قراصنة ينتحلون صفة مصلحة الضرائب الإسرائيلية لاختراق مؤسسات داخل الاحتلال

استهدف هجوم إلكتروني مؤسسات داخل الاحتلال الإسرائيلي عبر رسائل بريدية مزيفة انتحلت صفة مصلحة الضرائب، واستدرجت موظفين إلى تحميل برامج تتيح التحكم عن بُعد في أجهزة الحاسوب، في عملية يُشتبه بارتباطها بمجموعة قرصنة إيرانية سبق أن نفذت هجمات مماثلة ضد أهداف إسرائيلية.

وأكدت صحيفة "معاريف" الإسرائيلية، نقلا عن نتائج بحث أجراها مركز كاتو CTRL التابع لشركة "كاتو نتوركس" للأمن السيبراني، أن الهجوم رصد للمرة الأولى في أيلول/ سبتمبر 2026، واستهدف موظفين داخل مؤسسات تعمل في قطاعات مختلفة، من خلال رسائل بدت وكأنها إشعارات رسمية صادرة عن مصلحة الضرائب الإسرائيلية.

وأشارت نتائج البحث إلى أن الرسائل تضمنت روابط تقود إلى مواقع إلكترونية مزيفة، صُممت عناوينها وواجهاتها لتبدو شبيهة بالمواقع الحكومية الرسمية، بهدف إقناع الموظفين بموثوقيتها ودفعهم إلى تحميل ملفات مرتبطة بإجراءات ضريبية.

وبحسب الباحثين، كان الموظفون الذين يضغطون على الروابط يُحالون إلى صفحة تنتحل صفة قسم الحسابات الشخصية في مصلحة الضرائب، وتطلب منهم إكمال عملية تحقق تبدو في ظاهرها إجراءً أمنيًا، قبل إتاحة تنزيل مستندات ضريبية.

لكن الملفات التي عُرضت للتنزيل لم تكن مستندات رسمية، وإنما برامج تنفيذية أُخفيت في صورة ملفات ضريبية، ومن بينها ملف يحمل اسم "Israel Tax Authority.exe"، إلى جانب ملفات أخرى أُعدت بطريقة تستهدف خداع المستخدمين.

وأوضحت الدراسة أن تشغيل هذه الملفات قد يؤدي إلى تثبيت برنامج "SimpleHelp" على أجهزة الحاسوب المستهدفة، وهو تطبيق شرعي يُستخدم في إدارة الأجهزة وتقديم الدعم الفني عن بُعد، إلا أن المهاجمين سعوا إلى توظيف إمكاناته للوصول إلى أجهزة الموظفين دون تصريح.

اظهار أخبار متعلقة

وقد يتيح البرنامج، في حال استغلاله من جانب المهاجمين، الاطلاع على البيانات المخزنة في الحاسوب، وتشغيل التطبيقات وتنفيذ الأوامر ونقل الملفات، فضلًا عن إعادة الاتصال بالجهاز في وقت لاحق من دون الحاجة إلى وجود المستخدم أمامه.

ومع ذلك، شدد الباحثون على أن هذه الوظائف تمثل إمكانات يمكن استغلالها في الهجوم، ولا تعني ثبوت تنفيذ جميع هذه الأنشطة بالفعل على الأجهزة التي تعرضت للاختراق.

ولفتت "معاريف" إلى أن الحملة استهدفت موظفين في مؤسسات تنتمي إلى قطاعات متعددة، مع تركيز خاص على العاملين في الإدارات المالية والمحاسبية والإدارية، مستفيدة من طبيعة عملهم التي تفرض تعاملًا متكررًا مع الإشعارات والمستندات الضريبية والمراسلات الحكومية المتعلقة بالمدفوعات والتقارير المالية.

اشتباه في تورط مجموعة قرصنة مرتبطة بإيران

وفي ما يتعلق بالجهة التي تقف وراء الهجوم، رجّح باحثو "كاتو نتوركس" مسؤولية مجموعة القرصنة المعروفة باسم "MuddyWater"، التي سبق أن استهدفت جهات إسرائيلية بعمليات إلكترونية اعتمدت أساليب متشابهة.

