تحلیل فنی دفاعی و منبع‌محور: تکنیک‌های متنوع بازیگران تهدید سایبری علیه مقامات انتخاباتی و کمپین‌ها

مفاهیم و تهدیدات پایه

بر اساس اعلامیه عمومی سیسا (CISA) و اف‌بی‌آی (FBI)، تهدیدات سایبری علیه مقامات انتخاباتی و کمپین‌ها عمدتاً از طریق دو روش فیشینگ و اسمیشینگ اعمال می‌شود. در این حملات، مهاجمان با ارسال پیام‌های الکترونیکی یا متنی که ظاهری کاملاً معتبر و مشابه ارتباطات رسمی دارند، تلاش می‌کنند قربانی را فریب دهند تا اطلاعات محرمانه‌ای مانند نام کاربری و رمز عبور را افشا کند یا بر روی لینک‌ها و پیوست‌های آلوده کلیک نماید. این روش‌ها به‌طور فزاینده‌ای پیچیده شده‌اند و ممکن است شامل محتوای صوتی و تصویری نیز باشند.

انگیزه اصلی مهاجمان از هدف قرار دادن مقامات انتخاباتی، نامزدها و سازمان‌های سیاسی، دسترسی به داده‌های حساسی است که این افراد در اختیار دارند. از جمله این داده‌ها می‌توان به اطلاعات ثبت‌نام رأی‌دهندگان، ارتباط با مقامات دولتی فعلی و اطلاعات محرمانه کمپین اشاره کرد. به عبارت دیگر، این افراد به دلیل موقعیت دسترسی‌پذیر خود، اهداف جذابی برای سرقت اطلاعات و نفوذ به شمار می‌روند.

سیسا و اف‌بی‌آی هشدار می‌دهند که مهاجمان سایبری ممکن است از این اطلاعات برای اهداف مختلفی از جمله تأثیرگذاری بر فرآیند انتخابات، ایجاد اختلال در فعالیت‌های کمپین، یا سوءاستفاده از اطلاعات سرقت‌شده استفاده کنند. بنابراین، آگاهی از این تهدیدات و اتخاذ اقدامات پیشگیرانه برای همه دست‌اندرکاران انتخابات ضروری است. این توصیه‌ها صرفاً بر اساس محتوای اعلامیه مذکور است و شامل آمار یا مثال‌های خارج از منبع نمی‌شود.

• فیشینگ: تلاش برای فریب قربانی از طریق ایمیل‌های جعلی به منظور افشای اطلاعات حساس یا نصب بدافزار.
• اسمیشینگ: مشابه فیشینگ اما از طریق پیامک یا پیام‌های متنی انجام می‌شود.
• مهاجمان ممکن است از محتوای صوتی و تصویری متقاعدکننده برای افزایش اثربخشی حملات خود استفاده کنند.

شواهد و تله‌متری

برای شناسایی حملات فیشینگ و اسمیشینگ علیه مقامات انتخاباتی و کمپین‌ها، جمع‌آوری و تحلیل طیف وسیعی از شواهد دیجیتال ضروری است. این شواهد عمدتاً شامل ایمیل‌های دریافتی، پیامک‌ها و محتوای صوتی و تصویری است که ممکن است توسط مهاجمان برای فریب قربانیان طراحی شده باشند. بازرسان باید این اقلام را به‌عنوان منبع اولیه اطلاعات در نظر گرفته و آن‌ها را به‌طور سیستماتیک مستندسازی کنند.

ایمیل‌های مشکوک اغلب حاوی پیوست‌های آلوده یا لینک‌هایی به صفحات جعلی هستند که برای سرقت اعتبارنامه‌های ورود طراحی شده‌اند. در مورد پیامک‌ها (اسمیشینگ)، مهاجمان ممکن است از شماره‌های ناشناس یا سرویس‌های پیام‌رسان استفاده کنند و پیام‌هایی با محتوای فوری یا تهدیدآمیز ارسال نمایند. محتوای صوتی و تصویری جعلی (دیپ‌فیک) نیز می‌تواند برای جعل هویت افراد معتبر و ترغیب قربانی به انجام اقدامات ناامن به کار رود. ثبت دقیق زمان دریافت، فرستنده، و هرگونه ابرداده مرتبط با این ارتباطات، برای تحلیل بعدی حیاتی است.

