يستغل مجرمو الإنترنت تقويم iCloud لإرسال التصيد الاحتيالي متخفيًا في شكل دعوات تبدو الرسائل حقيقية. تصل رسالة الاحتيال إلى صندوق الوارد كما لو كانت إشعارًا حقيقيًا صادرًا عن بنية Apple التحتية، مما يدفع العديد من برامج تصفية البريد الإلكتروني إلى اعتبارها موثوقة وتمريرها دون إثارة أي شكوك.
الإغراء الأكثر شيوعًا هو الإغراء المفترض رسوم بقيمة 599 دولارًا على PayPal مصحوبًا برقم هاتف "دعم" لحل المشكلة. إذا اتصل الضحية، يحاول المحتالون إخافته بقصص عن حسابات مخترقة، ويطلبون منه تثبيت برامج أو منحه إمكانية الوصول عن بُعد؛ وقد أدت هذه الخطوة، في حملات سابقة، إلى سرقة الأموال أو البرامج الضارة أو تسريب البيانات.
كيف يتم استغلال تقويم iCloud في عمليات التصيد الاحتيالي
مفتاح الحملة هو أن البريد الإلكتروني لا يأتي من خوادم مشبوهة، ولكن من البريد الإلكتروني apple.com مع عنوان البريد الإلكتروني noreply@email.apple.com. يُمكّن هذا المصدر من اجتياز عمليات التحقق من المصادقة الأكثر شيوعًا بسهولة: SPF وDKIM وDMARCفي نظر الفلاتر، الرسالة تأتي من مصدر موثوق.
تم إدراج محتوى احتيالي في الحقل ملاحظات الحدث من تقويم iCloud ويتم إرساله كدعوة إلى صندوق الوارد مايكروسوفت 365 يتم التحكم بها من قبل المهاجمين؛ في أحد الأمثلة التي تم تحليلها، أشارت إلى "Billing3@WilliamerDickinsonerLTD.onmicrosoft.com". تشير جميع الدلائل إلى أن هذه الوجهة تعمل كـ قائمة التوزيع الذي يقوم تلقائيًا بإرسال الدعوة إلى حسابات أخرى، والتي تعد الضحايا الحقيقيين.
عادةً ما يؤدي إعادة التوجيه إلى كسر التحقق من صحة SPF، ولكن Microsoft 365 يفرض ذلك مخطط إعادة كتابة المرسل (SRS)إعادة كتابة مسار العودة إلى عنوان مرتبط بـ Microsoft. باستخدام هذه الحيلة التقنية، تستمر الرسالة في اجتياز عناصر التحكم حتى بعد مرورها عبر إلى الأمام والقوائم.
النتيجة هي مزيج قوي: رسالة بريد إلكتروني تبدو وكأنها قادمة من Apple، تنتقل عبر القنوات الشرعية كما أنها تُجري عملية تحقق تلقائية على العديد من بوابات الأمان. لذلك، تزداد فرص نجاح هذه الدعوات. تجنب البريد العشوائي وتنتهي أمام المستخدم.
مشكلة قديمة تعود بوجه مشفر
إن إرسال الدعوات غير المرغوب فيها في تقويم Apple ليس بالأمر الجديد: فقد كانت موجة قوية للغاية لدرجة أن الشركة قدمت خيار إرسال الدعوات غير المرغوب فيها منذ سنوات. الإبلاغ عن البريد العشوائي على iCloud.com، بل ونشرت أدلةً للتخفيف منها. ومع ذلك، عادت هذه الظاهرة بقوة وبمواضيع جديدة.
وبالتوازي مع عمليات الشراء المزيفة، هناك وجود عمليات الاحتيال بالعملات المشفرة: مسابقات مزعومة، أو عمليات تحقق عاجلة من المحفظة، أو استثمارات سريعة. في كثير من الحالات، تؤدي الروابط إلى صفحات مصممة لـ سرقة بيانات الاعتماد أو المفاتيح، مستغلين حقيقة أن الإشعار يبدو وكأنه حدث عادي في التقويم.
