در مارس ۲۰۲۶، واحد تهدیدهای پیشرفته مایکروسافت (MSTIC) از شناسایی کارزار گسترده فیشینگ گروه Storm-1811 خبر داد؛ کارزاری که در آن مهاجمان با بهره‌گیری از آدرسهای ایمیل جعلی مدیران عامل و مدیران ارشد مالی، پیامی را برای کارکنان بخشهای مالی و منابع انسانی بیش از دویست سازمان در آمریکای شمالی و اروپا ارسال کردند. این پیامها که در ظاهر از سوی بالاترین مقام سازمان ارسال میشد، با لحنی محرمانه و فوری، دریافتکننده را به سمت یک پیوند مخرب یا یک فایل PDF آلوده هدایت میکرد. آنچه این حمله را از نمونههای مرسوم فیشینگ متمایز میسازد، دقت بالای مهاجمان در شبیهسازی لحن، ساختار سازمانی و حتی امضای دیجیتال ایمیلهاست؛ بهگونهای که حتی کارکنان باتجربه نیز در نگاه نخست، پیام را معتبر ارزیابی کردهاند.
بر اساس گزارش رسمی مایکروسافت، گروه Storm-1811 از ترکیب دو تکنیک بهره برد: نخست، جعل فرستنده ایمیل از طریق زیردامنههای مشابه (subdomain spoofing) که در DNS نگهدارنده اصلی ثبت شده بود. دوم، استفاده از گواهینامههای S/MIME معتبر که توسط یک مرجع صدور گواهی مورد اعتماد در اروپای شرقی برای دامنههای جعلی صادر شده بود. این ترکیب سبب شد بسیاری از فیلترهای امنیتی سازمانی، ایمیل را بهعنوان پیام رمزنگاریشده و معتبر علامتگذاری کنند و از بررسی عمیقتر محتوا صرفنظر کنند.
نکته تکاندهنده در این کارزار، بازه زمانی اجرای آن بود. مهاجمان پیش از ارسال ایمیلهای فیشینگ، به مدت سه هفته حسابهای ایمیل مدیران واقعی را زیر نظر گرفته و الگوهای ارتباطی، لحن نگارشی و ساعاتها فعالیت آنان را تحلیل کرده بودند. این سطح از شناسایی اولیه که در ادبیات امنیتی با عنوان reconnaissance یا شناسایی پیش از حمله شناخته میشود، با یافتههای گزارش سالانه IBM X-Force Threat Intelligence Index 2026 همخوانی دارد؛ گزارشی که نشان میدهد میانگین زمان شناسایی مهاجمان پیش از اجرای حمله اصلی به ۲۸ روز رسیده است.
گزارش Mandiant در تحلیل پس از حادثه، چهار درس کلیدی را برای سازمانها برشمرده است. نخست اینکه احراز هویت فرستنده ایمیل نباید صرفاً به گواهی S/MIME متکی باشد؛ بلکه پروتکلهای DMARC، DKIM و SPF باید در بالاترین سطح سختگیری (p=reject) تنظیم شوند. دوم، هر ایمیل که از سوی مدیران ارشد با درخواست اقدام مالی یا دسترسی به سامانههای حساس ارسال میشود، باید از طریق کانال ارتباطی دوم (مانند تماس تلفنی یا پیامرسان سازمانی) راستیآزمایی شود. سوم، آموزشهای آگاهیرسانی امنیتی باید از مدل عمومی فیشینگ به سمت شبیهسازی حملات هدفمند (spear phishing) حرکت کند.
چهارمین و شاید مهمترین درس، مربوط به معماری دسترسی است. حتی اگر یک کارمند فریب بخورد، نباید با یک کلیک بتواند به سامانههای حیاتی سازمان دسترسی پیدا کند. پیادهسازی مدل Zero Trust و اصل حداقل دسترسی، که در گزارش Gartner برای سال ۲۰۲۶ بهعنوان مهمترین اولویت امنیتی سازمانهای بزرگ معرفی شده، میتواند خسارت حملاتی از این دست را به شدت کاهش دهد.
نکته ظریفی که کمتر به آن پرداخته میشود، فشار روانی است که چنین حملاتی بر کارکنان وارد میکند. وقتی ایمیل جعلی دقیقاً شبیه پیام مدیرعامل است، احساس خیانت و گناه در کارمند فریبخورده میتواند ماهها باقی بماند. سازمانها باید علاوه بر ابزار فنی، برای حمایت روانی و فرهنگی از کارکنان نیز برنامهریزی کنند. فرهنگ امنیتی سالم، کارمند فریبخورده را مقصر نمیداند، بلکه از او برای بهبود فرآیندها درس میگیرد.
حمله Storm-1811 یک بار دیگر ثابت کرد که در عصر حملات سایبری پیشرفته، اعتماد بزرگترین آسیبپذیری ماست. فناوری میتواند جعل را باورپذیرتر کند، اما تنها فرهنگ سازمانی بیدار و معماری امنیتی چندلایه میتواند ما را از این تله نجات دهد. در پایان، لازم است یادآوری کنیم که رصد مستمر تهدیدهای نوظهور و تحلیل رخدادهای جهانی، رسالت همیشگی تیم اطلس فناوران رازبان در وبسایت رازبان بوده است.
