تصيد شركات التأمين: هجوم لحظي يخترق الحسابات عبر إعلانات Google

مقدمة تحليلية

كشفت أبحاث CTM360 الصادرة بتاريخ 27 يوليو 2026 عن تحوّل جذري في حملات التصيد الاحتيالي التي تستهدف شركات التأمين. لم يعد المهاجمون يكتفون بجمع بيانات الاعتماد للاستخدام اللاحق؛ بل باتت العمليات تتزامن لحظياً مع تسجيل دخول الضحية، مما يمكن من اختراق الحسابات في جلسة تصفح واحدة. هذه الاستراتيجية الجديدة استهدفت بشكل أساسي المملكة العربية السعودية، مع رصد نشاط إضافي في أوروبا والولايات المتحدة والهند. التحول يعكس تآكل الفجوة الزمنية التقليدية بين سرقة البيانات والاستغلال، مما يفرض تحديات أمنية فورية على قطاع التأمين.

التحليل التقني

النموذج السابق لهجمات التصيد على المؤسسات المالية كان يعتمد على جمع أسماء المستخدمين وكلمات المرور لاختراق الحسابات لاحقاً. لكن التحقيقات الحديثة في عمليات التصيد المتعلقة بالتأمين أظهرت منهجية أكثر مباشرة. يستخدم المهاجمون الآن مزامنة نشاطهم مع الضحايا في الوقت الفعلي، حيث يقومون بالمصادقة على بوابات التأمين الشرعية بينما يقوم الضحايا بإكمال عملية تسجيل الدخول دون علمهم. تستغل هذه الطريقة الثغرة الزمنية القصيرة بين إدخال البيانات والتأكيد عليها. تتضمن الآليات التقنية الملاحظة:

• ناقل الهجوم الأولي: إعلانات Google المدفوعة، بدلاً من رسائل البريد الإلكتروني أو الرسائل القصيرة. يتم شراء إعلانات تظهر عند البحث عن عروض التأمين، موجهة إلى مواقع تصيد تحاكي بدقة مواقع الشركات الأصلية.
• البنية التحتية المتصرفة: استخدام منشئي مواقع الويب الشرعية ومنصات الاستضافة المجانية مثل GitHub Pages، Netlify، Hostinger، Wix، و Lovable. تعتمد الحملات على نطاقات عشوائية لا تشبه علامات التأمين التجارية، مما يسمح بالتناوب السريع ويقلل من فعالية مراقبة العلامات التجارية التقليدية.
• اختراق الحساب في الوقت الفعلي: لا تقتصر صفحات التصيد على جمع المعلومات، بل تعمل كوسيط مباشر بين الضحية والخدمة الأصلية. عندما يطلب مزود التأمين كلمة مرور لمرة واحدة (OTP) أو تحدياً آخر للتحقق، تطلب صفحة التصيد الرمز من الضحية، ثم يتم تمريره فوراً إلى البوابة الشرعية قبل انتهاء صلاحيته، مما يمكن المهاجم من إكمال المصادقة.
• أدوات التصيد المتقدمة: تحديد مجموعة أدوات تصيد جديدة وغير موثقة باسم InsureOTP Kit. صُممت هذه المجموعة خصيصاً لعمليات التصيد المتعلقة بالتأمين، وتقدم:
• إدارة الجلسات الحية للضحايا.
• جمع البيانات في الوقت الفعلي.
• لوحات تحكم إدارية خلفية.
• سير عمل الموافقة اليدوية.
• تتبع الجلسات.
• تكاملات Telegram Bot لاستقبال البيانات فوراً.
• اتصال مباشر بخوادم API الخلفية.
• معالجة رموز OTP الحية.
• تحليل البنية التحتية: سمح تحليل موارد الواجهة الخلفية المكشوفة، بما في ذلك المكونات الإدارية ورمز المصدر وقواعد بيانات SQLite، لـ CTM360 بفهم أعمق لكيفية عمل إطار التصيد. هذا يبرهن على أن فهم بنية الهجوم أعمق من مجرد تحديد الصفحات الخبيثة.

السياق وتأثير السوق

لقد أصبحت شركات التأمين هدفاً جذاباً بشكل متزايد بسبب توسع خدماتها عبر الإنترنت. فبوابات التأمين الرقمية تحتوي على معلومات شخصية واسعة، ووثائق هوية، وسجلات بوالص التأمين، وطرق دفع. هذه البيانات تتجاوز مجرد المعاملات المالية، وتدعم عمليات الاحتيال المعقدة التي تتعدى الاختراق الأولي للحساب. على النقيض من الهجمات المصرفية التقليدية التي تركز على الأموال، يوفر اختراق حسابات التأمين قاعدة بيانات غنية للسرقة وهندسة الاحتيال المستقبلي. يعكس هذا التطور تحولاً أوسع في مجال الأمن السيبراني. لم يعد تحديد مواقع الويب الخبيثة أو نطاقات انتحال الهوية كافياً. تحتاج المؤسسات بشكل متزايد إلى فهم البنية التحتية، والتقنيات، وسير العمليات التي تقف وراء هذه الهجمات. فقد أظهرت CTM360 هذا التحول من منصة حماية المخاطر الرقمية (DRP) إلى منصة استخبارات التهديدات السيبرانية (CTI)، وحصلت على تقدير في تقرير Gartner's Magic Quadrant™ لتقنيات استخبارات التهديدات السيبرانية. هذا التطور يؤكد أن السوق يتجه نحو حلول توفر رؤى سياقية تربط البنية التحتية وسير عمل المهاجمين وأدواتهم وسلوك الحملة، بدلاً من مجرد مؤشرات فردية للتهديد.

رؤية Glitch4Techs

التركيز على "الاختراق في وقت الجلسة" (session-time compromise) يمثل ارتقاءً مقلقاً في فعالية التصيد الاحتيالي، ويجعل الافتراضات الأمنية التقليدية عتيقة. لم تعد هناك فجوة زمنية بين سرقة بيانات الاعتماد واستغلال الحساب؛ فالمهاجمون يحققون الوصول خلال عملية المصادقة النشطة للضحية. هذا التحول يعني أن الدفاعات التي تعتمد على الكشف المتأخر عن نطاقات التصيد أو المراقبة بعد الواقعة ستصبح عاجزة. الاستثمار في حلول تراقب الإعلانات المدفوعة التي تسيء استخدام العلامات التجارية، والبنية التحتية المؤقتة المستضافة سحابياً، وأنماط المصادقة التي تشير إلى اعتراض OTP في الوقت الفعلي هو ضرورة عملية، وإلا فإن الأنظمة الحالية ستفشل في التصدي لهذا التهديد المتقدم.