كيف يعمل سوق الاختراق إلى الفدية

يقوم هاكر ناطق بالروسية باختراق مؤسسات حول العالم، وسرقة بيانات تسجيل الدخول، وتغليف ذلك الوصول المسروق لبيعه لعصابات الفدية، وفقاً لتقرير جديد. وكان الفاعل نفسه، بحسب التقرير، يراقب مواقع عسكرية أوكرانية، مازجاً بين جرائم إلكترونية بدافع مالي ونشاط واضح لجمع معلومات استخباراتية مرتبط بالصراع الدائر.

تُعد هذه الحالة تجسيداً واضحاً لكيفية بدء هجمات الفدية الحديثة فعلياً. تميل العناوين الرئيسية إلى التركيز على البرمجيات الخبيثة التي تشفر ملفات الشركة في النهاية، لكن الباب الأمامي عادةً ما يفتحه شخص آخر تماماً: وسيط الوصول الأولي. هؤلاء متخصصون يجيدون مهمة واحدة. يقتحمون الشبكات، ويتحققون من صلاحية الوصول، ثم يبيعونه، غالباً في منتديات سرية، لمشغلي الفدية الذين يتولون جانب الابتزاز من العمل. إنه تقسيم للعمل جعل حملات الفدية أسرع وأكثر قابلية للتوسع وأصعب في تتبعها إلى مجموعة واحدة.

سوق الاختراق إلى الفدية هذا يعني أن كلمة مرور واحدة مخترقة يمكن أن تقطع شوطاً طويلاً. الشخص الذي يسرقها قد لا ينشر برنامج الفدية بنفسه أبداً. بدلاً من ذلك، يعمل كمورّد، والضرر الفعلي – نظام مستشفى يُفصل عن الشبكة، عمليات مصنع تتجمد، بيانات منطقة تعليمية تُشفر – ينفذه مشترٍ منفصل تماماً في مرحلة لاحقة.

ما هي بيانات الاعتماد والوصول إلى الشبكة التي سُرقت وبِيعت

وفقاً للتقرير، تركزت عمليات الهاكر على جمع بيانات الاعتماد من منظمات عالمية ثم تجهيز ذلك الوصول لإعادة بيعه. بدلاً من استغلال كل نظام مخترق على الفور، يبدو أن الفاعل تعامل مع معلومات تسجيل الدخول المسروقة كمخزون: شيء يجب فهرسته، والتحقق منه، وتسليمه لمشترين متخصصين في المرحلة التالية من الهجوم. إلى جانب هذا النشاط التجاري، لوحظ أيضاً أن الهاكر كان يتابع مواقع عسكرية أوكرانية، وهي تفصيلة توحي بتداخل الدوافع بما يتجاوز الربح المجرد.

هذا النمط، سرقة بيانات الاعتماد بدافع مالي بالتوازي مع مراقبة بدوافع جيوسياسية، أصبح شائعاً بشكل متزايد بين جهات التهديد الناطقة بالروسية. وهو يبرز أيضاً لماذا لا يمكن للمدافعين افتراض أن حادثة سرقة بيانات الاعتماد هي مشكلة جريمة مالية "فقط". نفس الوصول المسروق الذي ينتهي به المطاف للبيع لطاقم فدية يمكن استخدامه بسهولة للتجسس، أو لكليهما.

لماذا تُعد بيانات اعتماد VPN والوصول عن بُعد أهدافاً رئيسية لوسطاء الوصول

ينجذب وسطاء الوصول نحو بيانات الاعتماد التي تفتح أكبر مساحة بأقل جهد. تحتل عمليات تسجيل الدخول إلى VPN، وحسابات سطح المكتب البعيد، وأدوات الوصول عن بُعد الأخرى مرتبة متقدمة في تلك القائمة لأنها مصممة لإيصال المستخدم من العالم الخارجي مباشرة إلى الشبكة الداخلية. يمكن لبيان اعتماد VPN واحد صالح أن يتجاوز دفاعات المحيط بالكامل، مانحاً المهاجم موطئ قدم يبدو شرعياً ولا يثير نفس الإنذارات كالاختراق التقليدي.

