نقطة طرفية بلا حماية أصبحت الحلقة الأضعف

حادثة فدية جديدة وثّقتها سوفوس، وتخص مجموعة Interlock، تقدّم مثالاً واضحاً على مشكلةٍ طالما نبّهت إليها فرق الأمن لأشهر: نقطة طرفية واحدة غير محمية يمكن أن تمنح المهاجمين كل الوقت الذي يحتاجونه لسرقة بيانات الاعتماد والتموضع قبل أن يلاحظهم أحد. ووفقاً لسوفوس، فقد حدثت الحادثة لأن جهازاً يفتقر إلى حماية النقاط الطرفية سمح لمجموعة Interlock بالعمل دون إطلاق التنبيهات التي كانت ستُشير عادةً إلى سلوك مريب على جهاز مراقَب.

وقد كان لهذه الفجوة أثرها. ففي غياب برامج الأمن التي تراقب النقطة الطرفية، وجد المهاجمون مساحةً للتحرك ببطء وحذر، جامعين بيانات تسجيل الدخول ومنشئين آلياتٍ للاحتفاظ بإمكانية الوصول إلى الشبكة بعد فترة طويلة من الاختراق الأولي. إنه تذكيرٌ بأن مشغّلي برامج الفدية يعتمدون، بشكل متزايد، على جمع المفاتيح التي تتيح لهم الدخول من الباب الأمامي بهدوء، لا على تحطيم الدفاعات.

لماذا تُعد بيانات الاعتماد المسروقة الجائزة الحقيقية

تنسجم قضية Interlock مع نمطٍ وثّقته سوفوس منذ مدة. فقد وجد بحث سابق لسوفوس أن 79% من هجمات الفدية تبدأ ببيانات اعتماد مسروقة، وهو رقم يؤكد كم أصبحت سرقة الهوية محورية في عمليات الفدية الحديثة. وذهبت تقارير منفصلة لسوفوس إلى أبعد من ذلك، محققة في بيانات الدخول المخترقة باعتبارها المدخل الأول لبرامج الفدية، متجاوزةً بذلك الثغرات البرمجية كأسلوبٍ يفضّله المهاجمون.

وتبيّن حادثة Interlock لماذا يبدو هذا التحول منطقياً من منظور المهاجم. فاستغلال ثغرة برمجية يتطلب غالباً توقيتاً دقيقاً، وقد يطلق أنظمة الكشف المصممة للقبض على محاولات الاستغلال غير المعتادة. أما سرقة بيانات اعتماد صالحة واستخدامها لتسجيل الدخول، فيمكن أن يبدو نشاطاً عادياً لمستخدم حقيقي، خصوصاً على نقطة طرفية لا يوجد عليها برنامج حماية يلتقط هذا الشذوذ. وبمجرد الدخول، لا يحتاج المهاجمون إلى شق طريقهم عبر الشبكة بالقوة؛ إذ يمكنهم التحرك باستخدام حسابات تمتلك بالفعل صلاحيات وصول مشروعة.

ويتماشى هذا أيضاً مع نتائج أوسع تتعلق بالهوية. فقد وجد تقرير حديث لسوفوس أن 71% من المؤسسات حول العالم تعرضت لاختراق واحد على الأقل مرتبط بالهوية في عام 2025، مما يعزز أن سرقة بيانات الاعتماد ليست تقنيةً هامشية تقتصر على جهات متطورة. لقد أصبحت استراتيجية الدخول الافتراضية عبر مجموعة واسعة من عصابات الفدية، بما فيها Interlock.

الاستمرارية هي النصف الثاني من المشكلة

لا تكون سرقة بيانات الاعتماد مفيدة للمهاجم إلا إذا استطاع الاستمرار في استخدامها، أو استبدالها بطريقة دخول أخرى بعد أن يُقفل الحساب الأصلي. وهذا هو العنصر الثاني الذي سلّطت سوفوس الضوء عليه في هذه الحادثة: النقطة الطرفية غير المحمية منحت مجموعة Interlock وقتاً كافياً بلا انقطاع لإنشاء آليات استمرارية، أي بناء باب خلفي يتيح لهم العودة حتى لو اكتُشفت بيانات الاعتماد المسروقة وأُلغيت لاحقاً.

