محرك الربح الحقيقي لبرمجيات الفدية ليس التشفير
لسنوات، ركزت الحماية من برمجيات الفدية على لحظة واحدة: اللحظة التي تُغلق فيها الملفات. لكن النتائج الجديدة التي نشرتها "ذا ناشونال سي آي أو ريفيو" تُوضح أن التشفير غالبًا ما يكون أقل أجزاء هجوم برمجيات الفدية قيمةً بالنسبة للمجرمين. المكسب الحقيقي يأتي من سرقة البيانات، وهذا المكسب لا يتوقف عند دفع الفدية أو استعادة الأنظمة.
وفقًا للتقرير، دفعت 54% من المؤسسات المتضررة مطالب الفدية. وهذا بحد ذاته ليس مفاجئًا نظرًا لمدى تعطيل الأنظمة المشفرة للأعمال. لكن ما يلفت الانتباه هو ما حدث بعد ذلك: 37% من تلك المؤسسات التي دفعت تلقت لاحقًا مطلبًا آخر من المهاجم نفسه أو من مهاجم مختلف. بمعنى آخر، أكثر من ثلث الضحايا الذين اعتقدوا أنهم أنهوا الحادثة وجدوا أنفسهم عادوا إلى نقطة الصفر، يُفاوضون مجددًا بشأن البيانات المسروقة نفسها.
لماذا تبقى البيانات المسروقة تُدرّ ربحًا على المهاجمين
حالما يُسرّب المهاجمون البيانات قبل نشر التشفير، يحصلون على مصادر دخل متعددة ومنفصلة لا تعتمد على بقاء أنظمة الضحية مغلقة. يوضح التقرير العديد من هذه المصادر:
- تهديدات الكشف العلني: يُهدد المهاجمون بتسريب ملفات حساسة ما لم يُدفع مبلغ ثانٍ، حتى بعد دفع الفدية الأصلية مقابل مفاتيح فك التشفير.
- إعادة بيع البيانات المسروقة: تُباع المعلومات في الأسواق الإجرامية لجهات تهديد أخرى، بغض النظر عما إذا كانت الضحية الأصلية قد دفعت شيئًا أم لا.
- إساءة استخدام بيانات الاعتماد: تُستخدم أسماء المستخدمين وكلمات المرور ورموز الوصول الموجودة في الملفات المسروقة لاختراق حسابات أو أنظمة أخرى، وقد تكون في مؤسسات شريكة أو مزوّدة.
- هجمات لاحقة: التفاصيل التي تُجمع من الاختراق، مثل مخططات الشبكة وعقود المورّدين والمراسلات الداخلية، تجعل عمليات التسلل المستقبلية أسهل وأكثر استهدافًا.
لهذا السبب يصف الباحثون الأمنيون بشكل متزايد برمجيات الفدية الحديثة بأنها مشكلة سرقة بيانات أُلحق بها تشفير، وليس العكس. التشفير يُعطّل العمليات لأيام أو أسابيع. البيانات المسروقة يُمكن استخدامها كسلاح لأشهر أو سنوات.
مثال حديث لهذه الديناميكية ظهر علنًا تضمّن اختراق شركة تاتا إلكترونيكس الذي سرّب أسرار آيفون 18 برو، حيث قامت مجموعة برمجيات فدية تُسمي نفسها "وورلد ليكس" بنشر معلومات حساسة عن منتجات غير مُعلن عنها بعد أن تمكنت من الوصول إلى الأنظمة الداخلية. حالات كهذه تُوضح كيف تحتفظ بيانات الشركات المسروقة بقيمتها لدى المهاجمين لفترة طويلة بعد الاختراق الأولي، وكيف يمكن لتهديدات الكشف وحدها أن تُجبر المؤسسات على اتخاذ قرارات صعبة حتى بدون وجود حمولة تشفير عاملة.