واستند هذا التقييم إلى أوجه التشابه بين الهجوم الأخير والأنشطة السابقة للمجموعة، ومن بينها استخدام رسائل تصيد باللغة العبرية، وانتحال صفة مؤسسات وشخصيات معروفة، والاستعانة ببرامج شرعية تتيح الوصول إلى أجهزة الحاسوب والتحكم فيها عن بُعد.

وأشارت الدراسة إلى أن نشاط المجموعة في استخدام برنامج "SimpleHelp" يعود إلى أكتوبر 2023، عندما وثّق باحثون توزيع التطبيق عبر رسائل تصيد إلكتروني. كما رُصد في مارس 2024 هجوم آخر استهدف جهات إسرائيلية، من خلال رسائل باللغة العبرية تتعلق بالرواتب، دفعت متلقيها إلى تنزيل برامج أخرى تتيح التحكم عن بُعد في الأجهزة.

وأضافت الصحيفة أن مجموعة "MuddyWater" سبق أن أُدرجت ضمن الجهات المرتبطة بوزارة الاستخبارات والأمن الإيرانية، وفق تنبيه مشترك أصدرته وكالات الأمن السيبراني في الولايات المتحدة وبريطانيا في فبراير 2022.

لكن الباحثين لم يقدموا تحديدًا قاطعًا للجهة المنفذة للهجوم الأخير، موضحين أن الاشتباه يستند إلى طبيعة النشاط والأساليب المستخدمة وأوجه التشابه مع عمليات سابقة، وليس إلى أدلة نهائية تثبت هوية منفذي الحملة الحالية.

اظهار أخبار متعلقة

وكشفت الدراسة كذلك عن تحديد عدد من المواقع الإلكترونية التي استُخدمت في توزيع الملفات المشبوهة، إلى جانب خوادم مرتبطة بالبنية التقنية التي يعتمد عليها المهاجمون في إدارة اتصالاتهم بالأجهزة المستهدفة وتوجيه الأوامر إليها.

وفي إحدى الحالات، رصد نظام منع الاختراق التابع لشركة "كاتو نتوركس" طلب اتصال موجّهًا إلى أحد عناوين المواقع المرتبطة بالهجوم، وتمكن من حظره.

برنامج شرعي استخدم في عملية تضليل

وفي تطور لاحق، تواصلت شركة "كاتو نتوركس" مع شركة "SimpleHelp" في 20 أكتوبر، وأبلغتها بالنتائج التي توصل إليها الباحثون بشأن استخدام برنامجها في الهجوم.

وأظهر التحقيق الذي أجرته الشركة عدم وجود أدلة على استغلال ثغرة أمنية في البرنامج أو تعرض أنظمتها للاختراق، كما أكدت أن الملفات التي خضعت للفحص احتوت على مكونات من إصدار قديم لبرنامج الوصول عن بُعد الخاص بها، وخلصت إلى أن ما حدث يمثل استخدامًا ضارًا لأداة مشروعة، وليس اختراقًا للبرنامج نفسه.

وفي اليوم التالي، قدم باحثو "كاتو نتوركس" إلى الشركة معلومات إضافية عن الخوادم المرتبطة بالهجوم، لمساعدتها في استكمال التحقيقات وتحديد طبيعة النشاط المشبوه.

وأشارت نتائج الفحص إلى أن المهاجمين لم يعتمدوا على اختراق تقني مباشر للبرنامج، وإنما ركزوا على خداع الموظفين ودفعهم إلى تثبيت التطبيق بأنفسهم، بعدما أوهموهم بأنهم يتعاملون مع جهة حكومية رسمية تطلب منهم استكمال إجراءات ضريبية.

وأكدت "كاتو نتوركس" أن أنظمة الحماية التابعة لها تحظر عناوين المواقع التي حُدد ارتباطها بالهجوم، فيما تواصل خدمات المراقبة التابعة للشركة تتبع الأنشطة المشبوهة المرتبطة باستخدام تطبيقات الوصول والتحكم عن بعد.

ولم تتضمن الدراسة أرقاما محددة بشأن عدد المؤسسات التي تلقت رسائل التصيد، أو عدد الموظفين الذين حمّلوا الملفات، كما لم تكشف عن حالات مؤكدة تثبت نجاح المهاجمين في السيطرة على أجهزة الحاسوب المستهدفة.