خادم مخترق مكشوف يكشف عملية احتيال واسعة النطاق ببطاقات الهدايا ومخططات إضافية

الخادم المكشوف يؤكد عملية احتيال واسعة النطاق ببطاقات الهدايا

اكتشف باحثو Cybernews في نهاية يوليو 2026 خادمًا تابعًا لجهة تهديد مكشوف، كان يحتوي على كود المصدر وملاحظات الهجوم وقواعد البيانات ونتائج عملية احتيال واسعة النطاق ببطاقات الهدايا. يفترض الفريق أن هذا البرنامج كان نشطًا منذ مارس 2026 على الأقل.

ركز المهاجم على بطاقات الهدايا المحمّلة على منصات التداول P2P واحتجز بيانات البطاقات القيمة حتى اكتمال المعاملة العادية. بطاقات الهدايا هدف مربح لأنها تعمل كأموال رقمية: يمكن استخدامها بسرعة وبيعها بسهولة، في حين أن استردادها بعد سرقتها صعب.

كيف كانت العملية تعمل

فحص actors التهديد مئات المنصات عبر الإنترنت. حدد مالكو الخادم 58 منصة لتداول بطاقات الهدايا و3 منصات تداول عملات مشفرة P2P كانت تقبل بطاقات الهدايا كوسيلة دفع. كان المصدر الرئيسي للدخل هو سرقة بطاقات الهدايا المحمّلة حديثًا: استخدموا 10 سكربتات Python على 10 منصات وراقبوا التحميلات الجديدة في نافذة زمنية مدتها 90 ثانية.

استخدم المهاجم حاويات التخزين storage bucket المكشوفة وتهيئات خاطئة، مما سمح بتجاوز صفحة المصادقة أو الوصول إلى بيانات بطاقات الهدايا. كان الخادم يحتوي على 4,098 سجل طلب، 3,690 تجزئة صورة، و3,998 صورة بطاقة هدايا مسروقة مرتبطة بـ Cardlumi. كانت إحدى المنصات، Cardtonic، تحتوي على تهيئة API غير صحيحة سمحت لأي مستخدم مصرّح له بطلب معلومات التداول، بما في ذلك رموز بطاقات الهدايا كنص عادي وبريد المستخدمين؛ ولكن تم التحقق من ذلك فقط على مستوى المفهوم.

تم الكشف أيضًا عن عمليات إضافية

كان الخادم يحتوي أيضًا على مواد متعلقة بـ Trustonic ALPS، وهي منصة سحابية يستخدمها مشغلو المحمول لقفل أو فتح الأجهزة عن بُعد. جمع المهاجم بيانات المصادقة المخترقة مع تهيئة API غير صحيحة سمحت حتى للمستخدمين ذوي أذونات القراءة فقط بتغيير سياسة قفل الأجهزة. أعلنت Trustonic أن تحقيقًا داخليًا كشف أن بيانات المصادقة تم الحصول عليها من أجهزة الضحايا عبر برنامج infostealer خبيث وليس عبر اختراق المنصة. أعادت الشركة تعيين كلمات مرور الحسابات المتضررة.

ارتبطت العملية الثانية بـ Octoplus Box، وهي أداة خدمة للهواتف المحمولة. أنشأ المهاجم خدمة GSM مزيفة مشابهة لـ Dhru Fusion API وباع الخدمات عبر بوت Telegram باستخدام 10 حسابات مخترقة. كان الخادم يحتوي على قاعدة بيانات SQLite ببيانات حسابات البائعين المخترقين، بما في ذلك أسماء المستخدمين وكلمات المرور كنص عادي و341 سجل معاملة.

عملية عمل مدعومة بالذكاء الاصطناعي

وفقًا للباحثين، كان الاحتيال ببطاقات الهدايا يعتمد جزئيًا على الأقل على الذكاء الاصطناعي، حيث تم استخدام Claude من Anthropic كوكيل AI رئيسي في عملية الهجوم. عُثر في الملفات على عناوين بريد إلكتروني شخصية قد تخص المهاجم، بينما تشير الحسابات المكتوبة بالإسبانية إلى أن المشغل يتحدث الإسبانية.

التسلسل الزمني للاكتشاف: تم اكتشاف التسرب في 19 يوليو 2026؛ تم إرسال أول إشعار إلى Cardtonic وTrustonic في 28 أغسطس 2026؛ تم إرسال أول إشعار إلى Cardlumi في 31 أغسطس 2026؛ تم تسجيل إغلاق التسرب في 14 أغسطس 2026.

المصادر: Cybernews