استكشاف أشهر منتدى للجريمة الإلكترونية في الويب المظلم في مجال العملات المشفرة

لقد حصلنا على الوصول إلى BreachForums، وهو منتدى مغلق يضم مجتمعًا نشطًا جدًا من المجرمين الإلكترونيين، لفهم المنتجات والخدمات التي تُباع في السوق السوداء الرقمية، أي الشبكة المظلمة.

إليك ما اكتشفناه.

هذه المقالة ذات طابع تعليمي ولا تشجع على استخدام الشبكة المظلمة.

ما هي الشبكة المظلمة ؟

لإعطاء سياق مختصر، دعونا نشرح ما نعنيه بالشبكة المظلمة ومنتديات المجرمين السيبرانيين. الشبكة المظلمة هي جزء مخفي من الإنترنت، يمكن الوصول إليه فقط من خلال متصفحات متخصصة مثل Tor، والتي تركز على خصوصية المستخدمين.

تعتبر الشبكة المظلمة محورًا لكل من الاستخدامات المشروعة، مثل التصفح الخاص، والأنشطة غير القانونية، بما في ذلك بيع البيانات المسروقة، والمخدرات، والأسلحة، والخدمات، وغيرها من المنتجات المهربة.

تعتبر المنتديات الخاصة بالمجرمين السيبرانيين على الشبكة المظلمة مجتمعات حيث يتبادل القراصنة والمحتالون وغيرهم من المجرمين المعلومات والأدوات والخدمات، وغالبًا ما يستخدمون العملات المشفرة لتسهيل المعاملات المجهولة.

ما هو BreachForums؟

تم إطلاق BreachForums تحت اسم RaidForums في عام 2015 من قبل هاكر برتغالي، ديغو سانتوس كويلو. تم إنشاء RaidForums كمنتدى يركز على “اقتحام” مواقع الويب والمساحات على الإنترنت كشكل من أشكال المزاح أو التهريج أو تعطيل الأنشطة عبر الإنترنت.

ومع ذلك، عندما بدأ قراصنة الموقع في اختراق منصات وسائل التواصل الاجتماعي ومواقع الإنترنت وسرقة ملايين بيانات المستخدمين، بدأوا في بيع هذه البيانات لأعلى مزايد. تحولت RaidForums بسرعة إلى واحدة من أكثر المحاور تطوراً وراسخةً للأنشطة الإجرامية المنظمة على الشبكة المظلمة.

عندما تعرضت Gate للاختراق في فبراير 2024، كانت BreachedForums أول مكان ظهرت فيه بيانات KYC للمستخدمين للبيع، وكان الأمر نفسه بالنسبة لرمز أجهزة الصراف الآلي Bitcoin المستخدمة في السلفادور التي ظهرت للبيع على BreachForums في أبريل من نفس العام.

لقد بدأ الموقع في جذب مجرمي الإنترنت الذين يبحثون عن معلومات حساسة ناتجة عن انتهاكات أمن الشركات، وحتى الوثائق الحكومية المسربة، مما جعله هدفًا لجهود دولية من قبل قوات إنفاذ القانون.

في عام 2022، تعاونت اليوروبول ووكالات المخابرات الأمريكية لمصادرة الموقع وتحديد واعتقال المؤسس دييغو سانتوس كويلو، الذي يحتجز حالياً في المملكة المتحدة في انتظار تسليمه إلى الولايات المتحدة بتهم تتعلق بالجريمة الإلكترونية.

تم إعادة إطلاق RaidForums بسرعة تحت اسم BreachForums من قبل مستخدم يُدعى PomPomPurin، الذي تم اعتقاله من قبل مكتب التحقيقات الفيدرالي في عام 2023، وتم استعادة الموقع من قبل مستخدم آخر يُدعى Baphomet. تم الاستيلاء على BreachForums من قبل مكتب التحقيقات الفيدرالي في مايو 2024، على الرغم من أن نسخًا مقلدة من الموقع قد ظهرت مرة أخرى.

