المتهم الصامت وراء معظم تعرض البيانات

عندما يتخيل الناس اختراقًا للبيانات، عادةً ما يتصورون مخترقًا مقنعًا يخترق الجدران النارية أو ينشر برامج الفدية ضد شبكة شركة. ولكن وفقًا لأبحاث أمنية حديثة أبرزها موقع TechRadar، فإن أكبر مصدر لتعرض البيانات الشخصية ليس مخترقًا متطورًا على الإطلاق. إنها قاعدة بيانات خاطئة الإعداد، تُركت مفتوحة على الإنترنت من قبل المؤسسة ذاتها التي يُفترض أن تحميها.

حجم هذه المشكلة ليس جديدًا، لكنه لا يزال مذهلًا. في أواخر عام 2015، اكتشف الباحث الأمني كريس فيكيري قاعدة بيانات تحتوي على معلومات شخصية لـ 191 مليون ناخب، وهي كنز بحجم 300 غيغابايت يجلس متاحًا للعامة بدون كلمة مرور أو أي إجراء للتحقق من الهوية. لم يقتحمها أحد. لم تشارك أي برامج خبيثة. ببساطة، قام شخص ما بإعداد قاعدة بيانات دون ضوابط وصول صحيحة، وبقيت مكشوفة لأي شخص يعرف أين يبحث.

توضح تلك الحادثة التي تعود إلى عقد من الزمن نمطًا يقول الباحثون الأمنيون إنه لم يختفِ أبدًا: قواعد البيانات الخاطئة الإعداد تظل التهديد الرئيسي لأمن البيانات، وغالبًا ما تتجاوز حوادث الاختراق التقليدية من حيث الحجم الخام للسجلات المكشوفة.

لماذا يتفوق الخطأ في الإعداد على الاختراق كتهديد

قد يبدو غير منطقي أن خطأً بسيطًا في الإعداد يمكن أن يعرض بيانات أكثر من الهجمات الإلكترونية المتعمدة، لكن الحساب يصبح منطقيًا بمجرد فهم كيفية عمل البنية التحتية الحديثة للبيانات. تعتمد الشركات والوكالات الحكومية بشكل متزايد على قواعد البيانات السحابية وحاويات التخزين لإدارة كميات هائلة من المعلومات. إنشاء قاعدة بيانات جديدة يستغرق دقائق. إعدادها بشكل صحيح، مع إجراءات تحقق صحيحة، وقيود على الشبكة، وتشفير، يستغرق وقتًا وخبرة أكثر، وهي الخطوة التي غالبًا ما يتم تخطيها أو إفسادها.

على عكس الاختراق المستهدف، الذي يتطلب عادةً جهدًا ومهارة تقنية وخطة لاختراق هدف محدد، فإن قاعدة البيانات الخاطئة الإعداد غالبًا ما تكون مجرد موجودة هناك، مفهرسة بواسطة محركات البحث أو أدوات المسح، في انتظار أن يعثر عليها أحد. الباحثون الأمنيون والصحفيون، ونعم، الجهات الخبيثة، يبحثون بشكل روتيني عن قواعد البيانات المفتوحة هذه لأنهم لا يحتاجون إلى تجاوز أي دفاعات. الباب كان مفتوحًا على مصراعيه.

هذا لا يعني أن الاختراقات التقليدية وهجمات الفدية ليست تهديدات خطيرة. حوادث مثل هجوم فدية Spirals على شركة تكنولوجيا معلومات آسيوية تُظهر أن الجهات التهديدية المصممة تستمر في ابتزاز المؤسسات من خلال الاقتحامات الموجهة. وادعاءات مثل سرقة كود مصدر Accenture المزعومة من قبل المخترق '888' تُثبت أن السرقة المتعمدة لبيانات الشركات الحساسة لا تزال تشكل مصدر قلق نشط. ولكن من حيث الحجم الخام، فإن التعرض الهادئ والعرضي الناجم عن قاعدة بيانات سيئة التأمين يتفوق في كثير من الأحيان على ما يمكن أن تحققه أي حملة اختراق واحدة.

