ما الذي حدث في اختراق جاك هنري
جاك هنري، شركة التكنولوجيا المالية التي تدعم أنظمتها البنوك والاتحادات الائتمانية، أكدت مؤخرًا حادثة برنامج فدية بدأت ليس باستغلال تقني بل بمكالمة هاتفية. وفقًا للتقارير المتاحة، استخدم المهاجمون التصيد الصوتي، المعروف أيضًا باسم "فيشينج"، للتلاعب بأحد الموظفين لمنحهم وصولًا أدى في النهاية إلى استخراج كمية محدودة من البيانات. ومنذ ذلك الحين، بدأت الشركة عملية الاستجابة للحادث، على الرغم من أن التفاصيل الكاملة حول نطاق الاختراق والبيانات المحددة المتضمنة تظل محدودة في التقارير العامة.
ما يجعل هذه الحادثة ملحوظة ليس الحمولة البرمجية لبرنامج الفدية بحد ذاتها. بل نقطة الدخول. فبدلاً من استغلال ثغرة برمجية أو تخمين كلمات المرور بقوة، توجه المهاجمون كما يُذكر مباشرة إلى الحلقة الأضعف في معظم البنى الأمنية: شخص يرد على الهاتف.
كيف تجاوز التصيد الصوتي الفحوصات الأمنية للموظفين
يعمل التصيد الصوتي من خلال انتحال شخصية مصدر موثوق، غالبًا مكتب المساعدة التقنية، أو مورد، أو قسم داخلي، والضغط على الموظف لاتخاذ إجراء لا يتخذه عادةً. قد يعني ذلك إعادة تعيين كلمة مرور، أو الموافقة على طلب تسجيل دخول، أو مشاركة رمز لمرة واحدة. في حالة جاك هنري، يشير الاستخدام المبلغ عنه للتصيد الصوتي لاستهداف "ثقة الموظف" إلى أن المهاجمين اعتمدوا على هندسة اجتماعية مقنعة بدلاً من أي خلل في دفاعات شبكة الشركة.
أصبح هذا التكتيك شائعًا بشكل متزايد لأنه يتجاوز الضوابط التقنية التي تنفق المؤسسات أكبر قدر من الأموال عليها. لا يمكن لجدار الحماية إيقاف مكالمة هاتفية. نظام كشف التسلل لا يعلّم على محادثة. عندما يبدو المهاجم ذا مصداقية، وعاجلًا، وملمًا بالعمليات الداخلية، حتى الموظفون المدربون يمكن إقناعهم بتجاوز الخطوات التي كانوا سيتبعونها خلاف ذلك.
الآليات الأساسية مشابهة لأساليب الهندسة الاجتماعية الأخرى التي ابتليت بها قطاعا الاتصالات والمالية، مثل تبديل بطاقة SIM، حيث يقنع المهاجمون مزود خدمة الهاتف المحمول بنقل رقم هاتف الضحية إلى جهاز يسيطرون عليه. في كلتا الحالتين، لا يكسر المهاجم التشفير أو يستغل التعليمات البرمجية. بل يستغلون عملية اتخاذ القرار البشري، مستخدمين الثقة والضغط الاجتماعي لجعل شخص آخر يقوم بالعمل نيابة عنهم.
لماذا لا توقف المصادقة متعددة العوامل والشبكات الافتراضية الخاصة الهندسة الاجتماعية
من الجدير أن نكون صريحين بشأن هذا: المصادقة متعددة العوامل والشبكات الافتراضية الخاصة هي أدوات أمنية أساسية، لكنها لم تُصمم أبدًا لإيقاف مهندس اجتماعي عازم يقنع شخصًا بالموافقة على الوصول طوعًا. تتحقق المصادقة متعددة العوامل من أن الطلب يأتي من جهاز أو بيانات اعتماد شرعية. لا تفعل شيئًا للتحقق من أن الشخص الذي يوافق على إشعار الدفع يفهم بالفعل ما يوافق عليه، خاصة إذا كان المتصل قد أخبره للتو أن هذا فحص تقني روتيني.