على الرغم من أن الموقع لا يزال نشطًا جدًا، كما سنظهر، يتكهن العديد من المستخدمين عبر الإنترنت بأن الموقع قد يكون “فخًا” تم نصبه من قبل مكتب التحقيقات الفيدرالي لمراقبة المجرمين السيبرانيين وكشفهم للملاحقة.

ما وجدناه على الشبكة المظلمة في مركز الجريمة BreachForums

عند دخولنا إلى BreachForums، واجهنا على الفور موجة من الأنشطة غير القانونية المعروضة. بينما تتبنى بعض منتديات مجرمي الإنترنت نهجًا أكثر دقة من خلال التظاهر بأنها مجتمعات من عشاق الحوسبة والأمن السيبراني، لم تبذل BreachForums أي جهد لإخفاء طبيعتها الحقيقية، وكانت الصفحة الرئيسية في وقت اتصالنا تعرض مستخدمين يقدمون خدمات عنيفة من عصابة MS13 أو La Mara Salvatruca مقابل 10,000 دولار.

مثل جميع الإعلانات على الشبكة المظلمة المتعلقة بالعنف، من المحتمل أن تكون هذه أكثر خدعة من عرض حقيقي، ولكن الأنشطة غير القانونية لا تتوقف عند هذا الحد. كانت المحادثة المتحركة على الموقع تعرض أيضًا مستخدمين يناقشون في الوقت الفعلي بيع سوق المنتدى، الذي كان صاخبًا بالبائعين الذين يقدمون منتجات غير قانونية مثل البيانات المسروقة، ودروس حول الاحتيالات المصرفية، وعمليات الاحتيال ببطاقات الائتمان، وتتبع IP وأكثر من ذلك بكثير.

كان هناك أيضًا، بالطبع، موضوع مخصص للأنمي والمانغا، لأنه حتى المجرمين الإلكترونيين لديهم هوايات.

جميع الرسائل المعروضة في هذه المقالة تم نشرها في الساعات التي تلت اتصالنا الأول، مما يظهر نشاطًا كبيرًا في المجتمع عبر الإنترنت الذي لا يزال نشطًا جدًا، على الرغم من أنه يمكن افتراض أنه تحت مراقبة وثيقة من قبل قوات إنفاذ القانون.

الصورة أعلاه تظهر مستخدمين يبيعون الوصول إلى كل شيء، من منصات بث الفيديو عبر الإنترنت مثل باراماونت بلس ونتفليكس إلى حسابات أونلي فانز المخترقة.

كانت الرسائل في المنتدى الفرعي لعمليات تسريب البيانات تُظهر مستخدمين يبيعون تسريبات بيانات، بما في ذلك مجموعات من معرفات البريد الإلكتروني لقادة مختلف الشركات، بالإضافة إلى وثائق هوية من الإمارات العربية المتحدة، الهند، قطر والسعودية، بالإضافة إلى تسريب لملفات وصور مسروقة من رسائل البريد الإلكتروني العسكرية السعودية.

تبدو هذه التسريبات الأخيرة التي تحتوي على وثائق عسكرية حقيقية وفقًا لتحليلنا الأولي، ولكن تم إثبات أنها تعود إلى عام 2016، مما يشير إلى أن هذا المستخدم يحاول تقديم معلومات قديمة مسربة على أنها جديدة، وهو أحد العديد من الأمثلة على أنواع الاحتيال التي تحدث حتى بين المجرمين الإلكترونيين عبر الإنترنت.

كان مستخدم يزعم أن لديه وصولاً حصريًا إلى تسرب بيانات التأمين الصحي الأسترالي MedBank، وقد تم اختراق MedBank Australia فعليًا من قبل مجرمي الإنترنت الروس في عام 2022، عندما سُرقت المعلومات الشخصية لـ 9.7 مليون أسترالي.

على عكس الرسائل المتعلقة بالقتلة المستأجرين، التي تعرف بأنها عمليات احتيال على الشبكة المظلمة، فإن تسريبات الوثائق والهويات هذه للأسف محتملة جدًا، حيث أن الهدف الرئيسي من BreachForums هو فعليًا بيع البيانات المسروقة من هذا النوع، والأعمال مزدهرة منذ سنوات.

