در حالی که عناوین خبری اغلب بر حملات پرزرق‌وبرق تمرکز دارند، تهدیداتی که واقعاً باعث بحران‌های جدی می‌شوند، تاکتیک‌هایی هستند که از ابزارها و جریان‌های کاری مورد اعتماد شما سوءاستفاده می‌کنند. برای سازمان‌های کوچک و متوسط، چه مدیریت IT به‌صورت داخلی انجام شود و چه برون‌سپاری شده باشد، مقابله با تاکتیک‌های در حال تکامل مهاجمان یک رقابت مداوم است.
نکته کلیدی این است که باید بدانید کدام حملات دقیقاً محیط‌های مشابه سازمان شما را هدف قرار می‌دهند تا بتوانید دفاع خود را اولویت‌بندی کنید.
سوءاستفاده از ابزارهای مدیریت از راه دور (RMM)
ابزارهای Remote Monitoring and Management (RMM) ستون فقرات تیم‌های IT هستند و دقیقاً همین موضوع باعث شده تا عامل‌های تهدید از آن‌ها سوءاستفاده کنند. یک نصب مخرب RMM می‌تواند دسترسی مداوم مهاجم را فراهم کند، در حالی که فعالیت‌های او در سیستم، مشابه کارهای عادی مدیر شبکه (Admin) به نظر می‌رسد.
در سه ماهه اول سال ۲۰۲۶، ۴۵٪ از حوادث مرتبط با Endpoint که بررسی شده‌اند، شامل سوءاستفاده از RMM بوده‌اند. همچنین مهاجمان از هوش مصنوعی (AI) برای ساخت اسناد جعلی و قراردادهای خدماتی متقاعدکننده استفاده می‌کنند تا کاربران را فریب دهند تا RMMهای مخرب را نصب کنند.
دستکاری صندوق پستی؛ نقطه ورود به حملات BEC
تا این لحظه از سال ۲۰۲۶، ۲۴.۶٪ از سیگنال‌های تشخیص و پاسخ به تهدیدات هویت (ITDR)، به دستکاری صندوق پستی (Mailbox Manipulation) و ایجاد ماندگاری (Persistence) اشاره دارند. با دسترسی به صندوق پستی، مهاجم می‌تواند قوانین اینباکس (Inbox Rules) را تغییر دهد و پاسخ‌های مربوط به تامین‌کنندگان را به پوشه‌هایی که کسی آن‌ها را چک نمی‌کند (مانند RSS Feeds یا Archive) منتقل کند.
از این طریق، آن‌ها می‌توانند جزئیات فاکتورها را تغییر داده و پرداخت‌ها را به حساب‌های خودشان هدایت کنند، بدون اینکه نیاز به استفاده از بدافزاری برای دور زدن ابزارهای امنیتی باشد.
حملات Adversary-in-the-middle (AiTM) نیز ۱۸.۹٪ از تمامی تهدیدات مبتنی بر هویت را تشکیل داده‌اند. در این حالت، مهاجم بین قربانی و صفحه ورود واقعی Microsoft 365 قرار می‌گیرد، توکن نشست (Session Token) را در حین انتقال سرقت می‌کند و همه چیز را به کاربر بازمی‌گرداند تا هیچ شک و شبهه‌ای ایجاد نشود. تا زمانی که آن نشست معتبر باشد، مهاجم می‌تواند بدون نیاز به رمز عبور یا تایید مجدد MFA، به حساب دسترسی داشته باشد.
فیشینگ از طریق کد دستگاه (Device Code Phishing)
اگرچه فیشینگ از طریق کد دستگاه کمتر رایج است، اما این روش از جریان ورود واقعی Microsoft برای کدهای دستگاه سوءاستفاده می‌کند؛ بنابراین توصیه‌های سنتی مانند «بررسی URL» در اینجا کارایی ندارد. یک اعلان متقاعدکننده، کاربر را ترغیب می‌کند تا یک کد کوتاه را در یک صفحه واقعی مایکروسافت وارد کند و مهاجم با این کار، یک Access Token به دست می‌آورد که می‌تواند حتی پس از تغییر رمز عبور نیز معتبر باقی بماند.
در یک بازه زمانی ۱۶ روزه، یک کیت Phishing-as-a-Service (PhaaS) به نام EvilTokens، تعداد ۳۴۴ سازمان را در پنج کشور هدف قرار داد.
حمله ClickFix و سوءاستفاده از حافظه عضلانی کاربران
حمله ClickFix بر روی عادت کاربران برای کپی و چسباندن (Copy-Paste) دستورات جهت رفع مشکلات روزمره تکیه دارد. یک اعلان جعلی CAPTCHA یا پیام «خطا در تایید هویت»، کاربر را فریب می‌دهد تا یک دستور مخرب را در ترمینال خود Paste کند. این عمل به تنهایی باعث اجرای کد مخرب می‌شود و نیازی به زنجیره اکسپلویت (Exploit Chain) پیچیده ندارد و می‌تواند منجر به نصب بدافزارهای Infostealer یا باج‌افزار شود.
استفاده از ابزارهای هوش مصنوعی برای حملات پیچیده
مهاجمان اکنون محتوای مخرب خود را پشت ابزارهای واقعی هوش مصنوعی پنهان می‌کنند. یک «کلاینت دسکتاپ» یا «کمک‌کننده بهره‌وری» جعلی ممکن است در یک گفتگوی مشترک یا یک فایل میزبانی شده در دامنه‌های مورد اعتماد مانند Claude یا ChatGPT قرار داشته باشد که تشخیص آن را بسیار دشوار می‌کند. برای مثال، در مورد FakeAgent، از یک Claude Artifact مخرب در دامنه واقعی claude.ai برای هدایت کاربران به سمت بدافزار SectopRAT استفاده شد.
