ضربة مزدوجة للقطاع المالي في هونغ كونغ

تقاطعت قصتان من قصص الأمن السيبراني في هونغ كونغ في غضون 24 ساعة تقريباً: مجموعة فدية تطلق على نفسها اسم أوروفا أعلنت عن اختراق خمس شركات في هونغ كونغ، من بينها مدير أصول واحد على الأقل خاضع للتنظيم، وأصدرت هيئة الأوراق المالية والعقود الآجلة (SFC) أول إجراء تنفيذي لها مرتبط ببرامج الفدية. وتشير التقارير إلى أن هيئة الأوراق المالية والعقود الآجلة وجهت توبيخاً وفرضت غرامة قدرها 2.1 مليون دولار هونغ كونغي على شركة مرخصة بسبب إخفاقات في الأمن السيبراني مرتبطة بهجوم فيروس فدية، وهي عقوبة صاغتها الجهات التنظيمية كإشارة إلى أن الإدارة العليا، وليس فقط أقسام تكنولوجيا المعلومات، تتحمل مسؤولية المرونة السيبرانية.

لم يكن التوقيت مصادفة بقدر ما كان تقارباً. فقد استهدفت مجموعات برامج الفدية بشكل متزايد شركات الخدمات المالية لأنها تحتفظ بنوع بيانات العملاء الحساسة التي تجعل الابتزاز فعالاً، وكانت هيئات تنظيمية مثل هيئة الأوراق المالية والعقود الآجلة تشير منذ أشهر إلى أنها تعتزم محاسبة الشركات المرخصة عند فشل تلك الدفاعات.

كيف غيّر الابتزاز المزدوج قواعد اللعبة في برامج الفدية

كانت برامج الفدية التقليدية، في بعض النواحي، مشكلة أبسط. كان المهاجمون يشفرون ملفات الضحية ويطلبون فدية مقابل مفتاح فك التشفير. وكان بإمكان المؤسسات التي لديها نسخ احتياطية موثوقة وغير متصلة بالإنترنت استعادة أنظمتها دون دفع فلس واحد، مما يحيد فعلياً نفوذ المهاجم.

أما الابتزاز المزدوج، وهو تكتيك بدأته مجموعة ميز Maze للفدية في أواخر عام 2019، فقد أغلق تلك الثغرة. فبدلاً من مجرد تشفير الملفات، يقوم المهاجمون أولاً بسرقة نسخة من بيانات الضحية الحساسة. حتى لو تمكنت المؤسسة من استعادة النسخ الاحتياطية ورفضت دفع الفدية لفك التشفير، لا يزال المهاجمون يحتفظون بورقة ثانية: فهم يهددون بنشر البيانات المسروقة على بوابة تسريب على الويب المظلم ما لم تُدفع الفدية. وهذا يغير الحسابات بالكامل. فالنسخ الاحتياطية تحمي من التعطيل التشغيلي، لكنها لا تفعل شيئاً لوقف تسرب البيانات. وهذا هو بالضبط الضغط الذي يبدو أن أوروفا تمارسه ضد ضحاياها الخمسة المبلغ عنهم في هونغ كونغ.

هذا النمط ليس فريداً في هونغ كونغ أو في مجموعة أوروفا. فالكيانات الخاضعة للتنظيم المالي في كل مكان تحتفظ بسجلات العملاء وتاريخ المعاملات ووثائق الهوية التي تكون قيّمة للمجرمين، وعند تعرضها، تكون ضارة للغاية للأفراد الذين تنتهي بياناتهم على موقع تسريب. إنها نفس المخاطر الكامنة التي ظهرت عندما قامت وكالة استثمارات حكومية في المملكة المتحدة بتعريض بيانات حساسة تخص 51 مسؤولاً حكومياً لمدة 40 ساعة تقريباً: فبمجرد خروج البيانات، يكون التوقيت والاحتواء مهمين للغاية، لكن التعرض نفسه لا يمكن التراجع عنه.

