مع تزايد تعقيد الهجمات السيبرانية، فقد حظي أحد التكتيكات الخادعة بشكل خاص باهتمام محترفي الأمن السيبراني: وهو العدو في الوسط (AiTM) الهجوم. في حين أن الكثيرين على دراية بعمليات التصيد الاحتيالي والبرامج الضارة، فإن AiTM تأخذ هذه التهديدات خطوة أخرى إلى الأمام من خلال وضع المهاجم مباشرة في تدفق الاتصال بين المستخدمين ومواقع الويب، مما يسمح لهم بسرقة بيانات الاعتماد وجلسات الاختطاف وتقليد المستخدمين الشرعيين – كل ذلك دون علم الضحية.

ليرة تركية؛دكتور:

تعد هجمات الخصم في الوسط (AiTM) شكلاً متقدمًا من الهجمات الإلكترونية حيث يقوم المهاجمون باعتراض الاتصالات بين المستخدمين والخدمات الموثوقة والتلاعب بها. تتجاوز هذه الهجمات التصيد الاحتيالي التقليدي من خلال اختراق الجلسات النشطة وحتى تجاوز المصادقة متعددة العوامل. ترتبط هجمات AiTM عادةً بسرقة بيانات الاعتماد وعمليات الاحتيال المتطورة، وتؤكد الحاجة إلى نهج متعدد الطبقات للأمن السيبراني. إن فهم كيفية عملهم هو الخطوة الأولى في الدفاع ضدهم.

ما هو هجوم الخصم في الوسط (AiTM)؟

هجوم AiTM، يشار إليه أحيانًا باسم رجل في الوسط هجوم (MitM)، يتضمن قيام جهة تهديد سرًا باعتراض وربما تغيير الاتصالات بين طرفين. ومع ذلك، تطورت هجمات AiTM الحديثة إلى ما هو أبعد من الاعتراض الأساسي – فهي تتضمن الآن تقنيات متقدمة مثل اختطاف الجلسة والتفويض في الوقت الفعلي لرموز المصادقة المميزة.

في هجمات AiTM، يقوم المتسلل عادةً بإنشاء خادم وكيل ضار يقع بين المستخدم والهدف الشرعي (مثل موقع مصرفي أو مزود خدمة سحابية). عندما يتفاعل المستخدم مع ما يعتقد أنه موقع شرعي، فإنه في الواقع يتصل عبر نظام المهاجم. يتيح ذلك للمهاجم التقاط البيانات، وإدراج محتوى ضار، والأهم من ذلك، السيطرة على الجلسات النشطة.

كيف تعمل هجمات AiTM؟

فيما يلي تفاصيل الخطوات النموذجية المتضمنة في هجوم AiTM:

1. إعداد التصيد الاحتيالي: يرسل المهاجم بريدًا إلكترونيًا أو رسالة مقنعة تتضمن رابطًا إلى صفحة تسجيل دخول مزيفة.
2. الصفحة المقصودة: ويؤدي الرابط إلى صفحة مزيفة يديرها المهاجم، والتي تبدو مطابقة للموقع الشرعي.
3. اعتراض بيانات الاعتماد: عندما يقوم الضحية بتسجيل الدخول، يقوم المهاجم بالتقاط بيانات الاعتماد الخاصة به في الوقت الفعلي وإعادة توجيه المعلومات إلى الموقع الحقيقي.
4. سرقة ملفات تعريف الارتباط للجلسة: بالإضافة إلى بيانات الاعتماد، يلتقط هجوم AiTM ملف تعريف ارتباط الجلسة، مما يسمح للمهاجم بانتحال شخصية المستخدم حتى في حالة تمكين المصادقة متعددة العوامل (MFA).
5. الوصول المستمر: بمجرد الدخول، يمكن للمهاجم أن يظل نشطًا حتى تنتهي الجلسة أو يتم تغيير بيانات اعتماد المستخدم.

