يشير تحذير مشترك من CISA ومكتب التحقيقات الفيدرالي (FBI) وشركائهما إلى أن برنامج الفدية SafePay أصاب أكثر من 600 ضحية، وأن طريقة الدخول غالبًا ما تكون عادية بشكل مؤلم. وفقًا للتحذير، تستخدم المجموعة بيانات اعتماد VPN المسروقة لبرنامج الفدية SafePay لتسجيل الدخول ببساطة، كما تستغل ثغرتين من عام 2024 في أجهزة Veeam وSonicWall. الخلاصة بسيطة: أمان بوابة VPN لا يتجاوز أمان بيانات تسجيل الدخول والبرامج الثابتة الخاصة بها.

ما يقوله تحذير SafePay

يفيد التحذير، الصادر عن CISA ومكتب التحقيقات الفيدرالي (FBI) والوكالات الشريكة، بأن برنامج الفدية SafePay قد اخترق أكثر من 600 ضحية. ويبرز مساران للوصول الأولي: بيانات اعتماد VPN صالحة حصل عليها المهاجمون من مكان آخر، وثغرتان من عام 2024 تؤثران على منتجات Veeam وSonicWall.

المادة المصدرية موجزة، لذا فإن بعض التفاصيل غير مغطاة هنا، مثل معرّفات CVE المحددة أو القائمة الكاملة للقطاعات المتأثرة. يجب على المسؤولين قراءة التحذير الأصلي مباشرةً للحصول على المؤشرات التقنية وقائمة التخفيف. ما يوضحه الملخص بوضوح هو النمط: المهاجمون لا يعتمدون على تقنيات غريبة. بل يستخدمون وصولًا إما تم تسريبه أو تُرك دون ترقيع.

كيف تفتح بيانات تسجيل دخول VPN المسروقة وعيوب الأجهزة الطرفية الباب

الـ VPN مخصص ليكون مدخلًا مُتحكمًا به إلى شبكة خاصة. إذا كان لدى المهاجم اسم مستخدم وكلمة مرور صالحان، فإن ذلك المدخل يُفتح له تمامًا كما يُفتح للموظف. بالنسبة للـ VPN، تبدو بيانات تسجيل الدخول المسروقة كجلسة شرعية، ولهذا السبب قد يكون من الصعب رصد هذا المسار دون فحوصات إضافية.

تميل بيانات الاعتماد المسروقة إلى القدوم من اختراقات سابقة أو التصيد الاحتيالي أو إعادة استخدام كلمات المرور عبر الخدمات. إذا استخدم أحد الموظفين نفس كلمة المرور لـ VPN الخاص بالعمل وحساب شخصي تسرّب لاحقًا، فلن يحتاج المهاجم إلى أي استغلال تقني على الإطلاق.

المسار الثاني هو الأجهزة الطرفية غير المرقّعة. تقع جدران الحماية وأجهزة VPN وبرامج النسخ الاحتياطي على الحدود أو في قلب الشبكة، لذا فإن وجود عيب فيها يمكن أن يمنح المهاجمين موطئ قدم قوي. يشير التحذير إلى ثغرتين من عام 2024، واحدة في Veeam وأخرى في أجهزة SonicWall. حقيقة أن ثغرات 2024 لا تزال تُستخدم أمر مهم: فهي تشير إلى أن الإصلاحات موجودة لكنها لا تُطبَّق دائمًا.

معًا، تُظهر هذه المسارات لماذا تحتاج أدوات المحيط إلى نفس الاهتمام الذي تحظى به أي منظومة حرجة أخرى. الـ VPN يحمي حركة المرور فقط إذا كان الوصول إليه محميًا، ويجب إبقاء الجهاز نفسه محدّثًا.

خطوات لتقوية وصول VPN والأجهزة الطرفية

لا شيء مما يلي غريب، ومعظمه يتماشى مع نقاط الضعف التي يصفها التحذير.

