AiTM: حين يسرق التصيّد جلستك لا كلمة مرورك فقط

لفترة طويلة كانت النصيحة بسيطة: «فعّل التحقق بخطوتين ولن يقدر عليك التصيّد بعد الآن». ما زالت النصيحة ممتازة، لكنها لم تعد كافية. فعائلة من الهجمات تُسمّى AiTM، اختصارًا لـAdversary-in-the-Middle («الخصم في المنتصف»)، تسرق أكثر بكثير من كلمة مرور: إنها تسرق الجلسة المفتوحة أصلًا. لنرَ كيف، ببساطة.

ما هجوم «Adversary-in-the-Middle»؟

في التصيّد التقليدي، الموقع المزيّف نسخة: صفحة تقلّد صفحة المصرف أو البريد وتحفظ كلمة المرور المكتوبة. وعلى المهاجم أن يستخدمها بنفسه لاحقًا.

في هجوم AiTM، لم يعد الموقع المزيّف نسخة، بل صار وسيطًا. لنتخيّل موظفًا مزيّفًا يجلس أمام شبّاك المصرف الحقيقي. نعطيه أوراقنا فيسلّمها إلى الموظف الحقيقي، ثم يعيد إلينا الجواب، وهكذا. يجري كل شيء بصورة طبيعية… لكنه يصوّر كل شيء في الطريق.

تقنيًا، يعرض الموقع المزيّف صفحة تسجيل الدخول الحقيقية التي يجلبها لحظة بلحظة من الخدمة الأصلية. وهناك عُدد «جاهزة» تتولى هذا العمل وتُؤجَّر كاشتراك، ما يجعل هذه الحيلة في متناول أي محتال.

سرقة ملف تعريف الجلسة: سوار المهرجان

عندما نسجّل الدخول إلى موقع، لا نعيد كتابة كلمة المرور مع كل نقرة. يعطينا الموقع ملف تعريف جلسة (كوكي)، وهو قسيمة صغيرة محفوظة في المتصفح تقول: «هذا الشخص أثبت هويته بالفعل».

إنه يعادل سوار المهرجان. عند المدخل نُظهر التذكرة وبطاقة الهوية. بعد ذلك نُظهر السوار فقط. لا أحد يعيد فحص التذكرة عند كل حفلة.

يقوم هجوم AiTM على الحصول على نسخة من هذا السوار. عندها لا يحتاج المهاجم إلى كلمة المرور ولا إلى الرمز: يلصق الكوكي في متصفحه فيجد نفسه داخل الحساب، مسجَّل الدخول مسبقًا. لهذا لا يكفي دائمًا تغيير كلمة المرور بعد ذلك: فقد يبقى السوار المسروق صالحًا ما دامت الجلسة لم تُغلق.

لماذا لا تكفي بعض أنواع التحقق بخطوتين

يضيف التحقق بخطوتين (2FA) إثباتًا ثانيًا إلى كلمة المرور: رمزًا يصل برسالة SMS، أو رمزًا من تطبيق، أو إشعارًا نوافق عليه في الهاتف. أمام موقع منسوخ، هو قوي جدًا. أمام وسيط، أضعف بكثير: الرمز صحيح، لكنه كُتب في المكان الخطأ، ثم نُقل إلى الموقع الحقيقي في ثانية.

الطرق التي تصمد هي التي تتحقق بنفسها من عنوان الموقع: مفاتيح الأمان المادية ومفاتيح المرور (passkeys). عند تسجيل الدخول ينظر المفتاح إلى النطاق الذي يخاطبه. فإن لم يكن الحقيقي، لا يجيب ببساطة. قد يخطئ الإنسان في الموقع، أما المفتاح فلا ينخدع بالتشابه.

