حملة تصيد احتيالي استهدفت أكثر من 340 منظمة تستخدم Microsoft 365 عبر الولايات المتحدة وكندا وأستراليا ونيوزيلندا وألمانيا، وكانت نشطة منذ 19 فبراير 2026، مع ظهور حالات جديدة بوتيرة متسارعة. في 6 أبريل، نشرت مدونة أمان مايكروسوفت تحليلاً مفصلاً للعملية التي تستخدم الذكاء الاصطناعي التوليدي والأتمتة الكاملة من النهاية إلى النهاية للتسلل إلى حسابات البريد الإلكتروني للمؤسسات بحجم لم تحققه هجمات رموز الأجهزة السابقة. بالنسبة لفرق التسويق والنمو التي تعتمد على Microsoft 365 في عمليات البريد الإلكتروني اليومية، التهديد مباشر: تُستخدم الرموز المسروقة لاستخراج البيانات والثبات، غالباً عبر قواعد صندوق وارد خبيثة تحول أو تخفي الاتصالات.
ما الذي يميز هذا الهجوم
المصادقة برمز الجهاز هي تدفق OAuth شرعي مصمم للأجهزة ذات الواجهات المحدودة، مثل أجهزة التلفاز الذكية أو الطابعات. في هذا النموذج، يتم عرض رمز قصير على المستخدم مع تعليمات لإدخاله في متصفح على جهاز منفصل لإكمال المصادقة. استخدمت الجهات الفاعلة التهديدات هذه الخاصية لتجاوز حماية المصادقة متعددة العوامل بفصل المصادقة عن الجلسة الأصلية.
ما يفصل حملة 2026 عن المحاولات السابقة هو طبقة الذكاء الاصطناعي. تنتقل هذه الحملة بعيداً عن السكريبتات الثابتة واليدوية نحو بنية تحتية مدعومة بالذكاء الاصطناعي مع أتمتة متعددة من البداية إلى النهاية. الابتكار التقني الحرج هو توليد الرموز الديناميكي: في محاولات التصيد الاحتيالي الثابتة القديمة، كان الجهات الفاعلة التهديدات تضمن رمزاً تم إنشاؤه مسبقاً في البريد الإلكتروني، مما يخلق نافذة ضيقة للنجاح. كان على المستخدم المستهدف فتح البريد الإلكتروني، والتنقل عبر عمليات إعادة التوجيه، وإكمال المصادقة كل هذا قبل انقضاء المؤقت القياسي البالغ 15 دقيقة. إذا فتح المستخدم البريد الإلكتروني بعد 20 دقيقة من إرساله، فسيفشل الهجوم تلقائياً.
يتجاوز توليد الرموز الديناميكي نافذة انقضاء 15 دقيقة بتشغيل إنشاء الرمز في اللحظة الدقيقة التي يتفاعل فيها المستخدم مع رابط التصيد الاحتيالي، مما يضمن بقاء تدفق المصادقة صحيحاً. بمجرد أن يدخل الضحية الرمز على صفحة تسجيل الدخول الشرعية من مايكروسوفت، ترث جلسة المهاجم أذونات المستخدم، متجاوزة المصادقة متعددة العوامل وتحقق وصول دائم.
نطاق وسرعة الحملة
الأرقام صارخة. قال نائب رئيس أمان الأبحاث في مايكروسوفت Tanmay Ganacharya لـ The Register: "منذ 15 مارس 2026، لاحظنا من 10 إلى 15 حملات منفصلة تطلق كل 24 ساعة. يتم توزيع كل حملة على نطاق واسع، استهداف مئات المنظمات برموز تحميل عالية التنوع وفريدة، مما يجعل الكشف القائم على الأنماط أكثر صعوبة."
البناء والمنظمات غير الربحية والعقارات والتصنيع والخدمات المالية والرعاية الصحية والقطاع القانوني والحكومة من بين القطاعات البارزة المستهدفة. لا يوجد مجال محصون. الأدوات خلف الحملة، EvilTokens، تم بيعها كمجموعة تصيد احتيالي من النوع "الخدمة" منذ منتصف فبراير 2026، مما يسمح للمشترين بتجاوز المصادقة متعددة العوامل والمصادقة الصامتة باسم الضحية لتطبيقات Microsoft 365 في المنظمة.
وفقاً لشركة الأمن السيبراني الفرنسية Sekoia: "توفر EvilTokens مجموعة تصيد احتيالي رمز جهاز مايكروسوفت شاملة ونطاقاً من الميزات المتقدمة لإجراء هجمات BEC، بما في ذلك تسليح الوصول وحصاد البريد الإلكتروني وقدرات الاستطلاع وواجهة webmail مدمجة وأتمتة مدعومة بالذكاء الاصطناعي."
كيف يستهدف المهاجمون حسابات التمويل والتنفيذ
لا تعامل الحملة جميع الحسابات المخترقة بالتساوي. تحدث مرحلة الاستطلاع عادة من 10 إلى 15 يوماً قبل إطلاق محاولة التصيد الاحتيالي الفعلية. يستخدم المهاجمون بعد ذلك الذكاء الاصطناعي لإنشاء رسائل بريد إلكتروني للتصيد الاحتيالي عالية التخصيص تتماشى مع دور الهدف، مع مواضيع مثل طلبات العروض والفواتير وسير العمل في التصنيع.
