بيانات جديدة تؤكد أن دفع الفدية لا يشتري أماناً دائماً
تضيف تقارير جديدة أبرزها موقع The Register، وغطتها نشرة من SC Media، إلى مجموعة متزايدة من الأدلة على أن دفع فدية برامج الفدية لا يمنع الهجمات المستقبلية بشكل موثوق. المؤسسات التي تدفع لاستعادة بياناتها أو وقف الابتزاز كثيراً ما تُستهدف مرة أخرى، إما من قبل المجموعة الإجرامية نفسها أو من مجموعة أخرى مختلفة تماماً علمت أن الضحية مستعدة للدفع. هذا النمط يظهر حتى مع جهود إنفاذ القانون المنسقة، مثل عملية كرونوس، التي تعمل على تفكيك عمليات برامج الفدية الكبرى من الداخل.
الخلاصة بسيطة لكنها غير مريحة لكثير من المؤسسات: مدفوعات الفدية والهجمات المتكررة مرتبطتان ارتباطاً وثيقاً، ليس لأن الدفع يضمن السلامة، بل لأنه غالباً ما يُشير إلى المهاجمين بأن الهدف مربح وغير مستعد.
لماذا يخلق الدفع شعوراً زائفاً بالأمان
عندما تُحبس مؤسسة خارج أنظمتها أو تواجه تهديداً بتسريب بيانات للعلن، قد يبدو دفع الفدية أسرع طريق للعودة إلى العمليات الطبيعية. لكن البيانات الجديدة تعزّز ما قاله الباحثون الأمنيون لسنوات: الدفع هو معاملة، وليس ضماناً. عصابات برامج الفدية هي مشاريع إجرامية، ولا يوجد اتفاق قابل للتنفيذ بأن البيانات ستُحذف، أو أن مفاتيح فك التشفير ستعمل فعلاً، أو أن الثغرات نفسها لن تُستغل مرة أخرى.
المؤسسات التي تدفع غالباً ما تفعل ذلك لأنها تفتقر إلى نسخ احتياطية سليمة، أو خطط للاستجابة للحوادث، أو الخبرة الداخلية لإعادة بناء الأنظمة بسرعة. نفس نقاط الضعف الأساسية تميل إلى البقاء بعد دفع الفدية، مما يعني أن الباب الذي سمح للمهاجمين بالدخول في المرة الأولى غالباً ما يظل مفتوحاً. الدفع يعالج الأزمة العاجلة، لا السبب الجذري.
وهذا هو السبب بالضبط وراء أن استطلاعاً أجرته Proofpoint وجد أن دفع فدية لعصابات برامج الفدية يأتي بنتائج عكسية في كثير من الأحيان أكثر مما تتوقع الضحايا. وضع الاستطلاع أرقاماً ملموسة وراء التحذير، وأظهر أن حصة ذات دلالة من المؤسسات التي دفعت لا تزال تعاني من فقدان البيانات، أو محاولات ابتزاز إضافية، أو اختراقات متكررة.
كيف تحدّد عصابات برامج الفدية دافعي الفدية السابقين وتعيد استهدافهم
تعمل عمليات برامج الفدية بشكل متزايد مثل الشركات، مكتملة بشبكات الشركات التابعة، ودعم العملاء للضحايا، ومعلومات استخباراتية مشتركة حول الأهداف التي تستحق الهجوم. بمجرد أن تدفع مؤسسة، يمكن أن تنتشر هذه المعلومات بين المجموعات الإجرامية، إما من خلال تبادل البيانات المباشر، أو بيع الوصول إلى الشبكة، أو مجرد السمعة في المنتديات السرية.
الضحية التي تدفع بسرعة ودون مقاومة كبيرة تصبح كمية معروفة: هدف سهل مع استعداد مثبت لتسليم المال. حتى عندما تنجح إجراءات إنفاذ القانون مثل عملية كرونوس في تعطيل بنية تحتية محددة لبرامج الفدية، فإن نظام وسطاء الوصول الأساسي، وبيانات الاعتماد المسروقة، والثغرات غير المصححة التي أدت إلى الاختراق الأصلي غالباً ما تظل متاحة لممثلين تهديد آخرين. تعطيل عصابة واحدة لا يحمي بالضرورة ضحية سابقة من عصابة أخرى تستغل نقاط الضعف نفسها.
دفاعات عملية: النسخ الاحتياطية، وتقسيم الشبكة، وتحصين VPN
أوضح درس من هذه البيانات هو أن الوقاية والمرونة أهم من التفاوض. بضع خطوات عملية تُحدث فرقاً قابلاً للقياس:
- الحفاظ على نسخ احتياطية غير متصلة ومختبرة. النسخ الاحتياطية المنفصلة عن الشبكة الرئيسية والتي تُختبر بانتظام لاستعادة البيانات هي الوسيلة الأكثر فعالية لتجنب الحاجة إلى الدفع على الإطلاق.
- تقسيم الشبكات. الحد من المسافة التي يمكن للمهاجم التحرك فيها بعد الدخول يقلل من نصف قطر الأثر لأي حساب أو جهاز مخترق.
- تحصين الوصول عن بُعد. شبكات VPN وأدوات سطح المكتب البعيد هي نقاط دخول شائعة لبرامج الفدية. فرض المصادقة متعددة العوامل، وتصحيح برامج VPN فوراً، وإغلاق نقاط الوصول عن بُعد غير المستخدمة يزيل موطئ قدم سهل للمهاجمين.
- بناء خطة استجابة للحوادث قبل وقوع الهجوم. معرفة من يجب الاتصال به، وكيفية عزل الأنظمة المتأثرة، وكيفية التواصل مع أصحاب المصلحة يقلل الضغط للدفع لمجرد اختفاء المشكلة بسرعة.
ماذا يعني هذا بالنسبة لك
سواء كنت تدير تقنية المعلومات لشركة صغيرة أو تدير أجهزتك الشخصية فحسب، فإن الرسالة من هذه البيانات واحدة: لا تفترض أن الدفع هو شبكة أمان. إذا تعرضت مؤسستك يوماً لمطلب فدية، تعامل مع الحادثة كإشارة على وجود ثغرات أمنية، وليس كمفاوضات تُحل وتُنسى. المؤسسات الأقدر على التعافي بسرعة وتجنب أن تصبح ضحايا متكررة هي تلك التي استثمرت في النسخ الاحتياطية، ومراقبة الشبكة، وضوابط الوصول قبل وقوع الهجوم، بدلاً من التدافع للاستجابة بعد حدوثه.
النقاط الأساسية
- تُظهر بيانات جديدة أن مدفوعات الفدية والهجمات المتكررة غالباً ما تسيران جنباً إلى جنب، مما يقوّض الافتراض بأن الدفع يحل التهديد.
- إجراءات إنفاذ القانون ضد عصابات معينة لا تقضي على النظام الأوسع للثغرات الذي أدى إلى الهجوم الأصلي.
- النسخ الاحتياطية غير المتصلة، وتقسيم الشبكة، والوصول عن بُعد المحصّن هي دفاعات أكثر موثوقية من أي تفاوض على الدفع.
- يجب على المؤسسات بناء خطط للاستجابة للحوادث الآن، بدلاً من اتخاذ قرار بشأن كيفية التصرف أثناء هجوم نشط.
برامج الفدية لن تختفي، لكن قرار الدفع لا ينبغي أن يُعامل كحل سريع. إعطاء الأولوية للوقاية، والنسخ الاحتياطية المرنة، والوصول الآمن عن بُعد لا يزال الطريقة الأكثر فعالية لإبقاء بياناتك ومؤسستك خارج مرمى المهاجمين.
