كشفت منظمة "هيومن رايتس ووتش"، الاثنين، أن قراصنة إنترنت مدعومين من الحكومة الإيرانية استهدفوا موظفين تابعين لها، وما لا يقل عن 18 من النشطاء، والصحفيين، والباحثين، والأكاديميين، والدبلوماسيين، والسياسيين العاملين في قضايا الشرق الأوسط.
واعتبرت المنظمة أن عمليات القرصنة تأتي "ضمن حملة مستمرة من أساليب القرصنة الإيرانية، تسمى بالهندسة الاجتماعية والتصيد الاحتيالي".
ونسب التحقيق الذي أجرته هيومن رايتس ووتش، هجوم التصيد الاحتيالي إلى كيان تابع للحكومة الإيرانية يُعرف بـ "إيه بي تي 42(APT42)"، ويُشار إليه أحيانا بـ "تشارمينغ كيتين" (Charming Kitten، وهو ما يعني بالعربية، القطة الفاتنة.
وحدد التحليل التقني الذي أجرته هيومن رايتس ووتش بالاشتراك مع "مختبر الأمن" التابع لـ "منظمة العفو الدولية" 18 ضحية إضافية استُهدفوا كجزء من الحملة نفسها.
وقالت المنظمة في تقرير مطول لها: "اختُرق البريد الإلكتروني والبيانات الحساسة الأخرى لثلاثة منهم على الأقل، هم نيكولاس نوي، استشاري المناصرة لـ "منظمة اللاجئين الدولية" في لبنان"، ومراسل صحيفة أميركية كبيرة، ومدافع عن حقوق المرأة في منطقة الخليج".
وتمكن المهاجمون من الوصول إلى رسائل البريد الإلكتروني، الخاصة بالأشخاص الثلاثة، ومحركات التخزين السحابية، والروزنامات، وجهات الاتصال الخاصة بهم، وأجروا عملية "غوغل تيك آوت (Google Takeout)، وهي خدمة تصدّر البيانات من الخدمات الأساسية والإضافية لحساب "غوغل".
ففي أكتوبر 2022، تلقى أحد الموظفين في هيومن رايتس ووتش في منطقة الشرق الأوسط وشمال أفريقيا رسائل مشبوهة على "واتساب" من شخص ينتحل صفة أحد العاملين في مؤسسة أبحاث في لبنان، داعيا إياه إلى مؤتمر.
وكشف التحقيق المشترك أنه عند النقر على روابط التصيد الاحتيالي المرسلة عبر واتساب، تتم الإحالة إلى صفحة تسجيل دخول مزيفة تلتقط كلمة مرور البريد الإلكتروني للمستخدم ورمز المصادقة.
وحقق فريق البحث في البنية التحتية التي استضافت الروابط الخبيثة وكشف أهدافا إضافية لهذه الحملة المستمرة.
اتصلت هيومن رايتس ووتش ومنظمة العفو الدولية بالأشخاص الـ 18 البارزين الذين حُددوا كأهداف لهذه الحملة. رد 15 منهم وأكدوا أنهم تلقوا نفس رسائل واتساب ما بين 15 سبتمبر، و25 نوفمبر 2022.
وفي 23 نوفمبر الماضي، تم استهداف موظف ثانٍ في هيومن رايتس ووتش، تلقى رسائل الواتساب نفسها من ذات الرقم الذي اتصل بالأهداف الأخرى.
ومنذ عام 2010، يستهدف مشغلون إيرانيون أعضاء حكومات، وجيوش، وشركات أجنبية، بالإضافة إلى المعارضين السياسيين والمدافعين عن حقوق الإنسان. بمرور الوقت، أصبحت هذه الهجمات أكثر تعقيدا في طرق تنفيذ ما يُعرف بالهندسة الاجتماعية.
وقالت عبير غطاس، مديرة أمن المعلومات في هيومن رايتس ووتش: "يستخدم قراصنة الإنترنت الإيرانيون المدعومون من الدولة بضراوة أساليب متطورة للهندسة الاجتماعية وسرقة المعلومات الشخصية للوصول إلى البيانات الحساسة وجهات الاتصال التي يحتفظ بها باحثون ومنظمات للمجتمع المدني تركز على الشرق الأوسط. يزيد ذلك بشكل كبير المخاطر التي يواجهها الصحفيون والمدافعون عن حقوق الإنسان في إيران وأماكن أخرى في المنطقة."
ووفقا لشركة الأمن السيبراني "مانديانت" في الولايات المتحدة، كانت إيه بي تي 42، مسؤولة عن العديد من هجمات التصيد الاحتيالي في أوروبا، والولايات المتحدة، والشرق الأوسط وشمال أفريقيا.
وفرض مكتب مراقبة الأصول الأجنبية بوزارة الخزانة الأميركية، في 14 سبتمبر، عقوبات على أفراد ينتمون إلى مجموعة إيه بي تي 42.
وكشف التحقيق أيضا عن أوجه القصور في إجراءات الحماية الأمنية التي توفرها غوغل لحماية بيانات المستخدمين.
وقال الأفراد الذين استُهدفوا بنجاح من خلال هجوم التصيد الاحتيالي لـ"هيومن رايتس ووتش" إنهم لم يدركوا أن حساباتهم على "جيميل" تعرضت للاختراق أو أن عملية غوغل تيك آوت بدأت. يرجع ذلك جزئيا إلى أن التحذيرات الأمنية ضمن نشاط حساب غوغل لا تقدم أو تعرض أي إشعار دائم في البريد الوارد للمستخدم، ولا ترسل رسالة تنبيه إلى تطبيق جيميل على هواتفهم.
كشفت المراجعة الأمنية للنشاط في غوغل أن المهاجمين تمكنوا من الوصول إلى حسابات الأهداف فورا تقريبا بعد الاختراق، وحافظوا على إمكانية الوصول إلى الحسابات حتى أبلغتهم هيومن رايتس ووتش وفريق البحث في منظمة العفو الدولية، وساعدوهم على فصل جهاز المهاجم المتصل.
وقالت هيومن رايتس ووتش إن على غوغل تعزيز التحذيرات الأمنية الخاصة بجيميل فورا لتوفير حماية أفضل للصحفيين والمدافعين عن حقوق الإنسان ومستخدميها الأكثر عرضة لخطر الهجمات.
