در ماه‌های اخیر سال ۱۴۰۳، محققان امنیت سایبری از شناسایی یک کمپین مخرب گسترده خبر داده‌اند که با بهره‌گیری از جعل وب‌سایت‌های مطرح حوزه هوش مصنوعی نظیر ChatGPT، Gemini، Claude و Perplexity، اقدام به سرقت اعتبارنامه‌های حساس و کدهای احراز هویت چندعاملی (MFA) از مدیران اکانت‌های تبلیغاتی می‌نماید. این حمله با استفاده از تکنیک پیچیده Browser-in-the-Browser (BitB) طراحی شده است تا لایه‌های امنیتی مدرن را دور بزند.
مکانیسم فنی حمله Browser-in-the-Browser (BitB)
روش حمله BitB برخلاف فیشینگ سنتی، به‌جای هدایت کاربر به یک صفحه وب خارجی، یک پنجره پاپ‌آپ جعلی داخل مرورگر ایجاد می‌کند که دقیقاً ظاهر یک صفحه لاگین قانونی (مانند OAuth گوگل یا مایکروسافت) را تقلید می‌کند. این پنجره با استفاده از HTML و CSS به شکلی طراحی شده که برای کاربر عادی غیرقابل تشخیص از پنجره واقعی مرورگر است. مهاجمان با شبیه‌سازی دقیق المان‌های UI، قربانی را ترغیب می‌کنند تا نام کاربری، رمز عبور و حتی کدهای OTP خود را در این پنجره‌های کاذب وارد کنند.
نحوه عملکرد در سرقت حساب‌های تبلیغاتی
هدف اصلی این کمپین، مدیران اکانت‌های تبلیغاتی در پلتفرم‌های بزرگی نظیر Meta Ads و Google Ads است. از آنجایی که این حساب‌ها به کارت‌های اعتباری متصل هستند، هک شدن آن‌ها خسارات مالی جبران‌ناپذیری به بار می‌آورد. مهاجمان با نفوذ به این اکانت‌ها، نه تنها به بودجه‌های تبلیغاتی دسترسی پیدا می‌کنند، بلکه از اعتبار این اکانت‌ها برای انتشار بدافزارهای بیشتر یا تبلیغات کلاهبرداری استفاده می‌کنند. استفاده از عبارات جستجوی بهینه‌سازی شده (SEO Poisoning) باعث می‌شود تا این سایت‌های جعلی در نتایج موتورهای جستجو در جایگاه‌های بالا قرار بگیرند.
دور زدن احراز هویت چندعاملی (MFA)
برخلاف باور عمومی که MFA امنیت صد درصدی فراهم می‌کند، این مهاجمان از تکنیک «پراکسی معکوس» استفاده می‌کنند. در این حالت، مهاجم همزمان با ورود قربانی به سایت جعلی، اطلاعات را به سایت اصلی هوش مصنوعی ارسال کرده و توکن نشست (Session Token) را بلافاصله دریافت می‌کند. از آنجایی که توکن احراز هویت شده مستقیماً به دست مهاجم می‌افتد، سیستم‌های امنیتی تصور می‌کنند کاربر واقعی در حال ورود است. این رویکرد به مهاجم اجازه می‌دهد بدون نیاز به دانستن کدهای دائم MFA، نشست کاربر را تصاحب (Session Hijacking) کند.
مشخصات فنی و شناسایی تهدید
- نوع حمله: فیشینگ پیشرفته با تکنیک BitB.
- هدف: سرقت نشست (Session Hijacking) و کدهای MFA.
- تکنیک‌های مبهم‌سازی: استفاده از SEO Poisoning و شبیه‌سازی UI.
- ابزارهای آسیب‌دیده: OpenAI ChatGPT, Google Gemini, Anthropic Claude, Perplexity.
- راهکار مقابله: استفاده از کلیدهای امنیتی سخت‌افزاری (FIDO2/WebAuthn) و بررسی دقیق URL در نوار آدرس مرورگر.
اقدامات پیشگیرانه برای تیم‌های فنی و سازمانی
برای محافظت در برابر این حملات، مدیران سیستم باید استراتژی‌های زیر را پیاده‌سازی کنند: اول، غیرفعال کردن کدهای OTP پیامکی و مهاجرت به احراز هویت مبتنی بر سخت‌افزار یا برنامه‌های Authenticator که از پروتکل‌های مقاوم در برابر فیشینگ استفاده می‌کنند. دوم، آموزش کارکنان برای بررسی دقیق دامنه (Domain) در نوار آدرس؛ اگرچه پنجره‌های BitB شبیه پنجره اصلی هستند، اما URL در پنجره اصلی مرورگر تغییر نمی‌کند. سوم، استفاده از نرم‌افزارهای مدیریت نشست (Session Management) که فعالیت‌های مشکوک در تغییر موقعیت جغرافیایی IP یا User-Agent را شناسایی می‌کنند.
