تصاعد عمليات احتيال انتحال الهوية على مواقع الويب، والحلول غير كافية: دراسة

أصبحت عمليات الاحتيال التي تنتحل هوية مواقع الويب مشكلة متنامية، على الرغم من أن العديد من الشركات ليست راضية عن الأدوات المتوفرة لديها للتعامل معها.

وجدت دراسة صدرت يوم الثلاثاء من قبل شركة حلول الحماية من المخاطر الرقمية Memcyco أن ما يقرب من ثلاثة أرباع الشركات قد نشرت حلاً للحماية من الانتحال الرقمي لتجنب عمليات الاحتيال عبر الإنترنت، لكن 6٪ من تلك المؤسسات راضية عن أنه يحميها وعملائها. وقال عيران تسور، مدير التسويق في Memcyco، لـ TechNewsWorld: “هذا أمر صادم حقًا”.

ووفقاً للدراسة، فإن أكثر من ثلثي الشركات (68٪) تعرف أن مواقعها الإلكترونية يتم انتحال هويتها، ويعرف ما يقرب من النصف (44٪) أن هذا يؤثر بشكل مباشر على عملائها. وتستند الدراسة إلى دراسة استقصائية شملت 200 موظف بدوام كامل من المديرين إلى المستوى التنفيذي في مجالات الأمن والاحتيال والصناعات الرقمية والويب في الولايات المتحدة والمملكة المتحدة.

قال ماثيو كوروين، المدير الإداري لشركة Guidepost Solutions، وهي شركة عالمية للأمن والامتثال والتحقيقات: “يمكن أن يؤدي موقع الويب المخادع إلى خسائر مالية كبيرة للعملاء إذا تم خداعهم لتقديم بيانات اعتماد تسجيل الدخول أو معلومات شخصية حساسة”.

وقال لـ TechNewsWorld: “يمكن أن تتضرر سمعة العلامة التجارية بشدة إذا وقع العملاء ضحية لعمليات الاحتيال التي يتم ارتكابها من خلال موقع ويب منتحل، مما يؤدي إلى تآكل الثقة في الشركة”.

يمكن أن تؤدي عملية احتيال انتحال هوية موقع الويب إلى الإضرار بما هو أكثر من سمعة الشركة. وقال تيد ميراكو، الرئيس التنفيذي لشركة Approov Mobile Security، وهي شركة عالمية لأمن تطبيقات الهاتف المحمول، لـ TechNewsWorld: “يمكن أن تكون هناك أيضًا خسائر مالية مباشرة نتيجة للاحتيال، بالإضافة إلى تكاليف غير مباشرة تتعلق بالمعالجة والرسوم القانونية وربما بعض تعويضات العملاء”.

الاعتماد على تقارير العملاء للكشف

ووجدت الدراسة أيضًا أن الطريقة الأكثر شيوعًا لعلم ثلثي (66٪) الشركات التي شملتها الدراسة بهجمات انتحال هوية مواقع الويب كانت من خلال تقارير الحوادث الواردة من العملاء المتأثرين. وقال تسور: “هذا أمر لا يصدق”. “ليس فقط أن الحلول المنشورة لا تحمي أو تمنع هذه الهجمات، بل إن المنظمات ليس لديها أدنى فكرة عما إذا كانت هذه الهجمات قد حدثت أم لا.”

وأشار كوروين من شركة Guidepost Solutions إلى أن الشركات التي تعتمد بشكل أساسي على تقارير العملاء للكشف عن عمليات احتيال انتحال الشخصية قد تفوت التحذيرات المبكرة الحاسمة وفرصة الدفاع ضد التهديدات الناشئة بشكل استباقي. وقال: “إن النهج التفاعلي يضع العبء على العملاء، مما قد يؤدي إلى الإضرار بعلاقاتهم وثقتهم”.

