قراصنة يخدعون موظفي الشركات لسرقة البيانات

قالت شركة Google يوم الأربعاء إن القراصنة يخدعون الموظفين في الشركات في أوروبا والأمريكتين لتثبيت نسخة معدلة من تطبيق مرتبط بـ Salesforce، مما يسمح للقراصنة بسرقة رزم من البيانات والوصول إلى الخدمات السحابية الأخرى للشركات وابتزاز تلك الشركات.

وقال الباحثون إن القراصنة الذين تتبعتهم مجموعة Google Threat Intelligence Group باسم UNC6040 "أثبتوا فعالية خاصة في خداع الموظفين" لتثبيت نسخة معدلة من تطبيق Salesforce's Data Loader، وهي أداة خاصة تُستخدم لاستيراد البيانات بالجملة إلى بيئات Salesforce.

ويستخدم المخترقون مكالمات صوتية لخداع الموظفين لزيارة صفحة إعداد تطبيق مزعوم متصل بـ Salesforce للموافقة على النسخة المعدلة غير المصرح بها من التطبيق، والتي أنشأها المخترقون لمحاكاة أداة تحميل البيانات.

وقال الباحثون إنه إذا قام الموظف بتثبيت التطبيق، يكتسب المخترقون "قدرات كبيرة للوصول إلى المعلومات الحساسة والاستعلام عنها واستخراجها مباشرة من بيئات عملاء Salesforce المخترقة".

كما يمنح هذا الوصول في كثير من الأحيان المخترقين القدرة على التنقل عبر شبكة العميل، مما يتيح لهم شن هجمات على الخدمات السحابية الأخرى والشبكات الداخلية للشركة.

وقال الباحثان إن البنية التحتية التقنية المرتبطة بالحملة تشترك في خصائصها مع الخصائص التي يشتبه في ارتباطها بمنظومة أوسع نطاقًا وفضفاضة التنظيم تُعرف باسم "ذا كوم"، والمعروفة بمجموعات صغيرة ومتباينة تنخرط في أنشطة إجرامية إلكترونية وأحيانًا عنيفة.

وقال متحدث باسم Google إن ما يقرب من 20 منظمة تأثرت بحملة UNC6040، والتي تم رصدها على مدى الأشهر العديدة الماضية. وقال المتحدث إن مجموعة فرعية من تلك المنظمات نجحت في استخراج بياناتها بنجاح.

وقال متحدث باسم شركة سيلزفورس في رسالة بالبريد الإلكتروني أنه "لا يوجد ما يشير إلى أن المشكلة الموصوفة تنبع من أي ثغرة متأصلة في منصتنا." وقال المتحدث إن المكالمات الصوتية المستخدمة لخداع الموظفين "هي حيل هندسة اجتماعية مستهدفة مصممة لاستغلال الثغرات في وعي المستخدمين الأفراد بالأمن الإلكتروني وأفضل الممارسات".

ورفض المتحدث الإفصاح عن العدد المحدد للعملاء المتأثرين، لكنه قال إن شركة Salesforce "على علم بمجموعة فرعية صغيرة فقط من العملاء المتأثرين"، وقال إنها "ليست مشكلة واسعة الانتشار".

حذرت شركة Salesforce العملاء من هجمات التصيد الصوتي أو "التصيد الاحتيالي" ومن القراصنة الذين يسيئون استخدام الإصدارات الخبيثة والمعدلة من برنامج تحميل البيانات في منشور مدونة في مارس 2025.