وبالمثل، تقوم الشبكة الافتراضية الخاصة بتشفير حركة المرور ويمكنها تقييد الوصول إلى الشبكة للمستخدمين المصرح لهم، لكنها لا تستطيع التمييز بين موظف مصرح له وموظف مصرح له تم التلاعب به للتو لتسليم بيانات اعتماده. بمجرد أن يحصل المهاجم على وصول صالح، سواء من خلال كلمة مرور مسروقة، أو طلب موافقة متعددة العوامل مقبول، أو رقم هاتف معاد توجيهه، تعامله الشبكة الافتراضية الخاصة على أنه شرعي.
هذا هو الدرس الأساسي من حادثة جاك هنري: الدفاعات التقنية متعددة الطبقات مهمة، لكنها لا يمكنها التعويض بالكامل عن فجوة في كيفية تدريب الموظفين على التحقق من الطلبات غير المتوقعة، خاصة تلك التي تصل عبر الهاتف وتخلق إحساسًا بالاستعجال.
دروس للمستهلكين والمؤسسات المالية حول الدفاع على مستوى العنصر البشري
بالنسبة للمؤسسات المالية وأي منظمة تتعامل مع بيانات حساسة، فإن الخلاصة ليست التخلي عن استخدام المصادقة متعددة العوامل أو الشبكات الافتراضية الخاصة. بل معاملة الطبقة البشرية كمجال أمني مستقل يتطلب اهتمامًا مستمرًا. يتضمن ذلك تدريب الموظفين على التحقق بشكل مستقل من المتصلين عبر قناة منفصلة ومعروفة قبل اتخاذ أي إجراء يتضمن بيانات اعتماد أو تغييرات في الوصول أو بيانات حساسة. ويعني أيضًا بناء عمليات داخلية لا تعتمد فقط على حكم الموظف في اللحظة، مثل طلب موافقة ثانوية للتغييرات عالية المخاطر على الحسابات.
بالنسبة للمستهلكين، ينطبق المبدأ نفسه على نطاق أصغر. كن متشككًا في المكالمات غير المتوقعة التي تدّعي أنها من بنكك أو مزود خدمة الهاتف المحمول أو أي مزود خدمة، خاصة إذا طلبوا منك قراءة رمز تحقق أو الموافقة على تسجيل الدخول. نادرًا ما تحتاج المؤسسات الشرعية منك القيام بذلك عبر الهاتف.
ماذا يعني هذا بالنسبة لك
إذا كنت عميلًا لبنك أو اتحاد ائتماني يعتمد على تقنية جاك هنري، فلا يوجد ما يشير في التقارير الحالية إلى أن بيانات اعتماد الحسابات الفردية قد تم اختراقها، لكنها لحظة مناسبة لمراجعة أمان حسابك الخاص. إذا كنت تعمل في منظمة من أي حجم، فهذه الحادثة دراسة حالة مفيدة لفهم سبب ضرورة معالجة التدريب على الوعي الأمني للهندسة الاجتماعية القائمة على الصوت تحديدًا، وليس فقط التصيد عبر البريد الإلكتروني.
خلاصات قابلة للتنفيذ
- تحقق من الطلبات الهاتفية غير المتوقعة عبر قناة اتصال منفصلة ومعروفة قبل اتخاذ أي إجراء.
- لا تشارك أبدًا رموز المرور لمرة واحدة أو توافق على مطالبات المصادقة متعددة العوامل لعمليات تسجيل دخول لم تبدأها أنت.
- ادعُ إلى سياسات مؤسسية تتطلب تحققًا ثانويًا للتغييرات الحساسة على الحسابات أو الوصول.
- تعرّف على أساليب الهندسة الاجتماعية ذات الصلة مثل تبديل بطاقة SIM لفهم كيفية تجاوز المهاجمين للمصادقة دون كسر التشفير.
هجوم برنامج الفدية على جاك هنري هو تذكير بأن هجوم برنامج الفدية عبر التصيد الصوتي لا يحتاج إلى هزيمة برامج الأمان الخاصة بك. إنه يحتاج فقط إلى إقناع شخص واحد بالثقة بالصوت الخاطئ على الطرف الآخر من الخط.
