مقدمه: گوگل قربانی کلاهبرداری خودش
در ماه ژوئن، شرکت عظیم فناوری گوگل اعلام کرد که یک کمپین سایبری پیچیده را کشف کرده است که به طور گسترده حساب‌های مشتریان پلتفرم مدیریت ارتباط با مشتری (CRM) Salesforce را به خطر انداخته است. این کمپین که از طریق یک روش مهندسی اجتماعی هوشمندانه انجام می‌شد، به مهاجمان اجازه می‌داد تا به اطلاعات حساس دسترسی پیدا کنند. اما طنز تلخ ماجرا اینجاست که تنها دو ماه پس از این هشدار، خود گوگل فاش کرد که قربانی همین کلاهبرداری شده و اطلاعات فروش آن نیز مورد نفوذ قرار گرفته است. این اتفاق نه تنها مایه تعجب جامعه امنیتی شد، بلکه نشان داد که هیچ سازمانی، حتی با وجود تخصص و منابع فراوان در حوزه امنیت سایبری، از تهدیدات مهندسی اجتماعی در امان نیست. این حادثه بر اهمیت هوشیاری مداوم و به‌روزرسانی پروتکل‌های امنیتی برای همه سازمان‌ها تاکید می‌کند.
این واقعه سوالات مهمی را در مورد آسیب‌پذیری شرکت‌های بزرگ فناوری در برابر حملات به ظاهر ساده اما بسیار موثر مهندسی اجتماعی مطرح می‌کند. با وجود سرمایه‌گذاری‌های عظیم در امنیت سایبری، عامل انسانی همچنان نقطه ضعفی حیاتی محسوب می‌شود. مهاجمان با بهره‌برداری از اعتماد کارمندان و عدم آگاهی کافی آن‌ها، می‌توانند به سیستم‌هایی نفوذ کنند که از نظر فنی بسیار امن به نظر می‌رسند. این نشان می‌دهد که آموزش کارکنان و ایجاد فرهنگی امنیتی قوی، به همان اندازه که راهکارهای فنی اهمیت دارند، حیاتی است.
نقض اطلاعات فروش گوگل در واقع یک زنگ خطر برای کل صنعت فناوری است. این حادثه نشان می‌دهد که تهدیدات سایبری دائماً در حال تکامل هستند و حتی پیشرفته‌ترین سیستم‌های دفاعی نیز ممکن است در برابر روش‌های خلاقانه مهاجمان آسیب‌پذیر باشند. این امر سازمان‌ها را وادار می‌کند تا رویکرد خود را نسبت به امنیت تغییر دهند و فراتر از صرفاً حفاظت‌های فنی، بر افزایش آگاهی و آموزش نیروی انسانی خود نیز تمرکز کنند.
روش کار کلاهبرداران: مهندسی اجتماعی در اوج
حملات اخیر توسط بازیگران تهدید با انگیزه مالی انجام شده است که هدف اصلی آن‌ها سرقت داده‌ها و سپس فروش آن‌ها به قربانیان با قیمت‌های گزاف است. به جای تلاش برای بهره‌برداری از آسیب‌پذیری‌های نرم‌افزاری یا وب‌سایت‌ها، که اغلب نیاز به دانش فنی بالا و زمان‌بر است، این مهاجمان رویکردی بسیار ساده‌تر اما به طرز حیرت‌انگیزی موثر را در پیش گرفته‌اند: آن‌ها با قربانی تماس می‌گیرند و به سادگی درخواست دسترسی می‌کنند. این روش که به عنوان “ویشینگ” (Voice Phishing) یا “فیشینگ صوتی” شناخته می‌شود، بر اساس فریب عامل انسانی استوار است و اغلب نتایج فاجعه‌باری به بار می‌آورد.