تله‌متری شبکه و دستگاه‌های نهایی نیز می‌تواند سرنخ‌های مهمی در اختیار محققان قرار دهد. برای مثال، ترافیک غیرعادی به دامنه‌های ناشناخته، تلاش‌های مکرر برای ورود ناموفق، یا اجرای فرآیندهای غیرمنتظره در سیستم‌ها می‌تواند نشانه‌ای از نفوذ باشد. با این حال، تمرکز اصلی این راهنما بر روی شواهد ذکرشده در اطلاعیه عمومی CISA (ایمیل، پیامک، صدا و ویدئو) است و ابزارهای خاص SIEM یا فرمت‌های لاگ خارج از محدوده این تحلیل هستند.

• ایمیل‌های فیشینگ: شامل متن پیام، فیلدهای هدر، پیوست‌ها و لینک‌های موجود.
• پیامک‌های اسمیشینگ: شامل متن پیام، شماره فرستنده، زمان دریافت و هرگونه لینک یا شماره تماس.
• محتوای صوتی و تصویری: شامل فایل‌های ضبط‌شده، متادیتای فایل، و هرگونه نشانه از دستکاری یا تولید مصنوعی.

1. مستندسازی هرگونه ارتباط مشکوک (ایمیل، پیامک، تماس صوتی، ویدئو) به همراه جزئیات کامل.
2. حفظ شواهد در وضعیت اولیه و جلوگیری از تغییر یا حذف آن‌ها.
3. بررسی صحت محتوای صوتی و تصویری با استفاده از روش‌های تحلیل دیجیتال (در صورت امکان).
4. گزارش سریع حوادث به تیم امنیتی و مراجع ذیصلاح مطابق با پروتکل‌های سازمانی.

گردش کار شناسایی و پاسخ

در پرتو هشدار عمومی مشترک آژانس امنیت سایبری و زیرساخت ایالات متحده (CISA) و اداره تحقیقات فدرال (FBI) درباره تهدیدات سایبری علیه مقامات انتخاباتی و ستادهای مبارزات انتخاباتی، تدوین یک گردش کار مشخص برای شناسایی و پاسخ به حملات فیشینگ و اسمیشینگ ضروری است. این حملات با بهره‌گیری از پیام‌های ایمیلی، متنی، صوتی و ویدیویی جعلی اما ظاهراً معتبر، تلاش می‌کنند اعتبارنامه‌های ورود یا اطلاعات حساس را سرقت کرده یا بدافزار نصب کنند. هدف این راهنما، ارائه مسیری عملی برای مقابله با چنین تهدیداتی است.

مرحله نخست، شناسایی اولیه است. کارکنان باید نسبت به نشانه‌های رایج حملات فیشینگ و اسمیشینگ آگاه باشند؛ از جمله آدرس فرستنده مشکوک، لحن فوری یا تهدیدآمیز، درخواست اطلاعات محرمانه، و پیوندها یا پیوست‌های غیرمنتظره. در صورت دریافت چنین پیامی، کاربر نباید روی پیوند کلیک کند، پیوست را باز کند، یا به پیام پاسخ دهد. همچنین باید از باز ارسال پیام به دیگران خودداری کند تا دامنه نفوذ گسترش نیابد.

پس از شناسایی، پاسخ فوری شامل قطع ارتباط دستگاه از شبکه (در صورت امکان)، تغییر گذرواژه حساب‌های مرتبط، و فعال‌سازی احراز هویت چندعاملی برای تمام حساب‌های حساس است. سپس باید رویداد به واحد فناوری اطلاعات یا تیم پاسخ به حادثه سازمان گزارش شود. این تیم با حفظ شواهد (مانند تصویربرداری از صفحه، ذخیره هدرهای ایمیل) و ثبت زمان دقیق، بررسی فنی را آغاز می‌کند. در نهایت، بسته به ماهیت حادثه، گزارش به مقامات ذی‌صلاح مانند CISA یا FBI توصیه می‌شود.

