ثلاث حملات تجسس روسية تستغل ميزات تسجيل الدخول الموثوقة لاختطاف الحسابات

أفادت مجموعة Google للاستخبارات المتعلقة بالتهديدات (GTIG) في 20 أغسطس 2026 بأنها تتتبع ثلاث مجموعات يُشتبه في ارتباطها بعمليات تجسس إلكتروني روسية. واستهدفت الحملات أشخاصًا ومؤسسات في الأوساط الأكاديمية والفضاء والدفاع والحكومات ومراكز الأبحاث في أوروبا والولايات المتحدة. اللافت أن المهاجمين لم يعتمدوا أساسًا على تخمين كلمات المرور أو استغلال ثغرات برمجية، بل أقنعوا الضحايا بمنحهم صلاحيات عبر إجراءات مصادقة وربط أجهزة تبدو شرعية.

الخدعة الأساسية: طلب خطير بواجهة مألوفة

اعتمدت العمليات على هندسة اجتماعية مستمرة وموجّهة بعناية. كان المهاجمون ينتحلون صفة مسؤولين أو جهات اتصال موثوقة، ويرسلون دعوات ومحادثات تبدو مقنعة، ثم يوجّهون الضحية إلى استخدام ميزات حقيقية في خدمات الحسابات والأجهزة.

شملت هذه الأساليب تفويض تطبيقات عبر Google OAuth، وإنشاء كلمات مرور خاصة بالتطبيقات، وربط أجهزة جديدة بحسابات WhatsApp.

وهنا تكمن الخطورة: قد لا يسلّم المستخدم كلمة مروره أصلًا، بل يوافق على تطبيق OAuth، أو ينشئ كلمة مرور للتطبيق، أو يربط جهازًا جديدًا. وفي كل حالة، قد يمنح تصرفه المهاجم مسارًا مشروع المظهر إلى الحساب، حتى مع تفعيل المصادقة متعددة العوامل.

ماذا فعلت كل مجموعة؟

UNC6293: انتحال شخصيات موثوقة واستغلال OAuth

انتحلت UNC6293، وفقًا لـGTIG، صفة مسؤولين في وزارة الخارجية الأميركية وجهات اتصال موثوقة أخرى. وحاولت إقناع المستهدفين بإنشاء كلمات مرور خاصة بالتطبيقات والإفصاح عنها، وهي كلمات قد تتيح الوصول إلى الحساب من خارج تدفق التحقق المعتاد بالعامل الثاني.

كما وصفت GTIG أسلوبًا يعرف بتصيد موافقة OAuth، حيث يسعى المهاجم إلى الحصول على رموز وصول يوافق عليها المستخدم بدلًا من سرقة كلمة المرور مباشرة.

وقدّرت GTIG بدرجة ثقة متوسطة أن UNC6293 تمثل مجموعة فرعية تركز على الوصول الأولي، وترتبط بـ ICE RELIC، وهو الاسم الذي تستخدمه Google للجهة المعروفة سابقًا باسم APT29.

UNC7005 أو STORM-2945: ربط WhatsApp ومراحل متعددة للخداع

استخدمت UNC7005 مجموعة متطورة ومتغيرة من الحيل، من بينها:

• خداع ربط أجهزة WhatsApp: أُقنع الضحايا بربط جهاز يسيطر عليه المهاجم بحساباتهم على WhatsApp.
• مكالمات صوتية وهمية ودعوات إلى محادثات مشفّرة: استُخدمت هذه التفاعلات لبناء الثقة قبل إرسال رابط أو رمز ضار.
• مراسلات منتحلة باسم جهات مؤسسية: تضمنت الطعوم إشارات إلى مركز العمليات الفنلندي، إلى جانب بوابات تسجيل دخول مزيفة لخدمة Microsoft.
• سرقة رموز OAuth ونشر برمجيات خبيثة: استُخدمت تدفقات Google OAuth للحصول على رموز وصول أو صلاحيات للحسابات، كما نُشرت برمجيات سرقة معلومات، منها VIDAR وATOMIC.

