عندما أطلقت أجهزة إنفاذ القانون نظرة خلف الستار

في فبراير 2024، قام تحالف من وكالات إنفاذ القانون الدولية بتفكيك البنية التحتية وراء لوكبيت، إحدى أكثر عمليات برامج الفدية إنتاجًا في الذاكرة الحديثة. ما وجده المحققون عندما تمكنوا من الوصول إلى أنظمة لوكبيت كان أكثر من مجرد أدلة على نشاط إجرامي. فقد اكتشفوا أن المجموعة احتفظت بنسخ من بيانات الضحايا المسروقة حتى بعد إخبار هؤلاء الضحايا، غالبًا مقابل دفع فدية، بأنه قد تم حذف البيانات.

هذه التفصيلة الوحيدة تهم أكثر بكثير مما قد تبدو عليه للوهلة الأولى. لسنوات، تضمن الدليل المعتاد للمؤسسات التي تتعرض لهجوم برامج الفدية خيارًا هادئًا وغير مريح: ادفع الفدية، واحصل على وعد بالحذف من المهاجم، وامضِ قدمًا. يؤكد كشف لوكبيت ما اشتبه فيه العديد من الباحثين الأمنيين منذ فترة طويلة. هذا الوعد غالبًا ما يكون بلا قيمة، ولا يملك الضحايا عادة أي طريقة لمعرفة ذلك.

الفجوة بين ما يُقال للضحايا وما يحدث فعليًا

تجري مفاوضات برامج الفدية عادة بعيدًا عن الأنظار العامة، بوساطة شركات الاستجابة للحوادث، أو شركات التأمين، أو المؤسسات الضحية نفسها. عندما تزعم مجموعة إجرامية أنها حذفت الملفات المسروقة، نادرًا ما توجد أي طريقة مستقلة للتحقق من هذا الادعاء. يُطلب من الضحايا أساسًا أن يثقوا بكلمة الفاعل نفسه الذي اقتحم أنظمتهم وسرق بياناتهم في المقام الأول.

تُظهر قضية لوكبيت لماذا تكون هذه الثقة في غير محلها. حتى عندما تكون المؤسسة الإجرامية متطورة بما يكفي لإدارة عملية "خدمة عملاء" فعالة لضحاياها، مكتملة ببوابات تفاوض وشهادات حذف، فإن الحافز الأساسي لتدمير البيانات القيمة المسروقة فعليًا ببساطة غير موجود. البيانات لها قيمة لإعادة البيع، وقيمة كوسيلة ضغط، وقيمة للابتزاز في المستقبل. حذفها يتعارض مع مصالح المهاجم الخاصة.

نادرًا ما تتصدر هذه الفجوة العناوين كما يفعل الإعلان عن الاختراق. الشركات التي تدفع بهدوء لجعل المشكلة تختفي ليس لديها سبب يذكر للإعلان عن عدم الوفاء بوعد الحذف، خاصة إذا لم تكتشف ذلك أبدًا. هذا الصمت جزء من سبب حدوث النتائج السلبية أكثر مما يوحي به السجل العام. يُعد تفكيك البنية التحتية للوكبيت واحدًا من الحالات النادرة التي أصبحت فيها الفجوة بين الوعد والواقع مرئية على الإطلاق، بنفس الطريقة التي كشف بها تعطيل جوجل لشبكة قرصنة مرتبطة بالحزب الشيوعي الصيني الستار عن نشاط كان سيظل مخفيًا عن المؤسسات المتضررة لولا ذلك.

لماذا يجب أن يغير هذا طريقة تفكير المؤسسات بشأن برامج الفدية

الدرس العملي ليس أن دفع الفدية هو دائمًا الخيار الخاطئ. لكل حادثة ضغوطها القانونية والتشغيلية والمالية الخاصة، وقد تقرر بعض المؤسسات أن الدفع هو الخيار الأقل سوءًا بالنسبة لها. الدرس هو أن الدفع يجب ألا يُعامل أبدًا كحل لمشكلة تعرض البيانات.

بمجرد خروج البيانات من سيطرة المؤسسة، يجب التعامل معها على أنها معرضة للخطر بشكل دائم، بغض النظر عن أي تأكيدات تلي ذلك. هذا يعني أن التزامات الإخطار، والتواصل مع العملاء، وتقييمات المخاطر يجب أن تمضي كما لو أن البيانات المسروقة لا تزال متداولة، لأنها قد تكون كذلك بالفعل. بوالص التأمين السيبراني وخطط الاستجابة للحوادث التي تفترض حلًا نظيفًا بعد الدفع مبنية على فرضية قديمة ومفندة بشكل متزايد.

ماذا يعني هذا بالنسبة لك

بالنسبة للأفراد الذين قد تكون بياناتهم قد جُرفت في اختراق مرتبط بهجوم برامج فدية، فإن كشف لوكبيت هو تذكير بعدم التخلي عن حذرك لمجرد أن شركة تعلن أن الحادث "تم حله". وعد الحذف من المجرمين ليس ضمانًا، وقد تظل معلوماتك معرضة للخطر بعد فترة طويلة من تلاشي العناوين.

بالنسبة للشركات، خاصة الصغيرة والمتوسطة التي لا تملك فرق أمان مخصصة، هذه حالة لصالح الوقاية على التفاوض. ممارسات النسخ الاحتياطي القوية، وتجزئة الشبكة، والنظافة الأساسية لأجهزة النهاية تقلل من احتمالات أن تكون في موقف تعتمد فيه على كلمة مبتز. مراجعة كيفية حماية الحسابات الشخصية والمهنية، بما في ذلك ما إذا كانت حركة المرور الحساسة تُوجه عبر اتصالات آمنة، هي نقطة انطلاق معقولة؛ تنظر بعض المؤسسات في خيارات مثل تلك الموجودة في صفحات تقارن مزودين مثل IVPN أو Mozilla VPN كجزء من جهد أوسع لتقليل التعرض، على الرغم من أنه لا توجد أداة واحدة تغني عن استراتيجية أمان كاملة.

نقاط عملية قابلة للتطبيق

  • افترض أن أي بيانات سُرقت في حادثة برامج فدية تظل في خطر إلى أجل غير مسمى، حتى إذا تم تقديم وعد بالحذف.
  • لا تدع دفع الفدية يكون بديلاً عن الإخطار الكامل بالاختراق وإجراءات حماية العملاء.
  • أعط الأولوية للنسخ الاحتياطي وتجزئة الشبكة بحيث لا يكون الدفع للمهاجمين هو الخيار الوحيد المطروح على الطاولة أبدًا.
  • إذا تم إخطارك بأن بياناتك قد تورطت في اختراق، راقب حساباتك وتقارير الائتمان الخاصة بك لما بعد الإعلان الأولي بفترة طويلة.
  • اضغط من أجل الشفافية من أي مؤسسة تتعامل مع بياناتك حول كيفية استجابتها لحوادث برامج الفدية، وليس فقط ما إذا كانت قد دفعت أم لا.

قدم تفكيك لوكبيت نظرة نادرة وغير منقحة لكيفية تنفيذ الابتزاز الإلكتروني فعليًا بمجرد أن يصبح المجرمون خارج السيطرة على الرواية. لقد ترك التعامل مع وعود الحذف كحقيقة، بدلاً من كونها ادعاءات غير موثقة من جهة معادية، عددًا كبيرًا جدًا من الضحايا بشعور زائف بالإغلاق. يظل البقاء متشككًا، والبقاء مستعدًا، هو الاستراتيجية الأفضل على المدى الطويل.