الشبكات الافتراضية الخاصة والتشفير ليسا حلاً كاملاً

بالنسبة للقراء الذين يعتمدون على شبكة افتراضية خاصة لحماية نشاطهم على الإنترنت، من المفيد فهم حقيقة قاسية: الشبكة الافتراضية الخاصة تحمي اتصالك بالإنترنت، وليس قواعد البيانات التي تستخدمها الشركات لتخزين معلوماتك بعد أن تسلمها لهم. إذا أساءت شركة تثق بها في عنوان بريدك الإلكتروني، أو رقم هاتفك، أو تفاصيل الدفع، إعداد أنظمتها الخلفية، فلن يمنع أي قدر من التشفير الشخصي من جانبك تعرض تلك البيانات.

ولهذا السبب، فإن الاختراقات التي تشمل بيانات شخصية مخزنة، مثل الحوادث التي أثرت على حضور مهرجان تريبيكا السينمائي البارزين أو اختراق Suno الذي عاد للظهور والذي عرض 55 مليون بريد إلكتروني وبيانات Stripe، تهم كثيرًا. تُظهر هذه الحوادث أنه بمجرد أن تغادر بياناتك جهازك وتدخل قاعدة بيانات الشركة، تعتمد خصوصيتك بالكامل على ممارسات الأمان لتلك المؤسسة، وليس على أدواتك أنت.

ما الذي يعنيه هذا لك

كمستهلك، لا يمكنك تدقيق إعدادات قواعد البيانات لكل خدمة تستخدمها شخصيًا، ولكن يمكنك اتخاذ خيارات أكثر وعيًا. ابحث عن الشركات التي تتسم بالشفافية بشأن ممارساتها الأمنية، والتي لديها سجل حافل بالإبلاغ السريع عن الاختراقات، والتي تستخدم التشفير للبيانات المخزنة، وليس فقط البيانات أثناء النقل. اسأل إذا كانت الخدمة تقلل من كمية البيانات الشخصية التي تجمعها في المقام الأول. كلما قلت المعلومات الحساسة التي تخزنها الشركة، قل الضرر الذي يمكن أن تسببه قاعدة بيانات خاطئة الإعداد إذا تعرضت للانكشاف.

من الجدير بالذكر أيضًا أن قواعد البيانات الخاطئة الإعداد تؤثر على المؤسسات من كل الأحجام، من الشركات الناشئة الصغيرة إلى قواعد بيانات الناخبين الوطنية. هذه ليست مشكلة تقتصر على الشركات ذات الميزانيات الأمنية الضعيفة؛ إنها مشكلة نظامية مرتبطة بسرعة نشر البنية التحتية السحابية مقارنة بمدى دقة تأمينها.

خطوات عملية قابلة للتطبيق

  • استخدم كلمات مرور فريدة وقم بتمكين التحقق متعدد العوامل حيثما أمكن، حتى لا يؤدي تعرض قاعدة بيانات واحدة إلى اختراق حسابات متعددة.
  • راقب إشعارات الاختراق وفكر في استخدام خدمات تتبع الاختراقات لمعرفة متى تم تعرض بياناتك.
  • فضّل الخدمات التي تنشر سياسات واضحة للاحتفاظ بالبيانات والأمان، والتي تقلل من المعلومات الشخصية التي تجمعها.
  • تذكر أن الشبكة الافتراضية الخاصة تحمي حركة مرورك، وليس قواعد البيانات التي تحتفظ بمعلوماتك المخزنة؛ تتطلب حماية البيانات نهجًا متعدد الطبقات.

ستظل قواعد البيانات الخاطئة الإعداد على الأرجح السبب الرئيسي لتعرض البيانات على نطاق واسع في المستقبل المنظور، وذلك ببساطة لأن وتيرة اعتماد السحابة تستمر في تجاوز الإعداد الدقيق. البقاء على اطلاع حول كيفية ومكان تخزين بياناتك، والمطالبة بالمساءلة من الخدمات التي تستخدمها، يظل أحد أكثر الطرق العملية لتقليل مخاطرك الشخصية.