1- عندما تتحول بطاقات الهدايا إلى كنز رقمي
في عالم ينتقل بسرعة نحو التحول الرقمي، تبتكرالشراكات الكبرى وسائل دفع بديلة مثل بطاقات الهدايا الرقمية المعروفة بال:gift cards هذه البطاقات عبارة عن رموز قابلة للتداول و المقايضة و وسيلة دفع مقبولة لدى المتاجر الإلكترونية الكبرى ولها أسواق لبيعها و تبادلها إذ تقدر قيمتها السوقية بنحو واحد ترليون دولار في سنة 2025 ويقدر أن تتجاوز قيمة هدا السوق 5 ترليون دولار في العشر سنوات القادمة .غير أن مجموعة قراصنة مغربية تعرف باسم “storm-0539” حولت هذا السوق الى منجم ذهب تحقق منه أرباح خيالية عن طريق عمليات احتيال رقمية و قرصنة متقدمة تعتمد على الخدمات السحابية cloud computing and cloud hosting لإصدار هذه البطاقات بأعداد كبيرة ونهب الشركات الكبرى وإلحاق خسائر مادية بها تتجاوز المائة مليون سنتيم ما جعل ميكروسوفت و مكتب التحقيقات الفيديرالي يعتبرها أكبر تهديد الكتروني يخرج من قارة إفريقيا وتصنيفها ك Threat factor
و تقدر شركة “مايكروسوفت”، التي تتعقب هذه المجموعة عن كثب، أن أنشطتها أدت إلى زيادة بنسبة 30% بين مارس وماي من سنة 2024 ، و تكثر هجمات المجموعة خلال المواسم الاحتفالية مثل عيد الشكر و احتفالات السنة الجديدة والعطلات الوطنية الكبرى مثل يوم الاستقلال الأمريكي، حيث تُسجل زيادة في الهجمات تصل إلى 60%، مستغلة نقص الموظفين وارتفاع الإنفاق على الهدايا في تلك الفترات.
2 – داخل العقلية الإجرامية: من وراء “storm-0539″؟
تتكون المجموعة من أفراد ذوي خلفيات متنوعة و مهارات متقدمة في القرصنة و فهم البنية التحتية للشركات السحابية وامتلاك تقنيات جد متقدمة في الهندسة الاجتماعية إلى العلاقات الدولية التي تسهل لهم غسيل هذه البطاقات المقرصنة وتحويلها الى عملات نقدية شرعية أو عملات إلكترونية قابلة للتداول، مما يمكنهم من فهم التقنية والسلوك البشري على حد سواء فضحاياهم ليسوا أشخاص لا يفهمون التقنية أو عجائز يتعرضون للاحتيال التقليدي بل مدراء و رؤساء أقسام لديهم فهم للعمليات الاحتيالات و تلقوا تكوينات ودورات عن طرق كشف الاحتيال الالكتروني و الالتزام بسياسات الخصوصية و الأمن المعلوماتي المتعلق بالشركات التي يعملون بها . و يُوضح في هذا الصدد كبير مديري البحث الأمني في “مايكروسوفت”، أن ما يميز هذه المجموعة هو “إصرارهم ومعرفتهم الدقيقة بعمليات إصدار بطاقات الهدايا. فهم يستهدفون الموظفين المسؤولين عن إصدار البطاقات، ويحصلون على الأدلة الإرشادية الداخلية (الدليل الخاص بالشركة عن مراحل اصدار رمز البطاقة الإلكترونية)، ويصدرون بطاقات بقيم منخفظة لضمان الموافقة عليها والبقاء دون كشف في تغير ملحوظ في استراتجيتهم إذ بدأت المجموعة نشاطها أواخر عام 2021 باستخدام برمجيات خبيثة تستهدف أجهزة نقاط البيع (Point-of-Sale ) ومع تحسن أنظمة الحماية لدى الشركات ضد هذا النوع من الهجمات تحولت المجموعة بشكل كامل نحو الهجمات السحابية و لا يُعتقد أن المجموعة مرتبطة بدولة ما (Non-state Actors) على عكس بعض المجموعات المرتبطة أنشطتها بحكومات دول مثل كوريا الشمالية أو روسيا أو إيران
3 – المنهجية: خطة هجوم متقنة على الخدمات السحابة
أطلق اسم (Jingle Thief) على هذه الحملة الاحتيالية الكبيرة، والتي تميزت بتجنبهم الكامل لاستخدام البرمجيات الخبيثة (Malware) التقليدية التي تتطلب تحميل برنامج على الحاسوب ثم التحكم عن بعد في الجهاز ،بحيث قاموا بالاعتماد بدلاً من ذلك على استغلال حسابات المستخدمين والخدمات السحابية نفسها.و يمكن تلخيص دورة هجومهم في المراحل التالية، والتي تعتمد على الهندسة الاجتماعية (Social Engineering) و (Identity-based Attacks):
التصيد الاحتيالي والتضليل عبر الرسائل القصيرة (Smishing): تبدأ الحملة برسائل إلكترونية أو رسائل نصية قصيرة موجهة بدقة إلى موظفي الشركات المستهدفة، مدعومة بمعلومات مُجمعة مسبقًا عن العلامة التجارية ونماذج البريد الإلكتروني الداخلية. تستخدم هذه الرسائل روابط وهمية تبدو شرعية، وقد تنتهج أحيانًا تقنية التلاعب بعنوان URL حيث يظهر اسم النطاق الشرعي أولاً مثلا: https://company.com@malicious-domain.com، ليخدع المستخدم بأنه متجه إلى موقع آمن.
