ما وجده تقرير سوفوس حول الهويات المخترقة
يحدد تقرير جديد منشور من سوفوس رقماً صارماً لشيء اشتبهت به فرق الأمن لسنوات: عصابات الفدية لم تعد تقتحم الباب الأمامي، بل تدخل بمفتاح مسروق. وفقاً للنتائج، 79% من هجمات الفدية تنشأ الآن من هويات مخترقة، مما يعني أن نقطة الوصول الأولية في معظم الحالات هي اسم مستخدم وكلمة مرور صالحة بدلاً من استغلال ثغرة برمجية أو مرفق خبيث.
يسلط التقرير الضوء أيضاً على فجوة صارخة في كيفية استجابة المؤسسات ذات الأحجام المختلفة بمجرد بدء الهجوم. تمكنت 34% فقط من المؤسسات الصغيرة من إيقاف هجوم قبل حدوث التشفير أو الابتزاز. قارن ذلك بالمؤسسات التي يتراوح عدد موظفيها بين 3,001 و5,000 موظف، والتي أوقفت الهجمات بنسبة 46% من الوقت. تشير هذه الفجوة إلى أن الموارد والتوظيف ونضج الكشف لا تزال أموراً تهم كثيراً، حتى عندما تبدو طريقة دخول المهاجم متشابهة عبر أحجام الشركات المختلفة.
جغرافياً، يشير التقرير إلى أن المملكة المتحدة سجلت أعلى متوسط طلب فدية من أي منطقة مشمولة في الدراسة. بينما لم يتم تفصيل الأرقام الكاملة، يعزز النمط اتجاهاً أوسع: يتم معايرة مطالب الفدية بناءً على القدرة المتصورة على الدفع، وليس فقط قيمة البيانات نفسها.
لماذا لا توقف المصادقة متعددة العوامل وحدها هجمات الفدية
إليك النتيجة التي يجب أن تعيد تشكيل الكثير من ميزانيات الأمن: تم نشر المصادقة متعددة العوامل بشكل ما في 97% من الحوادث التي كانت فيها بيانات الاعتماد المخترقة هي السبب الجذري. بعبارة أخرى، كانت كل مؤسسة تقريباً تعرضت للاختراق من خلال بيانات اعتماد مسروقة تمتلك بالفعل المصادقة متعددة العوامل قيد التشغيل في مكان ما من بيئتها.
هذا لا يعني أن المصادقة متعددة العوامل عديمة الفائدة. بل يعني أنها ليست حلاً كاملاً عندما يتم تطبيقها بشكل غير متسق. فجوات التغطية، مثل الأنظمة القديمة التي لا تدعم المصادقة الحديثة، أو حسابات الخدمة المستبعدة من سياسات المصادقة متعددة العوامل، أو أدوات الوصول عن بُعد المكونة بتحقق أضعف، تمنح المهاجمين بالضبط الفتحة التي يحتاجونها. لا يحتاج المهاجم المصمم إلى هزيمة المصادقة متعددة العوامل في كل مكان؛ بل يحتاج فقط إلى إيجاد مسار تسجيل الدخول الوحيد الذي لم يتم فرضها عليه أبداً.
هذا هو التوتر الأساسي الذي تكشفه بيانات سوفوس. قضت فرق الأمن سنوات في التعامل مع المصادقة متعددة العوامل كمربع اختيار، لكن مشغلي الفدية تكيفوا بالبحث عن الحسابات والأنظمة والتكاملات التي تقع خارج ذلك المربع. النتيجة هي استراتيجية دفاع تبدو قوية على الورق لكن بها ثغرات حقيقية في الممارسة العملية.
خطوات عملية لنظافة الهوية تتجاوز المصادقة متعددة العوامل
إذا كان اختراق بيانات الاعتماد هو نقطة الدخول المهيمنة، فإن نظافة الهوية تستحق نفس الاهتمام التشغيلي الذي تحصل عليه عادةً إدارة التصحيحات أو كشف نقاط النهاية. تبرز بعض الخطوات العملية بناءً على ما يتضمنه التقرير:
- تدقيق تغطية المصادقة متعددة العوامل، وليس مجرد وجودها. تأكد من أن كل نقطة وصول عن بُعد، وحساب مسؤول، وتكامل طرف ثالث تفرض المصادقة متعددة العوامل فعلياً، وليس فقط شاشة تسجيل الدخول الأساسية.
- إعطاء الأولوية للمصادقة المقاومة للتصيد حيثما أمكن، نظراً لأن الرموز التقليدية لمرة واحدة لا يزال من الممكن اعتراضها أو الحصول عليها عبر الهندسة الاجتماعية.
