مايكروسوفت تعطل خدمة الصيد الاحتيالي AI EvilTokens بعد اختراق أكثر من 12 000 حساب

في الثاني والعشرين من سبتمبر عام 2026، كشفت شركة مايكروسوفت عن نجاح عملية مشتركة مع هيئات إنفاذ القانون وشركاء رئيسيين في قطاع التكنولوجيا، أدت إلى إسقاط البنية التحتية الأساسية لمنصة EvilTokens، وهي خدمة صيد احتيالي تُعرف بـ PhaaS (Phishing‑as‑a‑Service) وقد كانت نشطة منذ فبراير من نفس السنة، مما أوقف نشاطها تماماً.

كيفية استغلال EvilTokens لتدفق رمز الجهاز OAuth 2.0

اعتمدت منصة EvilTokens على تدفق رمز الجهاز OAuth 2.0، وهو آلية مصادقة شرعية صممت لتسهيل تسجيل الدخول إلى الأجهزة التي لا تمتلك متصفحاً. قام المهاجمون بإرسال ضحاياهم إلى صفحة تسجيل الدخول الأصلية لمايكروسوفت، حيث أدخلوا رمزاً قصيراً يُظهر على شاشة الجهاز المستهدف، ثم منحتهم الخدمة رمز وصول (access token) دون الحاجة إلى إدخال كلمة المرور الفعلية.

وبما أن رمز الوصول تم إصداره من خادم التفويض الخاص بمايكروسوفت، فإن أنظمة الكشف التقليدية التي تعتمد على مراقبة محاولات الدخول باستخدام كلمة المرور لم تتمكن من التعرف على هذا النشاط غير المألوف. ومنح الرمز المهاجم صلاحيات قراءة وكتابة داخل صندوق بريد الضحية، ما أتاح له استخراج كميات هائلة من البيانات وتقمص هوية المستخدم بطريقة شبه كاملة.

استطلاع مستهدف مدعوم بالذكاء الاصطناعي

دمجت EvilTokens نماذج ذكاء اصطناعي مخصصة تم تدريبها على مسح الصناديق المخترقة تلقائياً، ورسم علاقات داخلية بين الحسابات، وتحديد المستندات ذات القيمة العالية مثل الفواتير والبيانات البنكية. بعد ذلك، قام الذكاء الاصطناعي بإنشاء رسائل صيد موجهة إلى الضحايا الثانويين، ما أدى إلى رفع معدل نجاح الهجمات اللاحقة بشكل ملحوظ.

كان المشغلون يروجون لهذه الخدمة عبر قناة Telegram، حيث أعلنوا عن رسوم دخول أولية تصل إلى 1500 دولار أمريكي، بالإضافة إلى اشتراك شهري بقيمة 500 دولار. كما تم بيع وحدات إضافية كخدمات منفصلة، مثل جمع بيانات الاعتماد بالجملة وتزوير الفواتير تلقائياً، ما شكل مصدر دخل مستمر يدعم تطوير أدوات الذكاء الاصطناعي المتقدمة.

• حظر تدفق رمز الجهاز OAuth عندما لا يكون ضرورياً للسيناريوهات الشرعية
• تنفيذ مراقبة مستمرة لإصدار الرموز ونشاط الصناديق غير الطبيعي
• اعتماد طرق مصادقة مقاومة للصيد مثل مفاتيح الأمان FIDO2 أو المفاتيح الرقمية
• فرض سياسات وصول مشروطة تتطلب المصادقة متعددة العوامل للتطبيقات ذات المخاطر العالية

إجراءات إنفاذ القانون والتهديدات المتبقية

أدت عمليات الإغلاق المنسقة إلى حجز خمسين موقع استضافة وإغلاق أكثر من مئة وخمسين نطاقاً مرتبطاً بخدمات EvilTokens. كما تم اعتقال مشتبهين يبلغان من العمر 32 و38 عاماً في المملكة المتحدة، وتم الإفراج عنهما بكفالة انتظاراً لإكمال التحقيقات الجنائية.

أفاد موقع BleepingComputer أن العملية التي نفذتها مايكروسوفت كانت تهدف إلى إحداث إزعاج كبير للمجرمين وليس القضاء الكامل على البنية التحتية. فقد ظهرت خدمات متماثلة مثل APToken، ما يدل على استمرار جاذبية نموذج الأعمال القائم على الصيد الاحتيالي للجهات الإجرامية.

شملت استجابة مايكروسوفت أيضاً إصدار توقيعات كشف خاصة لمنصات إدارة المعلومات والأحداث الأمنية (SIEM)، لتمكين المؤسسات من التعرف سريعاً على الرموز الصادرة عبر تدفق رمز الجهاز المخترق، وبالتالي اتخاذ إجراءات فورية للحد من الأضرار.

دعت الشركة عملائها إلى مراجعة سجلات تطبيقات OAuth بشكل دوري، وإلغاء أي رموز غير معروفة أو غير مستخدمة، وتطبيق خطوات التعزيز الموصى بها مثل تفعيل مراقبة السلوك غير الاعتيادي وتطبيق سياسات الوصول الأقل امتيازاً.

تأثير التعطيل على المؤسسات العربية

بالنسبة للمنظمات التي تتعامل باللغة العربية، يمثل تعطيل مايكروسوفت لمنصة EvilTokens خطرًا فوريًا من خلال إيقاف بنية الخدمة الفعالة، بالإضافة إلى فرصة للانتقال إلى نماذج مصادقة أقوى وحوكمة أكثر صرامة للرموز، ما يحد من فرص نجاح هجمات الصيد ويقلل من تكلفة الاستجابة للحوادث.

من الناحية العملية، سيتطلب التحول إلى إجراءات أمان أكثر صرامة مراجعة شاملة للبيئات السحابية، وتحديث سياسات إدارة الهوية، وتدريب الفرق التقنية على التعرف على سلوكيات الشبه-آلية التي قد تشير إلى استغلال تدفق رمز الجهاز.

تؤكد مايكروسوفت أن هذه الخطوات هي جزء من استراتيجية أوسع لتعزيز أمان سلاسل الهوية الرقمية، وتعمل على توحيد معايير المصادقة عبر مختلف الخدمات السحابية لتقليل الفجوات التي يستغلها المهاجمون.

في ضوء هذه التطورات، يُنصح المسؤولون الأمنيون بتكثيف عمليات التدقيق الداخلي، وتفعيل تقارير التحليلات السلوكية، وتطبيق سياسات الحد من الصلاحيات لضمان أن أي رمز وصول يتم منحه لا يتجاوز الحد الأدنى الضروري للوظيفة المطلوبة.

تجدر الإشارة إلى أن مايكروسوفت ستستمر في مراقبة المشهد التهديدي وتحديث آليات الحماية بناءً على المعلومات التي تجمعها من الشركاء والهيئات الأمنية، لضمان استجابة سريعة وفعالة أمام أي محاولات جديدة لاستغلال تدفق رمز الجهاز أو أي آلية مصادقة أخرى.

ختاماً، يمثل تعطيل EvilTokens خطوة حاسمة في مسار مكافحة الصيد الاحتيالي المدعوم بالذكاء الاصطناعي، ويؤكد التزام مايكروسوفت بتوفير بيئة هوية رقمية أكثر أماناً للمؤسسات والشركات في جميع أنحاء العالم.