سه دامنه و پورتال وب متعلق به شرکت انتشارات آکادمیک هلندی Elsevier برای مدتی کوتاه به صفحه‌ای با برند LAPSUS$ GROUP, Chapter II تغییر مسیر (Redirect) داده شدند. در این صفحه، بیانیه‌ای امضا شده وجود داشت که در آن FBI مورد تمسخر قرار گرفته و شمارش معکوس برای هدف قرار دادن قربانی بعدی آغاز شده بود.
جزئیات فنی حادثه
بر اساس گزارش پژوهشگران Cloudskope، این تغییر مسیر برای مدت ۷۸ دقیقه (از ساعت ۱۹:۴۹ تا ۲۲:۰۹ به وقت مرکزی در تاریخ ۲۱ سپتامبر ۲۰۲۶) فعال بوده است. اگرچه Elsevier هنوز توضیحی درباره نحوه وقوع این حادثه یا احتمال سرقت اطلاعات کاربری و اعتبارنامه‌ها (Credentials) ارائه نکرده است، اما دامنه‌های affected پاک‌سازی شده و مجدداً در دسترس قرار گرفته‌اند.
تحلیل متدولوژی حمله
تحلیلگران معتقدند این تغییر مسیر از طریق تغییراتی در لایه DNS یا لبه CDN (مانند تغییر در رکورد DNS یا قوانین Redirect در CDN) صورت گرفته است. همچنین گزارش‌هایی از یک فروم چینی منتشر شده که ادعا می‌کند مهاجم موفق به تغییر قوانین Redirect در سرویس Cloudflare شرکت Elsevier شده است، هرچند این ادعا هنوز به طور رسمی تایید نشده است.
تاریخچه و وضعیت گروه LAPSUS$
گروه LAPSUS$ که پیش از این حملات باج‌افزاری و اخاذی گسترده‌ای را علیه شرکت‌های بزرگی نظیر Microsoft، Okta، Nvidia و Uber انجام داده بود، پس از بازداشت برخی اعضا در اواخر سال ۲۰۲۲ غیرفعال تلقی می‌شد. با این حال، در سال ۲۰۲۶ یک سایت افشای داده با برند این گروه ظاهر شد و سازمان‌هایی مانند Virta Health و Vodafone Germany را هدف قرار داد.
در بیانیه اخیر، این گروه ادعا کرده است که قصد دارد یک شرکت جهانی با درآمد سالانه بیش از ۵۰ میلیارد دلار را هدف قرار دهد. با این حال، پژوهشگران Securonix با بررسی شواهد موجود اعلام کرده‌اند که هیچ مدرکی دال بر تداوم فعالیت اعضای اصلی هسته LAPSUS$ (دوره ۲۰۲۱-۲۰۲۲) در حملات اخیر یافت نشده است و احتمال تقلید یا تغییر ساختار گروه وجود دارد.