توصیه می‌شود سازمان‌ها پیش از وقوع حادثه، این گردش کار را به‌صورت دوره‌ای تمرین کنند و آگاهی‌رسانی منظم برای کارکنان برگزار نمایند. همچنین لازم است کانال‌های ارتباطی رسمی برای گزارش سریع حوادث تعریف شده و فهرست تماس‌های اضطراری به‌روز نگه داشته شود. این اقدامات پیشگیرانه، آمادگی سازمان را در برابر تهدیدات سایبری افزایش می‌دهد.

• نشانه‌های هشداردهنده: آدرس فرستنده غیرعادی، اشتباهات نگارشی، درخواست اطلاعات محرمانه، ایجاد حس فوریت.
• اقدامات فوری: قطع ارتباط شبکه، تغییر گذرواژه، فعال‌سازی احراز هویت چندعاملی.
• گزارش‌دهی: اطلاع به تیم فناوری اطلاعات و مقامات ذی‌صلاح مطابق پروتکل سازمان.

1. دریافت پیام مشکوک را بدون تعامل با آن متوقف کنید.
2. از پیام اسکرین‌شات بگیرید و هدرهای ایمیل را ذخیره کنید.
3. دستگاه را از شبکه جدا کرده و گذرواژه‌های مرتبط را تغییر دهید.
4. حادثه را به تیم پاسخ به حادثه سازمان گزارش دهید.
5. در صورت لزوم، گزارش را به CISA یا FBI ارسال کنید.

غربالگری و اولویت‌بندی

بر اساس هشدار عمومی منتشرشده توسط CISA و FBI، بازیگران مخرب سایبری با استفاده از روش‌های فیشینگ و اسمیشینگ، تلاش می‌کنند تا اطلاعات حساس و اعتبارنامه‌های ورود مقامات انتخاباتی، نامزدها و سازمان‌های سیاسی را به سرقت ببرند. این اهداف به دلیل دسترسی به داده‌های ثبت‌نام رأی‌دهندگان، ارتباط با مقامات دولتی و در اختیار داشتن اطلاعات حساس کمپین، از جذابیت بالایی برای مهاجمان برخوردارند. بنابراین، غربالگری و اولویت‌بندی هشدارها باید بر اساس میزان حساسیت مخاطب و نوع اطلاعات در معرض خطر انجام شود.

برای اولویت‌بندی، ابتدا باید مخاطبان را بر اساس سطح دسترسی و حساسیت داده‌هایشان طبقه‌بندی کرد. مقامات ارشد انتخاباتی که به پایگاه‌های داده اصلی دسترسی دارند، در بالاترین سطح اولویت قرار می‌گیرند. سپس نامزدها و مدیران کمپین که به اطلاعات راهبردی و ارتباطات محرمانه دسترسی دارند، در رتبه بعدی هستند. سازمان‌های سیاسی و کارکنان پشتیبانی نیز به دلیل دسترسی به داده‌های شهروندان و ارتباطات داخلی، باید در سطح بعدی بررسی شوند. این طبقه‌بندی صرفاً بر اساس ذکر جذابیت این اهداف در PSA است و معیارهای عددی یا امتیازدهی به آن اضافه نشده است.

در فرآیند غربالگری، باید نوع اطلاعات در معرض خطر نیز مدنظر قرار گیرد. اطلاعاتی مانند اعتبارنامه‌های ورود به سامانه‌های ثبت‌نام رأی‌دهندگان، داده‌های شخصی شهروندان، استراتژی‌های کمپین و ارتباطات محرمانه با مقامات دولتی، از حساسیت بالایی برخوردارند. بنابراین، هر هشداری که به این نوع اطلاعات اشاره دارد، باید با اولویت بالاتر بررسی شود. همچنین، هشدارهایی که حاکی از استفاده از روش‌های فیشینگ و اسمیشینگ پیشرفته با محتوای قانع‌کننده (مانند ایمیل، پیامک، صدا و ویدیو) هستند، نیازمند توجه فوری‌اند. این توصیه‌ها صرفاً جنبه دفاعی دارد و بر اساس محتوای PSA ارائه شده است.