وتتبع GTIG هذه المجموعة منفصلة عن UNC6293 لأن بنيتها التحتية وأساليبها التشغيلية تختلف، رغم تشابه الأهداف والاعتماد على تدفقات المصادقة الشرعية.

UNC5976: تصيّد OAuth ضد أهداف مرتبطة بالدفاع

استهدفت UNC5976، بحسب التقرير، أفرادًا ومؤسسات في المجالات العسكرية والفضائية والدفاعية، بما في ذلك جهات مرتبطة بأوكرانيا وأرمينيا. وسعت حملات التصيّد إلى الحصول على موافقات OAuth للوصول إلى حسابات الضحايا أو بياناتهم.

ماذا قالت Google عن الصلة الروسية؟

قدّرت GTIG بدرجة ثقة عالية أن النشاط الإجمالي يحمل صلة روسية. وهذه خلاصة إسناد استخباراتي، لا تعني أن كل تفصيل تشغيلي أو كل علاقة بين المجموعات مثبت بالدرجة نفسها من اليقين.

كما تشير التقارير المتاحة إلى روابط محتملة بين بعض الأنشطة وICE RELIC أو APT29. وتبقى درجة ثقة Google في ربط UNC6293 بـICE RELIC متوسطة، فيما تستمر GTIG في تتبع المجموعات الثلاث بشكل منفصل بسبب اختلاف أساليبها وبنيتها التحتية.

لماذا لا تكفي المصادقة متعددة العوامل وحدها؟

يمكن تجاوز حماية المصادقة متعددة العوامل عندما ينجح المهاجم في دفع المستخدم إلى الموافقة على الإجراء الخطأ. فقد تكون شاشة موافقة OAuth غير المتوقعة، أو طلب إنشاء كلمة مرور للتطبيق، أو رمز ربط WhatsApp، مؤشرات على محاولة للاستيلاء على الحساب حتى لو لم تُسرق أي كلمة مرور.

والدرس العملي هو التعامل مع طلبات المصادقة باعتبارها معاملات تحتاج إلى تحقق، لا خطوات آمنة تلقائيًا لمجرد ظهورها داخل خدمة معروفة.

إجراءات الحماية الموصى بها

تركز إرشادات GTIG على إبطاء الخطوات التي يحاول المهاجم دفع الضحية إلى تنفيذها بسرعة:

• افحص عنوان الموقع كاملًا قبل تسجيل الدخول أو الموافقة على صلاحيات OAuth.
• تحقق من الدعوات والطلبات عبر قناة مستقلة: استخدم وسيلة اتصال معروفة للتأكد من دعوات المؤتمرات والمكالمات وطلبات المحادثات المشفّرة والرسائل التي تزعم أنها صادرة عن حكومة أو مؤسسة.
• لا تشارك كلمات المرور الخاصة بالتطبيقات أو رموز التحقق لمرة واحدة أو رموز QR أو رموز ربط الأجهزة. ولا توافق على تسجيل دخول أو طلب OAuth غير متوقع.
• راجع الأجهزة المرتبطة بتطبيقات المراسلة بانتظام، واحذف أي جهاز غير مألوف من WhatsApp وغيره.
• استخدم مصادقة متعددة العوامل مقاومة للتصيّد: ينبغي للمؤسسات إعطاء الأولوية لمفاتيح الأمان أو مفاتيح المرور، وتقييد تطبيقات OAuth عالية المخاطر وكلمات المرور الخاصة بالتطبيقات حيثما أمكن.

بالنسبة إلى العاملين في القطاعات الحساسة، القاعدة الأهم بسيطة: وجود علامة تجارية مألوفة أو صفحة تسجيل دخول حقيقية أو ميزة مصادقة أصلية لا يثبت أن الطلب مشروع. يجب التحقق أيضًا من الطلب نفسه ومن الشخص أو الجهة التي بدأته.