لماذا لا يضمن الدفع انتهاء القصة
يستحق رقم 37% الخاص بالمطالب المتكررة اهتمامًا خاصًا لأنه يُقوّض افتراضًا شائعًا: أن دفع الفدية يُنهي الحادثة. في الواقع، بمجرد أن تخرج البيانات من شبكة المؤسسة، لا تملك الضحية وسيلة للتحقق من أن النسخ قد دُمّرت، أو أن المهاجم لن يعيد بيع المعلومات، أو أن مجموعة أخرى لم تحصل بالفعل على نفس الملفات. الدفع يعالج مشكلة التشفير. إنه لا يفعل شيئًا لمعالجة مشكلة سرقة البيانات، لأن هذه البيانات تكون بالفعل خارج سيطرة الضحية لحظة تسريبها.
هذا له آثار مباشرة على كيفية تفكير المؤسسات في الاستعداد لبرمجيات الفدية. التخطيط للنسخ الاحتياطي والتعافي مهم لإعادة الأنظمة للعمل، لكنه لا يفعل شيئًا لمنع التسريب، أو إعادة البيع، أو محاولة ابتزاز ثانية. منع التسريب في المقام الأول، من خلال تجزئة الشبكات، وضوابط الوصول الصارمة، وتقليل كمية البيانات الحساسة المخزّنة أو التي يُمكن الوصول إليها، لا يقل أهمية عن التخطيط للتعافي.
ماذا يعني هذا بالنسبة لك
سواء كنت تُدير تقنية المعلومات لمشروع صغير أو تحمي حساباتك الشخصية فحسب، فإن الدرس المستفاد من هذه البيانات هو نفسه: افترض أن أي اختراق يتعلق بمعلوماتك قد يُؤدي إلى تعرض مستمر، وليس حادثة واحدة. إذا كشفت شركة تتعامل معها عن هجوم برمجيات فدية، تعامل مع الأمر على أنه خطر مفتوح. كلمات المرور المُعاد استخدامها، وبيانات الاعتماد القديمة، والتفاصيل الشخصية المرتبطة بذلك الاختراق يُمكن أن تظهر مجددًا في محاولات حشو بيانات الاعتماد أو عمليات احتيال لاحقة بعد فترة طويلة من اختفاء العناوين الإخبارية.
بالنسبة للمؤسسات، الخلاصة هي التعامل مع تقليل البيانات وتجزئة الشبكات على أنهما ركيزتان أساسيتان للحماية من برمجيات الفدية، وليسا مجرد فكرة لاحقة. تقييد البيانات الحساسة التي يُمكن الوصول إليها من أي نقطة مخترقة واحدة يُقلّل مما يُمكن للمهاجمين سرقته حتى لو تمكنوا من الدخول.
خلاصات قابلة للتنفيذ
- استخدم كلمات مرور فريدة لكل حساب وقم بتحديثها إذا تلقيت إشعارًا باختراق يتعلق ببياناتك، حتى بعد شهور.
- فعّل المصادقة متعددة العوامل حيثما أمكن لتقليل قيمة بيانات الاعتماد المسروقة.
- إذا كنت تُدير مشروعًا تجاريًا، راجع ما هي البيانات الحساسة المخزّنة ومن لديه إذن الوصول إليها؛ تقليل البيانات المكشوفة يعني تقليل وسائل الضغط بيد المهاجمين.
- لا تفترض أن حادثة برمجيات الفدية قد انتهت بمجرد دفع الفدية أو استعادة الأنظمة. راقب بحثًا عن علامات تسريب البيانات أو محاولات الابتزاز المتجددة.
- جزّئ الشبكات بحيث لا يُمكن لجهاز أو حساب واحد مخترق أن يُعرّض بيئة بياناتك بالكامل.
أكبر ميزة لبرمجيات الفدية ليست التشفير الذي يتصدّر العناوين. إنها سرقة البيانات التي تحدث بهدوء مسبقًا وتستمر في توليد قيمة للمهاجمين لفترة طويلة بعد أن تبدو الأزمة الأولية وكأنها حُلّت.