الجزء المثير للقلق هو أنه نظرًا لأن البيانات تبدو وكأنها تأتي من مصدر شرعي وتم استخدام MFA، فإن العديد من الدفاعات الحالية تفشل في اكتشاف التسلل.

AiTM مقابل التصيد الاحتيالي التقليدي

للوهلة الأولى، قد يبدو AiTM مشابهًا لهجمات التصيد الاحتيالي القياسية، ولكن هناك اختلافات رئيسية تجعلها أكثر خطورة بكثير:

• الوكلاء في الوقت الحقيقي: لا تطلب AiTM بيانات الاعتماد فحسب، بل تستخدمها في الوقت الفعلي للوصول إلى الحسابات الشرعية.
• تجاوز وزارة الخارجية: يتم إيقاف العديد من هجمات التصيد الاحتيالي عن طريق المصادقة متعددة العوامل، ولكن يمكن لـ AiTM سرقة ملفات تعريف الارتباط للجلسة بعد تمرير MFA، مما يجعل هذه الحماية غير فعالة.
• وضع التخفي: ونظرًا لأن الاتصالات يتم توجيهها فعليًا إلى الخادم الصحيح، فمن غير المرجح أن يشك المستخدمون في حدوث خطأ.

في جوهر الأمر، تأخذ AiTM ثقة المستخدمين في بعض مواقع الويب وتحولها ضدهم.

أمثلة واقعية لهجمات AiTM الإلكترونية

يعد فهم خطورة هجمات AiTM أسهل عندما ننظر إلى الحالات الفعلية:

• هجمات مايكروسوفت 365: في عام 2022، أبلغت Microsoft عن هجمات AiTM استهدفت خدمات Office 365 الخاصة بها. أنشأ المهاجمون وكلاء لاعتراض بيانات اعتماد تسجيل الدخول وملفات تعريف الارتباط للجلسة أثناء عمليات تسجيل الدخول للمؤسسة، مما أدى إلى حصولهم على وصول غير مصرح به إلى أصول الأعمال.
• إساءة استخدام OAuth: بدأ بعض المهاجمين في إدخال تطبيقات OAuth الخاصة بهم أثناء هجوم AiTM للحفاظ على الوصول لفترة طويلة حتى بعد انتهاء الجلسة الأصلية.

توضح هذه الأمثلة كيف تتطور هجمات AiTM، فهي لم تعد تقتصر على سرقة كلمات المرور فحسب؛ إنها تتعلق بالحفاظ على الوصول وتوسيع نطاق الهجوم بمجرد الحصول على موطئ قدم.

لماذا تعتبر هجمات AiTM فعالة جدًا؟

تكمن فعالية AiTM في بساطته الخادعة. الضحايا عادة لا يدركون أن هناك أي شيء خاطئ. وتشمل العوامل التي تساهم في فعاليتها ما يلي:

• إعادة استخدام بيانات الاعتماد: لا يزال العديد من الأشخاص يعيدون استخدام كلمات المرور عبر الخدمات، مما يجعل التسوية الواحدة كارثية.
• الثقة في الإشارات البصرية: غالبًا ما يثق المستخدمون في الموقع بناءً على مظهره فقط دون التحقق من عنوان URL أو شهادات SSL.
• عدم وجود أمن نقطة النهاية: بدون حماية قوية على جهاز المستخدم أو الشبكة، لا يتم ملاحظة وكلاء AiTM.

إنه ناقل هجوم مصمم للتسلل عبر شقوق عاداتنا وافتراضاتنا الرقمية.

كيفية اكتشاف ومنع هجمات AiTM

على الرغم من خطورتها، إلا أن هجمات AiTM لا يمكن إيقافها. وإليك كيف يمكن للمؤسسات والمستخدمين الحماية منها:

1. استخدم MFA المقاوم للتصيد الاحتيالي

بدلاً من استخدام الرموز المستندة إلى الرسائل القصيرة أو البريد الإلكتروني، استخدم أساليب مثل مفاتيح أمان الأجهزة (على سبيل المثال، YubiKey) أو إشعارات الدفع عبر الهاتف المحمول التي تتطلب القرب أو التأكيد البيومتري. يصعب تكرار أو اعتراض أشكال المصادقة هذه.

