تريند مايكرو تشرح طريقة سرقة الحسابات المصرفية عبر الانترنت

حذرت شركة الأمن والحماية تريند مايكرو من أن الخدمات المصرفية عبر الإنترنت قد تحمل مخاطر لا حصر لها، وتعمل المصارف بشكل دائم لإبعاد وصول المحتالين إلى حسابات العملاء بأي شكل كان.

ومن هذا المنطلق استحدثت المصارف عدة وسائل مختلفة للحماية مثل كلمات السر وأرقام التعريف الشخصية والأرقام المُرسلة للعميل لتخويل عملية مصرفية معينة وغيرها الكثير.

إلا أن شركة أمن المعلومات قالت بأنها رصدت عملية احتيالية هدفها اختراق ما يُعرف باسم “رمز الجلسة” Session Token الذي يُعَد من الوسائل الفعالة التي تستعين بها المصارف لحماية عملائها عند استخدام الخدمات المصرفية الإلكترونية.

و أوضحت تريند مايكرو أن مجموعة القرصنة استهدفت المصارف التي ترسل “رمز الجلسة” لعملائها من خلال رسائل نصية قصيرة تصل إلى أرقام هواتفهم المحمولة المعتمدة والتي تُعَدُّ في مثل هذه الحالة وسيلة ثانية للتحقق من هوية العميل.

وتابعت انه عندما يحاول العميل الدخول إلى حسابه عبر الإنترنت يرسل النظام رسالة نصية قصيرة إلى هاتفه المحمول المعتمد، وتحمل تلك الرسالة النصية القصيرة رقماً يُستخدم مرة واحدة يتعين على العميل إدخاله إلى جانب اسم المستخدم وكلمة السر حتى يتمكن من إجراء معاملة أو عملية مصرفية ما.

ويُعَدُّ “رمز الجلسة” من الوسائل التي تتبعها المصارف في النمسا والسويد وسويسرا وعدد من البلدان الأوروبية. و يقوم القراصنة في تلك البلدان بإرسال رسائل إلكترونية متطفلة تحمل أسماء متاجر شهيرة، وما أن يضغط المستخدم فوق الوصلة الخبيثة المتضمَّنة في رسالة البريد الإلكتروني أو المادة المرفقة به حتى تتسلل البرمجية الخبيثة إلى حاسوبه.

وأما الجديد والمثير للاهتمام في آنٍ معاً هو أن البرمجية الخبيثة تقوم بتغيير تهيئة حاسوب المستخدم ثم تزيل نفسها بنفسها. وقد يكون التغيير الذي يطال تهيئة الحاسوب بسيطاً غير أن تبعاته مخيفة.

وأما ما تقوم به هذه البرمجية الخبيثة بعد ذلك فيتمثل في تغيير إعدادات ما يُعرف باسم “نظام أسماء النطاقات” (DNS) بحيث تشير إلى خوادم أجنبية تتحكم بها القراصنة. كذلك تقوم البرمجية الخبيثة بتثبيت ما يُعرف باسم “شهادة الجذر”، غير أنها ليست شهادة جذر أصلية، بل مزيفة، بحيث يثق الحاسوب تلقائياً بالخوادم الخبيثة الواقعة تحت سيطرة القراصنة، ومن ثم لا يُصدر الحاسوب أي تحذير عن اختراق محتمل.

بعدها وعندما يحاول العميل الدخول إلى حسابه عبر الإنترنت باستخدام حاسوبه المصاب ببرمجية خبيثة فإنه ينتقل بمجرد إدخال عنوان موقع المصرف على الإنترنت إلى موقع آخر يشبه تماماً موقع مصرفه. وقد يبدو الأمر حتى هذه اللحظة مجرد محاولة لاصطياد معلوماته السرية مثل اسم المستخدم أو كلمة السر، أو ما يُعرف باسم phishing، غير أن الأمر أخطر من ذلك بكثير. فمبجرد إدخال اسم المستخدم وكلمة السر في موقع المصرف الزائف تظهر للمستخدم تعليمات بتثبيت تطبيق على هاتفه الذكي.

وسيكون المستخدم واثقاً من أن تطبيق المصرف المذكور مهمته توليد “رمز الجلسة” وبأنه من المصرف، غير أن التطبيق الزائف مصمم لاعتراض أي رسالة نصية قصيرة تصل إلى العميل من مصرفه وتوجيهها إلى خوادم يتحكم بها القراصنة أو إلى رقم هاتف محمول آخر. وبذلك لن يكون القراصنة قد عرفوا اسم المستخدم وكلمة السر فحسب، بل “رمز الجلسة” الذي يرسله المصرف إلى العميل في شكل رسالة نصية قصيرة ويتغير في كل مرة يدخل فيها العميل إلى حساباته. وفي المحصلة، يسيطر القراصنة على حساب العميل بشكل كامل وبقبضة محكمة.

وختمت تريند مايكرو أن المحتالين وراء هذه العملية الخبيثة يتخفون وراء الاسمين الرمزيين على الإنترنت -=FreeMan=- و Northwinds، وهم ينشطون في هذا المجال منذ عام 2011، واعتمدوا في ذلك العام على برمجيات خبيثة جاهزة مثل SpyEye و Hermes، ويعتقد خبراء الشركة أن هؤلاء يستخدمون خدمتين تشفيريتين مختلفتين، إحداها تُدار من قبل شخص في أوزبكستان، دون معرفة تفاصيل الخدمة التشفيرية الثانية.