هجمات رش كلمات المرور تتضاعف 155x مستغلة ثغرات MFA في Azure

مقدمة تحليلية

سجلت هجمات رش كلمات المرور زيادة صاروخية بلغت 155 ضعفاً في النصف الأول من عام 2026، وذلك وفقاً لتقرير صادر عن شركة Huntress الأمنية. هذه الزيادة الحادة ليست مجرد تكرار لهجمات القوة الغاشمة القديمة، بل تستغل ثغرات حديثة في تنفيذ المصادقة متعددة العوامل (MFA). كان أحد العوامل الرئيسية وراء هذا الارتفاع حملة مكثفة استهدفت واجهة سطر الأوامر لـ Microsoft Azure (Azure CLI)، وهي الأداة التي يستخدمها المسؤولون لإدارة موارد Azure و Entra. نشأ هذا النشاط العدائي من نطاق IPv6 يتبع مزود الاستضافة LSHIY LLC.

بدأت الحملة قبل أشهر، لكن في منتصف يونيو 2026 وحده، رصدت Huntress أكثر من 81 مليون محاولة تسجيل دخول مرتبطة بهذه الهجمات، مما أدى إلى اختراق 78 حساباً في فترة لم تتجاوز أسبوعين. هذا التصاعد المفاجئ في هجمات رش كلمات المرور في يونيو 2026 يرتبط بشكل مباشر بحملة LSHIY، مما يؤكد أن الجهات الفاعلة تستغل نقاط الضعف في السياسات الأمنية الحالية وتحديات التكوين المعقدة.

التحليل التقني

تتبع هجمات رش كلمات المرور نمطاً محدداً وفعالاً يسمح للمهاجمين باختراق عدد كبير من الحسابات بجهد منخفض. تبدأ العملية بجمع أسماء المستخدمين الصالحة من مصادر متعددة مثل LinkedIn، ومواقع الشركات، وكميات بيانات الاختراقات السابقة، وحملات التصيد الاحتيالي. بعدها، يقوم المهاجمون ببناء قائمة قصيرة من كلمات المرور الشائعة أو المسربة، مثل “Password123” أو مشتقات لأسماء الشركات، أو مصطلحات موسمية.

يتم بعد ذلك تجربة كلمة مرور واحدة مقابل كل حساب في قائمة الأهداف. ولتجنب عتبات قفل الحسابات، ينتظر المهاجمون قبل الانتقال إلى كلمة المرور التالية، متبعين منهجية بطيئة ومنخفضة الكشف. إذا نجحت إحدى المحاولات، يحصل المهاجم على موطئ قدم، مما يسمح له بالانتقال إلى الحركة الجانبية، أو اختراق البريد الإلكتروني التجاري (BEC)، أو سرقة البيانات، أو سرقة المزيد من بيانات الاعتماد.

استغلال ROPC وتحديات BYOIP

اعتمدت حملة LSHIY على مزيج من حجم هجمات رش كلمات المرور وإعادة استخدام أزواج اسم المستخدم وكلمة المرور الصالحة من اختراقات سابقة لم يتم تغييرها. هذا جعل كل محاولة ناجحة أكثر قيمة بكثير من التخمينات العادية. الأهم من ذلك، استغل المهاجمون Resource Owner Password Credentials (ROPC)، وهو منح OAuth قديم تم إهماله في OAuth 2.1. تم تقديم ROPC لمساعدة التطبيقات على الترحيل من مخططات المصادقة المباشرة إلى OAuth.

لا يدعم ROPC تدفقات المصادقة الحديثة مثل MFA أو SSO. بدلاً من ذلك، يرسل اسم المستخدم وكلمة المرور مباشرة إلى نقطة النهاية `/token`، دون أي مطالبة تفاعلية لـ MFA. بالنسبة للمهاجم، يمكن أن تصبح كلمة المرور المعاد استخدامها والتي لا تزال تعمل بمثابة جلسة نشطة. صرح أندرو “سبايك” براندت، قائد استخبارات التهديدات الرئيسي في Huntress: “على الرغم من أننا نسميها طريقة ترخيص، إلا أنها من الناحية الفنية طريقة انتحال”.

