وثائق قانون حرية المعلومات تكشف أن اختراق SolarWinds كشف جميع رسائل البريد الإلكتروني على نطاق Treasury.gov
أضافت وثائق تم الحصول عليها من خلال دعوى قضائية بموجب قانون حرية المعلومات فصلاً جديداً مقلقاً لقصة اختراق SolarWinds عام 2020. ووفقاً للسجلات التي ظهرت حديثاً، فإن المهاجمين لم يقتصروا على اختراق عدد قليل من الحسابات في وزارة الخزانة الأمريكية. بل تمكنوا من الوصول إلى عمق كافٍ قد يؤدي إلى كشف كل عنوان بريد إلكتروني ينتهي بـ treasury.gov. وتبين أن النطاق الكامل لتعرض بيانات الحكومة في اختراق SolarWinds كان أوسع مما اعترف به المسؤولون علناً.
ما كشفته وثائق قانون حرية المعلومات فعلياً حول الوصول إلى الخزانة
عندما ظهر اختراق SolarWinds لأول مرة في أواخر عام 2020، اعترفت التصريحات الحكومية بالاختراق بعبارات عامة دون أن تفصل بالضبط مدى توغل المهاجمين في الأنظمة الفيدرالية. وتغير وثائق قانون حرية المعلومات الجديدة هذه الصورة بشكل كبير.
تشير السجلات إلى أن المخترقين، الذين يُنسبون على نطاق واسع إلى جهاز الاستخبارات الخارجية الروسي (SVR)، تمكنوا من الوصول إلى مستوى من البنية التحتية للبريد الإلكتروني في وزارة الخزانة كان سيسمح لهم بمشاهدة أو جمع جميع العناوين التي تعمل تحت نطاق treasury.gov. وهذا يتجاوز مجرد اختراق مجموعة فرعية من صناديق البريد الوارد. إنه يشير إلى أن المهاجمين كان لديهم رؤية على مستوى المسؤولين لبيئة البريد الإلكتروني في الوزارة، مما يعني أنهم تمكنوا من تحديد كل حساب، وعلى الأرجح محتوياته، عبر واحدة من أكثر الوكالات حساسية في الحكومة الأمريكية.
هذا النوع من الوصول له آثار تتجاوز بكثير المراسلات المسروقة. يمكن لأدلة البريد الإلكتروني أن تكشف عن الهياكل التنظيمية، وتحدد الموظفين الرئيسيين، وتكون بمثابة خريطة لحملات التصيد الاحتيالي اللاحقة أو جمع المعلومات الاستخبارية الموجهة.
لماذا يختلف هجوم سلسلة التوريد عن الاختراق العادي
لفهم سبب صعوبة اكتشاف هذا الاختراق ومدى ضرره الكبير، من المفيد فهم طريقة الهجوم. لم تكن هذه حالة تخمين لكلمات مرور ضعيفة أو استغلال خادم غير مُحدث. كان هجوم SolarWinds مثالاً نموذجياً لـ هجوم سلسلة التوريد، مما يعني أن الخصوم اخترقوا مورد برمجيات موثوقاً واستخدموا آلية التحديث الشرعية لذلك المورد لدفع تعليمات برمجية خبيثة مباشرة إلى العملاء.
صنعت SolarWinds برنامج إدارة شبكات يُدعى Orion، يُستخدم على نطاق واسع في كل من الوكالات الفيدرالية والشركات الخاصة. وعندما أدخل المهاجمون برمجياتهم الخبيثة في تحديث برنامج Orion الروتيني، قامت كل مؤسسة قامت بتثبيت هذا التحديث بدعوة الاختراق من الباب الأمامي. لم يكن لدى أدوات الأمان التي كانت ستنبه عادةً إلى النشاط المشبوه أي سبب لإطلاق إنذار لأن التعليمات البرمجية الخبيثة وصلت مغلفة بحزمة برمجيات موثوقة وموقعة.
هذا بالضبط ما يجعل هجمات سلسلة التوريد خطيرة للغاية مقارنة بالاختراقات التقليدية. لا يتحقق موطئ قدم المهاجم من خلال ثغرة في دفاعات الهدف نفسه، بل من خلال طرف ثالث موثوق لا يملك الهدف أي سبب عملي لعدم الوثوق به.
كيف تعرض الأنظمة الحكومية المخترقة بيانات المواطنين للخطر
قد يكون رد الفعل الغريزي تجاه اختراق وزارة الخزانة هو اعتباره مشكلة حكومية، منفصلة عن الخصوصية الشخصية اليومية. هذا التصور يقلل من حجم التعرض.
