يستهدف القراصنة مواقع الجمعية الخيرية كاريتاس

ضرب هجوم إلكتروني 17 موقعًا تابعًا لـ Caritas Spain، وهي منظمة خيرية كاثوليكية رئيسية، معرضا بيانات بطاقات المتبرعين للخطر لأكثر من عام دون الكشف عنه.

استخدم المهاجمون طريقة تسمى بـ “التجريف الويب”، حيث يتم إدخال كود خبيث في الموقع الإلكتروني لسرقة المعلومات الحساسة من المستخدمين. في هذه الحالة، أنشأ الجارف نموذج تبرع مزيف يقلد النموذج الحقيقي واستولى بصمت على البيانات الشخصية وبيانات الدفع بما في ذلك الأسماء، العناوين، أرقام البطاقات، CVV، والمزيد.

“تعزز هذه الحملة اتجاهًا أوسع تم ملاحظته: العدوى بالتجسس الإلكتروني على الويب تتزايد بشكل متزايد بواسطة أطقم وحدات”، كما كتب الباحثون في Jscrambler الذين رصدوا الاختراق هنا. تسمح هذه الأطقم للمتسللين بخلط أدوات وقنوات مختلفة بسهولة لتسليم وجمع البيانات المسروقة.

ذكر الباحثون أن المواقع المصابة كانت تعمل جميعها بواسطة WooCommerce، وهو إضافة شائعة للدفعات الإلكترونية على WordPress. كان للهجوم جزئين: أولاً، تم حقن قطعة صغيرة من الكود المخفي في الصفحة الرئيسية للموقع للاتصال بخادم المتسللين.

ثم أضاف السيناريو في المرحلة الثانية زر “متابعة” مزيف فوق الزر الحقيقي. بمجرد أن قام المستخدمون بالنقر عليه، تم عرض نموذج الدفع عبر الإنترنت المزيف، المصمم ليبدو مثل البوابة الرسمية لبنك سانتاندر.

بعد الامساك بالبيانات، أظهر النموذج بشكل موجز دوار التحميل قبل إعادة توجيه المتبرع إلى موقع الدفع الشرعي، مما جعل الاحتيال أكثر صعوبة في الملاحظة.

“هذا الأمر يثير القلق بشكل خاص بالنظر إلى الهدف المستهدف”، كما لاحظت Jscrambler. “كاريتاس هي منظمة غير ربحية مكرسة لمساعدة المجتمعات الضعيفة. ومع ذلك، كان المهاجمون سعداء بمواصلة عملياتهم التجسسية […] لأكثر من عام”.

تم اكتشاف العدوى لأول مرة في 16 مارس 2025، وتم أخذ المواقع الإلكترونية المتأثرة في نهاية المطاف حيز الصيانة في أوائل أبريل بعد أن تواصلت Jscrambler.

بحلول 11 أبريل، تمت إزالة الشيفرة الخبيثة أخيرًا. ومع ذلك، كان القراصنة قد غيروا تكتيكاتهم في غضون ذلك الوقت، بتعديل النص البرمجي لتجنب الكشف.

وكما وجد الباحثون أيضاً دلائل على أن هذه المجموعة استهدفت مواقع إلكترونية أخرى أيضًا، حيث استخدمت أكثر من 60 نطاقًا وهميًا لتوزيع البيانات وجمعها. وكان العديد من هذه النطاقات مستضافة تحت نفس عنوان الـIP، مما يشير إلى إعداد مركزي. ولم تصدر كاريتاس بيانًا رسميًا حول الاختراق، حسبما أفادت Jscrambler.