وهذه العملية ذات الخطوتين — سرقة بيانات الاعتماد يليها ضمان الاستمرارية — هي ما يفصل بين حادثة محصورة وأخرى ممتدة. فالمؤسسة التي تكتشف إساءة استخدام بيانات الاعتماد بسرعة يمكنها غالباً قطع الوصول قبل وقوع ضرر كبير. لكن عندما لا تكون هناك أي مراقبة على الجهاز المصاب، يستطيع المهاجمون إكمال الخطوتين قبل أن يعلم المدافعون بوجود خطب ما. وحوادث أخرى خارج نطاق الفدية تسير على منوال مشابه؛ فـجهاز كمبيوتر واحد مخترق في شركة بلازا هوم مورتغيدج كان كافياً لبدء تحقيق في خرق بيانات أثّر على أرقام الضمان الاجتماعي للعملاء، مما يُظهر كيف يمكن لنقطة ضعف واحدة في بيئة آمنة أن تكون كل ما يلزم.

ما الذي يعنيه هذا لك

بالنسبة للمستخدمين العاديين والمؤسسات الصغيرة على حد سواء، الدرس المستفاد من حادثة Interlock ليس نظرياً. حماية النقاط الطرفية ليست مجرد خانة اختيار في قائمة متطلبات الشركات؛ إنها الطبقة التي تحوّل أي اختراق محتمل قد يستمر لأسابيع إلى اكتشاف في اليوم نفسه. إذا كنت تدير أجهزة، سواء حواسيب محمولة شخصية أو شبكة مكتب صغير، فإن أي جهاز غير محمٍ متصل بموارد مشتركة يشكّل عبئاً على كل من في تلك الشبكة، وليس على مالكه فقط.

سلامة التعامل مع بيانات الاعتماد لا تقل أهمية. إعادة استخدام كلمات المرور عبر الحسابات، أو تخطي المصادقة متعددة العوامل، أو ترك الحسابات القديمة نشطة بعد مغادرة شخص ما للمؤسسة، كل ذلك يمنح المهاجمين فرصاً أكبر للتسلل باستخدام بيانات دخول مسروقة بدلاً من استغلال أخطاء برمجية. وهذا التوجه ليس مقتصراً على Interlock أيضاً؛ بل يتردد صداه في حوادث أوسع تتصدر العناوين مؤخراً، بما فيها مزيج التجسس الروسي عبر Zimbra وقضايا ابتزاز Stadler Rail التي لفتت الانتباه إلى مدى تنوّع وإلحاح هذه الهجمات القائمة على بيانات الاعتماد.

خطوات عملية تستحق التطبيق

احرص على أن يكون لدى كل جهاز يتصل بأنظمة حساسة، بما في ذلك الحواسيب الشخصية المستخدمة للعمل عن بُعد، حماية نشطة للنقاط الطرفية. طبّق المصادقة متعددة العوامل حيثما كانت مدعومة، فهي تُضعف قيمة كلمة المرور المسروقة. وراجع الحسابات بانتظام بحثاً عن بيانات اعتماد غير مستخدمة أو مهملة، وارصد أنماط تسجيل الدخول غير المعتادة بدلاً من افتراض أن اسم المستخدم وكلمة المرور الصحيحين يعنيان مستخدماً شرعياً.

حادثة Interlock هي دراسة حالة مفيدة على وجه التحديد لأنها ليست غريبة. لم تتطلب استغلالاً جديداً أو ثغرة صفرية متقدمة. تطلبت نقطة طرفية واحدة دون حماية ووقتاً كافياً لسرقة ما بدا وكأنه بيانات اعتماد عادية. سد هذه الفجوة هو في متناول معظم المؤسسات، والقيام بذلك يبقى أحد أكثر الدفاعات فعالية ضد عصابات الفدية التي قررت بوضوح أن بيانات الاعتماد، لا الكود البرمجي، هي أسهل طريق للدخول.