تحقیقات جدید شرکت امنیت سایبری Cofense نشان می‌دهد که عامل‌های تهدید (threat actors) از هیجان و اشتیاق کارکنان برای دسترسی به فناوری‌های جدید هوش مصنوعی سوءاستفاده می‌کنند. در این کمپین، مهاجمان با ارسال دعوت‌نامه‌های جعلی برای شرکت Anthropic، کاربران سازمانی را فریب می‌دهند تا اعتبارنامه‌های (credentials) حساب‌های Google و Microsoft خود را در اختیار آن‌ها قرار دهند.
استراتژی فریب: سوءاستفاده از برندهای معتبر
مهاجمان از برندینگ پلتفرم GoTo Webinar استفاده می‌کنند تا ایمیل‌های خود را در میان ایمیل‌های عادی و قانونی مخفی کنند. این ایمیل‌ها حاوی لینک‌هایی هستند که با استفاده از سرویس‌های کوتاه‌کننده URL و زیردامنه‌هایی که شبیه به ابزارهای معتبری مانند Zapier طراحی شده‌اند، ابزارهای امنیتی را دور می‌زنند. یکی از نشانه‌های مهم در این حملات، وجود غلط‌های املایی کوچک در نام فرستنده (مانند “nthropic” به جای Anthropic) است.
دور زدن ابزارهای امنیتی با استفاده از CAPTCHA
یکی از جنبه‌های فنی و پیشرفته این حمله، استفاده از صفحات Cloudflare CAPTCHA است. این صفحات دو هدف را دنبال می‌کنند: نخست، کاربر را متقاعد کنند که محیط امنی در حال استفاده است، و دوم، از اسکنرها (scanners) و ابزارهای امنیتی برای شناسایی لینک‌های مخرب جلوگیری کنند. در واقع، در اینجا CAPTCHA به جای دور نگه داشتن ربات‌ها، برای دور زدن ابزارهای امنیتی استفاده می‌شود.
مراحل نهایی حمله و سرقت داده‌ها
پس از عبور از مرحله CAPTCHA، قربانی به یک صفحه جعلی شبیه به Zoom هدایت می‌شود. در مرحله بعد، کاربر از خود خواسته می‌شود تا با استفاده از حساب‌های کاری خود وارد شود. صفحات جعلی ورود (login pages) بسیار مشابه صفحات اصلی هستند و از دامنه‌هایی مانند office.com-access-sharepoint.com استفاده می‌کنند تا کاربر را گمراه کنند. با وارد کردن اطلاعات، اعتبارنامه‌ها مستقیماً برای مهاجمان ارسال می‌شود.
توصیه‌های دفاعی برای مدیران امنیت
کارشناسان تأکید می‌کنند که آموزش کارکنان به تنهایی کافی نیست. برای مقابله موثر با این نوع حملات، پیاده‌سازی روش‌های احراز هویت چندعاملی مقاوم در برابر فیشینگ (phishing-resistant MFA) مانند Passkeys ضروری است. همچنین، مدیران باید توجه داشته باشند که امنیت نباید تنها بر عهده دقت کارکنان در بررسی URLها باشد، بلکه باید زیرساخت‌های امنیتی به گونه‌ای طراحی شوند که حتی در صورت لو رفتن رمز عبور، دسترسی مهاجم محدود شود.