- مراقبة إعادة استخدام بيانات الاعتماد والحسابات القديمة. الحسابات الخاملة وتسجيلات الدخول المشتركة هي نقاط عمياء شائعة يستغلها المهاجمون لفترة طويلة بعد انتقال الموظفين أو تغيير أدوارهم.
- تقسيم الوصول حسب الدور والضرورة. حتى بيانات الاعتماد المخترقة تكون أقل فائدة بكثير للمهاجم إذا لم تمنحه حركة جانبية واسعة عبر الشبكة.
- بناء قدرة أسرع على الكشف والاستجابة، خاصة للمؤسسات الصغيرة. تشير الفجوة بين معدلي الاحتواء 34% و46% إلى أن سرعة الكشف، وليس فقط المنع، هي المجال الذي تخسر فيه الفرق محدودة الموارد الأرض.
لا تتطلب أي من هذه الخطوات أدوات غريبة. إنها تتطلب انضباطاً ورؤية واستعداداً للتعامل مع الهوية كنظام حي يحتاج إلى تدقيق منتظم بدلاً من مهمة إعداد لمرة واحدة.
أين تتناسب الأدوات المشفرة والشبكات الخاصة الافتراضية في الدفاع متعدد الطبقات
تظل الشبكات الخاصة الافتراضية وأدوات الوصول المشفرة طبقة مفيدة في استراتيجية أوسع لحماية الهوية، خاصة لتأمين عمليات تسجيل الدخول عن بُعد وتقليل التعرض على الشبكات غير الموثوقة. لكن نتائج سوفوس تذكير بأنه لا توجد أداة واحدة، سواء كانت شبكة خاصة افتراضية أو مصادقة متعددة العوامل أو حماية نقاط النهاية، يمكنها أن تحل محل حوكمة الهوية المتسقة عبر المؤسسة بأكملها. يبحث المهاجمون عن الفجوة بين الأدوات، وليس الأدوات نفسها.
هذه أيضاً لحظة جيدة للتفكير في كيفية تقاطع ضوابط الوصول وسياسة الإنترنت على نطاق أوسع. تماماً كما تتدقق الحكومات بشكل متزايد في كيفية تعامل مزودي الشبكات الخاصة الافتراضية مع قيود الوصول، يُطلب من المؤسسات التدقيق في كيفية تكوين ومراقبة أدوات الوصول الخاصة بها. فهم كيفية عمل أنظمة التقييد متعددة الطبقات، على غرار كيفية بناء أنظمة الرقابة الوطنية على الإنترنت بطبقات تنفيذ متعددة بدلاً من بوابة واحدة، يقدم تشبيهاً مفيداً لسبب تطلب الدفاع ضد الفدية أيضاً ضوابط متعددة ومتداخلة بدلاً من الاعتماد على أي ضمانة واحدة.
ماذا يعني هذا بالنسبة لك
إذا كنت تدير أمن تكنولوجيا المعلومات في أي حجم من المؤسسات، فهذا التقرير إشارة لإعادة النظر في الافتراضات. وجود المصادقة متعددة العوامل مفعلة ليس مثل فرضها في كل مكان يهم. الدفاع ضد الفدية القائمة على سرقة بيانات الاعتماد في عام 2026 يتطلب التعامل مع الهوية كانضباط تشغيلي مستمر، وليس مشروعاً اكتمل بمجرد وضع علامة إنجاز على نشر المصادقة متعددة العوامل.
بالنسبة للمؤسسات الصغيرة على وجه الخصوص، فجوة معدل الاحتواء تستحق أن تؤخذ على محمل الجد. إنها تشير إلى أن الاستثمار في قدرة الكشف والاستجابة، حتى التحسينات المتواضعة، يمكن أن يغير بشكل ملموس نتيجة هجوم حصل بالفعل على وصول أولي.
النقاط الرئيسية
- 79% من هجمات الفدية تبدأ الآن ببيانات اعتماد مخترقة، وفقاً لسوفوس.
- كانت المصادقة متعددة العوامل موجودة في 97% من حوادث الفدية القائمة على بيانات الاعتماد، مما يظهر أن فجوات التغطية، وليس غياب المصادقة متعددة العوامل، هي المشكلة الحقيقية.
- أوقفت المؤسسات الصغيرة الهجمات بنسبة 34% فقط من الوقت، مقارنة بـ46% للمؤسسات الأكبر التي تضم 3,001 إلى 5,000 موظف.
- سجلت المملكة المتحدة أعلى متوسط طلب فدية في التقرير.
- يتطلب الدفاع الفعال ضد الفدية القائمة على سرقة بيانات الاعتماد تدقيق تغطية المصادقة متعددة العوامل، ومراقبة بيانات الاعتماد الخاملة أو المعاد استخدامها، وتقسيم الوصول، وبناء قدرة أسرع على الكشف، وليس الاعتماد على أي أداة أمنية واحدة.
