קמפיין פישינג של AccountDumpling

קמפיין פושעי סייבר רחב היקף, המיוחס לקבוצת איומים הקשורה לווייטנאם וכונה AccountDumpling, זוהה תוך ניצול Google AppSheet כמנגנון העברת פישינג. פעולה זו מפיצה מיילים מטעים במטרה העיקרית לפגוע בחשבונות פייסבוק, במיוחד כאלה המשויכים למשתמשים עסקיים.

בניגוד לקמפיינים קונבנציונליים של פישינג, זוהי אינה ארגז כלים סטטי אלא מערכת אקולוגית דינמית ומתפתחת ללא הרף. היא משלבת לוחות מחוונים של מפעילים בזמן אמת, טכניקות התחמקות מתקדמות וצנרת מובנה של מונטיזציה. חשבונות גנובים מופנים חזרה לשוק תת-קרקעי הנשלט על ידי התוקפים, ויוצרים לולאה פלילית בת קיימא. כ-30,000 חשבונות פייסבוק נפגעו כחלק מקמפיין זה.

אמון מכוון: ניצול Google AppSheet למשלוח דוא”ל

שרשרת ההתקפה מתחילה בהודעות דיוג שנוצרו בקפידה ומתחזות ל-Meta Support. הודעות אלו מכוונות לבעלי חשבונות עסקיים בפייסבוק, ומזהירות אותם מפני מחיקה קרובה של החשבון אלא אם כן יינקטו צעדים מיידיים. הקורבנות מתבקשים להגיש ערעורים באמצעות קישורים מוטמעים.

גורם מפתח ביעילות הקמפיין הוא השימוש בתשתית לגיטימית. הודעות דוא"ל נשלחות מכתובת של Google AppSheet‏ ('noreply@appsheet.com'), מה שמאפשר להן לעקוף מסנני ספאם ואבטחה מסורתיים רבים. טקטיקה זו משפרת את האמינות ומגדילה את הסבירות למעורבות משתמשים.

הדחיפות המובעת בהודעות אלה מפנה את הנמענים לאתרי אינטרנט הונאה שנועדו לאסוף אישורים רגישים. דפוסי תקיפה דומים נצפו בקמפיינים קודמים, דבר המצביע על חידוד מתמשך ושימוש חוזר בטכניקות מוצלחות.

מניפולציה פסיכולוגית: “מטא-פאניקה” הנדסית

התוקפים משתמשים במגוון פיתיונות של הנדסה חברתית כדי לעורר פאניקה ולחייב תגובה מהירה של המשתמש. פיתיונות אלה מתוכננים אסטרטגית כדי לחקות תקשורת מטא לגיטימית ולנצל תרחישים מבוססי פחד.

קטגוריות הפיתיונות העיקריות כוללות:

איומים הקשורים לחשבון : טענות על השעיית חשבון, הפרות זכויות יוצרים או דרישות אימות דחופות
התראות אבטחה : התראות על כניסות חשודות או בדיקות אבטחה חובה
תמריצים עסקיים ומעמד : הצעות לאימות תג כחול או הזדמנויות גיוס למנהלים
התחזות תאגידית : הצעות עבודה מזויפות ממותגים ידועים לבניית אמון ויצירת מעורבות

כל פיתיון מותאם לתמרן את התנהגות המשתמש, מה שמגדיל את הסבירות לחשיפת אישורים.

תשתית פישינג רב-ערוצית: מנגנוני אספקה מגוונים

הקמפיין מאופיין בשימוש בפלטפורמות אירוח ושיטות אספקה מרובות, שלכל אחת מהן תפקיד ספציפי באיסוף וחילוץ נתונים. ארבעת אשכולות התקיפה העיקריים כוללים:

• דפי פישינג המאוחסנים על ידי Netlify: פורטלים מזויפים של מרכז העזרה של פייסבוק שנועדו ללכוד פרטי כניסה, נתונים אישיים ותעודות זיהוי שהונפקו על ידי הממשלה. הנתונים שנאספו מועברים לערוצי טלגרם הנשלטים על ידי התוקפים.
• דפי 'בדיקת אבטחה' המאוחסנים על ידי Vercel: דפים אלה מדמים פורטלי מטא של פרטיות או אבטחה וכוללים אתגרי CAPTCHA מזויפים. הקורבנות מתבקשים להזין מחדש את פרטיותם ולספק קודי אימות דו-שלביים (2FA), שכולם נגנבים בזמן אמת.
• פיתוי קבצי PDF המאוחסנים ב-Google Drive: מסמכים אלה, המחופשים להוראות אימות רשמיות, מפנים משתמשים לדפי פישינג שאוספים סיסמאות, קודי 2FA, תמונות זיהוי ואפילו צילומי מסך של דפדפן באמצעות סקריפטים מוטמעים.
• זרימות עבודה של גיוס מזויפות: התחזות לחברות גדולות כדי לבסס אמינות, ולאחר מכן הפניה לפלטפורמות זדוניות לאינטראקציה נוספת ואיסוף נתונים.

בסך הכל, ערוצי הטלגרם המקושרים לאשכולות אלה מכילים כ-30,000 רשומות קורבנות. האנשים שנפגעו ממוקמים בעיקר ברחבי צפון אמריקה, אירופה, אסיה ואוסטרליה, ורבים מהם איבדו גישה לחשבונותיהם.

תובנות ייחוס: מעקב אחר הגורמים מאחורי הקמפיין

ראיות קריטיות לייחוס עלו ממטא-נתונים שהוטמעו בקבצי PDF של פישינג שנוצרו באמצעות חשבון Canva חינמי. הקבצים מציגים את 'PHẠM TÀI TÂN' כמחבר, ומספקים קישור ישיר לאדם שעשוי להיות אחראי לפעולה.

מודיעין נוסף בקוד פתוח חשף אתר אינטרנט מקביל, 'phamtaitan.vn', המקדם שירותי שיווק דיגיטלי. הצהרות פומביות הקשורות לישות זו מצביעות על התמקדות במשאבי שיווק וייעוץ אסטרטגי, דבר המצביע על מערך מיומנויות דו-שימושי שניתן למנף למטרות לגיטימיות וזדוניות כאחד.

הכלכלה התת-קרקעית: יצירת רווחים מזהויות דיגיטליות שנפגעו

קמפיין זה ממחיש מגמה רחבה יותר בפשעי סייבר: הפיכת זהויות דיגיטליות לסחורה. חשבונות פייסבוק שנפרצו אינם רק נקודות קצה אלא נכסים יקרי ערך בשוק תת-קרקעי משגשג.

תוקפים סוחרים בגישה לחשבונות על סמך גורמים כגון שיוך עסקי, היסטוריית פרסום ופוטנציאל שחזור. המבצע מדגים כיצד פלטפורמות מהימנות, Google AppSheet, Netlify, Vercel ואחרות, עוברות ייעוד מחדש כשכבות תשתית לאספקה, אירוח ומונטיזציה.

קמפיין AccountDumpling משמש דוגמה מובהקת לאופן שבו גורמי איום מודרניים משלבים הנדסה חברתית, שירותי ענן וכלכלה מחתרתית לארגון פושעי סייבר מגובש וניתן להרחבה.