يقول مكتب التحقيقات الفيدرالي إن مجموعة كيمسوكي الكورية الشمالية للتهديدات المستمرة تستخدم رموز QR خبيثة لاستهداف كيانات أمريكية

يقول مكتب التحقيقات الفيدرالي إن مجموعة Kimsuky APT، وهي مجموعة قرصنة مدعومة من الدولة الكورية الشمالية، تستخدم رموز QR خبيثة لاختراق المنظمات الأمريكية المرتبطة بسياسة كوريا الشمالية.

جاء التحذير في نشرة عاجلة صادرة عن مكتب التحقيقات الفيدرالي عام 2025، تم توزيعها على منظمات غير حكومية ومراكز أبحاث وجامعات وهيئات حكومية. وتقول الوكالة إن جميع المستهدفين يشتركون في أمر واحد: دراسة شؤون كوريا الشمالية أو تقديم المشورة بشأنها أو العمل في محيطها.

بحسب مكتب التحقيقات الفيدرالي، فإن مجموعة Kimsuky APT تقوم بتنفيذ حملات تصيد احتيالي تعتمد على رموز QR بدلاً من الروابط، وهي طريقة تُعرف باسم Quishing.

تخفي رموز الاستجابة السريعة (QR) روابط ضارة، وغالبًا ما يقوم الضحايا بمسحها باستخدام هواتفهم، وليس أجهزة الكمبيوتر الخاصة بالعمل. هذا التغيير يسمح للمهاجمين بتجاوز مرشحات البريد الإلكتروني، وبرامج فحص الروابط، وأدوات الحماية التي عادةً ما تكشف عمليات التصيد الاحتيالي.

ترسل شركة Kimsuky APT رسائل بريد إلكتروني تعتمد على رمز الاستجابة السريعة (QR) إلى الجهات المستهدفة في مجال السياسات والبحوث

أفاد مكتب التحقيقات الفيدرالي أن مجموعة كيمسوكي للتهديدات المتقدمة استخدمت عدة رسائل بريد إلكتروني ذات طابع خاص في عام 2025، حيث تطابقت كل رسالة مع وظيفة الهدف واهتماماته. وفي مايو/أيار، انتحل المهاجمون صفة مستشار أجنبي، وأرسلوا بريدًا إلكترونيًا إلى أحد قادة مراكز الأبحاث يطلبون فيه آراءه حول الأحداث الأخيرة في شبه الجزيرة الكورية. وتضمن البريد الإلكتروني رمز استجابة سريعة (QR code) يُزعم أنه يفتح استبيانًا.

في وقت لاحق من شهر مايو، انتحلت المجموعة صفة موظف في السفارة. وُجّهت تلك الرسالة الإلكترونية إلى باحث بارز في مركز أبحاث، طالبةً رأيه حول حقوق الإنسان في كوريا الشمالية. وادّعى رمز الاستجابة السريعة (QR code) الموجود على الرسالة أنه يفتح قرصًا آمنًا. وفي الشهر نفسه، زُعم أن رسالة إلكترونية أخرى مرسلة من موظف في مركز أبحاث، لكن مسح رمز الاستجابة السريعة (QR code) فيها حوّل الضحية إلى بنية Kimsuky التحتية للهجمات الإلكترونية المتقدمة (APT) المصممة خصيصًا للأنشطة الخبيثة.

في يونيو 2025، أفاد مكتب التحقيقات الفيدرالي أن المجموعة استهدفت شركة استشارات استراتيجية. دعت رسالة بريد إلكتروني الموظفين إلى مؤتمر وهمي. أحال رمز الاستجابة السريعة (QR code) المستخدمين إلى صفحة تسجيل. ثم دفع زر التسجيل الزوار إلى صفحة تسجيل دخول مزيفة من جوجل، حيث تم جمع أسماء المستخدمين وكلمات المرور. ربط مكتب التحقيقات الفيدرالي هذه الخطوة بنشاطdentبيانات الاعتماد الذي تم tracتحت رقم T1056.003.

تؤدي عمليات مسح رمز الاستجابة السريعة (QR) إلى سرقة الرموز والاستيلاء على الحسابات

قال مكتب التحقيقات الفيدرالي: "غالباً ما تنتهي عمليات الإيقاف بسرقة رمز الجلسة وإعادة تشغيله [T1550.004]، مما يُمكّن المهاجمين من تجاوز المصادقة متعددة العوامل [T1550.004] واختطاف هويات السحابةdentإثارة تنبيهات "فشل المصادقة متعددة العوامل" المعتادة"

يقول مكتب التحقيقات الفيدرالي إن العديد من هذه الهجمات تنتهي بسرقة رموز الجلسة وإعادة استخدامها، مما يسمح للمهاجمين بتجاوز المصادقة متعددة العوامل دون إثارة أي تنبيهات. ويتم الاستيلاء على الحسابات بهدوء، وبعد ذلك يقوم المهاجمون بتغيير الإعدادات وإضافة صلاحيات وصول جديدة، والاحتفاظ بالسيطرة. ويضيف مكتب التحقيقات الفيدرالي أن صناديق البريد المخترقة تُستخدم بعد ذلك لإرسال المزيد من رسائل التصيد الاحتيالي داخل المؤسسة نفسها.

يشير مكتب التحقيقات الفيدرالي إلى أن هذه الهجمات تبدأ من الهواتف الشخصية، مما يجعلها خارج نطاق أدوات الكشف عن نقاط النهاية ومراقبة الشبكات المعتادة. ولهذا السبب، قال مكتب التحقيقات الفيدرالي:

"يُعتبر الاختراق الآن وسيلة اختراق هوية عالية الموثوقية ومقاومة لأنظمة المصادقة متعددةdentفي بيئات المؤسسات."

يحثّ مكتب التحقيقات الفيدرالي المؤسسات على الحدّ من المخاطر. ويؤكد المكتب على ضرورة تحذير الموظفين من مسح رموز الاستجابة السريعة (QR) العشوائية الواردة في رسائل البريد الإلكتروني أو الرسائل أو المنشورات. وينبغي أن يشمل التدريب التعامل مع حالات الاستعجال الزائف وانتحال الشخصية. كما يجب على الموظفين التحقق من طلبات رموز الاستجابة السريعة (QR) من خلال التواصل المباشر قبل تسجيل الدخول أو تنزيل الملفات. وينبغي وضع قواعد واضحة للإبلاغ.

كما يوصي مكتب التحقيقات الفيدرالي باستخدام: "المصادقة متعددة العوامل المقاومة للتصيد الاحتيالي لجميع أنظمة الوصول عن بعد والأنظمة الحساسة"، و"مراجعة امتيازات الوصول وفقًا لمبدأ أقل الامتيازات وإجراء تدقيق منتظم لأذونات الحساب غير المستخدمة أو المفرطة"