اختراق هادئ، ثم تهديد صاخب

بنَت مجموعة الابتزاز المعروفة باسم Clop سمعتها على أسلوب محدد: العثور على ثغرة أمنية حرجة في برامج مؤسسية واسعة الانتشار، واستغلالها بهدوء ضد أكبر عدد ممكن من الضحايا، ثم الكشف عن نفسها بعد أسابيع أو أشهر برسائل تهديد تطلب الدفع. وفقًا للتقارير حول أحدث حملات المجموعة، تكرر هذا النمط مع برنامج إدارة دورة حياة المنتج (PLM) من PTC. يُعتقد أن Clop استغلت ثغرة أمنية حرجة في أنظمة PTC في يونيو، لكن الضحايا لم يتلقوا رسائل الابتزاز إلا بعد شهر واحد في يوليو.

تلك الفجوة بين الاختراق الأولي والتهديد العلني ليست مصادفة. إنها جزء متعمد من طريقة عمل Clop، ولهذا السبب لا يزال النطاق الكامل لهذه الحادثة قيد التوضيح حتى الآن. يعمل باحثو الأمن، بما في ذلك المحللون في Recorded Future، على تجميع الجدول الزمني وحجم الحملة، والصورة التي تظهر تشير إلى أن هذه الحادثة ستشهد ذيلًا طويلًا من الإفصاحات والتحقيقات والعواقب اللاحقة.

لماذا تعتبر برامج PLM مشكلة خصوصية وليست مجرد مشكلة تقنية؟

منصات إدارة دورة حياة المنتج مثل تلك المتأثرة هنا لا يُنظر إليها عادةً على أنها أنظمة حساسة للخصوصية بنفس الطريقة التي قد تكون بها قاعدة بيانات مستشفى أو معالج مدفوعات. لكن هذا الافتراض يقلل من قيمة ما يكمن بداخلها في الواقع. تخزن برامج PLM مستندات التصميم والمواصفات الهندسية وسجلات الموردين والبائعين، وغالبًا بيانات اعتماد الموظفين المستخدمة للوصول إلى هذه الأنظمة. بعبارة أخرى، إنها مستودع لكل من الملكية الفكرية والبيانات الشخصية، وتقع داخل شركات ربما لم تعطها الأولوية كأصل أمني من الدرجة الأولى.

هذا جزء مما يجعل نهج Clop فعالًا للغاية. بدلاً من استهداف منظمة واحدة عالية المستوى، تميل المجموعة إلى استغلال برنامج واسع الانتشار تعتمد عليه العديد من الشركات، ثم تعمل على قائمة الضحايا الناتجة واحدًا تلو الآخر. إنها استراتيجية تعكس درسًا أوسع من تاريخ الأمن السيبراني: بمجرد تسليح استغلال ثغرة حرجة على نطاق واسع، نادرًا ما يظل الضرر محصورًا في هدف واحد. لا تزال دودة WannaCry المثال النموذجي لما يحدث عندما ينتشر استغلال مسروق أو غير مصحح دون رادع، وعلى الرغم من أن طريقة Clop أكثر جراحية ومدفوعة بالربح من دودة ذاتية الانتشار، فإن المخاطر الأساسية على المؤسسات التي تؤخر تطبيق التصحيحات متشابهة بشكل لافت.

التداعيات لا تزال تتكشف

ما يجعل هذه الحادثة جديرة بالمتابعة بشكل خاص هو التأخير بين الاستغلال والإفصاح. مر شهر بين الاختراق الأولي ووصول رسائل الابتزاز إلى صناديق البريد الوارد للضحايا. خلال تلك النافذة، كان لدى Clop الوقت لاستخراج البيانات من عدد غير معروف من المؤسسات قبل أن يعلم أي شخص خارج المجموعة أن هجومًا كان جاريًا. هذا النوع من وقت المكوث الهادئ هو بالضبط ما يسمح للاختراقات بالنمو إلى أبعاد أكبر بكثير مما تشير إليه التقديرات الأولية، وهي ديناميكية شوهدت في حوادث أخرى حديثة حيث ارتفع عدد الضحايا المبلغ عنه بشكل حاد مع نضوج التحقيقات، مثل اختراق Conduent، الذي توسع ليشمل أكثر من 62 مليون شخص متأثر بعد وقت طويل من الإفصاح الأولي.