كيف نتعرّف على بنية AiTM

فخ AiTM أننا نرى الصفحة الحقيقية: الشعار الحقيقي، والتصميم الحقيقي، وأحيانًا خلفية شركتنا وعنوان بريدنا مكتوبًا مسبقًا. المحتوى لا يفضح شيئًا. لذا يجب أن ننظر في مكان آخر:

• العنوان في شريط المتصفح. إنه الشيء الوحيد الذي لا يستطيع الوسيط تقليده تمامًا. صفحة تسجيل دخول Microsoft على login.microsoftonline.com.secure-auth.example ليست عند Microsoft: النطاق الحقيقي هو secure-auth.example. لقراءة النطاق جيدًا انظر دليل التصيّد برموز QR: حين يختبئ الاحتيال خلف رمز QR، وللحروف الخادعة Punycode والمتشابهات.
• مدير كلمات المرور الذي لا يقترح شيئًا. إنه يملأ الحقول وفق النطاق لا وفق المظهر. فإذا صمت على صفحة يعرفها عادةً، فهذه إشارة إنذار.
• التفاف قبل الصفحة: تحقق «هل أنت إنسان؟»، أو إعادة توجيه واحدة أو أكثر، أو رابط وصل عبر البريد أو رمز QR.
• نطاق جديد تمامًا، أُنشئ قبل أيام قليلة، غالبًا خلف شبكة CDN أو مستضاف على منصة مجانية لصفحات الويب.

ما العناصر التي نجمعها للبلاغ

لكي تتحرك الاستضافة أو المسجِّل بسرعة، يجب تقديم وقائع قابلة للتحقق. نجمع، دون أن نعيد كتابة أي بيانات دخول في الصفحة أبدًا:

• العنوان الكامل للصفحة، وسلسلة إعادة التوجيه كاملة المؤدية إليها؛
• لقطة شاشة تظهر فيها الصفحة وشريط العنوان معًا؛
• التاريخ والوقت (هذه البنى تتغيّر بسرعة)؛
• المصدر الكامل للرسالة التي احتوت الرابط؛
• المسجِّل وتاريخ إنشاء النطاق، والاستضافة أو شبكة CDN التي تقدّم الصفحة؛
• العلامة المنتحَلة: Microsoft أو Google أو مصرف… فرق الأمن لديها تقبل هذا النوع من البلاغات.

الإبلاغ عن البنية التحتية باستخدام Baitback

تبدأ الحملة دائمًا تقريبًا برسالة بريد. نلصق مصدرها الكامل في Baitback: تعثر الأداة على خادم الإرسال وعنوان الإبلاغ لدى استضافته، وتتتبّع إعادة توجيه الروابط في الرسالة، وتشير إلى ما لا يستقيم في الوجهة: نطاق يشبه علامة تجارية، أو نطاق حديث الإنشاء، أو استضافة مجانية، أو نطاق مدرج في قائمة سوداء. ثم تجهّز رسائل بلاغ جاهزة للإرسال.

أما الصفحة نفسها، فنرسل العناصر المجموعة إلى المسجِّل أو الاستضافة أو CDN، وإلى المنصات التي يذكّر بها Baitback (Google Safe Browsing وMicrosoft وNetcraft…). ولفهم لماذا قد تجتاز رسالة كهذه كل الفحوص التقنية، انظر قد تكذب رسالة البريد… حتى عندما تقول الفحوص «سليم».

إذا كتبنا بيانات الدخول في صفحة AiTM

لم تعد كلمة المرور كافية، بل يجب أيضًا استرجاع السوار:

1. تغيير كلمة المرور من جهاز موثوق؛
2. استخدام «تسجيل الخروج من كل الجلسات»، أو في الشركة، الطلب من قسم تقنية المعلومات إلغاء الجلسات؛
3. التحقق من عدم إضافة أي وسيلة جديدة للتحقق بخطوتين؛
4. مراجعة قواعد صندوق البريد: كثيرًا ما يضيف المهاجمون قاعدة تعيد توجيه رسائل معيّنة أو تخفيها.