أكدت شركة تصنيع القطارات السويسرية ستادلر ريل رفضها دفع فدية بقيمة 12.3 مليون دولار (10,000,000 فرنك سويسري) طالبت بها عصابة إيفرست للابتزاز بعد أن سرق المهاجمون بيانات تقنية عبر منصة مشاركة ملفات تابعة لأحد الموردين. ظهر هذا الكشف في نفس الدورة الإخبارية بالتزامن مع تطور منفصل لكنه ذو صلة: مجموعة 'لوندري بير' المرتبطة بالدولة الروسية تستهدف خوادم البريد الإلكتروني زيمبرا غير المحدثة. توضح القصتان معًا كيف تشن جهات التهديد الموالية لروسيا عمليات متوازية، إحداها ضد سلاسل التوريد الصناعية، والأخرى ضد البنية التحتية للبريد الإلكتروني للمؤسسات، ولماذا تحتاج المؤسسات من جميع الأحجام إلى التعامل مع كليهما بجدية.

هجوم الفدية وراء رفض ستادلر ريل

وفقًا لتقارير من 'ذا ريكورد'، أعلنت عصابة إيفرست للفدية مسؤوليتها عن سرقة بيانات تقنية تخص ستادلر ريل، ليس عن طريق اختراق شبكة الشركة المصنعة للقطارات مباشرة، بل من خلال اختراق منصة مشاركة ملفات يديرها أحد مورديها. ثم طالبت إيفرست بحوالي 12.3 مليون دولار مقابل عدم تسريب أو بيع الملفات المسروقة. رفضت ستادلر ريل الدفع.

هذا قرار مهم. غالبًا ما تُصوَّر حالات رفض دفع الفدية على أنها مجرد تحدٍّ، لكنها تنطوي على مخاطر تشغيلية حقيقية: إذا نفذت العصابة تهديدها، فقد تنتهي البيانات التقنية المسروقة (المخططات الهندسية، وتفاصيل الموردين، والوثائق الداخلية) منشورة أو مباعة للمنافسين وجماعات إجرامية أخرى. يعكس اختيار ستادلر ريل عدم الدفع تحولًا أوسع بين الشركات الصناعية الكبرى، التي يعتبر كثير منها الآن دفع الفدية مكافأة لنماذج الأعمال الإجرامية بدلاً من حل مشكلة التعرض الأساسية.

لماذا يمثل اختراق المورد خطورة تعادل الاختراق المباشر

ما يجعل هذه الحالة مفيدة بشكل خاص هو أن نقطة الاختراق الأولية لم تكن البنية التحتية الخاصة بستادلر ريل، بل نظام مشاركة الملفات لدى أحد الموردين. هذا نمط شائع في هجمات الفدية الحديثة: تبحث الجماعات الإجرامية بشكل متزايد عن الحلقة الأضعف في سلسلة التوريد بدلاً من مهاجمة الهدف الأساسي المحمي جيدًا بشكل مباشر. يمكن لمورد واحد لديه ضوابط وصول متساهلة أو برامج غير محدثة أن يصبح نقطة دخول لعملية سرقة بيانات أكبر بكثير.

هذه الديناميكية لا تقتصر على صناعة السكك الحديدية. سبق أن كشفت اختراقات سلسلة التوريد عن بيانات حكومية وشركات حساسة من خلال برامج خارجية موثوقة، كما رأينا في تداعيات اختراق SolarWinds الذي كشف جميع رسائل البريد الإلكتروني لموقع Treasury.gov. الدرس المستفاد ثابت: وضع الأمان لأي مؤسسة لا يكون أقوى من أمان الموردين والشركاء الذين تشاركهم البيانات.