وأضاف Miracco من Approov: “إن التعرف على عمليات الاحتيال من العملاء يعني أن الهجوم قد أثر بالفعل على الأفراد، مما تسبب في ضرر حتى قبل أن يبدأ التخفيف”. “إن عمليات الفحص المنتظمة هي البديل الوحيد الذي قد يؤدي إلى إزالة مواقع الويب المزيفة التي تحاكي علامة تجارية ما، ولكن هذا يمثل تحديًا، حيث يتعين عليك توقع الأحداث قبل حدوثها.”

وقال: “إن العمل من خلال تقارير العملاء هو نهج رد الفعل، وليس نهجا استباقيا”. لست متأكدًا من وجود دفاع كافٍ حتى الآن، لذلك يحتاج المستخدمون إلى أن يكونوا متعلمين وأكثر حذرًا قبل الرد على رسائل البريد الإلكتروني التي تبدو مشروعة.

والنتيجة الأكثر إثارة للقلق التي توصلت إليها الدراسة هي أن أكثر من 37% من الشركات قالت إنها أصبحت على دراية بمواقع الويب المزيفة لأول مرة عندما قام العملاء المتأثرون بعمليات الاحتيال المرتبطة بالتصيد بنشر تجربتهم على وسائل التواصل الاجتماعي، وهي ممارسة تُعرف باسم “التشهير بالعلامة التجارية”.

وتساءلت الدراسة عن مدى قدرة الشركات على الاعتماد على العملاء كمصدر رئيسي لمعلومات التهديدات باستخدام الذكاء الاصطناعي وأدوات التصيد المتوفرة بشكل متزايد وجاهزة للاستخدام.

“بفضل هذه المجموعات، يصبح كل شيء آليًا بالكامل،” كما لاحظ تسور من شركة Memcyco. “يمكنك إطلاقه ونسيانه.”

أسوأ كابوس للأمن السيبراني

وأوضح كوروين أن إمكانية الوصول إلى الأدوات المعتمدة على الذكاء الاصطناعي ومجموعات التصيد المعبأة مسبقًا تعني أنه حتى الأفراد الأقل مهارة من الناحية التقنية يمكنهم تنفيذ هجمات انتحال شخصية مقنعة. وقال: “يمكن لأدوات التصيد المعززة بالذكاء الاصطناعي أن تحاكي مواقع الويب الشرعية بشكل أكثر دقة، وتخدع حتى المستخدمين الأكثر يقظة وتضخيم مشهد التهديدات”.

وتابع: “في كثير من الأحيان، يستغل مجرمو الإنترنت أيضًا أسماء النطاقات التي تظهر تقريبًا مثل العنوان الشرعي لشركة أو علامة تجارية ولكنها تحتوي على اختلافات أو أخطاء طفيفة، تُعرف باسم “combosquatting” أو “typosquatting”.

وأضاف ميراكو: “الذكاء الاصطناعي خطير للغاية”. “هذه الأدوات سهلة الاستخدام للغاية، حتى بالنسبة للأفراد الذين ليس لديهم مهارات تقنية، مما يسمح لأي شخص تقريبًا بإنشاء حملات تصيد معقدة. إنه أسوأ كابوس للأمن السيبراني لدينا أصبح حقيقة – يتم تسليمه يدويًا من قبل الشركات التي تتحدث عن مدى روعة الذكاء الاصطناعي. ومن المؤسف أن المتبنين الأوائل لمعظم التقنيات هم جهات فاعلة سيئة.

أشار باتريك هار، الرئيس التنفيذي لشركة SlashNext، وهي شركة لأمن الشبكات في بليزانتون، كاليفورنيا، إلى أن عمليات انتحال هوية مواقع الويب موجودة منذ ولادة الويب.

وقال: “كان من السهل عادة اكتشافها من قبل أي مستخدم تقريبًا”. “ما تغير مؤخرًا هو شيئين: قيام المتصيدين بالاستيلاء على النطاقات المشروعة، واستخدام المتصيدين أدوات التصيد والذكاء الاصطناعي لإنشاء صفحات ويب شبه مثالية.”