نبعت الهجمات في البداية من نطاق IPv6 وهو `2a0a:d683::/32`. بعد أن أغلقت LSHIY النشاط الأصلي، تحولت محاولات الرش أولاً إلى نطاقات IPv6 المستضافة بواسطة FranTech، ثم ظهر نشاط لاحق من 3xK Tech باستخدام IPv4. تسمح خدمة Bring Your Own IP (BYOIP)، وهي خدمة مشروعة، للمهاجمين بالتحرك بين نطاقات IP ومقدمي الخدمات، مما يعقد الكشف والحظر. هذا التنقل المستمر يجعل عملية حظر البنية التحتية مهمة “لعبة خلد” مألوفة للمدافعين، حيث يتم تبديل الموارد أسرع مما يمكن تعطيلها.

السياق وتأثير السوق

لا تستهدف حملة LSHIY صناعة معينة، بل تستغل المنظمات التي تعاني من ثغرات في ضوابط كلمات المرور أو سياسات المصادقة متعددة العوامل (MFA). قامت Huntress بتحليل 23 شركة متأثرة بالهجمات. من بين هذه الشركات، تبين أن 8 منها لم تكن قد طبقت المصادقة متعددة العوامل على الإطلاق. أما الـ 15 شركة المتبقية، فقد كانت قد طبقت MFA، ولكن هذه السياسات لم تكن تغطي تدفقات تسجيل الدخول التي استغلها المهاجمون. يعود السبب في ذلك إلى أن سياسات MFA كانت مقصورة على تطبيقات معينة أو مجموعات مستخدمين محددة، أو كانت تعتمد على مواقع موثوق بها، أو كانت لا تزال في وضع “التقرير فقط”.

تُظهر هذه النتائج أن مجرد وجود MFA لا يكفي لضمان الأمن؛ بل يجب على المنظمات مراجعة نطاق سياسات الوصول الشرطي (Conditional Access) وكيفية تطبيقها. يمكن أن تبدو السياسة وكأنها تتطلب MFA، بينما تستثني في الواقع مستخدمين معينين، أو تطبيقات، أو أساليب تسجيل دخول. صرح ريتش موزيلسكي، مدير منتجات أول في Huntress، أن “الوصول الشرطي المكون والمدار بشكل مناسب هو قوة خارقة”. هذه الصعوبة في الضبط الدقيق للوصول الشرطي دون حظر المستخدمين الشرعيين هي جزء من سبب استمرار نجاح هذه الهجمات. على النقيض من النظم الأمنية التقليدية التي تعتمد على حظر عناوين IP، أثبتت حملة LSHIY أن المهاجمين قادرون على تغيير مقدمي الخدمات ونطاقات IP أسرع بكثير مما يمكن للمدافعين حظرهم. هذا يُحوّل الدفاع إلى معركة استنزاف خاسرة ما لم يتم سد الثغرات الجوهرية.

رؤية Glitch4Techs

إن الارتفاع بمقدار 155 ضعفاً في هجمات رش كلمات المرور ليس مجرد إحصائية، بل هو دليل دامغ على فشل منهجي في تطبيق أساسيات الأمن السيبراني. لا تكمن المشكلة في غياب الأدوات، بل في سوء استخدامها أو فهمها. فحقيقة أن 15 من أصل 23 شركة متضررة كانت قد طبقت المصادقة متعددة العوامل لكنها فشلت في حماية نفسها بسبب ثغرات في سياسات الوصول الشرطي، تُبرز أن الاستثمار في MFA يصبح مجرد وهم للأمان عندما لا يتم تطبيقه بشكل شامل. هذا الإهمال في تكوين السياسات الأمنية يترك نقاط ضعف واضحة للمهاجمين لاستغلالها، ويحول MFA من حصن إلى مجرد واجهة.

المنظمات التي تفشل في تعطيل ROPC أو تطبيق MFA على جميع المستخدمين والتطبيقات وأنواع عملاء الوصول، هي عرضة للاختراق بغض النظر عن استثماراتها الأمنية الأخرى. لذا، فإن هذا الفشل ليس تقنياً بقدر ما هو تنظيمي، ويعكس عدم القدرة على سد الفجوات الواضحة والمحددة بدقة. هذه ليست ثغرة أمنية جديدة، بل هي نتيجة مباشرة للتقاعس عن تحديث وتطبيق الضوابط الأمنية بشكل شامل وفعال.