• مقامات انتخاباتی با دسترسی به داده‌های ثبت‌نام رأی‌دهندگان در اولویت اول بررسی قرار دارند.
• نامزدها و مدیران کمپین به دلیل دسترسی به اطلاعات راهبردی، در اولویت دوم هستند.
• سازمان‌های سیاسی و کارکنان پشتیبانی به دلیل دسترسی به داده‌های شهروندان، در اولویت سوم قرار می‌گیرند.
• هشدارهای مرتبط با اعتبارنامه‌ها، داده‌های شخصی و ارتباطات محرمانه باید با فوریت بیشتری بررسی شوند.

مثبت‌های کاذب و چالش‌ها

در تحلیل تهدیدات سایبری علیه مقامات انتخاباتی و ستادهای انتخاباتی، یکی از چالش‌های اصلی، تشخیص تفاوت بین حملات واقعی و ارتباطات قانونی است. بر اساس اطلاعیه عمومی منتشرشده توسط CISA و FBI، مهاجمان سایبری از تکنیک‌های فیشینگ و اسمیشینگ پیچیده‌ای استفاده می‌کنند که شباهت زیادی به ارتباطات مشروع دارند. این شباهت می‌تواند منجر به مثبت‌های کاذب شود؛ به این معنا که تحلیلگران یا کاربران ممکن است پیام‌های قانونی را به اشتباه به‌عنوان تهدید شناسایی کنند یا برعکس، حملات واقعی را به دلیل شباهت زیاد به ارتباطات عادی نادیده بگیرند.

مثبت‌های کاذب در این زمینه می‌تواند پیامدهای عملیاتی جدی داشته باشد. برای مثال، اگر یک ایمیل قانونی از سوی یک مقام رسمی یا یک کمپین انتخاباتی به اشتباه به‌عنوان فیشینگ علامت‌گذاری شود، ممکن است ارتباطات حیاتی مختل شود و اعتماد کاربران به سیستم‌های امنیتی کاهش یابد. از سوی دیگر، اگر یک پیام فیشینگ واقعی به دلیل شباهت زیاد به یک ارتباط معمولی نادیده گرفته شود، خطر نفوذ و سرقت اطلاعات افزایش می‌یابد. بنابراین، ایجاد تعادل بین دقت تشخیص و کاهش مثبت‌های کاذب یک چالش اساسی است.

برای مدیریت این چالش، لازم است که سازمان‌های انتخاباتی و ستادهای انتخاباتی روی آموزش کاربران و افزایش آگاهی آن‌ها در مورد شاخص‌های کلیدی فیشینگ سرمایه‌گذاری کنند. همچنین، استفاده از راهکارهای امنیتی چندلایه مانند احراز هویت چندعاملی و تأیید هویت فرستنده از طریق کانال‌های جایگزین می‌تواند به کاهش اثرات مثبت‌های کاذب کمک کند. با این حال، باید توجه داشت که هیچ راهکاری به‌طور کامل خطاناپذیر نیست و تحلیلگران باید همواره با دیدی انتقادی به بررسی پیام‌ها بپردازند.

• شباهت زیاد پیام‌های فیشینگ به ارتباطات قانونی، تشخیص را دشوار می‌کند.
• مثبت‌های کاذب می‌توانند منجر به اختلال در ارتباطات مشروع و کاهش اعتماد به سیستم‌های امنیتی شوند.
• آموزش کاربران و استفاده از احراز هویت چندعاملی از جمله اقدامات کاهشی است.

محدودیت‌ها و شکاف‌های اطلاعاتی

بیانیه عمومی سرویس (PSA) منتشرشده توسط CISA و FBI در خصوص تهدیدات سایبری علیه مقامات انتخاباتی و کمپین‌ها، عمدتاً بر توصیه‌های کلی و اقدامات پیشگیرانه متمرکز است. با این حال، این سند فاقد جزئیات فنی مشخص مانند شاخص‌های سازش (IOC)، نمونه‌های خاص بدافزار، یا زیرساخت‌های فرماندهی و کنترل (C2) است که معمولاً در هشدارهای فنی دقیق‌تر ارائه می‌شود. این شکاف اطلاعاتی می‌تواند برای تیم‌های دفاعی که نیاز به شناسایی فعالانه تهدیدات دارند، چالش‌برانگیز باشد.