لتجنب ماسحات URL الآلية وصناديق الحماية، لا يستخدم الجهات الفاعلة التهديدات رابطاً مباشراً إلى موقع التصيد الاحتيالي النهائي. بدلاً من ذلك، يستخدمون سلسلة من إعادة التوجيهات عبر النطاقات الشرعية المخترقة ومنصات بدون خادم عالية السمعة. لاحظت مايكروسوفت اعتماداً كبيراً على Vercel وCloudflare Workers وAWS Lambda لاستضافة منطق إعادة التوجيه. بباستخدام هذه النطاقات، يندمج حركة المرور للتصيد الاحتيالي مع حركة المرور الشرعية للمؤسسة، مما يمنع نوعاً بسيطاً من محفزات قائمة الحظر للنطاقات.
بعد الاختراق الأولي، في بعض الحالات سجل المتطفل أجهزة جديدة في غضون 10 دقائق لإنشاء Primary Refresh Token للثبات طويل الأجل. في حالات أخرى، انتظروا ساعات قبل سرقة البيانات البريدية الحساسة أو إنشاء قواعد صندوق وارد، على سبيل المثال إعادة توجيه الرسائل التي تحتوي على "الرواتب" أو "الفاتورة" في السطر الموضوع.
تظهر النشاطات بعد الاختراق تركيزاً ثابتاً على الأشخاص المرتبطين بالتمويل، مع مراقبة استخراج البريد الإلكتروني الآلي في تلك الحسابات، كما أكد Ganacharya.
لماذا المصادقة متعددة العوامل القياسية لا توقف هذا
هذا هو الجزء الذي يفاجئ معظم الفرق. يحصد هذا الهجوم رموز وصول Microsoft 365 دون أن يطلب من الضحايا إدخال بيانات اعتماد على موقع مقلد، مما يجعل تفاعل المصادقة لا يمكن تمييزه عن تسجيل الدخول الحقيقي. المصادقة متعددة العوامل لا توفر حماية: يكمل الضحية تحدي المصادقة متعددة العوامل بنفسه نيابة عن المهاجم، والرموز الحديثة الناتجة تستمر حتى بعد إعادة تعيين كلمة المرور، مما يعقد العلاج.
على عكس حصاد بيانات الاعتماد التقليدي، توجه هذه التقنية الضحايا عبر صفحات مصادقة مايكروسوفت الشرعية، مما يجعل من الصعب بشكل كبير على مراكز عمليات الأمن اكتشاف الاختراق في الوقت الفعلي.
يمثل هذا الهجوم تصعيداً مباشراً من حملة Storm-2372 التي وثقتها مايكروسوفت في فبراير 2025, التي اعتمدت على الهندسة الاجتماعية اليدوية عبر تطبيقات المراسلة ودعوات Teams. تنقل حملة 2026 إلى الأتمتة الصناعية ودمج الذكاء الاصطناعي عبر الاستطلاع وإنشاء الطعم والبنية التحتية والاستغلال.
ما الذي يجب أن تفعله فرق العمل الآن
طرق المصادقة متعددة العوامل المقاومة للتصيد الاحتيالي، وخاصة مفاتيح أجهزة FIDO2 والمصادقة القائمة على الشهادات، تحجب هذا الهجوم لأنها تربط المصادقة بالجهاز المادي. رموز TOTP القياسية وإخطارات الدفع لا تفعل.
توصي مدونة أمان مايكروسوفت والمحللون المستقلون بثلاث إجراءات ذات أولوية:
- حد من تدفق رمز الجهاز في Microsoft Entra ID. يمكن لسياسات الوصول المشروط حجب تدفق مصادقة رمز الجهاز للمستخدمين الذين لا توجد لديهم حاجة عمل شرعية له.
- راقب إنشاء قواعد صندوق الوارد بعد الاختراق. يشمل Microsoft Defender XDR وEntra ID Protection الآن الكشف عن مصادقة رمز الجهاز الشاذة، بما في ذلك تسجيل الدخول المريب وإنشاء قواعد صندوق الوارد مع استطلاع Graph API بعد الاختراق.
- درب فرق التمويل والتنفيذ على وجه التحديد. الطعوم الخاصة بالدور التي تشير إلى سير العمل الفعلي والمسميات الوظيفية الفعلية والسياق التجاري المعقول هي فئة مختلفة بشكل أساسي عن التصيد الاحتيالي العام. التدريب على الوعي العام وحده غير كافٍ.
بالنسبة لأي منظمة تشغل Microsoft 365 كعمود فقري للبريد الإلكتروني، فإن التأثير التشغيلي لصندوق وارد مخترق يتجاوز فقدان البيانات. يمكن لسجلات الإرسال الفاسدة وقواعد إعادة التوجيه المتلاعب بها وسلاسل الفواتير المختطفة أن تضر سمعة المرسل والقابلية للتسليم لعدة أشهر. معاملة أمان البريد الإلكتروني كمشكلة في الهوية وليس فقط مشكلة في تصفية المحتوى، أصبح الآن متطلباً حرجاً للعمل.
