واي فاي الفنادق تحوّل إلى سلاح: كيف يختطف القراصنة نظام DNS لسرقة بيانات الدخول إلى Microsoft 365 (ولماذا يظلّ VPN خيارًا دفاعيًا فعّالًا)
إذا كنت قد أغلقت حاسوبك المحمول في بهو فندق يومًا ووثقت بأن شبكة الواي فاي ستتصرف تمامًا مثل شبكة مكتبك، فإن الأسبوع الأخير من يوليو 2026 يُعدّ سببًا كافيًا لإعادة التفكير في هذه العادة. فقد وثّق باحثون أمنيون في BleepingComputer وHackRead، بشكل مستقل، موجة من الهجمات يقوم فيها المجرمون بإعادة كتابة إعدادات نظام DNS بصمت على بوابات الواي فاي في قطاع الضيافة، ثم يكتفيون بالجلوس ومشاهدة الضيوف وهم يكتبون كلمات مرور Microsoft 365 الحقيقية في نسخ مطابقة لصفحة تسجيل الدخول الرسمية. وقد لوحظ النمط ذاته في قاعات المؤتمرات ومساحات العمل المشتركة. والخبر الجيد أنّ التقنية الأساسية في هذا الهجوم ليست جديدة، وأنّ وسائل الدفاع عنه ليست معقّدة. أمّا الخبر السيئ فهو أنّ معظم المسافرين لا يستخدمون أيًّا منها.
ما الذي يحدث فعليًا
في الهجمات التي أُبلِغ عنها خلال هذا الشهر، لا تكون الضحية هي حاسوب الضيف، بل تكون البوابة نفسها. إذ تعتمد شبكات الواي فاي في الفنادق والمؤتمرات بشكل شبه دائم على جهاز توجيه مُدار يقدّم بوابة أسيرة (captive portal) للمصادقة، ويتحكم في الخلفية بخدمة DNS لجميع الأجهزة المتصلة. وبمجرد أن يحصل المهاجم على وصول إداري إلى هذا الموجِّه — سواء عبر بيانات اعتماد افتراضية أو مسروقة، أو من خلال ثغرة غير مُرقَّعة في البرنامج الثابت، أو عبر خدعة الهندسة الاجتماعية لمقاول تقنية المعلومات في الموقع — يصبح بمقدوره تغيير سجلات DNS التي توزّعها البوابة. واعتبارًا من تلك اللحظة، فإنّ أي شخص في البهو يكتب login.microsoftonline.com في متصفحه، سيُعاد توجيهه بصمت إلى خادم يتحكم فيه المهاجم ويبدو مطابقًا تمامًا لبوابة Microsoft الرسمية. بل يمكن أن تتطابق شهادة TLS، لأنّ المهاجم تعلّم إصدار شهادات لاسم المضيف الأصلي من خلال خدمات التحقّق التلقائي.
تقوم صفحة التصيد بجمع عنوان البريد الإلكتروني وكلمة المرور، ثم تُعيد توجيههما إلى نقطة النهاية الحقيقية لدى Microsoft حتى تنجح عملية تسجيل الدخول دون ظهور أي خطأ واضح، وبعدها تُخزِّن ملفات تعريف الارتباط الخاصة بالدورة (session cookies). وفي عدة حالات، كان المهاجم يُسجّل الدخول خلال ثوانٍ معدودة، ويستفيد من الدورة المشروعة لتفعيل قواعد إعادة توجيه البريد الوارد، وإنشاء موافقات OAuth لتطبيقات جديدة، والتوغّل داخل SharePoint وOneDrive قبل أن يُغلق المستخدم علامة تبويب المتصفح أصلًا. صحيح أنّ المصادقة الثنائية على حساب المستخدم تُبطئ هذا الهجوم، لكنها لا توقفه، لأنّ المهاجم بات يمر الآن عبر خوادم Microsoft الحقيقية باستخدام دورة سارية المفعول.