تحتفظ الوكالات الفيدرالية بكميات هائلة من بيانات المواطنين: السجلات الضريبية، والإفصاحات المالية، ومعلومات التوظيف، وطلبات الاستحقاقات، وغير ذلك. عندما يحصل المهاجمون على وصول على مستوى المسؤولين إلى بيئة البريد الإلكتروني لوكالة مثل الخزانة، يصبحون في وضع يسمح لهم باعتراض الاتصالات الداخلية حول عمليات التدقيق والتحقيقات والقرارات السياسية. يمكنهم تحديد المسؤولين الذين يشرفون على أي برامج، وهي معلومات يمكن استخدامها لصياغة رسائل تصيد احتيالي موجهة ومقنعة للغاية تستهدف وكالات أخرى أو حتى مواطنين عاديين مرتبطين بمسائل حكومية جارية.
بالإضافة إلى الهجمات الموجهة اللاحقة، هناك مسألة القيمة الاستخباراتية. معرفة من يعمل في وزارة الخزانة، وما هي البرامج التي يشرفون عليها، ومن يتواصل مع من، هي معلومات مفيدة حقاً لأي جهاز استخبارات أجنبي، وهذه القيمة لا تتطلب من المهاجمين فك تشفير أي ملف مشفر على الإطلاق.
ما يمكن للمستخدمين المهتمين بالخصوصية فعله وما لا يمكنهم فعله لحماية أنفسهم
هنا يصطدم تعرض بيانات الحكومة في اختراق SolarWinds للمستخدمين الأفراد بواقع غير مريح. لا يوجد أساساً ما يمكن للمواطن العادي فعله لمنع جهاز استخبارات أجنبي من اختراق البنية التحتية للبريد الإلكتروني الداخلي لوكالة فيدرالية.
استخدام شبكة خاصة افتراضية (VPN) يحمي حركة مرورك الخاصة. كلمات المرور القوية والمصادقة الثنائية تحمي حساباتك الشخصية. المراسلة المشفرة من طرف إلى طرف تحمي محادثاتك الخاصة. لا تؤثر أي من هذه الإجراءات على ما إذا كان مورد برمجيات تثق به الحكومة الفيدرالية قد تعرض للاختراق، أو على ما إذا كانت وكالة حكومية تحتفظ بسجلات عنك قد تم اختراقها من خلال قناة تحديث ذلك المورد.
ليس هذا حجة لليأس. إنها حجة للوضوح حول ما صُممت الأدوات المختلفة للقيام به فعلاً. أدوات الخصوصية الشخصية تتعامل مع أسطح الهجوم الشخصية. الثغرات النظامية في البنية التحتية الحكومية أو المؤسسية تتطلب استجابات نظامية: عمليات تدقيق أمني صارمة للموردين، وهندسة شبكات قائمة على انعدام الثقة، وجداول زمنية إلزامية للإفصاح عن الاختراقات، ورقابة تشريعية ذات فعالية حقيقية.
بالنسبة للأفراد، الاستجابة الأكثر فائدة هي البقاء على اطلاع حول ماهية البيانات التي تحتفظ بها الوكالات الحكومية، والانتباه إلى إشعارات الاختراق عند ورودها، والتشكك بشكل خاص في الاتصالات غير المرغوب فيها التي تبدو وكأنها صادرة عن مصادر حكومية في أعقاب أي اختراق مُبلغ عنه.
ماذا يعني هذا بالنسبة لك
النطاق الذي تم الكشف عنه حديثاً لاختراق وزارة الخزانة هو تذكير بأن حماية البيانات الشخصية توجد ضمن نظام بيئي أكبر لا يتحكم فيه الأفراد. ممارساتك الأمنية الخاصة مهمة. ولكن الموقف الأمني لكل مؤسسة تحتفظ ببيانات عنك مهم أيضاً.
لم يكن اختراق SolarWinds حالة شاذة لمرة واحدة. لقد كشف عن ضعف هيكلي في كيفية الوثوق بسلاسل توريد البرمجيات وكيفية الإفصاح عن الاختراقات. فهم هذا السياق ضروري لأي شخص يتتبع كيفية تحول التهديدات على مستوى الدولة إلى مخاطر خصوصية في العالم الحقيقي. ابدأ ببناء فهم قوي لكيفية عمل هجمات سلسلة التوريد ولماذا يصعب الدفاع عنها على المستوى الفردي. هذه الخلفية ستجعلك تقرأ كل قصة مماثلة تالية بفهم أعمق.
