شبكة روبوتات Trik للرسائل المزعجة: انكشاف مرتبط بالبرمجيات الخبيثة في 2018

نوع البيانات المتحقق منه هو عناوين البريد الإلكتروني. ولا ينبغي اعتبار كلمات المرور، أو معلومات بطاقات الدفع، أو أرقام الهوية الرسمية، أو محتويات الرسائل الخاصة، أو العناوين البريدية، أو أرقام الهواتف حقولا متحققا منها في هذه الحادثة. ويجب قراءة تقييم المخاطر في ضوء هذا القيد: فالمعلومات المتاحة لا تمنح وصولا مباشرا إلى محتوى الحساب، لكنها قد تتيح للمهاجمين إرسال رسائل أكثر إقناعا إلى العنوان نفسه، واختبار ما إذا كان العنوان نشطا، ومحاولة إساءة استخدام إجراءات إعادة تعيين كلمة المرور في خدمات مختلفة.

قد يؤدي ظهور عنوان بريد إلكتروني في قائمة كهذه تابعة لشبكة روبوتات إلى زيادة حجم الرسائل المزعجة، ووصول رسائل تحتوي على مرفقات خبيثة، وزيادة الروابط المؤدية إلى صفحات تسجيل دخول مزيفة، ولا سيما في حالة العناوين الشخصية أو المؤسسية المستخدمة منذ سنوات. وتزداد المخاطر إذا ظهر العنوان في تسريبات أخرى مصحوبا بكلمات مرور أو أسماء مستخدمين أو معلومات ملفات شخصية. وبما أن تسريب كلمات المرور لم يتأكد في هذه الحالة، ينبغي أن يتركز الاهتمام الأمني الأساسي على حماية صندوق الوارد، والمصادقة متعددة العوامل، ومنع إعادة استخدام كلمات المرور، والحذر من الرسائل المشبوهة.

يستند السجل إلى قائمة كبيرة من المستلمين انكشفت على خادم التحكم في شبكة الروبوتات. ورغم احتمال وجود اختلافات في الأعداد الخام، فقد اعتُمد 43,432,346 حسابا بوصفه العدد الموحد للنطاق المتحقق منه. ويجب تقييم الحادثة في سياق شبكة الروبوتات والرسائل المزعجة التي تحمل برمجيات خبيثة؛ فوجود اسم مستخدم في هذه القائمة وحده لا يدل على أن برمجية Trik الخبيثة أصابت جهاز المستخدم، أو أن حسابه في موقع معين تعرض للاختراق. والتفسير الذي يمكن الاعتماد عليه هو أن العنوان مدرج ضمن مجموعة من عناوين البريد الإلكتروني قد تُستهدف بتوزيع رسائل خبيثة.

تُرك اسم النطاق فارغا لأن الحادثة لا تبدو ناتجة عن اختراق قاعدة بيانات عملاء موقع تجاري واحد. كما تُرك بلد الشركة فارغا لعدم ارتباط الحادثة بمقر رئيسي لشركة تم التحقق منه. وتقتصر فئة البيانات تحديدا على عناوين البريد الإلكتروني. وهذا القيد ضروري لتوضيح المخاطر الفعلية دون إثارة ذعر غير لازم لدى المستخدم: فالحادثة ليست تسريبا منخفض القيمة لاسم نطاق، لكن لا ينبغي توسيع وصفها ليشمل ادعاءات غير متحقق منها بشأن كلمات المرور أو المعلومات المالية أو وثائق الهوية.

تشمل الفئة الأكثر عرضة للخطر الأشخاص الذين يستخدمون عنوان البريد الإلكتروني نفسه منذ فترة طويلة، أو يشاركونه بوصفه عنوان حساب عمل، أو يديرون صندوق بريد لدعم العملاء، أو يسجلون في خدمات كثيرة عبر الإنترنت بالعنوان نفسه. وقد يتلقى هؤلاء مزيدا من الرسائل المزعجة ورسائل التصيد الموجهة. وبالنسبة إلى مستخدمي المؤسسات، تزداد المخاطر عندما يرسل المهاجمون مرفقات خبيثة مستخدمين أسماء الأقسام أو صناديق البريد العامة أو عناوين الموظفين. ولا يعني وجود عنوان في القائمة الوصول إلى شبكة المؤسسة، لكنه إشارة معقولة تدعو فريق الأمن إلى تعزيز مرشحات الرسائل الواردة وتوعية المستخدمين.

تتمثل العواقب الأرجح للمستخدمين الأفراد في تلقي رسائل على هيئة إشعارات تسليم مزيفة، أو تنبيهات حسابات، أو رسائل تنتحل هوية البنوك، أو إشعارات تجديد اشتراكات، أو دعوات لمشاركة ملفات. وإذا كان العنوان قد ظهر سابقا في تسريبات أخرى مصحوبا بكلمة مرور، فقد يضيف المهاجمون أيضا هجمات تخمين كلمات المرور. لذلك، لا ينبغي النظر إلى حادثة شبكة روبوتات Trik للرسائل المزعجة على أنها مجرد مسألة تنظيف البريد من الرسائل المزعجة؛ بل ينبغي أيضا فحص إعدادات الأمان الأساسية للحسابات التي تستخدم العنوان نفسه.