الدخول المباشر والاستطلاع (Initial Access & Reconnaissance): بعد سرقة بيانات الاعتماد (Credentials)، يقوم المهاجمون بتسجيل الدخول مباشرة إلى حسابات مايكروسوفت 365 (Microsoft 365) دون الحاجة لأي برمجيات خبيثة. داخل المنصة، يركزون جهودهم على خدمات مثل شير بوينت (SharePoint) ووان درايف (OneDrive) للبحث عن وثائق داخلية حساسة، مثل دليل
إجراءات إصدار بطاقات الهدايا، وإرشادات الوصول إلى الشبكات الافتراضية الخاصة (VPN)، وتفاصيل خدمة الزبناء (Ticketing Systems).
التصيد الداخلي ( Internal Phishing): لتعزيز وجودهم، يستخدم المهاجمون الحسابات المخترقة لإرسال رسائل تصيد جديدة لزملاء الضحية داخل المؤسسة نفسها، مما يزيد من مصداقيتها ويوسع نطاق الاختراق.
الحفاظ على الاستمرارية (Persistence via Legitimate Mechanisms): هذه هي الخطوة الأكثر دهاءً. لضمان بقائهم داخل النظام حتى بعد تغيير كلمات المرور، يستغل المهاجمون ميزات في منصة مايكروسوفت مثل (Microsoft Entra ID). حيث يقومون بتسجيل أجهزتهم الخاصة كأجهزة موثوقة، أو يضيفون تطبيقات مصادقة احتيالية (Rogue Authenticator Apps)، مما يمكنهم من تجاوز نظام المصادقة متعددة العوامل (MFA Bypass) بفعالية.
المراقبة والتستر (Monitoring & Obfuscation): يقوم المهاجمون بإعداد قواعد بريدية تلقائية (Inbox Rules) لإعادة توجيه رسائل البريد المتعلقة بالموافقات المالية أو بطاقات الهدايا إلى عناوين بريدية يتحكمون بها. ولإخفاء آثارهم، ينقلون رسائل التصيد المرسلة فوراً من “العناصر المرسلة” إلى “العناصر المحذوفة”، ويعاملون ردود الضحايا بنفس الطريقة، ما يجعل اكتشاف الهجوم من قبل الضحية أو أدوات المراقبة التقليدية أكثر صعوبة.
الهدف النهائي: إصدار البطاقات وتحقيق الأرباح (Gift Card Issuance & Monetization): يشرعون في إصدار بطاقات هدايا غير مصرح بها بقيم منخفظة، غالبًا من خلال برامج إصدار متعددة داخل نفس الشركة. و تحظى بطاقات الهدايا بالأفضلية عند هذه المجموعة لعدة أسباب: سهولة استعمال قيمتها النقدية بسرعة، صعوبة تتبعها، وإمكانية إعادة بيعها في السوق أو استخدامها كضمان في عمليات غسل الأموال، وبهذا يتمكننون من تحويل السرقة الرقمية إلى أموال شرعية يصعب تعقبها.
4 – من المغرب إلى مكتب التحقيات الفديرالي
تشير الأدلة التقنية التي جمعتها كل من “مايكروسوفت” و”بالو ألتو نتوركس” إلى أن نشاط هذه المجموعة جاء بشكل شبه حصري من عناوين بروتوكول إنترنت (IP) مرتبطة بالمملكة المغربية. وعلى عكس العديد من مجموعات القرصنة التي تحاول إخفاء موقعها باستخدام شبكات افتراضية خاصة (VPN)، فإن هؤلاء المهاجمين لم يحاولوا في كثير من الأحيان إخفاء موقعهم الجغرافي، واستخدموا أحيانًا خدمة VPN باسم “ميستيريوم” (Mysterium) عند الوصول إلى الحسابات المخترقة.ويتجاوز تأثير أنشطة “storm-0539” الخسائر المالية المباشرة للشركات المتضررة، التي يمكن أن تصل إلى مئات الآلاف من الدولارات الى تهديدها سلامة المنظومة السحابية العالمية التي تعتمد عليها الشركات بشكل متزايد ونجاحهم في تجاوز أنظمة المصادقة الثنائية (MFA) التي تُعتبر خط الدفاع الأول في مجال الامن المعلوماتي , ما يدق ناقوس الخطر للمؤسسات في جميع أنحاء العالم و يطرح تجديات أمام أجهزة انفاذ القانون في مواجهة الأساليب الذكية والمتقدمة لهذه المجموعة المغربية .
5- معركة غير متكافئة في المنظومة السحابية
ختاما :تُجسد “storm-0539” تحولاً خطيراً في مشهد التهديدات الإلكترونية، حيث تحولت المنظومة السحابية التي صُممت لتعزيز الإنتاجية والمرونة إلى ساحة معركة رئيسية للقراصنة والمحتالين فنجاح هؤلاء المهاجمين المغاربة لا يكمن فقط في مهاراتهم التقنية، بل في فهمهم العميق لسلوكيات المستخدمين وعيوب الأنظمة الداخلية للشركات الكبرى ما يفرض ضرورة تعاون دولي بين القطاع الخاص والحكومات وجهات إنفاذ القانون .
قصة “storm-0539” تكشف أن جبهة الأمن السيبراني لم تعد محصورة في جدران الحماية والخوادم المحلية ، بل انتقلت إلى الفضاء السحابي العابر للحدود، حيث تصبح الهوية الرقمية هي خط الاستهداف الأولي ، والحذر والمراقبة المستمرة هما السلاحان الأكثر فعالية.
