هک شرکت‌های مالی با تماس تلفنی؛ فیشینگ صوتی برای سرقت اطلاعات حساس

به گزارش جام جم آنلاین به نقل از تک‌کرانچ، گروه‌هایی از هکرها با استفاده از تماس‌های تلفنی و جعل هویت کارکنان بخش فناوری اطلاعات، شرکت‌های فعال در صنعت مالی را هدف قرار داده‌اند؛ حملاتی که هدف اصلی آنها سرقت اطلاعات حساس و سپس اخاذی از قربانیان با تهدید به انتشار داده‌های سرقت‌شده است.

گوگل نام شرکت‌های قربانی را اعلام نکرده است، اما خبرگزاری رویترز گزارش داده که شماری از شرکت‌های بزرگ سرمایه‌گذاری خصوصی از جمله Apollo Global Management، Bain Capital، Blackstone، Bridgewater Associates، CME Group، KKR، Moody’s و TPG در میان اهداف احتمالی این حملات قرار دارند.

فیشینگ صوتی؛ سلاح قدیمی هکرها

به گفته گوگل، گروه‌های هکری با نام‌های Falcon، Helix، Pink و Redact از روشی نسبتاً قدیمی اما همچنان مؤثر برای نفوذ به شرکت‌ها استفاده می‌کنند.

در این شیوه، مهاجمان با تلفن شخصی کارکنان تماس می‌گیرند و خود را به‌عنوان همکار یا کارمند واحد پشتیبانی فناوری اطلاعات معرفی می‌کنند. سپس با فریب قربانی، او را به وارد کردن نام کاربری، رمز عبور و کدهای احراز هویت چندمرحله‌ای (MFA) در وب‌سایت‌های جعلی هدایت می‌کنند.

این روش که با عنوان «فیشینگ صوتی» یا Voice Phishing شناخته می‌شود، یکی از شیوه‌های مهندسی اجتماعی در حملات سایبری است که در آن مهاجم به جای اتکا به ابزارهای پیچیده، از فریب و اعتماد قربانی برای دستیابی به اطلاعات حساس استفاده می‌کند.

تهدید به انتشار اطلاعات سرقت‌شده

برخی از گروه‌های هکری شناسایی‌شده توسط گوگل، وب‌سایت‌هایی را نیز اداره می‌کنند که در آنها اطلاعات مربوط به حملات خود و قربانیان را منتشر کرده و شرکت‌ها را تهدید می‌کنند که در صورت پرداخت نکردن باج، داده‌های سرقت‌شده را افشا خواهند کرد.

گوگل اعلام کرده است که در برخی موارد، شرکت‌هایی که نام آنها اعلام نشده، به مهاجمان باج پرداخت کرده‌اند. با این حال، رویترز نتوانسته است به‌طور مستقل مشخص کند هکرها با موفقیت به کدام شرکت‌ها نفوذ کرده‌اند.

گوگل همچنین درباره گزارش رویترز مبنی بر هدف قرار گرفتن شرکت‌های بزرگ سرمایه‌گذاری خصوصی اظهارنظر مستقیمی نکرده است.

تماس تلفنی؛ همچنان یک ابزار مؤثر برای هکرها

کارشناسان امنیت سایبری معتقدند استفاده مهاجمان از روش‌هایی مانند تماس تلفنی برای هدف قرار دادن شرکت‌های مالی، نشان می‌دهد که حتی با وجود سامانه‌های امنیتی پیشرفته و ظهور تهدیدهای مبتنی بر هوش مصنوعی، روش‌های قدیمی مهندسی اجتماعی همچنان می‌توانند بسیار مؤثر باشند.

در این حملات، نقطه ضعف اصلی نه الزاماً زیرساخت فنی شرکت، بلکه اعتماد و رفتار کارکنان است. مهاجم تلاش می‌کند با ایجاد حس فوریت، اعتمادسازی و جعل هویت، قربانی را به افشای اطلاعاتی وادار کند که می‌تواند مسیر دسترسی به سامانه‌های سازمانی را برای او باز کند.

موفقیت چنین حملاتی می‌تواند اطلاعات حساس برخی از شرکت‌های بزرگ سرمایه‌گذاری خصوصی آمریکا را در معرض خطر قرار دهد؛ شرکت‌هایی که نقش مهمی در تأمین سرمایه مورد نیاز کسب‌وکارها دارند.

این رخداد بار دیگر اهمیت آموزش کارکنان، راستی‌آزمایی تماس‌های مشکوک و استفاده از سازوکارهای امنیتی چندلایه برای مقابله با حملات مهندسی اجتماعی را برجسته کرده است.