تصيد 'Meta Careers' عبر Calendly يسرق بيانات Facebook وGoogle

مقدمة تحليلية

في 14 أكتوبر 2026، كشفت Malwarebytes Labs عن حملة تصيد إلكتروني متطورة تستهدف بيانات تسجيل الدخول إلى حسابات Facebook وGoogle. تستغل الحملة صفحات حجز مزيفة من Calendly، تدعي أنها خاصة بالتوظيف لدى Meta، لخداع الباحثين عن عمل. هذه الصفحات مصممة لسرقة بيانات الدخول، بما في ذلك رموز المصادقة الثنائية (2FA) الحيوية، وهو ما يمثل تصعيداً في تعقيد هجمات التصيد. لا تقتصر السرقة على كلمات المرور فحسب، بل تمتد لتشمل البيانات الشخصية كأرقام الهواتف والبريد الإلكتروني، مستغلة رغبة الباحثين عن عمل في الحصول على فرص وظيفية.

تؤكد Malwarebytes Labs أن هذه الصفحات لا تتبع لشركات Meta أو Calendly أو Google، ما يجعلها تهديداً مباشراً لمن يتفاعل معها. يواجه الضحايا المحتملون سرقة حساباتهم بالكامل قبل مرور 90 دقيقة من إدخال معلوماتهم.

التحليل التقني

تستند حملة التصيد هذه إلى آلية متدرجة مصممة لمحاكاة عملية حجز مقابلة عمل طبيعية عبر Calendly. تبدأ العملية بزيارة المستخدم لصفحة حجز مزيفة تحمل عنوان “Calendly | Meta Careers”، حيث يختار موعداً لمكالمة هاتفية مدتها 30 دقيقة مع جهة توظيف وهمية. تتكون سلسلة الإجراءات من ست خطوات رئيسية:

• تفاصيل المستخدم: تطلب الصفحة الاسم، عنوان البريد الإلكتروني، رقم الهاتف، وأي معلومات قد “تساعد في التحضير للاجتماع”.
• CAPTCHA مزيف: يُطلب من المستخدمين تحديد صور معينة، مما يضفي شعوراً بالشرعية ويصعّب على الماسحات الأمنية الآلية كشف الخطوات التالية.
• تسجيل دخول Facebook: تظهر نافذة داخل الصفحة تنسخ صفحة تسجيل الدخول لـ Facebook، مع شريط عنوان مزيف يعرض عنوان ويب Facebook. تتضمن النافذة رسائل خطأ واقعية مثل “The login information you entered is incorrect”، وتطلب من المستخدمين التسجيل لـ “Career Profile”.
• رمز أمان Facebook: في حال تفعيل المصادقة الثنائية (2FA)، تطلب الصفحة الرمز من تطبيق المصادقة، الرسائل النصية، WhatsApp، أو البريد الإلكتروني.
• تسجيل دخول Google: تدعي الصفحة أن “Facebook يتطلب منك تسجيل الدخول إلى عنوان Gmail” المرتبط بحسابك. تظهر شاشات Google مزيفة، مرة أخرى تحت شريط عنوان مزيف، تطلب كلمة المرور ثم أي إجراء تطلبه Google (مثل النقر على مطالبة هاتفية، رمز Google Authenticator، رمز رسالة نصية، أو عنوان بريد إلكتروني للاسترداد). جميع البيانات المدخلة ترسل إلى خادم جمع البيانات الخاص بالمهاجمين.
• تأكيد مزيف: في الختام، تخبر الصفحة المستخدم بإرسال دعوة تقويم وبأنه سيتلقى رداً في غضون 90 دقيقة.

تعتمد هذه الحملة على kit تصيد قابل لإعادة الاستخدام يحمل رقم إصدار `0.8.0`، ويتضمن نظام تسجيل أخطاء مفصلاً و”مفتاح حملة” يُرسل مع كل رسالة إلى خادم المهاجمين. تُستخدم Amazon API Gateway في منطقة سنغافورة `ap-southeast-1` كعنوان لجمع البيانات، وتحديداً عبر نقطة النهاية `rkrt01c0mc[.]execute-api[.]ap-southeast-1[.]amazonaws[.]com`. علامة تحذير إضافية هي أسماء النطاقات المستخدمة، والتي يبلغ عددها 11 نطاقاً، تتبع نمطاً موحداً مثل `joinhire[.]cfd` أو `jointheteam[.]works`، ولا تذكر Calendly أو Meta. هذا النمط يسمح بإعادة استخدام هذه النطاقات لحملات تستهدف شركات أخرى.

تجاوز المصادقة الثنائية

بينما يظل الزائر على الصفحة المزيفة، تقوم بتحقق مستمر مع خادم المهاجمين وتنتظر التعليمات حول الشاشة التالية التي يجب عرضها. هذا يسمح للمهاجمين بمحاولة استخدام كلمة المرور المسروقة على موقع Facebook الحقيقي فوراً. إذا طلب Facebook رمزاً، تطلب الصفحة المزيفة من الزائر نفس الرمز، ويتمكن المهاجمون من استخدامه قبل انتهاء صلاحيته. نفس النهج يطبق مع شاشات Google، حيث يمكن للصفحة المزيفة توجيه المستخدم لـ “tap Yes” لمطالبة تسجيل الدخول على هاتفه، مما يوافق على تسجيل دخول المهاجمين.

السياق وتأثير السوق

يمثل استغلال Calendly في حملات التصيد تطوراً طبيعياً في تكتيكات المهاجمين، حيث تستفيد من طبيعة الأداة كأداة جدولة شائعة الاستخدام في بيئات التوظيف. إن بساطة استخدام Calendly — مجرد النقر على رابط وحجز موعد دون الحاجة لإنشاء حساب أو تنزيل برنامج — تجعلها غطاءً مقنعاً. بحلول الوقت الذي تطلب فيه الصفحة شيئاً غير معتاد (مثل تسجيل الدخول إلى Facebook)، يكون المستخدم قد استثمر بالفعل وقتاً وجهداً، مما يجعله أكثر عرضة للمضي قدماً بدلاً من التشكيك في العملية برمتها.

الدافع النفسي هو عامل حاسم؛ فالباحث عن عمل الذي أرسل العديد من الطلبات دون رد سيكون متحمساً جداً لتلقي دعوة مقابلة من Meta، مما يدفعه للتحرك بسرعة وتجاهل علامات التحذير. هذه الحملة تتجاوز نماذج التصيد التقليدية التي تكتفي بجمع كلمة مرور واحدة، حيث تذهب أبعد من ذلك بكثير. على عكس هجمات التصيد القديمة، التي كانت تتوقف عند كلمة المرور، فإن هذه الحملة ترسل رموز المصادقة الثنائية فوراً، مما يزيد من فرص اختراق الحساب بشكل كبير.

تكمن خطورة هذه الهجمات في القيمة العالية للحسابات المستهدفة. تعد حسابات Facebook، خاصة تلك المرتبطة بصفحات الأعمال أو حسابات الإعلانات، ذات قيمة كبيرة للمجرمين. بالإضافة إلى ذلك، فإن السيطرة على حساب Google يمكن أن يكشف عن رسائل البريد الإلكتروني وبيانات حساسة أخرى، ويمكّن المهاجمين من إعادة تعيين كلمات المرور للحسابات المرتبطة بهذا العنوان. يشكل هذا تحدياً أمنياً يتطلب من المستخدمين التحقق من عناوين النطاقات الفعلية بدلاً من الاكتفاء بالتصميم المرئي، والتعامل بحذر مع أي طلب تسجيل دخول غير متوقع خلال عملية حجز موعد.