أكدت منصة Beacon CRM، وهي منصة لإدارة علاقات العملاء تستخدمها الجمعيات الخيرية والمنظمات غير الربحية في المملكة المتحدة، حدوث اختراق للبيانات بعد أن تمكن مهاجم من الوصول إلى بيئة أمازون ويب سيرفيسز (AWS) الخاصة بها باستخدام مفتاح وصول مخترق. في تحديث للحادثة نُشر في 12 أغسطس، قالت الشركة إن المهاجم ربما قام بتنزيل نسخة كاملة من قاعدة بيانات عملائها، وهو سيناريو يسلط الضوء على كيف يمكن لمفتاح واحد مسرب أن يتصاعد إلى حادثة كشف كبيرة للبيانات.

في حين أن Beacon لم تنشر تفصيلاً عاماً كاملاً لكل حقل بيانات متضمن، فقد أفادت عدة منافذ أمنية تغطي الحادثة بأن قاعدة البيانات المتأثرة مرتبطة بعدد كبير من الجمعيات الخيرية والمنظمات غير الربحية في المملكة المتحدة التي تعتمد على منصة Beacon لإدارة عملياتها وعلاقاتها مع الداعمين. وقد قدرت عدة تقارير نطاق المنظمات المتأثرة بنحو 1000 إلى 1500 منظمة تقريباً، على الرغم من أن الرقم الدقيق لم يتم تأكيده بشكل مستقل في البيانات العامة الصادرة عن Beacon وقت كتابة هذا التقرير. يجب على المنظمات والأفراد المرتبطين بقاعدة عملاء Beacon متابعة الإشعار الرسمي مباشرة من الشركة بدلاً من الاعتماد فقط على التقديرات غير المباشرة.

كيف أدى مفتاح AWS واحد إلى كشف بيانات جماعي

السبب الجذري الذي تم تحديده حتى الآن هو مفتاح وصول AWS مخترق. وفقاً للتقارير حول الحادثة، قد يكون المفتاح قد تعرض للكشف في ملفات JavaScript المنشورة علناً، مما يعني أنه ربما كان مضمناً في كود الواجهة الأمامية الذي تم نشره عن طريق الخطأ أو تركته متاحاً عبر الإنترنت. إذا ثبت أن هذا هو الحال، فسيمثل خطأ شائعاً إلى حد ما ولكنه قابل للوقاية: في بعض الأحيان يقوم المطورون بتضمين بيانات الاعتماد أو حزمها في كود تطبيق جانب العميل أثناء عملية البناء، وإذا تم كشف هذا الكود، فسيتم كشف المفتاح أيضاً.

بمجرد أن يمتلك المهاجم مفتاح وصول AWS صالحاً بصلاحيات كافية، يمكنه التفاعل مع مجموعة واسعة من موارد السحابة، بما في ذلك قواعد البيانات وحاويات التخزين وأنظمة النسخ الاحتياطي، وغالباً دون إثارة نوع الإنذارات التي قد يسببها اختراق الشبكة التقليدي. هذا جزء من سبب تحول تسرب بيانات الاعتماد السحابية إلى واحدة من أكثر فئات الحوادث الأمنية تأثيراً في السنوات الأخيرة. تشترك قضية Beacon في خيط مشترك مع اختراقات أخرى تتضمن بيانات اعتماد وصول مخترقة، مثل الحادثة التي أثرت على شركة Baker للتوزيع، حيث استغل المهاجمون بالمثل الوصول إلى أنظمة الشركة للوصول إلى كميات كبيرة من السجلات. في كلتا الحالتين، الدرس الأساسي هو نفسه: أمان البنية التحتية السحابية للبائع وممارسات التعامل مع بيانات الاعتماد يحدد مباشرة مدى أمان بياناتك، بغض النظر عن مدى جودة تصميم منتج الواجهة الأمامية للبائع.

