Doxing.. تحور جديد للهجمات الإلكترونية على الشركات

بهدف استخلاص معلومات سرية مثل قواعد بيانات العملاء أو سرقة الأموال

Doxing.. تحور جديد للهجمات الإلكترونية على الشركات

الاحد ٠٤ / ٠٤ / ٢٠٢١
يؤكد خبراء أمن المعلومات أن «تكييف» بعض الحِيَل التي تستخدمها العصابات الرقمية وراء التهديدات المتقدمة المستمرة، التي يتعرض لها المستخدمون لشبكة الإنترنت، مؤكدين أن تلك الحيل تسهم في تحقيق مجموعة متنوعة من أهدافهم، مثل استخدام برمجيات طلب الفدية لشنّ هجمات موجهة على الشركات والمؤسسات.

وكشف باحثون من الشركة العالمية لحلول أمن المعلومات «كاسبرسكي» عن تهديد موجّه آخر لا بدّ من الانتباه إليه، وهو التشهير بالشركات Doxing، موضحين أن التشهير بالشركات يجري من خلال جمع معلومات سرية عنها، وحول موظفيها دون موافقتها ونشرها بغرض إلحاق الأذى بها أو الاستفادة منها بطريقة ما، ويؤدي تسريب المعلومات ونشرها وإتاحتها لعامّة الجمهور إلى حالة أصبح فيها خداع الموظفين لدفعهم إلى تقديم معلومات سرية أو حتى إجراء حوالات مالية، أسهل مما كان عليه الأمر في السابق.


وأوضحوا أن إحدى الطرق المستخدمة للتشهير بالشركات والمؤسسات، تتمثل في هجمات اختراق البريد الإلكتروني المؤسسي، وهي هجمات موجّهة يطلق فيها المجرمون مراسلات بريد إلكتروني مع الموظفين عن طريق انتحال شخصية أحد الموظفين العاملين في الشركة.

ويكمن الغرض من هذه الهجمات، في استخلاص معلومات سرية، مثل قواعد بيانات العملاء، أو سرقة الأموال.

ويحلّل باحثو كاسبرسكي بانتظام حالات ينتحل فيها المجرمون شخصية أحد موظفي الشركة المستهدفة باستخدام رسائل بريد إلكتروني تشبه إلى حدّ بعيد الرسائل الحقيقية، وذلك بغرض اختلاس المال.

وأكدوا أن حرصُ المجرمين على جمع المعلومات العامة المتاحة على وسائل التواصل الاجتماعي وخارجها، مثل أسماء الموظفين ومناصبهم وأماكن وجودهم وأوقات إجازاتهم واتصالاتهم، ومن ثمّ قيامهم بتحليل هذه المعلومات، يؤدي إلى تمكينهم من التوسّع في شنّ هذه الهجمات، موضحين أن هجمات البريد الإلكتروني المؤسسي هي مجرد نوع واحد من الهجمات التي تستغل المعلومات المتاحة للجمهور لإلحاق الأذى بشركة ما.

وأضافوا إن هناك طرقًا متنوّعة يمكن للمجرمين اتباعها للتشهير بالشركات تتضمّن أساليب إبداعية تعتمد على التقنية، بجانب الأساليب الواضحة كالتصيّد وتجميع الملفات الشخصية المؤسسية باستخدام تسريب البيانات، موضحين أن سرقة الهوية هي إحدى أكثر إستراتيجيات التشهير بالشركات شيوعًا، إذ يعتمد المجرمون، وفق قاعدة عامة، على المعلومات لتوصيف موظفين معينين ثم استغلال هوياتهم في شنّ الهجوم.

ورأى الباحثون أن التقنيات الجديدة، كتقنية التزييف العميق، تسهّل تنفيذ مثل هذه الهجمات، بشرط وجود بيانات عامة للبدء منها، متابعين: فعلى سبيل المثال، قد يؤدي مقطع فيديو خضع للتعديل بتقنية التزييف العميق لما قد يكون موظفًا في شركة ما، إلى الإضرار بسمعة الشركة.

ويُعتقد عمومًا أن التشهير يمثل مشكلة للمستخدمين العاديين، إذ غالبًا ما يظهر في فضائح على وسائل التواصل الاجتماعي، فإن التشهير المؤسسي يُمثّل تهديدًا حقيقيًا للبيانات السرية للشركات ويظلّ أمرًا ينبغي عدم إغفاله، وفقًا لرومان ديدينوك الباحث الأمني لدى كاسبرسكي، الذي أكّد أن التشهير المؤسسي قد يؤدي إلى خسائر في المال والسمعة، قائلًا إن الأذى الواقع على الشركة يزيد بزيادة حساسية المعلومات السرية المستخلصة.

وأوصى خبراء كاسبرسكي باتباع عدد من التدابير لتجنب مخاطر هجوم ناجح على شركة ما، أو تقليلها، ومنها وضع قواعد صارمة لمنع مناقشة القضايا المتعلقة بالعمل مُطلقًا في المراسلات الرسمية الخارجية، وتدريب الموظفين على الالتزام الكامل بهذه القواعد، ورفع وعي الموظفين بقضايا الأمن الرقمي.

وشددوا على أهمية توعية الموظفين بشأن التهديدات الرقمية الأساسية، ليتمكّن الموظف المتمرّس في الأمن الرقمي من إحباط أي هجوم. فإذا تلقّى الموظف بريدًا إلكترونيًا من زميل يطلب معلومات، فسيعرف أولًا أن عليه الاتصال بزميله للتأكّد من أنه هو مَن أرسل ذلك البريد الإلكتروني، إضافة لاستخدام تقنيات مكافحة البريد الإلكتروني غير المرغوب به، ومكافحة التصيّد.
المزيد من المقالات
x