الاختراق الإلكتروني ونشاطات القرصنة

غالبا ما نعتقد أن القراصنة أشخاص منعزلون اجتماعيا، "نفترض أن العباقرة يجلسون في السرير ومعهم جهاز الكمبيوتر"، مثل نظرية دونالد ترمب خلف سرقة رسائل البريد الإلكتروني للحزب الديمقراطي في 2016. يعلم خبراء الأمن السيبراني مثلي شخصيا أنه في حين قد يتعذر على القراصنة الاندماج في الشركات "على الأقل ليس ظاهريا"، إلا أنهم متعاونون إلى حد كبير. فمن دون القدرة على التفاعل معا عبر الإنترنت ستقل الجرائم الإلكترونية للقراصنة بشكل كبير.
يتطلب تخطيط وتنفيذ عمليات الاختراق أشخاصا عدة، ويميل الجيل الجديد من المخترقين إلى عدم هدر الوقت، فعوضا عن البدء من نقطة الصفر، يفضلون عملية تشبه غالبا التعهيد الجماعي. على سبيل المثال، يخطف أحد القراصنة ذاكرة تخزين مؤقتة لكلمات المرور المشفرة من مخدم الشركة، ويقوم بتحميلها إلى الشبكة المظلمة Dark web، ليتلقاها مخترق آخر يقوم بفك الشيفرات. يمكن بعد ذلك بيع كلمات المرور أو استخدامها في أغراض سيئة من أحد الطرفين أو كليهما، أو مخترق آخر تعرض لها.
من واقع خبرتي، يعتبر معدل اختراق الشركة الحالي -أي: البيانات التي تم الكشف عنها من خلال المخترقين- أفضل مؤشر على مدى وشدة احتمالية تعرض الشركة لنشاطات إجرامية سيبرانية على المديين القريب والمتوسط؛ لذا يجب أن تعلم الشركات إلى أي مدى هي مكشوفة، لكن ذلك ليس بالأمر السهل، فقد تظهر المواد على الشبكة المظلمة عدة دقائق، وهي فترة كافية لزرع بذور التخريب التي قد تنبت في أي لحظة لاحقا.
أعمل منذ 2016 مع فريق من الباحثين لتطوير معيار عالمي للاختراق السيبراني، ينطبق على جميع المؤسسات. وقد أسفرت جهودنا حتى الآن عن مؤشر CEI "مؤشر الاختراق السيبراني"، الذي تم تحديثه في 2018. بناء على نشاطات الشبكة المظلمة Dark web والشبكة العميقة Deep web وخروق البيانات خلال الـ12 شهرا الأخيرة، صنف مؤشر CEI اختراقات المؤسسات عبر مؤشرات أسواق الأسهم في 11 دولة: أستراليا وفنلندا وألمانيا وهونج كونج وإندونيسيا وإيطاليا وماليزيا وسنغافورة وجنوب إفريقيا والمملكة المتحدة والولايات المتحدة.
بحسب مؤشر CEI، يشمل الاختراق الكشف عن معلومات مهمة على سبيل المثال الاتصالات الداخلية، ومذكرات على مستوى عال، وبيانات اعتماد، مثل: أسماء المستخدمين، وكلمات المرور، أو معلومات أخرى تخول الأشخاص غير المصرح لهم الوصول إلى أنظمة محظورة، واستهداف مجموعة القراصنة "بما في ذلك هجمات أيديولوجية منسقة معروفة بالمقاومة الإلكترونية" hacktivists.
قمنا خلال النسخة الأخيرة لمؤشر CEI، بتحسين المنهجية لتتناسب وحجم الشركة، بالاستناد إلى عدد الموظفين، بما ينسجم مع حقيقة أن الشركات الأكبر حجما تخترق بشكل أكبر حتما، وبالتالي تقييمها للمخاطر يكون أكثر دقة. من خلال دراسة النتيجة من منظور حجم الشركة، وجدنا فجوة كبيرة يجب أن يتنبه إليها كبار المسؤولين في الشركات الصغيرة والمتوسطة. ففي مختلف البلدان والقطاعات تكون الشركات الأكبر أقل تعرضا للاختراقات السيبرانية عموما، رغم أن حجمها قد يجعلها هدفا أكثر إغراء للقراصنة.
في الواقع، كان حجم الشركة نقطة الارتكاز هذا العام لمقياس CEI أكثر من القطاع للتنبؤ باختراق الشركة نسبيا. ومن المفاجئ أن الاختلافات بين القطاعات لا تكاد تذكر، رغم أن هناك قطاعات بعينها معرضة للاختراق أكثر من غيرها: "الطاقة, والقطاع المصرفي على سبيل المثال".
تساعد طبيعة الهجمات السيبرانية كونها جماعية على تفسير هذه الظاهرة؛ فكون معظم القراصنة يلجأون إلى الشبكة المظلمة للحصول على المعلومات عوضا عن الذهاب إلى المصدر، فإن الشركات الأصغر وغير المحصنة تُستهدف بشكل متكرر لسبب بسيط؛ لأن أنظمة الأمن السيبراني في الشركة أقل إحكاما.
لكن توجد أنباء جيدة للشركات الصغيرة والمتوسطة؛ نظرا لأن المجرمين السيبرانيين يسعون خلف الربح السريع، فمجرد وضع قواعد أساسية وحماية قد يستثني الشركة من القائمة المستهدفة. على سبيل المثال، قد يكون من الوارد تفادي عديد من الهجمات الإلكترونية المكلفة، في حال تم منع الموظفين من استخدام البريد الإلكتروني للشركة لإنشاء حسابات شخصية على الإنترنت، ووسائل التواصل الاجتماعي وغيرهما. فبالنسبة إلى المخترق، فإن البريد الإلكتروني للموظف قد يكون بمنزلة بوابة للولوج إلى بيانات الشركة.
أصبحت حلول الأمن السيبراني الجاهزة أفضل من السابق، ووجود نظام حماية عادي قد يكون كفيلا بردع القراصنة اللاهثين خلف صيد سهل. كيف يجب على القياديين النظر إلى مؤشر CEI؟ من جانبي، أرى أن من الأفضل التركيز على مدى تعرض شركتك للاختراق أكثر من التركيز على المنافسين. فأي شكل من أشكال الاختراق -حتى إن لم يتسبب في ضرر فوري- قد يسبب الضرر للشركة؛ كونه سيجذب قراصنة آخرين، فهو أشبه بوجود دم في الماء، وهو أمر كفيل بجذب أسماك القرش إليها.
رسالتنا إلى الشركات، والشركات الصغيرة والمتوسطة خصوصا، بدء تطبيق إجراءات الأمن السيبراني وبرامج التوعية في أقرب وقت ممكن، إن لم تكن قد بدأت بذلك، وألا تخشى منه، فقد يكون أقل تكلفة واستهلاكا للوقت مما تعتقد، وأن تبدأ بمراقبة وتتبع مدى تعرضها للاختراق، فهما الطريقة الوحيدة لرؤية شركتك من خلال عيون القراصنة، وبالتالي الطريقة الأكثر دقة لقياس المخاطر والضعف.