تم إصلاح ثغرة أمنية في قاعدة بيانات تحتوي على أكثر من 125 مليون رسالة نصية أرسلتها بنوك وشركات تأمين ومتاجر تجزئة ومزودو خدمات في لاتفيا وليتوانيا إلى عملائهم. ويقول مزود الخدمة الذي يقف خلف النظام إن المشكلة قد تم إصلاحها. وتُعد هذه الحادثة مثالاً واضحاً على مخاطر تسريب البيانات لدى مزودي خدمات SMS: فغالباً ما تبقى الرسائل الحساسة لدى مورّد لم يختره العملاء وقد لا يعرفون بوجوده أصلاً.
التقارير المتاحة حتى الآن موجزة، لذا يلتزم هذا المقال بما ورد ذكره ويشرح لماذا يهم ذلك.
ما الذي انكشف في قاعدة بيانات رسائل SMS في البلطيق
وفقاً للتقرير، احتوت قاعدة البيانات المتأثرة على أكثر من 125 مليون رسالة نصية. وكانت هذه رسائل موجّهة من الشركات إلى العملاء أرسلتها بنوك وشركات تأمين ومتاجر تجزئة ومزودو خدمات في لاتفيا وليتوانيا. ويصف المصدر المشكلة بأنها ثغرة تم إصلاحها الآن، ويصوغ العنوان الرئيسي الأمر باعتباره تسريباً محتملاً للبيانات.
هذه الصياغة مهمة. فالثغرة تعني وجود نقطة ضعف. لكنها لا تؤكد بحد ذاتها أن أي شخص قد وصل إلى البيانات أو نسخها. والمواد المصدرية المتاحة لدينا لا تذكر كم من الوقت استمرت نقطة الضعف، ولا من قد يكون اكتشفها، ولا ما إذا كانت أي رسائل قد شاهدها بالفعل أطراف غير مصرح لها.
ومع ذلك، فإن نوع المحتوى الذي تحتفظ به قاعدة بيانات كهذه عادةً يستحق التفكير فيه. فكثيراً ما تستخدم الشركات رسائل SMS لرموز المرور لمرة واحدة، وتنبيهات البنوك، وتحديثات التوصيل، وإشعارات الحسابات. ويمكن لرسائل كهذه أن تكشف مع أي بنك يتعامل الشخص، وما اشتراه، وإلى أين يتجه الطرد، وأي الخدمات يستخدم. وحتى من دون كلمة مرور واحدة، فإن هذه السياق ذو قيمة لمن يخطط لعملية احتيال مقنعة.
لماذا يُعد مزودو المراسلة من الأطراف الثالثة خطراً خفياً
يفترض معظم الناس أن البنك أو متجر التجزئة هو من يرسل رسائله النصية بنفسه. لكن في الواقع، تُسند كثير من المؤسسات هذه المهمة إلى مزود مراسلة يقف بين الشركة وشبكة الهاتف المحمول. فالتعامل يجري بين العميل والعلامة التجارية، لكن محتوى الرسالة يمر عبر شركة منفصلة، وقد يُخزَّن لديها.
وهذا يخلق عدة مشكلات:
- علاقات غير مرئية. نادراً ما يرى العملاء أي الموردين يعالجون بياناتهم، لذا لا يمكنهم الحكم على أمن المورّد.
- بيانات مركّزة. يمكن لمزود واحد أن يخدم عملاء كثراً في عدة دول. وقد تمس ثغرة واحدة رسائل من البنوك وشركات التأمين والمتاجر في آن واحد، وهو ما يجعل رقم مثل 125 مليون رسالة ممكناً.
- أسئلة حول مدة الاحتفاظ. قد تُحفظ سجلات الرسائل لأغراض استكشاف الأخطاء أو إعداد التقارير. وكلما طال تخزينها، زاد ما يمكن تعريضه للخطر.
ويظهر النمط نفسه في حوادث أخرى غطيناها. فمقالتنا حول مخاطر الأطراف الثالثة في اختراق Trump Mobile تُبيّن كيف يمكن أن تصبح البيانات المحفوظة خارج أسوار العلامة التجارية نفسها مشكلة لتلك العلامة. كما يقدّم اختراق بيانات Fakturownia ملاحظة مشابهة حول منصة تحتفظ بأكثر بكثير مما يوحي به اسمها.
ما الذي يؤكده إصلاح المورّد وما لا يؤكده
بيان المزود بأن المشكلة قد أُصلحت خبر جيد، لكنه يجيب على جزء فقط من السؤال.
ما الذي يوحي به: أن نقطة الضعف المحددة لم تعد مفتوحة، لذا ينبغي ألا يكون المسار نفسه متاحاً من الآن فصاعداً.