مجموعة لوندري بير المرتبطة بروسيا تضغط على خوادم زيمبرا

بالتوازي مع قصة ستادلر ريل، أشارت التقارير إلى أن مجموعة 'لوندري بير'، المرتبطة بروسيا، تستهدف خوادم البريد الإلكتروني زيمبرا غير المحدثة. لطالما كانت برامج التعاون والبريد الإلكتروني عبر الويب غير المحدثة نقطة دخول مفضلة لدى الجهات الحكومية التابعة لدول تسعى لجمع بيانات الاعتماد أو الحفاظ على وصول دائم إلى اتصالات المؤسسة.

تتوافق هذه الحملة مع نمط حذرت منه وكالات الأمن مرارًا. أصدر مدير GCHQ مؤخرًا أحد أكثر التحذيرات مباشرة في الذاكرة الحديثة بشأن الهجمات الإلكترونية الروسية المتواصلة ضد البنية التحتية الحيوية والمؤسسات الديمقراطية. بشكل منفصل، عطلت السلطات الأمريكية شبكة من أجهزة التوجيه المخترقة المرتبطة بـ وحدة الاستخبارات العسكرية الروسية، GRU. سواء كان الهدف موردًا لشركة تصنيع قطارات أو خادم بريد إلكتروني غير محدث، فالخيط المشترك واحد: تستكشف المجموعات الموالية لروسيا البنية التحتية المتاحة على نطاق واسع والتي غالبًا ما يتم تجاهلها للوصول، وليس فقط شبكات الحكومة التي تتصدر العناوين.

ماذا يعني هذا بالنسبة لك

معظم القراء لا يديرون خوادم زيمبرا ولا يصنعون القطارات، لكن المخاطر الأساسية في هذه القصة تنطبق على نطاق واسع. إذا كنت تستخدم أي خدمة، من منصة حجز سفر إلى برنامج ولاء، تشارك بياناتك مع موردين خارجيين، فإن أمان تلك البيانات يكون بقدر أمان دفاعات المورد نفسه. فاختراق لدى مورد لم تسمع به من قبل يمكن أن يكشف معلومات مرتبطة بك، سواء كان ذلك حسابًا مؤسسيًا، أو ملفًا مشتركًا، أو تفاصيل شخصية تُعالج نيابة عنك.

بالنسبة للشركات، الدرس المستفاد مباشر بنفس القدر: إدارة التحديثات والرقابة على الموردين ليست بنودًا اختيارية. تبقى البرامج غير المحدثة، سواء كانت خادم بريد إلكتروني أو أداة مشاركة ملفات، واحدة من أكثر الطرق شيوعًا التي يكتسب بها المهاجمون موطئ قدم، ولا تنجح حالات رفض الفدية كرادع طويل الأجل إلا إذا تم إصلاح الثغرات الأساسية التي سمحت للمهاجمين بالدخول.

نصائح عملية

  • إذا كنت تعمل مع موردين أو مقدمي خدمات، اسألهم عن كيفية تعاملهم مع التحديثات وضوابط الوصول لأنظمة مشاركة الملفات، وليس فقط شبكتك الخاصة.
  • تعامل بجدية مع أي إشعار باختراق مورد، حتى لو لم تتعرض مؤسستك للاختراق المباشر؛ فلا يزال من الممكن كشف البيانات عبر طرف ثالث.
  • حافظ على تحديث برامج التعاون وخادم البريد الإلكتروني فورًا؛ تظل الأنظمة غير المحدثة نقطة دخول رئيسية لهجمات الفدية والاقتحامات المرتبطة بالدول على حد سواء.
  • ادعم سياسة عدم دفع الفدية حيثما أمكن، حيث أن الدفع يمكن أن يمول هجمات أخرى دون ضمان عدم تسريب البيانات على أي حال.
  • ابق على اطلاع على الأنشطة الإلكترونية الموالية لروسيا التي تؤثر على البنية التحتية الحيوية وبرامج المؤسسات، لأن هذه الحملات غالبًا ما تستهدف الأدوات المستخدمة على نطاق واسع بدلاً من الضحايا المعزولين.