وأكد أنه “بدون التدابير المضادة للرؤية الحاسوبية المستندة إلى الذكاء الاصطناعي، سيكون من الصعب جدًا تمييزها وستجعل الجهات الفاعلة في التهديد أكثر نجاحًا، وليس أقل”.

استراتيجيات مكافحة عمليات الاحتيال التي تنتحل شخصية موقع الويب

أوصى روجر غرايمز، وهو مبشر دفاعي لشركة KnowBe4، وهي شركة تقدم التدريب على التوعية الأمنية في كليرووتر بولاية فلوريدا، بأن تقوم كل شركة ترسل رسائل بريد إلكتروني بتنفيذ DMARC وSPF وDKIM، وهي معايير عالمية لمكافحة التصيد الاحتيالي. وقال لـ TechNewsWorld: “إنهم يحاولون التغلب على رسائل البريد الإلكتروني والروابط الضارة التي تدعي أنها من مجال الإرسال الشرعي”.

وأوضح قائلاً: “على سبيل المثال، إذا تلقيت رسالة بريد إلكتروني تدعي أنها من Microsoft، فيمكن لخادم/عميل البريد الإلكتروني للمستلم استخدام DMARC وSPF وDKIM لمعرفة ما إذا كان البريد الإلكتروني قد صدر بالفعل من Microsoft.”

وأوصى Miracco بأن تتأكد مواقع الشركة على الويب من تشفير كل حركة مرور الويب باستخدام شهادات SSL/TLS لتجعل من الصعب على المهاجمين اعتراض الاتصالات وانتحالها.

وأضاف أن تطبيقات الهاتف المحمول يجب أن تنفذ آليات التصديق للتحقق من سلامتها والتأكد من أن التفاعلات مع واجهات برمجة التطبيقات الخلفية تنشأ فقط من مثيلات مشروعة وغير معدلة للتطبيق. ويجب عليهم أيضًا الاستعانة بخدمات استخبارات التهديدات التي يمكنها مراقبة مجموعات التصيد الاحتيالي والنطاقات المزيفة ومؤشرات انتحال الشخصية الأخرى.

لمواجهة أساليب مثل typosquatting، أشار كوروين إلى أنه يمكن للشركات تسجيل اختلافات واضحة أو أخطاء إملائية محتملة في النطاقات الحالية، بما في ذلك الأسماء الموصولة، وامتدادات النطاقات الشائعة الأخرى، والأحرف خارج الترتيب قليلاً.

وقال: “هناك خدمات مراقبة العلامات التجارية التي ستراقب مواقع التصيد والنطاقات الجديدة التي تحتوي على ملكية فكرية للشركة، وسيساعد بعضها أيضًا في خدمات إزالة النطاق تلقائيًا”. “قد يساعد ذلك بعض الشركات، ولكن لسوء الحظ، نظرًا لوجود العديد من الاختلافات المحتملة لأسماء النطاق والأدوات الحالية التي تجعل من السهل جدًا إنشاء مواقع التصيد الاحتيالي هذه، فمن المرجح أن يستمر الخطر.”

وأضاف ميراكو أنه لا ينبغي للشركات أن تركز فقط على الدفاعات التكنولوجية، بل يجب عليها أيضًا تعزيز ثقافة الوعي الأمني ​​بين الموظفين والعملاء.

وقال: “إن عمليات الاحتيال التي تنتحل هوية مواقع الويب تمثل تهديدًا سريع التطور ويتطلب نهجًا متعدد الأوجه”. لقد مكّن الذكاء الاصطناعي من حل هذه المشكلة، ونأمل أن نقوم في المستقبل القريب بنشر حلول مدعومة بالذكاء الاصطناعي يمكنها منع المستخدمين من ارتكاب أخطاء مكلفة مع موقع مزيف.