لماذا يهم هذا الأمر أكثر من مجرد بائع CRM واحد

غالباً ما تتعامل الجمعيات الخيرية والمنظمات غير الربحية مع معلومات حساسة عن الجهات المانحة والمستفيدين والموظفين، لكنها عادةً ما تعمل بميزانيات تقنية أصغر وفرق أمنية أصغر من المؤسسات التجارية. وهذا يجعل بائعي البرامج الخارجيين، مثل مزودي CRM، حلقة وصل مهمة بشكل خاص في سلسلة الأمان. عندما تستعين منظمة ما بإدارة البيانات إلى منصة SaaS، فإنها تقوم أيضاً بالاستعانة بمصادر خارجية لجزء كبير من وضعها الأمني للبيانات إلى ممارسات البائع الهندسية، بما في ذلك كيفية تخزين مفاتيح الوصول وتدويرها ومراقبتها.

هذه الحادثة هي تذكير بأنه حتى البرامج التجارية الموثوقة والمصممة خصيصاً يمكن أن تصبح نقطة فشل واحدة. قد تكون أنظمة الجمعية الخيرية نفسها مهيأة بشكل جيد، ولكن إذا أساء بائع CRM الذي تستخدمه التعامل مع بيانات اعتماد سحابية، فلا يزال من الممكن أن تصل بيانات العملاء والمستفيدين إلى الأيدي الخطأ. لهذا السبب تطرح المنظمات الواعية أمنياً بشكل متزايد أسئلة حادة على البائعين حول إدارة بيانات الاعتماد وممارسات التشفير والتزامات الاستجابة للحوادث قبل توقيع العقد، وليس فقط بعد حدوث الاختراق.

ما الذي يعنيه هذا بالنسبة لك

إذا كانت مؤسستك تستخدم Beacon CRM، أو إذا كنت داعماً أو متبرعاً أو مستفيداً من جمعية خيرية تستخدمه، فهناك بعض الأمور العملية التي يستحق القيام بها الآن. أولاً، ترقب إشعاراً مباشراً بالاختراق من Beacon أو من الجمعية الخيرية المحددة التي ترتبط بها؛ ستوضح الإشعارات الشرعية البيانات المتضمنة والخطوات التي يتعين عليك اتخاذها، إن وجدت. ثانياً، تعامل مع أي رسائل بريد إلكتروني أو مكالمات غير مرغوب فيها تشير إلى هذا الاختراق بحذر، لأن المهاجمين يستغلون أحياناً أخبار الاختراق العامة لشن حملات تصيد تستهدف الأشخاص الذين يفترضون أنهم متأثرون.

من الجدير أيضاً التحقق مما إذا كان عنوان بريدك الإلكتروني يظهر في قواعد بيانات الاختراق المعروفة من خلال خدمة فحص اختراق موثوقة، وتدوير كلمات المرور لأي حسابات تعيد استخدام بيانات اعتماد مرتبطة بالمنظمة المتأثرة. إذا كنت تدير تكنولوجيا المعلومات أو علاقات البائعين لمنظمة غير ربحية، فهذه لحظة جيدة لسؤال مزودي CRM أو SaaS لديك مباشرة حول كيفية تخزين مفاتيح الوصول السحابية وتدويرها، وما إذا كانت بيانات الاعتماد مضمّنة في كود جانب العميل، وما هو الجدول الزمني للاستجابة للحوادث لديهم.

النقاط الرئيسية

لا يزال اختراق بيانات Beacon CRM قيد التطور، ولم يتم تأكيد النطاق الكامل للمنظمات وأنواع البيانات المتأثرة بشكل قاطع من قبل الشركة وقت كتابة هذا التقرير. ومع ذلك، تقدم الحادثة دروساً ملموسة بغض النظر عن الأرقام النهائية. نظافة بيانات الاعتماد السحابية، بما في ذلك التدوير المنتظم للمفاتيح، والتقييد الصارم للصلاحيات، والتدقيق الدقيق لما يتم نشره في ملفات البناء، ليست مسألة تقنية متخصصة؛ إنها دفاع في الخطوط الأمامية ضد هذا النوع بالضبط من الكشف الجماعي للبيانات. إذا كانت لديك أو لمؤسستك علاقة مع Beacon CRM، تابع الاتصالات الرسمية عن كثب، وتحقق من أي إشعارات اختراق من خلال قنوات موثوقة، واستخدم هذا كفرصة لمراجعة الممارسات الأمنية لكل بائع SaaS يتعامل مع بياناتك الحساسة.