مهاجمان با جعل هویت یک نفر از بخش فناوری اطلاعات (IT) شرکت قربانی، با کارمندان تماس می‌گیرند. آن‌ها ادعا می‌کنند که مشکلی فنی پیش آمده است که نیاز به دسترسی فوری به حساب کارمند دارد. به عنوان مثال، ممکن است بگویند یک به‌روزرسانی ضروری در حال انجام است یا یک نقص امنیتی کشف شده و نیاز به بررسی فوری دارد. آن‌ها از یک ویژگی در Salesforce سوءاستفاده می‌کنند که به مشتریان اجازه می‌دهد حساب‌های خود را به برنامه‌های شخص ثالث متصل کنند. این برنامه‌ها برای یکپارچه‌سازی داده‌ها با سیستم‌های داخلی شرکت، مانند ابزارهای وبلاگ‌نویسی یا نقشه‌برداری، استفاده می‌شوند.
هنگامی که کارمند فریب‌خورده قصد اتصال یک برنامه خارجی به نمونه Salesforce خود را دارد، رابط کاربری Salesforce یک کد امنیتی هشت رقمی را برای تأیید اتصال درخواست می‌کند. مهاجمان در همین مرحله از کارمند می‌خواهند که این کد را به آن‌ها بدهد. با دریافت این کد، مهاجمان به سرعت به نمونه Salesforce دسترسی پیدا می‌کنند و به تمام داده‌های ذخیره‌شده در آن نفوذ می‌کنند. این داده‌ها می‌توانند شامل اطلاعات مشتریان، سوابق فروش، داده‌های مالی و سایر اطلاعات حساس باشند که در صورت افشا، می‌توانند آسیب‌های جبران‌ناپذیری به شرکت وارد کنند. موفقیت این روش در سادگی آن نهفته است؛ بسیاری از کارمندان تحت فشار یا با این تصور که به همکاران بخش IT خود کمک می‌کنند، بدون فکر اقدام می‌کنند و اطلاعات حیاتی را در اختیار مهاجمان قرار می‌دهند.
دامنه گسترده حملات و قربانیان مشهور
این کمپین کلاهبرداری تنها به گوگل محدود نمی‌شود. طبق گزارش Bleeping Computer، بسیاری از شرکت‌های بزرگ و شناخته شده دیگر نیز قربانی این حملات شده‌اند و نمونه‌های Salesforce آن‌ها مورد نفوذ قرار گرفته است. در میان لیست قربانیان، نام‌های بزرگی همچون آدیداس (Adidas)، کانتاس (Qantas)، آلیانز لایف (Allianz Life) و سیسکو (Cisco) به چشم می‌خورد. علاوه بر این، چندین زیرمجموعه از گروه کالاهای لوکس LVMH، از جمله لویی ویتون (Louis Vuitton)، دیور (Dior) و تیفانی اند کو (Tiffany & Co)، نیز تحت تاثیر این حملات قرار گرفته‌اند. این لیست بلندبالا نشان‌دهنده گستردگی و موفقیت این کمپین مهندسی اجتماعی است.
این حملات به سازمان‌هایی با اندازه‌ها و صنایع مختلف ضربه زده است، که نشان می‌دهد هیچ بخش یا نوع خاصی از کسب و کار از این تهدید مصون نیست. این الگو تاکید می‌کند که پلتفرم‌هایی مانند Salesforce، با وجود قابلیت‌های قوی و یکپارچه‌سازی با سیستم‌های داخلی، به دلیل وابستگی به عامل انسانی، می‌توانند نقاط ورودی جذابی برای مهاجمان باشند. اطلاعات تجاری، مالی و مشتریان که در این پلتفرم‌ها ذخیره می‌شوند، اهداف بسیار ارزشمندی برای اخاذی و فروش در بازارهای سیاه هستند.
موفقیت این حملات همچنین به دلیل پنهان‌کاری مهاجمان است. بسیاری از شرکت‌ها ممکن است حتی پس از نفوذ اولیه، بلافاصله متوجه این موضوع نشوند و این فرصت را به مهاجمان می‌دهد تا برای مدت طولانی‌تری به سیستم‌ها دسترسی داشته باشند و اطلاعات بیشتری را سرقت کنند. این پنهان‌کاری، همراه با تاکتیک‌های هوشمندانه مهندسی اجتماعی، این کمپین را به یکی از تهدیدات برجسته و رو به رشد در دنیای امنیت سایبری تبدیل کرده است.
