خرق إلكتروني كبير في إيرادات جلالة الملك وعاداته (HMRC) التي شهدت المحتالين يخدعون المحطة العامة من حوالي 47 مليون جنيه إسترليني قد قوبلت بفزع من خبراء الأمن بفضل البساطة الهائلة للهجوم ، والتي نشأت من خلال محاولات الاستحواذ على الحساب على دافعي الضرائب الشرعيين.
كشفت HMRC عن خرق لجنة مختارة الخزانة هذا الأسبوع، وكشف أن المتسللين وصلوا إلى حسابات عبر الإنترنت لحوالي 100000 شخص عبر هجمات التصيد وتمكنت من المطالبة مبلغًا كبيرًا من المال في الحسومات الضريبية قبل التوقف.
من المفهوم أن هؤلاء الأفراد المتضررين قد تم الاتصال بهم من قبل HMRC – لم يفقدوا أي أموال شخصياً وليست هم أنفسهم في أي مشكلة. لقد تم بالفعل الاعتقالات في القضية.
خلال الإجراءات، جاء HMRC أيضًا بسبب انتقاده من قبل رئيس اللجنة ميج هيلير ، الذي علم عن تقرير إخباري سابق في هذا الأمر ، على مدى المدة التي اتخذت نظيفة على الحادث.
عواقب واسعة النطاق
مع إرسال رسائل البريد الإلكتروني المخادعة إلى دافعي الضرائب غير المقصود تم تحديدها على أنها متجه الهجوم الأولي للمخادعين ، قد تشعر HMRC بالارتياح لأنها تخلصت من اللوم الكامل للحادث.
لكن وفقًا لوف ريتشموند كوجان ، شريك متخصص في البيانات والمنازعات الإلكترونية في مكتب المحاماة Freeths، على الرغم من أن مكتب الضرائب قد بذل آلامًا للتأكيد على أنظمته الخاصة أبدًا ، إلا أن الحادث أكد على مدى انتشار عواقب الهجمات السيبرانية – كرة الثلج من أصول بسيطة إلى خسارة بملايين الجنيهات.
وقال ريتشموند كوججان: “يتضح من تفسير HMRC أن الجريمة ضد HMRC كانت ممكنة فقط بسبب انتهاكات البيانات السابقة والهجمات الإلكترونية”.
“تضع تلك الهجمات السابقة البيانات الشخصية في أيدي المجرمين الذين مكنوهم من انتحال شخصية دافعي الضرائب والتقدم بنجاح للمطالبة بضرائب العودة.”
التصيد يتغير ، بفضل الذكاء الاصطناعي
وفي الوقت نفسه ، جيراسيم هوفانيسيان ، الرئيس التنفيذي لشركة easydmarc، أشار أحد مقدمي أمان البريد الإلكتروني ، إلى أن التصيد ضد كل من الأفراد والشركات والمؤسسات الأخرى التي كان قد تجاوزها منذ فترة طويلة إلى ما وراء مجال المحتالين الذين يكرسون حظهم.
على الرغم من أن هذا النوع من الاحتيال المنتشر لا يزال يمثل تهديدًا قويًا ، لا سيما للمستهلكين الذين قد لا يتم إبلاغهم بأمور الأمن السيبراني-فإن حجم HMRC Phish يشير بالتأكيد إلى إجراءات مستهدفة ، على الأرجح باستخدام مهارات البريد الإلكتروني المصنوعة بعناية لتمثيل HMRC نفسها ، المصممة لتخليص دافعي الضرائب على التقييم الذاتي في حسابهم.
ليس ذلك فحسب ، ولكن الذكاء الاصطناعي (GENAI) يعني عمليات التصيد المستهدفة أصبحت أكثر خطورة بشكل كبير في فترة زمنية قصيرة جدًاوأضاف هوفانيسيان.
