إنذار أحمر: خدعة بريد إلكتروني متقنة تستهدف مستخدمي LastPass في محاولة لسرقة الخزنة

عندما تصل إلى صندوق بريدك رسالة عاجلة تحذّر من نشاط مريب على خزنة كلمات المرور لديك، هل ستتردد قبل النقر؟ هذا بالضبط ما يعوّل عليه مجرمو الإنترنت في أحدث موجة من هجمات التصيّد التي تستهدف مستخدمي مدير كلمات المرور الشهير LastPass. المخطط أكثر تعقيدًا من معظمها، إذ ينسج سلاسل رسائل بريدية مزيفة ويختطف الثقة في دعم العملاء لاستدراج الضحايا إلى تسليم مفاتيح مملكتهم الرقمية.

وفقًا لتحذير حديث من LastPass، يطلق المهاجمون رسائل بريد تنتحل صفة فريق دعم الشركة. تُصاغ هذه الرسائل بعناوين موضوع تبدو كمحادثات داخلية، يُفترض أنها تتعلق بطلبات لتغيير عنوان البريد الإلكتروني الأساسي للمستخدم. ثم تُعاد “إعادة توجيه” الرسائل إلى الضحية المقصودة، ما يخلق إحساسًا بالمصداقية - والأهم، حالة من الذعر.

تدفع الرسائل المستخدمين إلى التصرف بسرعة، مقدّمة روابط بعناوين مثل “الإبلاغ عن نشاط مريب”، أو “فصل وقفل الخزنة”، أو “إلغاء الجهاز”. لكن النقر على أي منها لا يساعدك على تأمين حسابك - بل يوجّهك إلى صفحة تسجيل دخول مزيفة مقنعة مستضافة على نطاقات مثل “verify-lastpass[.]com”. هناك، تُحصد بيانات اعتمادك لصالح المهاجمين.

الحملة خبيثة في تفاصيلها. تُستخدم عناوين مُرسِل متعددة، غالبًا لا علاقة لها بـ LastPass، لكنها مُموّهة باسم عرض “LastPass Support”. يستغل المهاجمون مواقع مخترقة ونطاقات مهجورة لإرسال رسائلهم، ما يجعل تتبع العملية أصعب على مرشحات الرسائل المزعجة والمحققين. وفي الوقت نفسه، تكون عناوين URL نفسها نسخًا معدّلة قليلًا تُعيد التوجيه جميعها إلى صفحة التصيّد ذاتها، ما يزيد احتمال أن يمر أحدها من أمام مستخدم متيقظ.

والأهم أن LastPass أكدت أن بنيتها التحتية لم تُمس. لم تُخترق أنظمة الشركة؛ بل يعتمد الهجوم على الهندسة الاجتماعية - التلاعب بثقة المستخدمين وإحساسهم بالإلحاح. وتؤكد LastPass أن وكلاء الدعم الحقيقيين لن يطلبوا أبدًا كلمة المرور الرئيسية، وتحث المستخدمين على الإبلاغ عن أي تواصل مريب إلى عنوان بريد الإساءة الخاص بها. كما تتعاون الشركة مع شركاء لإسقاط المواقع المزيفة بأسرع ما يمكن.

هذه ليست المرة الأولى التي تقع فيها LastPass في مرمى الاستهداف. في وقت سابق من هذا العام، استخدمت حملة أخرى إشعارات صيانة مزيفة لاستدراج المستخدمين إلى صفحات تصيّد. وادعت عمليات احتيال سابقة حتى أن المستخدمين قد توفوا أو أن الشركة تعرضت لاختراق، وكل ذلك لدفع المستخدمين إلى الإضرار بأنفسهم. الدرس واضح: عندما يتعلق الأمر بكلمات مرورك، فالهوس بالحيطة فضيلة.

ومع ازدياد تعقيد أساليب التصيّد، تبقى اليقظة هي الضمان الحقيقي الوحيد. في المرة القادمة التي تتلقى فيها رسالة عاجلة - حتى من خدمة تثق بها - توقف قبل أن تنقر. في العالم الرقمي، الشك هو أفضل دفاع لديك.

WIKICROOK

• التصيّد: التصيّد جريمة إلكترونية يرسل فيها المهاجمون رسائل مزيفة لخداع المستخدمين كي يكشفوا بيانات حساسة أو ينقروا روابط خبيثة.
• الهندسة الاجتماعية: الهندسة الاجتماعية هي استخدام الخداع من قبل المخترقين لخداع الناس كي يكشفوا معلومات سرية أو يوفّروا وصولًا غير مصرح به إلى الأنظمة.
• الانتحال: الانتحال تقنية يرسل فيها المهاجمون بيانات مزيفة، مثل إشارات GPS أو رسائل البريد الإلكتروني، لخداع المستلمين أو المستخدمين لقبول معلومات كاذبة.
• حصاد بيانات الاعتماد: حصاد بيانات الاعتماد هو سرقة تفاصيل تسجيل الدخول، مثل أسماء المستخدمين وكلمات المرور، غالبًا عبر مواقع مزيفة أو رسائل بريد خادعة.
• موقع مخترق: الموقع المخترق هو موقع شرعي يتعرض للاختراق من قبل مهاجمين لتوزيع برمجيات خبيثة أو سرقة بيانات أو إعادة توجيه المستخدمين إلى محتوى ضار دون علم المالك.