جزئیات نقض اطلاعات گوگل و داده‌های به خطر افتاده
گوگل تایید کرده است که نمونه Salesforce آن در ماه ژوئن مورد نفوذ قرار گرفته است. با این حال، شرکت تنها در روز سه‌شنبه، یعنی دو ماه پس از وقوع حادثه، این موضوع را فاش کرد. این تاخیر احتمالا به این دلیل است که گوگل خود نیز اخیراً از این نقض اطلاعات مطلع شده است. پس از کشف این حمله، گوگل بلافاصله اقدامات لازم را برای محدود کردن دسترسی مهاجمان انجام داد و دسترسی آن‌ها را قطع کرد.
به گفته گوگل، “تحلیل‌ها نشان داد که بازیگر تهدید در یک پنجره زمانی کوتاه قبل از قطع دسترسی، اطلاعات را بازیابی کرده است.” این بدان معناست که اگرچه دسترسی مهاجمان به سرعت قطع شده، اما آن‌ها توانسته‌اند در همان مدت کوتاه، اطلاعاتی را از سیستم خارج کنند. خوشبختانه، اطلاعات بازیابی شده توسط مهاجمان محدود به “اطلاعات تجاری مانند نام‌های تجاری و جزئیات تماس” بود که به گفته گوگل، “اکثراً عمومی” هستند. این اظهارات ممکن است برای کاهش نگرانی‌ها باشد، اما حتی اطلاعات عمومی نیز می‌توانند در دست افراد نادرست برای حملات هدفمندتر یا فیشینگ مورد سوءاستفاده قرار گیرند.
این جزئیات نشان می‌دهد که حتی با وجود تیم‌های امنیتی پیشرفته و پروتکل‌های سخت‌گیرانه، آسیب‌پذیری در زنجیره تامین اطلاعات و ارتباط با مشتریان همچنان وجود دارد. این موضوع، سازمان‌ها را ملزم می‌کند که علاوه بر نظارت بر سیستم‌های داخلی خود، بر امنیت پلتفرم‌های ابری شخص ثالث که با آن‌ها همکاری می‌کنند نیز تمرکز ویژه‌ای داشته باشند. نفوذ به اطلاعات تماس و نام‌های تجاری، می‌تواند منجر به حملات فیشینگ و مهندسی اجتماعی پیچیده‌تری شود که کارمندان و مشتریان را هدف قرار می‌دهند.
بازیگران تهدید: UNC6040 و ShinyHunters
گوگل در ابتدا حملات اولیه را به گروهی با نام UNC6040 نسبت داد. این گروه مسئول نفوذهای اولیه به حساب‌های Salesforce و سرقت داده‌ها است. اما در ادامه تحقیقات، گوگل اعلام کرد که گروه دومی به نام UNC6042 نیز درگیر فعالیت‌های اخاذی شده است، “گاهی چندین ماه پس از نفوذهای UNC6040.” این گروه دوم، خود را تحت عنوان “ShinyHunters” معرفی می‌کند. ارتباط بین این دو گروه نشان می‌دهد که ممکن است یک چرخه کامل از نفوذ و سپس اخاذی در جریان باشد که توسط گروه‌های تخصصی مختلف انجام می‌شود.
گوگل همچنین هشدار داده است که “ما معتقدیم بازیگران تهدید که از برند ‘ShinyHunters’ استفاده می‌کنند، ممکن است در حال آماده‌سازی برای تشدید تاکتیک‌های اخاذی خود با راه‌اندازی یک سایت نشت داده (DLS) باشند.” سایت‌های نشت داده، پلتفرم‌هایی هستند که مهاجمان اطلاعات سرقت شده را در آن‌ها منتشر می‌کنند تا قربانیان را برای پرداخت باج تحت فشار قرار دهند. این تاکتیک‌های جدید به احتمال زیاد با هدف “افزایش فشار بر قربانیان، از جمله آن‌هایی که با نقض اطلاعات اخیر مرتبط با Salesforce توسط UNC6040 مرتبط هستند”، طراحی شده‌اند.
