در دنیای امنیت سایبری، تصور اینکه یک سازمان «بیش از حد کوچک است تا مورد هدف قرار گیرد»، یکی از خطرناک‌ترین باورهاست. تحلیل دو مورد واقعی از حوادث امنیتی نشان می‌دهد که چگونه نقص‌های ساده در مدیریت زیرساخت و اعتماد به مکانیزم‌های احراز هویت قدیمی می‌تواند منجر به فجایع مالی و عملیاتی شود.
درس اول: قیمت بالای سهل‌انگاری در پشتیبان‌گیری
در یک مورد، یک شرکت کوچک ساختمانی با وجود توصیه‌های کارشناسی، از سرمایه‌گذاری روی امنیت خود خودداری کرد. مالک شرکت معتقد بود که اندازه کسب‌وکارش برای هکرها جذابیتی ندارد و تکیه بر یک نیروی IT تک‌نفره کافی است. تنها سه هفته بعد، این شرکت هدف یک حمله باج‌افزار (Ransomware) قرار گرفت.
بررسی‌های فنی نشان داد که شرکت از یک سرور قدیمی و بدون Patch (به‌روزرسانی) ویندوز استفاده می‌کرد که تمامی داده‌های حیاتی در آن ذخیره شده بود. نکته بحرانی این بود که درایو پشتیبان (Backup) به صورت مستقیم به همان سرور متصل بود؛ در نتیجه، باج‌افزار هر دو محیط (داده‌های اصلی و بک‌آپ) را به‌طور هم‌زمان رمزنگاری کرد.
این حادثه منجر به از دست رفتن کامل دسترسی به لیست حقوق کارکنان و سوابق مالی شد و در نهایت، شرکتی که سال‌ها فعالیت کرده بود، ظرف چند ماه به دلیل عدم توانایی در بازیابی داده‌ها ورشکست شد. این مورد بر اهمیت استراتژی‌های پشتیبان‌گیری Off-site یا Cloud-based و ضرورت Patch Management تأکید دارد.
درس دوم: دور زدن 2FA از طریق حملات Man-in-the-Middle
مورد دوم مربوط به یک حمله پیچیده فیشینگ در محیط Microsoft 365 است. عامل تهدید (Threat Actor) ابتدا به حساب ایمیل یکی از مدیران شرکت A نفوذ کرد و سپس از آن برای ارسال ایمیل‌های فیشینگ بسیار متقاعدکننده به شرکت B استفاده کرد. برای پنهان کردن ردپای خود، مهاجمان قوانینی برای فیلتر کردن ایمیل‌ها در حساب قربانی اول تعریف کردند تا پیام‌های ارسالی به پوشه‌های مخفی منتقل شده و کاربر متوجه نشود.
مهاجمان از یک صفحه جعلی طراحی شده برای Microsoft 365 استفاده کردند که دقیقاً مشابه صفحه اصلی بود اما روی دامنه متفاوتی قرار داشت. حتی با وجود فعال بودن احراز هویت دو مرحله‌ای (2FA)، مهاجمان از تکنیک Man-in-the-Middle (MitM) استفاده کردند: آن‌ها اطلاعات ورودی کاربر را در لحظه به سرورهای مایکروسافت ارسال می‌کردند تا کد SMS برای کاربر ارسال شود و سپس کاربر کد واقعی را در صفحه جعلی وارد می‌کرد.
در این مورد، به دلیل استفاده از ابزارهای تحلیل Telemetry و شناسایی Logهای غیرعادی در Entra ID P2، ورود مشکوک شناسایی و Token دسترسی مهاجم سریعاً ابطال شد. با این حال، این حمله نشان می‌دهد که MFAهای مبتنی بر SMS یا Push در برابر حملات مدرن آسیب‌پذیر هستند.
توصیه‌های فنی برای مدیران SOC و CISOها
- پشتیبان‌گیری ایزوله: از متد 3-2-1 برای Backup استفاده کنید و مطمئن شوید حداقل یک نسخه از داده‌ها کاملاً از شبکه جدا (Air-gapped) یا در فضای ابری ایزوله باشد.
- MFA مقاوم در برابر فیشینگ: برای جایگزینی روش‌های سنتی، از کلیدهای سخت‌افزاری (مانند YubiKey) یا Passkeys که بر اساس استانداردهای FIDO2 هستند استفاده کنید تا احتمال موفقیت حملات MitM به صفر برسد.
- مانیتورینگ رفتار کاربر: پیاده‌سازی سیستم‌های شناسایی ورودهای غیرعادی (Anomalous Login) برای شناسایی سریع سرقت Tokenها ضروری است.
