فخ إلكتروني.. مايكروسوفت تحذر من حملة احتيال تستغل عطل خدماتها

وبحسب ما رصدته الشركة في 13 نوفمبر، تزعم بعض رسائل التصيد (على نحو مضلل) أن رسائل البريد الإلكتروني ظلت معلقة خلال فترة العطل، وأنه سيتم حذفها خلال 24 ساعة، ما لم ينقر المستلمون على رابط لاستعادتها.

Microsoft Threat Intelligence observed an active phishing campaign exploiting the Microsoft 365 service disruption on November 12. The messages impersonate Microsoft 365 service health notifications and reference the legitimate Exchange Online incident EX1550543. Some of the phishing emails Microsoft detected on November 13 falsely claim that messages were held during the outage and will be deleted within 24 hours unless recipients click to restore them. Observed subjects follow the pattern "Outage - [six-character code]," with sender display names using organization-specific prefixes followed by "Outage Notification" or "Service Health." The campaign uses three sender domains, moments-notice[.]com, planetmaison[.]com, and newbooker[.]com, with recipient-specific SendGrid click-tracking links redirecting to reallifeaccounting[.]com, including the observed path /themelist0.html. Similar messages targeted organizations across multiple US sectors. The activity is consistent with credential phishing, although credential collection and malware delivery have not been confirmed. Security teams can use Microsoft Defender for Office 365 Threat Explorer and Microsoft Defender XDR advanced hunting (EmailEvents, EmailUrlInfo, and UrlClickEvents) to identify suspicious messages, examine embedded URLs, and investigate user clicks. Microsoft Defender for Office 365 Safe Links provides time-of-click protection against malicious URLs when properly configured. Organizations should verify their Safe Links policies, investigate potential user interactions, and confirm service disruptions directly through the Microsoft 365 admin center.

— Microsoft Threat Intelligence (@MsftSecIntel) November 14, 2026

وتتبع عناوين الرسائل نمطاً موحداً يبدأ بكلمة "Outage" (انقطاع)، تليها شفرة مكونة من 6 أحرف، فيما تستخدم أسماء المرسلين الظاهرة بادئات خاصة بكل مؤسسة، متبوعة بعبارات مثل "Outage Notification" (إشعار انقطاع الخدمة) أو "Service Health" (حالة الخدمة).

وتعتمد الحملة على 3 نطاقات لإرسال الرسائل، وتتضمن الرسائل روابط تتبع للنقرات مخصصة لكل مستلم، عبر خدمة "SendGrid"، تعيد توجيه المستخدمين إلى مواقع أخرى واستهدفت رسائل مشابهة مؤسسات تعمل في قطاعات أمريكية متعددة.

وتتوافق هذه الأنشطة مع أساليب التصيد الهادفة إلى سرقة بيانات تسجيل الدخول، إلا أن مايكروسوفت لم تؤكد حتى الآن جمع بيانات الاعتماد أو توصيل برمجيات خبيثة عبر الحملة.

مايكروسوفت تعلن عودة خدماتها للعمل بشكل كامل - موقع 24قالت مايكروسوفت، الجمعة، إن الخدمات عادت إلى وضعها الطبيعي بالكامل في تطبيقاتها تيمز وأوتلوك وكوبايلوت وتطبيقات أخرى، مما أنهى انقطاعاً عالمياً عطل اتصالات عبر الإنترنت لدى شركات وجهات حكومية لأكثر من 24 ساعة.

أدوات لرصد الرسائل المشبوهة

أوصت "مايكروسوفت" فرق الأمن السيبراني باستخدام أداة "Threat Explorer" ضمن خدمة "Microsoft Defender for Office 365"، إلى جانب إمكانات البحث المتقدم في "Microsoft Defender XDR"، وتحديداً جداول بيانات "EmailEvents" و "EmailUrlInfo" و "UrlClickEvents"، لرصد الرسائل المشبوهة وفحص الروابط المضمنة فيها والتحقق من نقرات المستخدمين عليها.

كما توفر ميزة "Safe Links" في Microsoft Defender for Office 365 حماية عند النقر على الروابط، من خلال التحقق من عناوين URL الضارة، شريطة ضبط إعداداتها على النحو الصحيح.

ودعت الشركة المؤسسات إلى مراجعة سياسات الحماية الخاصة بهذه الميزة، والتحقق من أي تفاعلات محتملة للمستخدمين مع الرسائل المشبوهة، والتأكد من أي انقطاعات في الخدمة مباشرة عبر مركز إدارة "Microsoft 365".