گروه Lapsus$ یکی از بحث‌برانگیزترین عوامل تهدید (Threat Actor) در سال‌های اخیر است که به جای تکیه بر بدافزارهای پیچیده، شهرت خود را از طریق مهندسی اجتماعی (Social Engineering) و اخاذی به دست آورد. این گروه که در سال‌های ۲۰۲۱ و ۲۰۲۲ سازمان‌های بزرگی نظیر Okta، Microsoft، Nvidia، Samsung و Uber را هدف قرار داد، اخیراً در قالب ائتلافی گسترده‌تر به نام Scattered Lapsus$ Hunters بازگشته است.
تفاوت Lapsus$ با گروه‌های باج‌افزاری سنتی
برخلاف باندهای باج‌افزاری (Ransomware) مانند LockBit که سیستم‌ها را رمزنگاری می‌کنند، Lapsus$ هرگز از رمزنگاری استفاده نکرد. استراتژی این گروه بر سرقت کد منبع (Source Code) و داده‌های داخلی متمرکز بود و سپس تهدید به انتشار عمومی این اطلاعات را برای فشار بر قربانیان به کار می‌برد. این مدل عملیاتی، بیشتر به «اخاذی خالص» شباهت دارد تا باج‌افزار.
تکنیک‌های عملیاتی و متدهای نفوذ
این گروه به ندرت از آسیب‌پذیری‌های Zero-Day استفاده می‌کرد و در عوض بر روش‌های زیر متمرکز بود:
- MFA Fatigue: بمباران هدف با اعلان‌های تایید MFA تا زمانی که کاربر از روی خستگی یا اشتباه، درخواست ورود را تایید کند.
- SIM Swapping: سرقت شماره تلفن قربانی برای دریافت کدهای یک‌بار مصرف (OTP) و دور زدن احراز هویت دو مرحله‌ای مبتنی بر SMS.
- سوءاستفاده از Help-Desk: تماس با پشتیبانی IT سازمان‌ها و جعل هویت کارکنان برای بازنشانی رمز عبور یا تنظیمات MFA.
- جذب عوامل داخلی: پرداخت مبالغ هنگفت به پیمانکاران یا کارکنان برای خرید دسترسی‌های معتبر.
تاریخچه حملات کلیدی
در بازه زمانی دسامبر ۲۰۲۱ تا سپتامبر ۲۰۲۲، این گروه چندین ضربه استراتژیک وارد کرد:
- Okta: نفوذ به سیستم‌های داخلی از طریق یک مهندس پشتیبانی در شرکت Sitel (یک تامین‌کننده خدمات ثالث).
- Nvidia و Samsung: سرقت حجم عظیمی از کد منبع؛ در مورد Nvidia، گروه خواستار Open-source کردن درایورهای GPU شد.
- Rockstar Games: نفوذ به Slack داخلی و انتشار ویدئوهای گیم‌پلی بازی GTA 6.
- Uber: دسترسی به کنسول AWS و Google Workspace از طریق فریب دادن یک پیمانکار.
تکامل به Scattered Lapsus$ Hunters
در اوت ۲۰۲۵، بقایای Lapsus$ با دو گروه Scattered Spider و ShinyHunters ادغام شدند تا ائتلافی را تشکیل دهند که تحلیل‌گران آن را «تثلیث آشوب» نامیده‌اند. این اتحاد، تخصص‌های مختلف را ترکیب کرد: اکسپلویت‌های ابری Scattered Spider، شبکه‌های سرقت داده ShinyHunters و متدهای اخاذی Lapsus$.
یکی از بزرگترین حملات این ائتلاف در سال ۲۰۲۵، هدف قرار دادن Jaguar Land Rover بود که منجر به توقف تولید جهانی این شرکت برای پنج هفته شد و خسارتی بالغ بر ۲.۵ میلیارد دلار به اقتصاد بریتانیا وارد کرد. همچنین، این گروه از طریق سرقت توکن‌های OAuth در ادغام‌های Salesforce، دسترسی به داده‌های شرکت‌هایی نظیر Google، Cisco و FedEx را ادعا کرد.
راهکارهای دفاعی برای مدیران SOC و CISO
از آنجایی که حملات این گروه بر محور «انسان» است، راهکارهای فنی صرف کافی نیستند:
- جایگزینی MFAهای ضعیف: حرکت به سمت روش‌های مقاوم در برابر فیشینگ مانند کلیدهای امنیتی FIDO2 یا Passkeys.
- سخت‌سازی فرآیندهای Help-Desk: الزام به تایید هویت از طریق روش‌هایی که با اطلاعات عمومی یا شماره تلفن قابل جعل نباشند.
- مانیتورینگ Dark Web و Telegram: رصد کانال‌های ارتباطی این گروه‌ها برای شناسایی سریع نشت داده‌ها پیش از انتشار عمومی.
- پایش افشای اعتبار (Credential Exposure): بررسی مداوم دامنه‌های سازمانی در دیتابیس‌های نشت داده برای شناسایی حساب‌های لو رفته پیش از سوءاستفاده مهاجم.