علاوه بر این، PSA به طور خاص به بردارهای حمله مانند فیشینگ و اسمیشینگ اشاره می‌کند، اما جزئیات مربوط به تکنیک‌های مورد استفاده در این کمپین‌ها، مانند الگوهای خاص متن، دامنه‌های جعلی، یا روش‌های دور زدن احراز هویت چندمرحله‌ای را ارائه نمی‌دهد. این موضوع ممکن است به دلیل ملاحظات امنیتی یا عدم دسترسی به اطلاعات طبقه‌بندی‌شده باشد، اما برای تحلیلگران، نیاز به منابع تکمیلی را ضروری می‌سازد.

برای جبران این کمبودها، توصیه می‌شود که تحلیلگران به منابع معتبر دیگر مانند بولتن‌های امنیتی اختصاصی، گزارش‌های تهداد از فروشندگان امنیتی، و پایگاه‌های داده IOC مراجعه کنند. همچنین، همکاری با مراکز اشتراک‌گذاری اطلاعات (ISAC) و استفاده از پلتفرم‌های تحلیل تهدید می‌تواند به پر کردن شکاف‌های موجود کمک کند. لازم به ذکر است که عدم وجود IOC در PSA به معنای عدم وجود تهدید نیست؛ بلکه نشان‌دهنده رویکرد محافظه‌کارانه در انتشار اطلاعات فنی است.

• PSA فاقد شاخص‌های سازش (IOC) مانند هش‌های فایل، آدرس‌های IP یا دامنه‌های مخرب است.
• جزئیات فنی در مورد تکنیک‌های خاص فیشینگ و اسمیشینگ ارائه نشده است.
• منابع تکمیلی مانند بولتن‌های امنیتی اختصاصی و گزارش‌های تهداد برای تحلیل عمیق‌تر ضروری هستند.

شاخص‌های عملکرد و اندازه‌گیری

برای سنجش اثربخشی اقدامات مقابله با فیشینگ و اسمیشینگ در محیط‌های انتخاباتی، لازم است معیارهای مشخصی تعریف شود. این معیارها باید بر اساس توصیه‌های امنیتی منتشرشده توسط نهادهای معتبر مانند CISA و FBI طراحی شوند و هدف اصلی آن‌ها ارزیابی میزان آمادگی و واکنش کارکنان در برابر حملات مهندسی اجتماعی باشد. از آنجا که اعداد و ارقام دقیق در منابع رسمی ارائه نشده است، این شاخص‌ها به صورت کیفی و نسبی تعریف می‌شوند.

یکی از مهم‌ترین شاخص‌ها، تعداد گزارش‌های مشکوک ثبت‌شده توسط کارکنان در بازه‌های زمانی مشخص است. افزایش تعداد این گزارش‌ها نشان‌دهنده سطح بالاتر هوشیاری و آگاهی کارکنان است، به شرط آنکه گزارش‌ها پس از بررسی، حاوی موارد مثبت واقعی باشند. همچنین، میزان مشارکت در دوره‌های آموزشی و تمرین‌های شبیه‌سازی فیشینگ می‌تواند معیار مناسبی برای سنجش اثربخشی برنامه‌های آگاهی‌بخشی باشد.

علاوه بر این، ارزیابی دوره‌ای دانش کارکنان از طریق آزمون‌های کوتاه و سناریوهای عملی می‌تواند به شناسایی نقاط ضعف کمک کند. معیار دیگری که باید مورد توجه قرار گیرد، زمان واکنش به یک حادثه مشکوک و فرآیند گزارش‌دهی آن است. بهبود این شاخص‌ها نشان‌دهنده موفقیت اقدامات پیشگیرانه است. لازم به ذکر است که این پیشنهادها بر اساس توصیه‌های عمومی امنیتی ارائه شده و نیازمند بومی‌سازی با توجه به شرایط هر سازمان است.