ومع ذلك، مع عمليات المصادرة والاعتقالات المتكررة من قبل قوات الأمن، قد تكون بعض هذه الرسائل أيضاً فخاخًا من مكتب التحقيقات الفيدرالي أو وكالات أخرى تسعى للإمساك بالمجرمين متلبسين.

الخدمات الموجودة على BreachForums

بالإضافة إلى البيانات المسروقة، يقدم المجرمون السيبرانيون المجتهدون أيضًا خدمات متنوعة للإيجار على الشبكة المظلمة، حيث يقبلون دائمًا العملات المشفرة كوسيلة للدفع.

على BreachForums، وجدنا على الفور مستخدمين يدعون تقديم خدمات DDoS، والوصول إلى هجمات حجب الخدمة الموزعة، حيث يستخدم المجرمون شبكة بوت لتعطيل عمليات موقع ويب، إما لابتزاز المال من الضحية، أو استهداف الشركات المنافسة، أو ببساطة مضايقة عدو.

مجموعة من مجرمي الإنترنت كانت لديها إعلانات لخدمات HNVC أو الكمبيوتر الافتراضي المخفي، والتي يمكن استخدامها للحصول على الوصول عن بُعد إلى كمبيوتر الضحية.

كان من المثير للاهتمام أن نلاحظ أنه، تمامًا مثل إعلان عن خدمات قانونية عبر الإنترنت، كانت الرسالة تحتوي على قائمة تفصيلية بالميزات وخيارات الأسعار المتاحة وكانت تقدم دعمًا للعملاء بالروسية والإنجليزية.

شملت الخدمات الأخرى خدمات تقدم أرقام هواتف تتيح للمجرمين تلقي رموز تسجيل الدخول لتفعيل حسابات عبر الإنترنت دون التعريف عن أنفسهم أو الكشف عن رقم هاتفهم الخاص.

لقد وجدنا مرسلي رسائل البريد الإلكتروني الجماعية المستخدمة في الحملات التسويقية غير القانونية للمنتجات، والاحتيالات عبر البريد الإلكتروني، أو غيرها من البرمجيات الخبيثة، كما رأينا أيضًا إعلانات عن أجهزة inundateurs d'e-mails المستخدمة لإغراق صناديق بريد العدو لجعل البريد الإلكتروني غير قابل للاستخدام أو لإخفاء الأنشطة الخبيثة مثل تنبيهات محاولات تسجيل الدخول.

أحد مؤسسي رسائل البريد الإلكتروني بذل جهدًا لإنشاء ما يبدو أنه لافتة إعلانية وشعار تم إنشاؤهما بواسطة الذكاء الاصطناعي لخدماته، والتي قمنا بفرض رقابة على اسمها حتى لا نقوم بالإعلان عن خدماتهم.

لقد رأينا خيوطًا كاملة مخصصة لخدمات بيع الوصول إلى الخوادم البعيدة عبر الإنترنت، وخدمات التطوير لإنشاء مواقع الويب، وحتى خدمات الرسوميات التي يمكن استخدامها لإنشاء عمليات احتيال متطورة مثل صفحات الهبوط المزيفة لسرقة بيانات الضحايا المستخدمين.

بالطبع، بينما قد تكون بعض هذه الخدمات شرعية، فإن العديد منها ربما يكون مزيفًا، ونظرًا لأن الموقع قد تم الاستيلاء عليه وإعادة فتحه عدة مرات، فإن الحسابات هنا جميعها أقل من عامين.

تعمل منتديات مجرمي الإنترنت غالبًا على نظام الحجز، أو على أساس الثقة، حيث يكون لدى المستخدم تاريخ موثق من المبيعات “الصادقة”، بينما لا يملك هذا الموقع الجديد ضمانات كافية ضد الاحتيال.

لقد رأينا العديد من الخدمات التي تعلن أنها تقبل المدفوعات تحت الحجز، مما يعني أن طرفًا ثالثًا موثوقًا يحتفظ بالأموال حتى تكون كلا الطرفين راضيتين عن الدفع، كما هو الحال مع هذا المطور الذي يقدم صفحات تصيد وصفحات هبوط جاهزة.

