد ارتباطها بروسيا، تُعرف باسم UNK_AcademicFlare، تستخدم حسابات بريد إلكتروني حكومية وعسكرية مخترقة لبناء الثقة قبل استهداف قطاعات حكومية وأكاديمية وقطاع النقل في الولايات المتحدة وأوروبا.

وساعد على انتشار هذه الهجمات توفر أدوات تصيّد جاهزة مثل SquarePhish2 وGraphish، حيث تعمل الأولى على أتمتة تفويض الأجهزة باستخدام OAuth عبر رموز QR، بينما تتيح الثانية تنفيذ هجمات تصيّد متقدمة عبر تسجيل تطبيقات على منصة Azure واستخدام تقنيات “الخصم في المنتصف”.

تحذير ونصائح عاجلة

وصفت Proofpoint هذا الأسلوب بأنه تطور خطير وغير معتاد، مؤكدة أن المهاجمين لم يعودوا يحاولون كسر أنظمة الحماية، بل استغلال آليات المصادقة الموثوقة نفسها.

ونصحت الشركة المؤسسات بـ:

تقييد أو تعطيل ميزة مصادقة رمز الجهاز عبر سياسات الوصول المشروط

مراقبة أنشطة OAuth بشكل دقيق

تدريب الموظفين على عدم إدخال أي رموز تحقق غير مطلوبة، حتى لو ظهرت على صفحات تسجيل دخول رسمية