لماذا تُعدّ واي فاي الفنادق هشة بشكل استثنائي
كانت شبكات الواي فاي العامة تُعدّ خطرة على الدوام. لكنّ شبكات الفنادق والمؤتمرات تمثّل حالة خاصة لثلاثة أسباب. أولًا، نادرًا ما تُرقَّع الأجهزة وفق إيقاع سريع؛ إذ تُصدَر تحديثات البرنامج الثابت للبوابات من قِبل المورّدين على أساس ربع سنوي أو بفترات أطول، في حين لا تمتلك فرق تقنية المعلومات في قطاع الضيافة في أغلب الأحيان أي جرد رسمي للأصول، ولا تراقب التغييرات غير المتوقعة في الإعدادات. ثانيًا، تتشارك في هذه الشبكات مئات الغرباء ضمن نافذة زمنية قصيرة، مما يمنح المهاجم كثافة عالية من الأهداف وحلقة تغذية راجعة سريعة. ثالثًا، تعني البوابة الأسيرة أنّ حركة DNS تمر عادةً عبر مُحلٍّ واحد يديره المورّد، بدلًا من المحلّلات المشفّرة التي تفضّلها أنظمة التشغيل الحديثة. وعندما يُخترق هذا المُحلّ، تُختَرَق جميع الأجهزة المتصلة بالشبكة في الوقت ذاته.
وتشير إرشادات Microsoft الخاصة بالمسؤولين التنفيذيين المسافرين منذ فترة طويلة إلى هذا الخطر. وتتميّز الموجة الحالية بأنّها تبدو موجهة نحو Microsoft 365 تحديدًا، لا نحو بيانات الاعتماد البنكية أو الاستهلاكية العامة. ويشير هذا التركيز إلى أنّ المهاجمين يستهدفون البريد الإلكتروني للشركات، والملفات، وأذونات تطبيقات OAuth التي تمنح وصولًا دائمًا إلى مستأجري SaaS حتى بعد أن يُغادر الضيف الفندق بوقت طويل.
لماذا يظلّ VPN أفضل دفاع منفرد
يقدّم VPN الموثوق ثلاثة أدوار في الوقت ذاته عند اتصالك بشبكة واي فاي الفندق. فهو ينقل استعلامات DNS الخاصة بك بعيدًا عن مُحلّ البوابة إلى مُحلٍّ تتحكم فيه أنت أو يُشغّله موفّر VPN، مما يهزم أكثر أشكال هذا الهجوم مباشرةً. كما يُشفّر كل حزمة بين جهازك وخادم VPN، بحيث لا تعود البوابة قادرة على رؤية أسماء المضيفين التي تنوي الاتصال بها. وإذا كان يتضمن مفتاح إيقاف طارئ (kill switch) وحماية من تسرّب DNS، فإنه يمنع نظام التشغيل من العودة بصمت إلى المُحلّ الافتراضي للشبكة في حال انخفض نفق VPN لجزء من الثانية. وليس أيّ من هذه الدفاعات غريبًا؛ فهي ميزات قياسية في خدمات VPN الاستهلاكية ذات السمعة الطيبة منذ سنوات. غير أنّ الجديد هو أنها لم تعد اختيارية لأي شخص يُسجّل الدخول إلى مستأجر Microsoft 365 من غرفة فندق.
ومن المفيد التحلي بالدقة حول ما لا يفعله VPN. فهو لا يحميك من تسجيل الدخول إلى صفحة تصيد عبر نفق VPN نفسه. فإذا كان المهاجم ينفّذ هجومًا من نوع رجل-في-المنتصف (man-in-the-middle) في طبقة أعلى، أو إذا كان قد اخترق موقعًا إلكترونيًا تثق به، فإنّ VPN سيمرّر الحركة بأمانة. كما أنه لا يحمي جهازًا مُصابًا ببرمجيات خبيثة قبل الاتصال، أو جهازًا تم إعداده ليثق بشهادة جذر خبيثة ثبّتتها برمجيات خبيثة سابقة. فلهذه الطبقات، تحتاج إلى حماية نقطة النهاية، ومفاتيح أمان مادية (hardware security keys)، ووعي نقدي تجاه أي تحذير شهادة يظهر في المتصفح.
عشر خطوات يجب اتخاذها قبل الاتصال بأي شبكة فندق
اتصل بـ VPN قبل فتح المتصفح، وقبل تسجيل الدخول إلى شبكة الواي فاي، وقبل قبول شروط البوابة الأسيرة. يجب أن يظلّ VPN نشطًا أثناء كتابة بيانات الاعتماد في البوابة نفسها.
تأكّد من تفعيل مفتاح الإيقاف الطارئ (kill switch) وحماية تسرّب DNS في VPN. اختبرهما على شبكة مختلفة قبل السفر حتى تعرف كيف يظهر فشل النفق على جهازك.
