الأمن السيبراني09‏/11‏/2026، 6:20 م UTC·1 دقائق قراءة

فواتير Orange المزيفة تنشر حصان طروادة Remcos RAT

حذّر فريق CERT Orange Polska من حملة تصيّد تستخدم رسائل فواتير مزيفة لنشر حصان طروادة Remcos RAT. إليكم العلامات التي تكشف الاحتيال.

A laptop screen showing a suspicious invoice email with a warning icon over an attachment, representing an Orange phishing campaign. — الصورة: Benchmark.pl

حذّر فريق CERT Orange Polska من حملة تصيّد احتيالي تستهدف عملاء شركة الاتصالات. يرسل المحتالون رسائل تشبه إشعارات الفواتير الجديدة إلى حد كبير، لكن المرفق قد يحمل ملفًا خبيثًا يثبّت حصان طروادة Remcos RAT بدلًا من الفاتورة.

علامات تكشف الرسالة المزيفة

تصل الإشعارات الحقيقية من العنوان e-faktura@pl.orange.com، ونطاق pl.orange.com محمي بآليات SPF وDKIM وDMARC. غير أن الفريق يؤكد أن هذه الحلول تقلل خطر انتحال الهوية ولا تضمن اكتشاف كل حالة تزوير.

في الحملة الحالية ضبط المحتالون اسم المرسل ليبدو مطابقًا للمراسلات الشرعية، بينما لا يرتبط عنوان البريد الفعلي بـ Orange. ويمكن كتابة أي نص في حقل اسم المرسل. وفي نسخة سابقة من الهجوم كتب المحتالون في هذا الحقل "e-faktura@pl.orange.com" نفسه، ما قد يخدع المستلمين.

في الرسالة السليمة يظهر عنوان العميل في حقل المستلم (وقد تعرضه بعض برامج البريد بعبارة "إليّ"). أما في الرسائل المزيفة فقد يكون حقل "Do" غير معتاد: رؤوس خاطئة، أو فارغ، أو يوحي بأن رسالة مطابقة أُرسلت إلى عدد كبير من الأشخاص في الوقت نفسه.

ومن المؤشرات المهمة قسم "Zasady bezpieczeństwa" (قواعد الأمان)، إذ يجب أن يتضمن في الرسالة الحقيقية بيانات المستلم أو اسم الشركة مع رقم العميل. ويصف الفريق حالة ظهرت فيها بيانات شركة حقيقية تستخدم خدمات Orange، لكن الرسالة وصلت إلى شخص آخر تمامًا.

المرفق والدفع الآمن

قد يحتوي البريد الحقيقي والمزيف على مرفق، لكن وظيفته مختلفة: ففي الرسالة الشرعية هو الفاتورة، وفي المزيفة ملف لتثبيت Remcos RAT. ووفق الفريق، ربما نسخ المحتالون القالب من الإنترنت أو حصلوا عليه بعد اختراق صندوق بريد شركة والوصول إلى مراسلاتها.

ينصح الخبراء بالحذر الشديد مع كل الرسائل المتعلقة بالمدفوعات وقراءتها بعناية بحثًا عن تفاصيل غير معتادة. وأكثر الطرق أمانًا لسداد فاتورة Orange هي عبر تطبيق Mój Orange أو تطبيق المصرف، بإعادة تنفيذ دفعة سابقة. ويمكن إرسال أي بريد مشبوه للتحقق إلى العنوان cert.opl@orange.com.