  • اشترط المصادقة متعددة العوامل على كل عملية تسجيل دخول عبر VPN. لا ينبغي أن تكون كلمة المرور المسروقة وحدها كافية للدخول.
  • رقّع منتجات SonicWall وVeeam فورًا. تحقق من أن إصلاحات 2024 قد ثُبّتت فعليًا، وليس مجرد جدولتها.
  • راقب إعادة استخدام بيانات الاعتماد. قارن بيانات اعتماد الموظفين مع بيانات الاختراقات المعروفة وافرض إعادة التعيين حيث تُكتشف حالات تعرّض.
  • راجع سجلات VPN بحثًا عن نشاط غير عادي. عمليات تسجيل الدخول في ساعات غريبة، أو من مواقع غير متوقعة، أو من حسابات عادةً ما تكون خاملة تستحق نظرة أدق.
  • أزل الحسابات القديمة. الموظفون السابقون وبيانات تسجيل دخول المتعاقدين غير المستخدمة أهداف سهلة.
  • احمِ النسخ الاحتياطية. Veeam هو برنامج نسخ احتياطي، لذا فإن اختراقه يمكن أن يقوّض الاستعادة. احتفظ بنسخ معزولة واختبر عمليات الاستعادة.

ماذا يعني إحصاء 600 ضحية للمؤسسات والمستخدمين

بالنسبة للمؤسسات، أكثر من 600 ضحية تذكير بأن مجموعات الفدية تتوسع بتكرار ما ينجح. إذا كانت بيانات تسجيل دخول ضعيفة واحدة أو جهاز قديم غير مرقّع كافيًا، فإن النظافة الأساسية هي واحدة من أكثر الدفاعات فعالية المتاحة، وأرخصها.

بالنسبة للمستخدمين الأفراد، بما في ذلك الأشخاص الذين يتصلون بـ VPN للعمل أو يستخدمون خدمة VPN استهلاكية، فالدرس يتعلق ببيانات الاعتماد. استخدم كلمة مرور فريدة لكل حساب، وفعّل المصادقة متعددة العوامل حيثما تُتاح، وغيّر كلمات المرور فورًا إذا أبلغت خدمة تستخدمها عن اختراق. الموظفون جزء من الدفاع، لأن بيانات تسجيل دخولهم هي بالضبط ما يسعى إليه المهاجمون.

يساعد أيضًا تذكّر ما يحدث بعد اختراق الشبكة. غالبًا ما يضيف مشغلو برامج الفدية ضغطًا عبر مطالب الابتزاز والتهديدات بكشف البيانات. قصة ابتزاز ATB، التي طالبت فيها مجموعة تطلق على نفسها اسم DataSuckers وفقًا للتقارير بمبلغ 400 ألف دولار مع 7.9 مليون شخص يُقال إنهم تأثروا، تُظهر كيف يتجلى ذلك الضغط بمجرد أن يحصل المهاجمون على وصول.

ماذا يعني هذا لك

إذا كنت تدير أنظمة تقنية معلومات، فتعامل مع بوابة VPN وبرنامج النسخ الاحتياطي الخاص بك كأصول عالية الأولوية. دقّق في من يمكنه تسجيل الدخول، وتأكد من فرض المصادقة متعددة العوامل، وتحقق من أن تحديثات SonicWall وVeeam مطبقة. إذا كنت مستخدمًا عاديًا، فأمّن حساباتك: كلمات مرور فريدة، ومصادقة متعددة العوامل، واستجابة سريعة بعد أي إشعار اختراق.

النقاط الرئيسية

التحذير بشأن بيانات اعتماد VPN المسروقة لبرنامج الفدية SafePay هو دعوة لإصلاح الأساسيات. افرض المصادقة متعددة العوامل على جميع عمليات تسجيل الدخول عبر VPN، ورقّع أجهزة SonicWall وVeeam دون تأخير، وراقب بيانات الاعتماد المعاد استخدامها أو المسرّبة. المهاجمون الذين يمكنهم ببساطة تسجيل الدخول لا يحتاجون إلى اقتحام، لذا اجعل تسجيل الدخول أصعب بكثير بالنسبة لهم.