بی‌تعارف بگوییم؛ دنیای امنیت سایبری عوض شده. هکرها دیگر منتظر نمی‌مانند تا شما متوجه حضورشان شوید. تحلیل‌های جدید نشان می‌دهد که مهاجمان تنها ۱۵ دقیقه بعد از نفوذ به سیستم، کل داده‌ها را جارو می‌کنند و ابزارهای قدیمی امنیتی هم اصلاً زورشان به این مدل حملات نمی‌رسد. در ادامه بررسی می‌کنیم که چطور این اتفاق می‌افتد و چطور باید جلوی آن را گرفت.
ماجرا از سه‌تا سناریوی رایج شروع می‌شود که این روزها خیلی خطرناک شده‌اند:
- توکن‌های دزدیده شده برنامه‌نویس‌ها: بسته‌های آلوده npm و ابزارهای Infostealer توکن‌های GitHub را از لپ‌تاپ توسعه‌دهندگان می‌دزدند تا بعداً به کمک آن‌ها اطلاعات را خارج کنند. GitHub خودش سیستم تشخیصی برای نحوه استفاده از این Token ندارد و شرکت‌ها عملاً بی‌دفاع می‌مانند.
- کلک‌های ClickFix برای ابزارهای هوش مصنوعی: دستورات جعلی نصب Claude Code در چت‌های مشترک، یک ابزار مخرب macOS را روی سیستم می‌آورند که کوکی‌های مرورگر و رمزهای ابری را می‌دزدد. قربانی خودش با خیال راحت این دستورات را اجرا می‌کند!
- تماس‌های مهندسی اجتماعی با Help Desk: هکرها با جعل هویت تیم IT، کارمند را گول می‌زنند تا یک تاییدیه MFA واقعی را روی یک صفحه ورود تقلبی تأیید کند. ارائه‌دهندگان هویت (Identity Providers) هم این ورود را قانونی می‌دانند و هشدار نمی‌دهند.
گرفتن این اتفاقات نیاز به سیستم‌های تشخیص مبتنی بر رفتار و داده دارد و متوقف کردنشان هم فقط با پاسخ خودکار (Autonomous Response) امکان‌پذیر است. بیایم ببینیم پشت صحنه چه خبر است.
فرض کنید یک برنامه‌نویس GitHub Desktop را نصب می‌کند و بعد از چند ماه، یک نفر دیگر از همان توکن دزدیده شده استفاده می‌کند تا ۷۶ Repository را در ۱۵ ثانیه خالی کند! چون سیستم ساختار مشخصی برای مانیتور کردن این توکن‌ها ندارد، هیچ آلارمی بالا نمی‌آید. اینجاست که اهمیت سیستم‌های مانیتورینگ مدرن خودش را نشان می‌دهد.
توکن‌های خفته روی لپ‌تاپ برنامه‌نویسان
امنیت GitHub معمولاً روی کدهای مخفی تمرکز دارد، نه روی سوءاستفاده از Tokenها. مهاجمان با ابزارهای مختلف آرشیوهای ZIP را با سرعت بالا دانلود می‌کنند، در حالی که یوزرنتورک یا سیستم‌عامل قربانی کاملاً عوض شده است. این توکن‌های OAuth به راحتی منقضی نمی‌شوند و تا مدت‌ها فعال می‌مانند. بسته‌های آلوده در لایه‌هایی که تیم‌های امنیتی نگاه نمی‌کنند نفوذ می‌کنند و به محض نصب یک پکیج مسموم، کل داده‌ها در خطر قرار می‌گیرند.
کلک ClickFix و تله ابزارهای هوش مصنوعی
دزدیدن Token از سیستم‌عامل معمولاً کار یک Infostealer است. تازه‌ترین ترفندهای ClickFix از اعتماد کاربران به ابزارهای هوش مصنوعی سوءاستفاده می‌کنند. طرف به دنبال دستور نصب یک ابزار AI است، وارد یک لینک ساختگی می‌شود و با اجرای یک دستور ساده، کل کوکی‌ها، پسوردها و اطلاعات ابری‌اش به باد می‌رود.
تماس‌های جعلی IT که به سرقت سشن ختم می‌شوند
در پرونده‌های Vishing، هکرها بعد از اینکه قربانی تاییدیه MFA را زد، اسکریپت دانلود انبوه را اجرا می‌کنند. کلاهبرداران با جعل هویت واحد پشتیبانی، کاربران را به صفحات فیشینگ هدایت می‌کنند که مو نمی‌زد با صفحه اصلی سازمان. در خیلی از مواقع، سیستم‌های امنیتی متوجه فیشینگ نمی‌شوند چون کاربر خودش شخصاً دکمه تأیید را زده است!
اقدامات پاسخ خودکار (Autonomous Response)
بهترین راه برای مقابله با این حملات، رفتن به سمت پاسخ خودکار است. سیستم‌های واکنش سریع باید اولویت‌بندی شوند؛ مثلاً اگر یک اقدام امنیتی باعث شود کاربر دوباره مجبور به لاگین شود، این یک اصطکاک پایین است و می‌توان آن را خودکار اجرا کرد. اما کارهای سنگین‌تر مثل ریست پسورد کلی یا غیرفعال کردن اکانت باید با تأیید انسانی انجام شود.
البته فراموش نکنید که باطل کردن سشن در Okta به این معنی نیست که توکن‌های صادر شده در Microsoft 365 یا GitHub هم همزمان باطل می‌شوند. شما باید برای هر سرویس ابری و ابزار حیاتی خود اکشن‌های لغو دسترسی از پیش‌ساخته داشته باشید.
OKTA
اقدام: باطل کردن سشن‌ها و توکن‌های OAuth صادر شده
API: DELETE /api/v1/users/{id}/sessions?oauthTokens=true
Microsoft Entra ID
اقدام: باطل کردن توکن‌های ریفرش و کوکی‌های سشن
API: POST /users/{id}/revokeSignInSessions
Google Workspace
اقدام: پایان دادن به سشن‌های وب و دستگاه و لغو توکن‌های OAuth
API: POST /admin/directory/v1/users/{userKey}/signOut
نحوه مقابله پلتفرم‌های مدرن با این حملات
پلتفرم‌های مدرن مانند Agentic SOC با داشتن صدها قابلیت تشخیص ناهنجاری مبتنی بر هوش مصنوعی، به تیم‌های امنیتی کمک می‌کنند تا بدون نیاز به کدنویسی پیچیده، جلوی این نفوذهای سریع ماشین را بگیرند و در کسری از ثانیه پاسخ مناسب را اجرا کنند.
