پیشنهاد میلیون دلاری گروه باج‌افزاری مدوسا به خبرنگار بی‌بی‌سی برای هک داخلی

پیشنهاد میلیون دلاری برای خیانت داخلی

تهدیدهای داخلی در دنیای سایبری، تجربه‌ای است که افراد کمی با آن مواجه شده‌اند و تعداد کمتری مایل به صحبت در مورد آن هستند. اما یک خبرنگار سایبری تجربه منحصر به فرد و نگران‌کننده‌ای از نحوه استفاده هکرها از کارمندان داخلی را به دست آورد؛ زمانی که خود او هدف پیشنهاد یک باند تبهکار قرار گرفت.

ماجرا از ماه جولای آغاز شد؛ زمانی که پیامی غیرمنتظره از فردی به نام «سندیکیت» (Syndicate) در اپلیکیشن چت رمزگذاری شده سیگنال دریافت شد. پیام کوتاه و تکان‌دهنده بود: "اگر علاقه‌مند هستید، در صورت ارائه دسترسی به رایانه شخصی‌تان، می‌توانیم ۱۵ درصد از هرگونه باج پرداختی را به شما پیشنهاد دهیم."

این پیشنهاد به معنای دریافت سهمی از یک مبلغ هنگفت در ازای کمک به مجرمان سایبری برای دسترسی به سیستم‌های بی‌بی‌سی از طریق لپ‌تاپ کاری بود. هدف آن‌ها سرقت داده‌ها یا نصب بدافزار و باج‌گیری از کارفرما بود.

افزایش پیشنهاد و وعده «بازنشستگی زودهنگام»

پس از مشورت با یک سردبیر ارشد، خبرنگار تصمیم گرفت با «سندیکیت» (که نام خود را به «سین» تغییر داده بود) همراهی کند تا از نحوه انجام این معاملات پنهانی مطلع شود. هکرها توضیح دادند که در صورت ارائه جزئیات ورود و کد امنیتی، بی‌بی‌سی را هک کرده و باج را به صورت بیت‌کوین مطالبه خواهند کرد و سهمی از آن به خبرنگار می‌رسد.

آن‌ها به سرعت پیشنهاد خود را افزایش دادند:

"ما مطمئن نیستیم بی‌بی‌سی چقدر به شما حقوق می‌دهد، اما اگر ۲۵ درصد از مذاکره نهایی را بگیرید چطور؟ ما ۱ درصد از کل درآمد بی‌بی‌سی را استخراج می‌کنیم. دیگر هرگز نیازی به کار کردن نخواهید داشت."

«سین» تخمین زد که تیمش در صورت نفوذ موفقیت‌آمیز، می‌تواند باجی در حدود ده‌ها میلیون دلار درخواست کند. این در حالی است که آژانس ملی جرایم بریتانیا توصیه می‌کند که هرگز به هکرها باج پرداخت نشود.

گروه باج‌افزاری مدوسا و تاکتیک‌های آن‌ها

هکر خود را «مدیر ارتباط» گروه باج‌افزاری «مدوسا» (Medusa) معرفی کرد. مدوسا یک عملیات «باج‌افزار به عنوان سرویس» (Ransomware-as-a-Service یا RaaS) است که به هر وابسته جنایتکار اجازه می‌دهد از پلتفرم آن برای هک سازمان‌ها استفاده کند.

• منشأ فعالیت: بر اساس گزارش شرکت امنیت سایبری CheckPoint، گمان می‌رود مدیران مدوسا از روسیه یا یکی از کشورهای متحد آن فعالیت می‌کنند.
• سابقه حملات: مقامات سایبری ایالات متحده در ماه مارس هشدار عمومی در مورد مدوسا صادر کردند و اعلام کردند که این گروه در چهار سال فعالیت خود، بیش از ۳۰۰ قربانی را هک کرده است.
• ادعای موفقیت: هکر ادعا کرد که در حملات قبلی خود، از جمله علیه یک شرکت خدمات درمانی بریتانیایی و یک ارائه‌دهنده خدمات اضطراری آمریکایی، با کارمندان داخلی به توافق رسیده است.

هکر برای جلب اعتماد، لینک آدرس دارک‌نت مدوسا و صفحه استخدام آن در یک انجمن انحصاری جرایم سایبری را ارسال کرد و پیشنهاد داد که برای تضمین معامله، مبلغ ۰.۵ بیت‌کوین (حدود ۵۵,۰۰۰ دلار) به عنوان ودیعه پرداخت شود.

«بمباران MFA»؛ تاکتیک فشار نهایی

پس از سه روز گفتگو، خبرنگار تصمیم گرفت که دیگر ادامه ندهد و برای مشورت با کارشناسان امنیتی بی‌بی‌سی زمان بخرد. اما «سین» بی‌تاب شد و با فشار آوردن، ضرب‌الاجلی تا نیمه‌شب دوشنبه تعیین کرد و پرسید: "فکر کنم نمی‌خواهی در ساحل باهاما زندگی کنی؟"

سپس، هکر صبر خود را از دست داد و تاکتیک خود را تغییر داد. تلفن خبرنگار شروع به دریافت مداوم اعلان‌های تأیید هویت دو مرحله‌ای (MFA) از برنامه امنیتی بی‌بی‌سی کرد. این تکنیک به عنوان «بمباران MFA» شناخته می‌شود؛ جایی که مهاجمان با تلاش برای ورود یا بازنشانی رمز عبور از یک دستگاه غیرمعمول، قربانی را با پاپ‌آپ‌ها بمباران می‌کنند تا قربانی به اشتباه یا برای خلاص شدن از شر اعلان‌ها، گزینه «تأیید» را فشار دهد.

این حمله که پیش‌تر در هک شرکت اوبر در سال ۲۰۲۲ نیز مشاهده شده بود، بسیار نگران‌کننده بود و عملاً تلفن خبرنگار را غیرقابل استفاده کرد. در نهایت، تیم امنیتی بی‌بی‌سی برای احتیاط، دسترسی خبرنگار به سیستم‌های داخلی را به طور کامل قطع کرد.

پیام عجیب و آرام هکرها ساعاتی بعد رسید: "تیم عذرخواهی می‌کند. ما در حال آزمایش صفحه ورود بی‌بی‌سی شما بودیم و اگر این باعث ایجاد مشکلی برای شما شده، بسیار متأسفیم." پس از چند روز عدم پاسخگویی، «سین» حساب سیگنال خود را حذف کرد و ناپدید شد.

این تجربه، بینشی عمیق و تکان‌دهنده از تاکتیک‌های در حال تکامل مجرمان سایبری و خطرات جدی تهدیدهای داخلی برای سازمان‌ها را فراهم کرد.