لماذا تعتبر غرامة هيئة الأوراق المالية والعقود الآجلة مهمة خارج هونغ كونغ

ما يجعل هذه اللحظة جديرة بالملاحظة ليس مجرد أن مجموعة فدية أخرى أعلنت عن ضحايا. بل أن جهة تنظيمية مالية انتقلت من التوجيه إلى التنفيذ. إن غرامة هيئة الأوراق المالية والعقود الآجلة، والتي يُقال إنها الأولى المرتبطة تحديداً بحادث فيروس فدية، ترسل رسالة كانت تتراكم عبر التنظيم المالي العالمي: لم تعد إخفاقات الأمن السيبراني تُعامل كحوادث تقنية بحتة. إنها إخفاقات في الامتثال لها عواقب مالية وسمعية حقيقية على الشركة، وبشكل متزايد، على المديرين التنفيذيين الذين يصادقون على إدارة المخاطر.

لا تحتاج مجموعات برامج الفدية إلى العثور على ثغرة يوم صفر جديدة للدخول. العديد من الاختراقات تبدأ بإخفاقات أكثر اعتيادية: برامج غير مصححة، أو ضوابط وصول ضعيفة، أو موظفون يقعون في فخ التصيد الاحتيالي. وهذا جزء من سبب بقاء الثغرات غير المصححة نقطة دخول مستمرة؛ حتى الأخطاء البارزة مثل تلك المفصلة في تقرير حديث عن ثغرة يوم صفر غير مصححة في ويندوز توضح كيف يمكن للمهاجمين استغلال الفجوات الموجودة قبل وقت طويل من توفر التصحيح. ويُتوقع الآن من الشركات الخاضعة للتنظيم أن تتعامل مع هذا النوع من التعرض كمسألة حوكمة، وليس مجرد تذكرة لتقنية المعلومات.

ما الذي يعنيه هذا بالنسبة لك

إذا كنت عميلاً أو موظفاً أو شريكاً لشركة خدمات مالية، فإن حوادث كهذه تذكّر بأن سلامة بياناتك تعتمد بشكل كبير على القرارات التي تُتخذ على مستويات أعلى بكثير من قسم تكنولوجيا المعلومات. أصبحت مجالس الإدارة والإدارة العليا الآن مسؤولة بشكل صريح عن المرونة السيبرانية في ولايات قضائية مثل هونغ كونغ، وهو ما ينبغي، بمرور الوقت، أن يدفع الشركات نحو حماية أساسية أقوى: نظافة نسخ احتياطية أفضل، وتصحيح أسرع، وضوابط وصول أكثر صرامة.

بالنسبة للأفراد، لم تتغير النصائح العملية كثيراً، لكنها أصبحت أكثر أهمية الآن. راقب الحسابات المحتفظ بها لدى أي شركة تُعلن عن اختراق، وكن متشككاً في الاتصالات غير المتوقعة التي تشير إلى تفاصيل الحساب، وفكر في مراقبة الائتمان إذا أكدت شركة ما أن بياناتك كانت جزءاً من التسريب. الابتزاز المزدوج يعني أنه حتى الشركات التي تستعيد أنظمتها بسرعة قد تظل بياناتك متداولة، لذا لا تفترض أن حادثة برامج الفدية التي تم حلها تعني أن معلوماتك آمنة.

النقاط الرئيسية

توضح اختراقات أوروفا وغرامة هيئة الأوراق المالية والعقود الآجلة معاً إلى أين تتجه مسؤولية برامج الفدية: لم تعد الجهات التنظيمية راضية عن مجرد تعافي الشركات من الهجوم. إنهم يريدون دليلاً على أن الشركات اتخذت خطوات معقولة لمنع حدوثه في المقام الأول. بالنسبة للقراء، تظل الخطوات العملية كما هي بغض النظر عن الولاية القضائية: اسأل أي مؤسسة مالية تتعامل معها عن سياسات الإخطار بالاختراق، وقم بتمكين المصادقة متعددة العوامل حيثما تُتاح، وتعامل مع أي إشعار اختراق كحافز لمراجعة نشاط حسابك الخاص بدلاً من اعتباره إجراءً شكلياً روتينياً.