“[It] لقد صنع [phishing] قابل للتطويرو مصقول ، ومقنع بشكل خطير ، وغالبا ما لا يمكن تمييزها من التواصل المشروع. وعلى الرغم من أن العديد من المنظمات عززت محيطها الأمني ، إلا أن البريد الإلكتروني لا يزال هو المتجه الأكثر استغلالًا واستغلاله بشكل مستمر.
“تستغل هذه عمليات الاحتيال ثقة الإنسان ، وذلك باستخدام الإلحاح والسلطة وتكتيكات الانتحار واقعية بشكل متزايد. إذا كان من الممكن تصور HMRC ، يمكن لأي شخص”.
وأضاف هوفهانيسيان: “ما هو أكثر إثارة للقلق هو أن لجنة اختيار الخزانة التي علمت فقط بالخرق من خلال الأخبار. عندما يتم سرقة 47 مليون جنيه إسترليني من خلال الانتحال ، لا يمكن للمؤسسات أن تبقى هادئة. تأخر الإفصاح يثير الثقة ، والاستجابة للمادة ، وتمنح المهاجمين مساحة للمنافسة.”
المستخدمون خط دفاع أولي غير موثوق به
مرة أخرى ، تبين أن المستخدمين النهائيين للخدمة هم مصدر الهجوم السيبراني ، وعلى هذا النحو ، سواء كانوا داخليًا أو-كما في هذه الحالة-خارجيًا ، غالبًا ما يعتبر خط الدفاع الأول للمنظمة.
ومع ذلك ، ليس من الحكمة دائمًا اتباع هذا النهج ، وبالنسبة لمؤسسة مثل HMRC Daily التي تشارك مع أفراد الجمهور ، فإنه ليس ممكنًا أيضًا. يعد التعليم الأمني اقتراحًا صعبًا في أفضل الأوقات وعلى الرغم من أن المركز الوطني للأمن السيبراني (NCSC) في المملكة المتحدة (NCSC) يقدم نصيحة واسعة وتوجيهات حول اكتشاف رسائل البريد الإلكتروني الخادعة والتعامل معها بالنسبة للمستهلكين – تدير أيضًا خدمة الإبلاغ عن التصيد أنه اعتبارًا من أبريل 2025 ، تلقى أكثر من 41 مليون تقرير احتيال – لا يمكن للهيئات مثل HMRC الاعتماد على الجميع بعد زيارة موقع NCSC.
على هذا النحو ، مايك بريتون ، كبير مسؤولي المعلومات (CIO) في منظمة العفو الدولية غير الطبيعية، جادل أخصائي في التصيد والهندسة الاجتماعية والوقاية من الاستحواذ على الحساب ، أن HMRC يمكن أن تفعل أكثر من منظور تقني.
وقال: “ستكون الحكومات دائمًا هدفًا كبيرًا للمجرمين على الإنترنت بسبب المعلومات القيمة التي يحملونها. في الواقع ، فإن الهجمات ضد هذا القطاع ترتفع”.
“في هذه الحالة ، يبدو أن المجرمين يستخدمون حسابًا يتولى إجراء عملية احتيال. لمكافحة هذا ، المصادقة متعددة العوامل (MFA) هو المفتاح ، ولكن مع نمو الهجمات أكثر تطوراً ، يجب اتخاذ خطوات أخرى. “
وقالت بريتون إن منظمات مثل HMRC تحتاج حقًا إلى التفكير في تبني المزيد من استراتيجيات الأمان ذات الطبقات ، ليس فقط بما في ذلك MFA ولكن أيضًا دمج الرؤية الأوسع والضوابط الموحدة عبر أنظمة تكنولوجيا المعلومات الخاصة بها.
وأضاف أن هجمات الاستحواذ على الحساب مثل تلك التي شوهدت في هذا الحادث يمكن أن تتكشف بسرعة ، لذلك يجب أيضًا تزويد وظيفتها الإلكترونية بأدوات لتحديد ومعالجة الحسابات المعرضة للخطر أثناء الطيران.