وجود گروه‌های مختلف با نقش‌های تخصصی (یکی برای نفوذ و دیگری برای اخاذی و تهدید به افشا) نشان‌دهنده سازمان‌یافتگی بالای این عملیات‌های سایبری است. این مدل به مهاجمان اجازه می‌دهد تا کارایی بیشتری داشته باشند و در عین حال شناسایی و ردیابی آن‌ها را دشوارتر می‌سازد. تهدید به راه‌اندازی سایت نشت داده، بُعد جدیدی به این حملات اضافه می‌کند و فشار بر شرکت‌های قربانی را به شدت افزایش می‌دهد، زیرا افشای عمومی اطلاعات می‌تواند منجر به آسیب‌های جدی به اعتبار و اعتماد مشتریان شود.
درس‌های آموخته شده و اقدامات پیشگیرانه
با توجه به تعداد بالای شرکت‌هایی که قربانی این کلاهبرداری شده‌اند—از جمله گوگل که تنها دو ماه پس از وقوع، آن را فاش کرد—به احتمال زیاد تعداد بسیار بیشتری از نقض‌های اطلاعات وجود دارد که هنوز از آن‌ها بی‌خبریم. این وضعیت بر ضرورت هوشیاری حداکثری و اتخاذ اقدامات پیشگیرانه فوری تاکید می‌کند. تمامی مشتریان Salesforce و به طور کلی تمامی سازمان‌هایی که از پلتفرم‌های ابری مشابه استفاده می‌کنند، باید فوراً نمونه‌های خود را به دقت مورد بررسی قرار دهند تا هرگونه منبع خارجی مشکوک یا ناشناخته که به آن دسترسی دارد، شناسایی شود. این حسابرسی باید شامل بررسی لاگ‌ها، مجوزهای دسترسی و هرگونه فعالیت غیرعادی باشد.
علاوه بر این، پیاده‌سازی احراز هویت چند عاملی (MFA) برای تمامی حساب‌های کاربری، یک گام حیاتی و غیرقابل چشم‌پوشی است. MFA یک لایه امنیتی اضافی را فراهم می‌کند که حتی اگر مهاجمان رمز عبور را به دست آورند، نتوانند به حساب دسترسی پیدا کنند. آموزش مستمر و جامع کارکنان نیز از اهمیت بالایی برخوردار است. کارکنان باید آموزش ببینند که چگونه کلاهبرداری‌های مهندسی اجتماعی، به ویژه فیشینگ صوتی و ایمیل‌های فیشینگ، را شناسایی کنند. آن‌ها باید بدانند که هیچگاه نباید اطلاعات حساس مانند کدهای امنیتی یا رمزهای عبور را از طریق تلفن یا ایمیل به افراد ناشناس، حتی اگر خود را از بخش IT شرکت معرفی کنند، ارائه دهند. ایجاد یک فرهنگ امنیتی که در آن کارمندان تشویق به گزارش هرگونه فعالیت مشکوک شوند، می‌تواند به شناسایی و خنثی‌سازی زودهنگام حملات کمک کند.
در نهایت، شرکت‌ها باید برنامه‌های واکنش به حوادث سایبری خود را به طور منظم به‌روزرسانی و آزمایش کنند. این برنامه‌ها باید شامل رویه‌های روشن برای شناسایی، containment، ریشه‌کن کردن و بازیابی پس از یک حمله باشند. همکاری با سازمان‌های امنیتی و به اشتراک‌گذاری اطلاعات تهدیدات نیز می‌تواند به تقویت دفاع جمعی در برابر چنین کمپین‌های گسترده‌ای کمک کند. این حملات نشان می‌دهند که در دنیای متصل امروز، امنیت یک مسئولیت مشترک است و نیاز به رویکردی چندلایه دارد که هم جنبه‌های فنی و هم جنبه‌های انسانی را پوشش دهد.