هذه الشحنات مزعجة بشكل خاص لأنها تأتي من خوادم شرعية وإذا رفض المستخدم أو تفاعل بإهمال، فقد يؤكد دون قصد أن حسابه نشط، مما يزيد من احتمالية تلقي المزيد من الرسائل غير المرغوب فيها. الإجراءات الحالية مفيدة، لكنها لا تزال... القيود إذا وصلت الدعوة عبر قنوات موثوقة.
كيفية اكتشاف هذه الدعوات وإيقافها
الفلتر الأول هو أنت: أي دعوة غير متوقعة تختلط الاستعجال والمال والهواتف يجب التعامل مع هذا الأمر بحذر. تذكر أن المهاجمين يفضلون اتصالك لإخراجك من البريد الإلكتروني وإدخالك في محادثة يسيطرون عليها.
- لا تتصل للأرقام الواردة في الدعوات أو رسائل البريد الإلكتروني المشبوهة. إذا كنت تعتقد بوجود رسوم، فسجّل الدخول إلى حسابك (PayPal، أو حساب بنكي، إلخ) عبر القنوات الرسمية.
- تعامل مع دعوات التقويم بنفس الطريقة عدم الثقة البريد الإلكتروني: هل كنت تتوقعه؟ هل يضغط عليك للتصرف الآن؟ هل يطلب منك تثبيت برنامج؟
- تعطيل الإضافة التلقائية من الدعوات الموجودة في إعدادات التقويم لمراجعة ما تمت إضافته يدويًا.
- استخدم المصادقة متعددة العوامل (MFA) وتحديث أجهزتك؛ وتقليل التأثير في حالة حدوث أي خطأ.
- إذا تلقيت حدثًا غير مرغوب فيه، فاستخدم الخيارات وضع علامة على البريد العشوائي في iCloud ولا تتفاعل مع الروابط من الحدث نفسه.
- بالنسبة إلى Microsoft 365، تحقق من القوائم التي يتم إعادة توجيهها إلى مجموعات واسعة النطاق وتطبيقها قواعد مكافحة الانتحال والحجر الصحي على الدعوات الخارجية.
في البيئات المؤسسية، من المستحسن تعزيز الوعي والمحيط: حملات تدريبية حول التصيد الاحتيالي و vishing، منع الاشتراك التلقائي في التقويمات، عناصر التحكم الحبيبية للحصول على دعوات خارجية وحلول فحص تفهم كل من SPF/DKIM/DMARC وSRS.
ما قالته الشركات
وأشارت مصادر في الصناعة إلى أن هذا الاستغلال للدعوات يؤدي إلى "الشرعية المستعارة"إلى رسائل البريد الإلكتروني، لأنها تجتاز الاختبارات الفنية وتستخدم علامات تجارية موثوقة. يزعم BleepingComputer أنه تواصل مع Apple بشأن هذه المسألة، لكنه لم يتلقَّ ردًا بعد.
يحذر خبراء الأمن السيبراني من اتجاه جديد: يستخدم المهاجمون منصات مشروعة (Apple، مايكروسوفت، جوجل، كويك بوكس، AppSheet أو تيليجرام) للتسلل إلى صناديق البريد الوارد وإعادة توجيه الضحية إلى المكالمات أو الوصول عن بُعد. يفحص الناس الرابط في الدعوة من الأفضل أن تكون حذرًا قدر الإمكان، لأن ذلك يقلل من حذرك ويجعل من السهل التعرض للاحتيال.
استخدام دعوات تقويم iCloud لتنظيم هجمات التصيد الاحتيالي مشتريات وهمية وتُظهر العروض ذات الطابع المشفر أن المهاجمين يمكنهم تحريف الوظائف المشروعة للاحتيال؛ باستخدام التدابير الأساسية (التحقق من خلال القنوات الرسمية، وتعطيل القبول التلقائي، وتطبيق المصادقة الثنائية، وتشديد المرشحات)، يمكن للمستخدمين والمؤسسات ارفع المستوى وتقليل المخاطر بشكل كبير.