الخطوة الأولى هي التأكد من استخدام كلمة مرور قوية وفريدة لحساب البريد الإلكتروني المعني. وإذا كانت كلمة المرور نفسها مستخدمة في خدمات أخرى، فينبغي تعيين كلمة مرور مستقلة لكل حساب، ويُفضل استخدام مدير كلمات مرور. ونظرا إلى أن حساب البريد الإلكتروني محور أساسي لروابط إعادة تعيين كلمات المرور، ينبغي تفعيل المصادقة متعددة العوامل. ويُنصح، إن أمكن، باستخدام خيارات مقاومة للتصيد، مثل تطبيق مصادقة أو مفتاح أمان.

ينبغي توخي مزيد من الحذر تجاه الرسائل الواردة التي تحتوي على مرفقات، أو تطلب روابط تسجيل الدخول، أو تضغط على المستخدم لإجراء دفعات. ويجب عدم فتح ملفات من مرسلين مجهولين أو النقر مباشرة على الروابط، والتحقق من تنبيهات الحسابات بإدخال عنوان الخدمة المعنية يدويا في المتصفح. وعلى فرق المؤسسات مراجعة قواعد بوابة البريد، وآليات حظر المرفقات الخبيثة، وضوابط منع انتحال النطاقات، ومسارات تنبيه الموظفين بالنسبة إلى العناوين المرتبطة بهذه الحادثة. وينبغي خصوصا التدقيق بدرجة أكبر في المستندات التي تحتوي على وحدات ماكرو، والملفات المضغوطة، والروابط المختصرة.

الهدف على المدى الطويل هو تقبل أن انكشاف عنوان البريد الإلكتروني قد يصبح أمرا لا مفر منه، وجعل أمان الحساب مستقلا عن خصوصية العنوان. وينبغي اعتبار كلمة مرور فريدة، ومصادقة متعددة العوامل، والتحقق من بريد الاسترداد، والمحافظة على تحديث وسائل حماية الأجهزة، متطلبات أساسية لكل حساب مهم. وفي حسابات العمل، ينبغي متابعة فحوص DMARC وSPF وDKIM، وقواعد الفحص الإضافية، وعلامات التحذير، وعمليات التحقق من أمان الاتصال بانتظام.

لا يزول أثر وجود عنوان في قوائم الرسائل المزعجة طويلة الأمد بالكامل بمجرد تغيير كلمة المرور مرة واحدة. وينبغي للمستخدم أن يحافظ على الحذر من المرفقات غير المتوقعة في صندوق الوارد، وطلبات الدفع العاجلة، والتنبيهات الأمنية المزيفة، ومحاولات تقليد العلامات التجارية. أما المؤسسات، فعليها ألا تنظر إلى هذه القوائم بوصفها مؤشرا على خطأ المستخدم فحسب، بل أيضا بوصفها إشارة خارجية يستخدمها المهاجمون في اختيار الأهداف. ويصبح التحكم في المخاطر أفضل عندما تعمل إجراءات التدريب والتصفية التقنية والإبلاغ عن الحوادث معا.

على المستخدم الذي يرى النتيجة ذات الصلة في LeakData أن يحدد أولا الحسابات التي يُستخدم فيها عنوان البريد الإلكتروني المعني، وأن يعطي الأولوية للخدمات الأكثر أهمية. وينبغي البدء بفحص خدمات مثل حساب البريد الإلكتروني، والخدمات المصرفية، ووسائل التواصل الاجتماعي، والتخزين السحابي، وأنظمة العمل، وإدارة النطاقات. ولكل خدمة، ينبغي مراجعة استخدام كلمات مرور فريدة، والجلسات النشطة، وخيارات الاسترداد، وحالة المصادقة متعددة العوامل.

لا تفيد هذه الحادثة بأن كلمة مرور المستخدم قد تسربت حتما، لكنها تشير بقوة إلى احتمال استخدام عنوانه لإرسال رسائل خبيثة. والتصرف الأنسب هو الحفاظ على الهدوء وتعزيز أمان صندوق الوارد، والتوقف عن إعادة استخدام كلمات المرور، وتجنب الروابط المشبوهة، والتحقق أيضا من أنواع البيانات التي ظهر معها العنوان نفسه في تسريبات أخرى. وبهذه الطريقة، يمكن اتخاذ قرار أمني أدق لا يستند إلى قائمة شبكة الروبوتات هذه وحدها، بل إلى السجل العام للمخاطر المرتبطة بالعنوان.