2. تنفيذ سياسات الوصول المشروط

تقدم خدمات مثل Microsoft Entra ID وGoogle Workspace سياسات وصول مشروط يمكنها تقييد عمليات تسجيل الدخول بناءً على الموقع الجغرافي وامتثال الجهاز ومستوى المخاطر. وهذا يقلل من فرصة اختطاف الجلسة بشكل غير مصرح به.

3. مراقبة النشاط غير العادي

استخدم أدوات التحليل السلوكي التي تكتشف الأنماط غير الطبيعية، مثل تسجيل الدخول من مواقع متعددة خلال فترة زمنية قصيرة أو الوصول إلى الملفات الحساسة بشكل غير منتظم.

4. تدريب المستخدمين بانتظام

وعي الموظف أمر بالغ الأهمية. إن تدريب المستخدمين على اكتشاف علامات التصيد الاحتيالي – الروابط التي لم يتم التحقق منها، والمرسلين المشبوهين، والقواعد النحوية السيئة – يمكن أن يقلل من نجاح الطعم الأولي الذي يؤدي إلى هجوم AiTM.

5. التحقق من اتصالات SSL

تحقق دائمًا من شهادة SSL الخاصة بالموقع قبل إدخال بيانات الاعتماد. لا يعد استخدام HTTPS كافيًا — تأكد من أن اسم النطاق هو بالضبط ما يفترض أن يكون عليه.

6. اعتماد بنية الثقة المعدومة

يفترض نموذج الثقة المعدومة عدم الثقة التامة بالمستخدمين والأجهزة، حتى لو كانوا داخل شبكة الشركة. إن الجمع بين التحقق المستمر وضوابط الوصول الصارمة والتجزئة يمكن أن يخفف بشكل كبير من مخاطر AiTM.

الاتجاهات المستقبلية في هجمات AiTM

مع دخول الذكاء الاصطناعي والأتمتة إلى مجال الأمن السيبراني، يقوم كل من المهاجمين والمدافعين بتسليح أنفسهم بأدوات أكثر ذكاءً. قد تتضمن أساليب AiTM المستقبلية ما يلي:

• صفحات التصيد التي تم إنشاؤها بواسطة الذكاء الاصطناعي التي تتكيف ديناميكيًا مع الهدف بناءً على سلوكها.
• عمليات الاستحواذ التلقائية على الجلسة التي تنتشر أفقيا داخل الشبكة.
• في الوقت الحقيقي التحايل على دوران بيانات الاعتماد حيث يتم استخدام الرموز المميزة التي تم اعتراضها والتخلص منها بسرعة قبل أن يتم وضع علامة عليها بواسطة الدفاعات.

توضح هذه التطورات أن AiTM لا يمثل تهديدًا عابرًا – إنه تحدٍ متطور يتطلب دفاعات سريعة واستباقية.

خاتمة

فهم العدو في الوسط لم تعد الهجمات اختيارية – بالنسبة لكل من المؤسسات والمستخدمين الأفراد، المعرفة هي خط الدفاع الأمامي. ومع تزايد تطور هذه الهجمات، فإن الاعتماد على التدابير الأمنية التقليدية فقط ليس كافيا. يجب أن يجمع الجيل القادم من الأمن السيبراني بين الوعي والتكنولوجيا والاستراتيجية للتغلب على التهديدات الأكثر ذكاءً.

في المعركة ضد AiTM والتهديدات المتقدمة الأخرى، لا يعد البقاء على اطلاع أمرًا ذكيًا فحسب، بل إنه ضروري أيضًا.