ما لا يؤكده، استناداً إلى المصدر:
- ما إذا كان أي طرف ثالث قد وصل إلى الرسائل قبل الإصلاح.
- ما إذا كانت الرسائل المكشوفة تضمنت رموزاً أو تفاصيل شخصية لا تزال قابلة للاستخدام.
- ما إذا كانت مراجعة مستقلة قد تحققت من الإصلاح.
- ما إذا كانت الشركات المتأثرة ستُخطر عملاءها.
وإلى أن تُعالَج هذه النقاط علناً، فإن الموقف المعقول هو ألا نستسلم للذعر ولا للاطمئنان الزائد. تعامل مع الإصلاح كخطوة ضرورية، لا كإعلان سلامة كامل. والمنظمات التي استخدمت المورّد هي الأقدر على شرح ما ينبغي على العملاء فعله، إن كان هناك ما ينبغي فعله.
ما الذي يعنيه هذا لك
إذا كنت تتعامل مصرفياً أو تأمينياً أو تتسوق مع شركات لاتفية أو ليتوانية، فقد تكون رسائلك قد مرّت عبر نظام كهذا. وحتى إن كنت في مكان آخر، فإن الدرس ينطبق: أي خدمة ترسل لك رسائل نصية تعتمد على سلسلة من الموردين لا يمكنك تدقيقها.
الخطر الواقعي ليس عادةً استيلاءً دراماتيكياً على حساب من رسالة قديمة واحدة. بل هو التصيّد المستهدف. فالمحتال الذي يعرف أنك تلقيت مؤخراً إشعار توصيل أو تنبيهاً مصرفياً يمكنه كتابة رسالة مزيفة تبدو أصلية، مستخدماً تفاصيل حقيقية لكسب ثقتك. ينبغي أن تكون رموز المرور القديمة لمرة واحدة قد انتهت صلاحيتها، لكن تسجيل الدخول القائم على SMS نفسه يظل الحلقة الضعيفة، لأن الرسائل النصية يمكن اعتراضها أو إعادة توجيهها أو كشفها في أماكن لا تتحكم بها. كما يشير ملخصنا الأسبوعي للأمن إلى كيفية تطور حيل التصيّد باستمرار، وهو تذكير بالبقاء متشككاً تجاه الرسائل غير المتوقعة.
كيف تحمي نفسك من التصيّد القائم على SMS ومخاطر المصادقة الثنائية
لا يمكنك اختيار مزود المراسلة الخاص ببنكك، لكن يمكنك تقليل الضرر الذي قد تسببه رسالة مكشوفة.
- ابتعد عن رموز SMS حيثما أمكن. استخدم تطبيق مصادقة أو مفتاح أمان مادي للمصادقة الثنائية. فهذه لا تمر عبر أنظمة الرسائل النصية.
- أبقِ SMS كخيار احتياطي فقط. إذا فرضت خدمة ما التحقق النصي، ففعّله، لكن أضف خيارات أقوى حيثما سمحت الخدمة بذلك.
- لا تثق بالرسائل التي تشير إلى نشاط حقيقي. رسالة تذكر طلباً حقيقياً أو بنكاً لا تثبت أنها أصلية. لا تنقر على الروابط؛ افتح التطبيق الرسمي أو اكتب العنوان بنفسك.
- لا تشارك الرموز أبداً. لن يطلب منك أي بنك أو متجر تجزئة شرعي قراءة رمز مرور لمرة واحدة.
- راقب حساباتك. تحقق من كشوف الحسابات وتنبيهات تسجيل الدخول بحثاً عن أي شيء غير مألوف، وأبلغ بنكك عن أي نشاط مشبوه بسرعة.
- اسأل مزوديك. إذا أردت معرفة كيف تتعامل شركة ما مع بيانات الرسائل، فاسأل من يعالجها وكم مدة الاحتفاظ بها.
الخلاصة
إصلاح قاعدة البيانات هذه في البلطيق موضع ترحيب، لكنه يترك أسئلة مفتوحة حول ما إذا كان قد تم الوصول إلى البيانات أصلاً. والدرس الأوسع بشأن مخاطر تسريب البيانات لدى مزودي خدمات SMS يظل قائماً بغض النظر: فالإشعارات الحساسة تمر عبر موردين لم تخترهم أبداً، ولا يمكنك التحكم إلا في جانبك أنت. انتقل إلى المصادقة الثنائية القائمة على التطبيقات أو الأجهزة المادية، وابقَ حذراً من أي رسالة تذكر نشاطاً حقيقياً، واقرأ المزيد عن كيفية خلق الموردين الخارجيين لسطح التعرض في مقالاتنا حول اختراق Trump Mobile وحادثة Fakturownia.