إن الرغبة في قبول الحجز تشير إلى أن هذا المستخدم قد يكون قادرًا فعلاً على بيع ما يدعي أنه يبيعه، على الرغم من أنه من المحتمل أن تكون هناك العديد من الاحتيالات التي تنطوي على المدفوعات تحت الحجز على هذا الموقع أيضًا.

في الواقع، يحتوي الموقع على سلسلة من الاحتيالات التي تظهر صحيفة للمستخدمين تبلغ عن الاحتيالات على الموقع.

المستخدم uuu732 يشير إلى أن محاولاته للاحتيال على الآخرين عبر الإنترنت قد انقلبت ضده بعد أن وقع ضحية لعملية احتيال على BreachForums نفسه. لقد دفع للمستخدم PennyTrate-x 300 دولار للحصول على برنامج يمكّنهم من تجاوز برامج كشف البرمجيات الخبيثة وإرسال ملفات PDF مصابة بالبرمجيات الخبيثة إلى ضحاياهم دون أن يشتبهوا.

لم يقم البائع بتسليم البضاعة، وعندما طلب منهم مشرف تفسيرًا، رفضوا الرد، مما أدى إلى حذف حسابهم.

أبلغ مستخدم آخر عن نزاع مع بائع آخر. في هذه الحالة، أنفق المستخدم 500 دولار في محاولة لشراء قاعدة بيانات لمستخدمين مسروقة من شركة تأمين سويسرية، و1300 دولار إضافية في محاولة لشراء قاعدة بيانات من بائع تجزئة سويسري. وقد أبلغوا أنهم لم يتلقوا بياناتهم غير القانونية في أي من المعاملتين.

ماذا يفعل مجرمو الشبكة المظلمة بالبيانات المسروقة من المستخدمين؟

يشتري المجرمون الإلكترونيون معرفات تسجيل الدخول وبيانات المستخدمين لاختراق حسابات البريد الإلكتروني ووسائل التواصل الاجتماعي للوصول إلى أموال المستخدم وسرقتها، أو للوصول إلى معلومات حساسة يمكنهم استغلالها بشكل أكبر.

على سبيل المثال، يمكن لمجرم من الشبكة المظلمة الوصول إلى حساب PayPal لمستخدم ومحاولة إجراء عمليات شراء غير مصرح بها أو تحويل الأموال مباشرة إلى حساب آخر، أو ارتكاب سرقة هوية من خلال طلب قروض باسم شخص آخر باستخدام بيانات جواز سفره.

تُستخدم هذه المعلومات أيضًا بشكل شائع لأغراض الابتزاز والتهديد، عندما يجد المجرمون معلومات حساسة من خلال الاتصال بحسابات ضحاياهم.

كيفية البقاء آمناً على الإنترنت

كما يمكننا أن نرى، فإن الشبكة المظلمة هي قسم فرعي خطير من الإنترنت للعديد من الأسباب. حتى على هذا الموقع الذي تم الاستيلاء عليه وإعادة فتحه عدة مرات، نجد بازارًا مفتوحًا للأنشطة الإجرامية، تتراوح بين الخدمات والمنتجات غير القانونية إلى الاحتيالات التي تُرتكب ضد مستخدمين آخرين. من الضروري اتخاذ تدابير لحماية معلوماتك الشخصية والمالية عبر الإنترنت.

استخدم كلمات مرور فريدة ومعقدة لكل حساب، وفعّل المصادقة الثنائية كلما أمكن، وكن حذرًا بشأن المعلومات التي تشاركها عبر الإنترنت. راقب بانتظام كشوف حساباتك المصرفية وبطاقات الائتمان لاكتشاف أي نشاط مشبوه. من خلال البقاء يقظًا واتباع ممارسات جيدة في الأمن السيبراني، يمكنك تقليل مخاطر ظهور بياناتك الشخصية على منتديات مثل BreachForums.