بالنسبة للشركات التي تستخدم برامج PTC المتأثرة، فإن الأولوية الفورية هي تحديد ما إذا كانت قد تعرضت للاختراق خلال نافذة استغلال يونيو، وليس مجرد الرد على رسائل الابتزاز في يوليو. بالنسبة للجميع الآخرين، بما في ذلك الموظفين والمقاولين وشركاء الأعمال الذين ربما تم تخزين معلوماتهم الشخصية في هذه الأنظمة، فإن القلق هو أن الإشعارات وتقييمات الأثر الكامل قد تستغرق شهورًا لتظهر، تمامًا مثل الاختراقات واسعة النطاق الأخرى حيث يتضح النطاق الحقيقي فقط بعد فترة طويلة من تلاشي العناوين الرئيسية الأولية، كما حدث مع حوادث مثل اختراق Paidwork.

ماذا يعني هذا بالنسبة لك

إذا كنت تعمل في شركة تستخدم برنامج PLM من PTC، أو إذا كان صاحب عملك يشارك البيانات مع موردين وشركاء يستخدمونه، فإن هذه الحادثة تستحق المتابعة حتى لو لم تتلق إشعارًا بعد. الطبيعة المتأخرة لإفصاحات Clop تعني أن تقييمات الأثر لا تزال على الأرجح جارية، وقد يتم تسمية ضحايا إضافيين في الأسابيع أو الأشهر القادمة.

بشكل أوسع، هذه الحادثة تذكير بأن مخاطر خصوصية البيانات لا تقتصر على قواعد البيانات الموجهة للعملاء. البرامج الداخلية الهندسية وبرامج سلسلة التوريد يمكن أن تحتوي على قدر مماثل من المعلومات الشخصية الحساسة، وغالبًا ما تحظى باهتمام أمني أقل بكثير.

إجراءات عملية قابلة للتطبيق

  • إذا كانت مؤسستك تستخدم Windchill من PTC أو برامج PLM ذات الصلة، تحقق مع فريق تكنولوجيا المعلومات أو الأمن لديك بشأن ما إذا تم تطبيق التصحيحات وما إذا تم التحقيق في أي مؤشرات اختراق تعود إلى يونيو.
  • راقب رسائل إشعار الاختراق في الأشهر القادمة بدلاً من افتراض أن عدم وجود أخبار يعني عدم وجود تأثير، نظرًا لتاريخ Clop في التأخر بالإفصاح.
  • إذا تلقيت إشعارًا مرتبطًا بهذه الحادثة، تعامل مع أي بيانات اعتماد تسجيل دخول مرتبطة بالنظام المتأثر على أنها معرضة للخطر وغيّرها فورًا، بالإضافة إلى أي حسابات أخرى تستخدم نفس كلمة المرور.
  • الشركات التي تعتمد على موردي برامج خارجيين يجب أن تسأل عن الجداول الزمنية لتطبيق التصحيحات للثغرات الحرجة كجزء قياسي من إدارة مخاطر الموردين، وليس فقط بعد أن تصبح الحادثة في العناوين الرئيسية.

اختراق Clop لـ PTC هو مثال واضح على كيف يمكن لثغرة حرجة واحدة في برامج مؤسسية أن تموج إلى الخارج لأشهر، مؤثرة على شركات وأفراد قد لا يكون لديهم أي فكرة أن بياناتهم كانت معرضة للخطر على الإطلاق. البقاء على اطلاع مع استمرار ظهور التداعيات هو أفضل دفاع بينما تستمر التحقيقات.