درجة ثقة المجتمعموثّق
عملت مايكروسوفت بالتنسيق مع مجموعة الأمن السيبراني Health-ISAC للحصول على أمر قضائي من الولايات المتحدة لحجز نطاقات إعادة توجيه كانت توفر دعماً حاسماً لثلاث خدمات إجرامية سيبرانية محددة تُعرف باسم YAM Store وCoGUI وIron Man.
أُعلن عن عملية الحجز في 14 أكتوبر، مما أدى فعلياً إلى تعطيل أكثر من 20,000 حساب مرتبط بـ YAM Store وحجب ما مجموعه أكثر من 100,000 نطاق مستخدم للاحتيال والتزوير. وفقاً للتحقيق، حققت الشبكة عشرات الملايين من الدولارات للمشغلين الذين أداروها من خلال تسهيل تسليم أكثر من مليار رسالة خبيثة منذ يناير. استهدفت هذه العملية واسعة النطاق أكثر من 75,000 منظمة تقع في أكثر من 150 دولة مختلفة.
لماذا هذا مهم
تُظهر هذه العملية كيف تُمكّن العملات الرقمية مثل USDT من توسيع نطاق عمليات التصيد الاحتيالي عبر الحدود، مما يستلزم تعاوناً دولياً بين شركات التكنولوجيا والجهات القانونية لقطع مصادر التمويل والبنية التحتية للإجرام السيبراني.
أصول التحقيق ونطاقه
بدأ التحقيق بعد أن حذرت وكالة الشرطة الوطنية في اليابان مايكروسوفت في أواخر العام الماضي بشأن عمليات احتيال تستهدف الشركات والمستهلكين على حد سواء. تمكنت فرق التحقيق في النهاية من تتبع هذه الحملات إلى سوق يُدار باللغة الصينية، حيث يمكن للمجموعات الإجرامية شراء البنية التحتية اللازمة لتشغيل عمليات التصيد دون الحاجة إلى بناء مثل هذه الأنظمة بأنفسهم. مكّن هذا النموذج المحدد للسوق المحتالين من توسيع عملياتهم غير المشروعة بسرعة من خلال منحهم وصولاً إلى بيانات اعتماد مخترقة وأدوات جاهزة.
تصرّف YAM Store كمورّد لاستضافة الموارد السحابية وحسابات مايكروسوفت وجوجل التي تم الحصول عليها بشكل احتيالي. في بعض الحالات، أعاد المشغلون تفعيل نطاقات منتهية الصلاحية كانت تنتمي سابقاً إلى منظمات تعليمية ومنظمات غير ربحية، مستخدمين هذه المواقع التي تبدو شرعية للحصول على حسابات Microsoft 365 لغرض إعادة بيعها. في حين، زوّد Iron Man وCoGUI رسائل وصفحات تصيد جاهزة لمحاكاة الوكالات الحكومية وسلطات النقل والتجار والبنوك. حددت مايكروسوفت وشركة الأمن Resecurity أكثر من 2,300 قالباً من Iron Man، مما سمح لعملاء الخدمة بتكييف عمليات الاحتيال الخاصة بهم مع دول وعلامات تجارية محددة.
المدفوعات المشفرة وتجميد الأصول
وجدت التحقيقات التقنية التي أجرتها مايكروسوفت أن هذه الخدمات تقبل أشكالاً مختلفة من العملات الرقمية، بما في ذلك إيثيريوم وUSDT من Tether. دعم متجر YAM Store USDT على شبكة Tron، مع قبوله أيضاً لـ WeChat Pay وAlipay. ذكرت Cloudflare أيضاً أن المشترين لديهم خيار الدفع مقابل عروض السوق باستخدام USDC. وفرت هذه خيارات الدفع المتنوعة للعملاء قنوات متعددة لشراء خدمات التصيد وبيانات الاعتماد المخترقة دون الحاجة إلى الاعتماد على الأنظمة المصرفية التقليدية.
لتوسيع توزيع البنية التحتية والحسابات خارج متاجرها الخاصة، حافظ YAM Store على طبقة إعادة بيع فرعية. سمح هذا الهيكل الهرمي للشبكة بالوصول إلى قاعدة أوسع بكثير من المشترين المحتملين. ذكرت TRM Labs، وهي شركة تحليلات سلاسل الكتل، أن معلوماتها الاستخباراتية ساعدت المحققين في تحديد وتجميد الأصول المرتبطة بالمجموعة. على الرغم من أن الشركة لم تحدد القيمة الدقيقة للأصول المجمدة، إلا أن الضرر المالي الفوري للعملية لا يزال غير واضح. يُبرز هذا الافتقار إلى رقم محدد الصعوبة الجوهرية في قياس الأثر الاقتصادي لعمليات الجريمة السيبرانية الموزعة من هذا النوع.
تعطيل البنية التحتية والخطوات التالية
ركّزت جهود إنفاذ القانون على الخدمات التي استخدمها المجرمون بعد اكتمال مشترياتهم. حظرت Cloudflare مئات المشاريع والنطاقات المرتبطة، وعطّلت مشاريع Workers التي دعمت صفحات التصيد، وأوقفت الحسابات. في الحالات التي لم تتمكن فيها من حجز النطاقات مباشرة، وضعت صفحات تحذير أمام الروابط الخبيثة. يُهدف هذا النهج المحدد إلى تحييد التهديد حتى في المواقف التي تكون فيها الولاية القضائية القانونية محدودة.
حددت مايكروسوفت اعتماداً حاسماً داخل أعمال الاشتراك الخاصة بـ Iron Man. اشترى العملاء وصولاً إلى برامج تصيد مرتبطة بخادم ترخيص يتحكم به المورد. من خلال تعطيل تلك البنية التحتية، تمكنت السلطات من التدخل في قدرة العملاء على استخدام الحزم التي اشتروها، حتى إذا بقيت نسخ من البرنامج متداولة. شملت الحملة مركز مكافحة الجريمة السيبرانية وشرطة اليابان، إلى جانب شركاء من إنفاذ القانون الأمريكي وProofpoint وOracle وResecurity وآخرين.
صرحت مايكروسوفت أن الموردين المستهدفين كانوا جزءاً من شبكة إجرامية أكبر وأن البنية التحتية المرتبطة لا تزال في مرحلة الإزالة. لاحظت Cloudflare أن بعض مسجلي النطاقات يعملون في ولايات قضائية تجعل الحجز القانوني صعباً، مما يتطلب من الشركة حجب الوصول عبر تحذيرات أمنية بينما تبقى النطاقات على الخط. يتناول التحدي التالي الحد من السرعة التي يمكن للموردين بها استبدال الحسابات المخترقة والنطاقات المحجوزة. تستمر السلطات في مراقبة الشبكة بحثاً عن أي بنية تحتية جديدة قد تظهر كاستجابة لعملية الحجز.
Frequently Asked Questions
كيف تقبل شبكة التصيد المدفوعات بالعملات الرقمية؟
دعم متجر YAM Store USDT على شبكة Tron إلى جانب Alipay وWeChat Pay. ذكرت Cloudflare أيضاً أن المشترين يمكنهم الدفع مقابل عروض السوق باستخدام USDC.
كم عدد المنظمات التي استهدفتها الشبكة؟
ساعدت الخدمات المجرمين في إرسال رسائل تستهدف أكثر من 75,000 منظمة في أكثر من 150 دولة منذ يناير.