استخدم مفتاح أمان مادي (hardware security key) لتسجيل الدخول إلى Microsoft 365، بدلًا من الرموز عبر SMS أو الرموز المستندة إلى التطبيقات. لا يمكن خداع مفتاح FIDO2 عبر التصيد في الوقت الفعلي، لأنّ المتصفح يربط التحدّي بالنطاق الحقيقي.
عطّل الاتصال التلقائي بالشبكات المفتوحة على حاسوبك المحمول وهاتفك. فمعظم أنظمة التشغيل ستنضم بصمت إلى شبكة تحمل اسم فندق أو مطار قريب، وتكشف حركة مرورك لها قبل أن تفتح متصفحًا أصلًا.
استخدم نقطة الاتصال المحمولة (mobile hotspot) في هاتفك خيارًا بديلًا كلّما كان العمل حساسًا. فالشبكة الخلوية الحديثة على هاتفك أقلّ عرضة بشكل جذري من البوابة الموجودة في بهو الفندق.
عامل أي تحذير شهادة غير متوقع باعتباره نقطة توقّف حاسمة. فصفحة Microsoft 365 الشرعية على نطاق Microsoft الحقيقي لا تنتج خطأ شهادة في أي متصفح حديث.
افتح نافذة تصفّح خاصّة (private browsing window) للبوابة الأسيرة، حتى لا تتسرّب ملفات تعريف الارتباط الخاصة بالبوابة ومعاملات التتبّع إلى جلسات عملك.
راجع قواعد إعادة توجيه البريد الوارد وموافقات تطبيقات OAuth في حساب Microsoft 365 الخاص بك في صباح اليوم التالي للسفر. فالمهاجمون الذين يحصدون دورة سارية غالبًا ما يتصرّفون خلال ساعات، ويحاولون الثبات بإضافة قواعد وتطبيقات لن تلاحظها.
حافظ على تحديث حاسوبك وهاتفك بالكامل، وأعِد تشغيلهما قبل مغادرة المنزل. فالجلسة النظيفة ذات المتصفح المحدّث تُمثّل هدفًا أصغر بكثير من جلسة تعمل منذ آخر إعادة تشغيل قبل شهر.
إذا كنت تُدير مستأجر Microsoft 365 لشركتك، ففعّل سياسات الوصول المشروط (Conditional Access) التي تتطلب جهازًا متوافقًا أو شبكة معتمدة لتسجيلات الدخول عالية المخاطر. وعند دمجها مع مفاتيح الأمان، فإنها تُحوِّل كلمة المرور المسروقة إلى أصل عديم القيمة.
النمط الأوسع، وما يعنيه لعام 2026
ليست عمليات اختطاف DNS في الفنادق والمؤتمرات فئة جديدة من الهجمات. والجديد في عام 2026 هو التركيز على Microsoft 365 والسرعة التي يحوّل بها المهاجمون بيانات اعتماد واحدة إلى وصول دائم عبر مستأجر SaaS بأكمله. ويُطبَّق دليل الهجوم ذاته على موفّري الهوية الموحّدة الآخرين، وعلى مديري كلمات المرور، وعلى مركّزات VPN نفسها. ولم تعد شبكات الواي فاي العامة مجرّد فضول لفرق الأمن، بل أصبحت متجهًا مؤكَّدًا للوصول الأولي من النوع الذي يهيمن على مطالبات التأمين وإفصاحات الاختراق هذا العام. والمسافرون الذين يعاملون كل شبكة فندق باعتبارها شبكة معادية، ويجمعون بين VPN ذي سمعة طيبة ومصادقة متعددة العوامل مدعومة بالأجهزة، هم ببساطة خارج بُركة أسهل الضحايا. أمّا البقيّة فهم داخل هذه البُركة، والحملات القائمة حاليًا مصمّمة لإيجادها.
إن أردت أن تأخذ شيئًا واحدًا من هذه المقالة، فخذه: وصِّل VPN أوّلًا، وثِق بالبوابة الأسيرة في المرتبة الأخيرة، ولا تسمح أبدًا لشبكة فندق بأن ترى كلمة مرور Microsoft 365 الخاصة بك دون وجود مفتاح أمان مادي على الطرف الآخر من تسجيل الدخول.