• تعداد گزارش‌های مشکوک ثبت‌شده در سامانه داخلی به تفکیک نوع (ایمیل، پیامک، تماس تلفنی)
• درصد کارکنانی که دوره‌های آموزشی امنیت سایبری را با موفقیت گذرانده‌اند
• میانگین زمان شناسایی و گزارش یک حمله فیشینگ شبیه‌سازی‌شده
• تعداد تمرین‌های شبیه‌سازی فیشینگ انجام‌شده در هر فصل و نتایج آن‌ها

1. تعیین خط پایه برای هر شاخص بر اساس وضعیت فعلی سازمان
2. طراحی و اجرای برنامه‌های آموزشی منظم با محوریت شناسایی ایمیل‌ها و پیامک‌های مشکوک
3. راه‌اندازی سازوکاری ساده و محرمانه برای گزارش‌دهی حوادث مشکوک
4. بازبینی دوره‌ای شاخص‌ها و تنظیم برنامه‌ها بر اساس نتایج به‌دست‌آمده

عملیاتی‌سازی و اقدامات عملی

بر اساس توصیه‌های صریح اطلاعیه عمومی سرویس (PSA) منتشرشده توسط CISA و FBI، سازمان‌های انتخاباتی و کمپین‌ها باید بازبینی جامعی از شیوه‌های امنیتی جاری خود انجام دهند. این بازبینی باید شامل ارزیابی وضعیت فعلی اقدامات حفاظتی در برابر حملات فیشینگ و اسمیشینگ باشد و اطمینان حاصل کند که تمام کارکنان، از جمله مقامات ارشد و داوطلبان، از پروتکل‌های امنیتی تعیین‌شده پیروی می‌کنند. بازبینی دوره‌ای و مستندسازی نتایج آن، به شناسایی شکاف‌های احتمالی و اصلاح به‌موقع آن‌ها کمک می‌کند.

اقدام عملی دوم، پیروی دقیق از شیوه‌های امنیتی توصیه‌شده در PSA است. این شیوه‌ها شامل فعال‌سازی احراز هویت چندمرحله‌ای برای همه حساب‌های کاربری، به‌روزرسانی منظم نرم‌افزارها و سیستم‌عامل‌ها، و استفاده از رمزهای عبور قوی و منحصربه‌فرد است. همچنین کارکنان باید آموزش ببینند که چگونه ایمیل‌ها و پیامک‌های مشکوک را شناسایی کنند و از کلیک بر روی پیوندهای ناشناس یا باز کردن پیوست‌های غیرمنتظره خودداری نمایند. این اقدامات پایه‌ای، خطر نفوذ از طریق مهندسی اجتماعی را به‌طور قابل توجهی کاهش می‌دهد.

سومین اقدام عملی، حفظ هوشیاری مداوم در برابر پیام‌های مشکوک است. PSA تأکید می‌کند که بازیگران مخرب از تکنیک‌های پیچیده‌ای استفاده می‌کنند که ممکن است شامل ایمیل‌ها، پیامک‌ها، محتوای صوتی و ویدیویی قانع‌کننده باشد. بنابراین، سازمان‌ها باید کارکنان را ترغیب کنند که هرگونه ارتباط غیرمنتظره یا درخواست اطلاعات حساس را گزارش دهند. ایجاد یک کانال گزارش‌دهی داخلی و تشویق به گزارش سریع، می‌تواند از تبدیل یک خطای کوچک به یک حادثه امنیتی بزرگ جلوگیری کند. همچنین توصیه می‌شود که سازمان‌ها به‌طور دوره‌ای سناریوهای فیشینگ شبیه‌سازی‌شده را برای سنجش آمادگی کارکنان اجرا کنند.

• بازبینی دوره‌ای شیوه‌های امنیتی و مستندسازی نتایج
• فعال‌سازی احراز هویت چندمرحله‌ای برای همه حساب‌ها
• آموزش کارکنان برای شناسایی و گزارش پیام‌های مشکوک

1. مرحله ۱: بازبینی کامل شیوه‌های امنیتی فعلی بر اساس توصیه‌های PSA
2. مرحله ۲: اجرای اقدامات اصلاحی برای رفع شکاف‌های شناسایی‌شده
3. مرحله ۳: برگزاری جلسات آموزشی منظم برای کارکنان در مورد فیشینگ و اسمیشینگ
4. مرحله ۴: ایجاد و ترویج کانال گزارش‌دهی حوادث مشکوک