وهذا هو بالتحديد السبب الذي جعل مزودي VPN والبيانات التي يحتفظون بها أهدافاً جذابة بحد ذاتها. ليست بوابات VPN الخاصة بالشركات وحدها في خطر. خدمات VPN الموجهة للمستهلكين تعرضت أيضاً لكشف قواعد بياناتها الداخلية، مما يثير أسئلة غير مريحة حول ما إذا كانت وعود "عدم الاحتفاظ بالسجلات" تصمد تحت التدقيق. اختراق SplitVPN هو مثال جيد: قاعدة بيانات كبيرة يُزعم أنها تعود للمزود ظهرت في منتدى إجرامي، مما قوض ادعاءات الشركة بالخصوصية وذكّر المستخدمين بأن الوضع الأمني لـ VPN نفسه لا يقل أهمية عن التشفير الذي تعلن عنه.

كيف يقلل VPN والمصادقة الثنائية (2FA) ونظافة بيانات الاعتماد من خطر الحركة الجانبية

الخبر الجيد هو أن معظم الاحتكاك في خط أنابيب الهجوم هذا يمكن إضافته مرة أخرى من قبل المنظمات والأفراد المستعدين لاتخاذ بضع خطوات متسقة. المصادقة متعددة العوامل هي أكثر تحكم فعال ضد بيانات الاعتماد المسروقة، بما أن كلمة المرور وحدها تصبح أقل فائدة بكثير للمشتري إذا لم يمكن إقرانها بخطوة تحقق ثانية. تغيير بيانات الاعتماد دورياً، وتجنب إعادة استخدام كلمات المرور عبر الخدمات، ومراقبة ظهور بيانات تسجيل الدخول في خدمات الإبلاغ عن الاختراقات، كلها تقلص الفترة التي يظل فيها الوصول المسروق قيّماً للوسيط.

بالنسبة للوصول عن بُعد تحديداً، اختيار مزود VPN لديه سياسة عدم احتفاظ بالسجلات قابلة للتحقق والتدقيق، بدلاً من مجرد ادعاء تسويقي، يقلل من فرصة أن تصبح بيانات اعتمادك أنت مجموعة البيانات التالية المعروضة للبيع. إقران ذلك بالمصادقة الثنائية على كل نقطة وصول عن بُعد وتقسيم الشبكات بحيث لا يمكن لحساب مخترق واحد الوصول إلى كل شيء، يحد من مدى تحرك المهاجم حتى لو تمكن من الدخول.

ماذا يعني هذا بالنسبة لك

إذا كنت تدير تكنولوجيا المعلومات لشركة، فهذه الحالة تذكير بأن سرقة بيانات اعتماد وسيط الوصول الأولي غالباً ما تكون نقطة البداية الحقيقية لحادثة فدية، وليس برنامج الفدية نفسه. الاستثمار في نظافة بيانات الاعتماد، والمصادقة متعددة العوامل، ومراقبة الوصول عن بُعد يفعل لوقف هذه الهجمات أكثر من أي أداة فردية مضادة للبرمجيات الخبيثة. إذا كنت مستخدماً فردياً، فهي دفعة للتحقق مما إذا كان مزود VPN أو الوصول عن بُعد لديه سجل حافل في حماية بياناته الخاصة، لأن بيانات اعتمادك ليست أكثر أماناً من الخدمة التي تخزنها.

خلاصات قابلة للتطبيق:

  • فعّل المصادقة متعددة العوامل على كل حساب VPN وسطح مكتب بعيد ومسؤول، وليس فقط البريد الإلكتروني.
  • تجنب إعادة استخدام كلمات المرور عبر الخدمات، خاصة لأدوات الوصول عن بُعد.
  • ابحث في تاريخ أمان مزود VPN وعمليات التدقيق المستقلة قبل الوثوق بادعاءات عدم الاحتفاظ بالسجلات.
  • راقب ظهور بيانات اعتمادك في قواعد بيانات الاختراقات وقم بتغييرها فوراً إذا وُجدت.
  • قسّم الشبكات بحيث لا يمكن لبيان اعتماد واحد مسروق أن يوفر وصولاً جانبياً واسعاً.