تهديد داخلي بلمسة مختلفة
معظم عناوين أخبار برامج الفدية تدور حول رسائل التصيد الاحتيالي، أو منافذ سطح المكتب البعيد المكشوفة، أو البرامج غير المحدّثة. لكن المؤامرة ضد تسلا كانت مختلفة. وفقًا للتقارير الواردة عن القضية، تواصل رجل يُدعى كريوتشكوف مع موظف في مصنع تسلا العملاق في نيفادا بعرض: المساعدة في زرع برمجيات خبيثة مخصصة داخل الشبكة الداخلية للشركة، وسيتولى شركاؤه الباقي، من خلال تسريب بيانات حساسة ثم المطالبة بفدية تحت التهديد بالإفصاح العلني.
هذا نموذج كلاسيكي لهجمات الفدية ذات الابتزاز المزدوج، ذلك النوع الذي يسرق فيه المهاجمون البيانات قبل تشفيرها أو التهديد بتسريبها، مما يمنح الضحايا سببين للدفع بدلًا من سبب واحد. ما جعل هذه القضية غير عادية هو أسلوب التنفيذ. فبدلًا من إرسال البرمجيات الخبيثة عبر مرفق ضار، حاول المهاجمون تجنيد شخص لديه بالفعل وصول شرعي إلى الشبكة. وتشير التقارير إلى أن الموظف عُرض عليه في البداية 500,000 دولار للمشاركة، ثم رُفع المبلغ لاحقًا إلى مليون دولار، وهو مبلغ كبير يكفي للإشارة إلى مدى القيمة التي كان المهاجمون يضعونها على بيانات تسلا الداخلية.
لماذا أبلغ الموظف بدلًا من أخذ المال
انهارت المؤامرة لأن الموظف المستهدف اختار إبلاغ تسلا وسلطات إنفاذ القانون بدلًا من قبول الرشوة. ذلك القرار، أكثر من أي جدار ناري أو منتج مضاد للفيروسات، هو ما أوقف هذا الهجوم تمامًا. وبمجرد إخطار السلطات، تدخل مكتب التحقيقات الفيدرالي (FBI)، وتم إحباط المؤامرة قبل أن تلمس أي برمجية خبيثة أنظمة تسلا.
من المفيد التوقف عند هذا للحظة. كل دفاع تقني تبنيه الشركة – تجزئة الشبكة، واكتشاف نقاط النهاية، والنسخ الاحتياطية المشفرة – موجود لإيقاف المهاجمين المتواجدين أصلًا داخل المحيط أو الذين يحاولون اقتحامه من الخارج. لا قيمة تُذكر لأي من هذه الأدوات إذا وافق موظف يمتلك بيانات اعتماد صالحة على فتح الباب طواعية. الدفاع الحقيقي الوحيد ضد هذا السيناريو هو ثقافة مكان عمل يشعر فيها الموظفون بالأمان، بل وبالتشجيع، للإبلاغ الفوري عن أي محاولات تواصل مشبوهة.
هذا أيضًا تذكير بأن سلاسل التوريد وأنظمة الشركاء توسع سطح الهجوم إلى ما هو أبعد من موظفي الشركة نفسها. حادثة اختراق شركة تاتا للإلكترونيات الذي كشف ملفات آبل وتسلا على الويب المظلم تُظهر نمطًا مشابهًا: ليس من الضروري سُرقة البيانات المؤسسية الحساسة مباشرة من الشركة المستهدفة لكي تتعرض للاختراق. إذ يمكن لبائع أو متعاقد أو مورد يمتلك ضوابط أمنية أضعف أن يصبح الطريق الأقل مقاومة للمهاجمين الذين لا يستطيعون تجنيد شخص من الداخل بشكل مباشر.
الجدوى التجارية للتوعية بالتهديدات الداخلية
تنفق الشركات ميزانيات ضخمة على تأمين المحيط بينما تحظى برامج التهديدات الداخلية باهتمام أقل بكثير في كثير من الأحيان. ومع ذلك، فإن محاولات تجنيد المطلعين مثل تلك التي استهدفت تسلا لا تتطلب أي استغلال تقني على الإطلاق. إنها تعتمد بالكامل على اتخاذ القرار البشري تحت ضغط مالي أو إغراء.
بعض الممارسات تجعل المؤسسات أكثر مرونة في مواجهة هذا النوع من المحاولات:
- قنوات إبلاغ واضحة ومعلنة على نطاق واسع ليعرف الموظفون بالضبط بمن يتصلون إذا عرض عليهم أحد المال مقابل الوصول أو بيانات الاعتماد أو المساعدة في تجاوز الضوابط الأمنية.
- تدريب منتظم يغطي على وجه التحديد محاولات الهندسة الاجتماعية والرشوة، وليس فقط رسائل التصيد الاحتيالي.
- ثقافة تُعامل الإبلاغ عن تواصل مشبوه كفعل إيجابي، وليس اعترافًا بارتكاب خطأ، حتى لا يخشى الموظفون من التقدم.
- سياسات الوصول وفق مبدأ الحد الأدنى من الامتيازات التي تحد من مدى الضرر الذي يمكن أن يسببه أي حساب مخترق، بشريًا كان أم تقنيًا.
لا تُعتبر أي من هذه التدابير مكلفة مقارنة بالتكلفة المحتملة لهجوم ابتزاز مزدوج ناجح، والتي قد تشمل مدفوعات الفدية، والغرامات التنظيمية، والتعرض القانوني، والإضرار الدائم بالسمعة.
ما يعنيه هذا لك
سواء كنت تدير مشروعًا صغيرًا أو تعمل في قسم تكنولوجيا المعلومات في مؤسسة كبيرة، فإن قضية تسلا تُعتبر اختبار إجهاد مفيد لوضعك الأمني. اسأل ما إذا كان موظفوك سيعرفون ما يجب فعله إذا عرض عليهم شخص ما المال لتركيب محرك أقراص USB، أو مشاركة كلمة مرور، أو غض الطرف بينما يصل "مقاول" إلى نظام مقيد. إذا كانت الإجابة غير واضحة، فهذه فجوة تستحق الإغلاق قبل أن يجدها مهاجم.
كما تعزز القضية سبب عدم اقتصار خطر التعرض للبيانات على شبكتك الخاصة. كما أظهرت حادثة تاتا للإلكترونيات، يمكن أن تظهر ملفات حساسة مرتبطة بشركات كبرى من خلال اختراقات لأطراف ثالثة خارجة تمامًا عن سيطرتها المباشرة. لم يعد فحص الممارسات الأمنية للبائعين أمرًا اختياريًا للمؤسسات التي تتعامل مع ملكية فكرية قيّمة أو بيانات عملاء.
خلاصات قابلة للتنفيذ
- إنشاء عملية إبلاغ بسيطة ومجهولة المصدر للموظفين الذين يتم التواصل معهم بعروض رشوة أو تجنيد داخلي.
- تدريب الموظفين على التعرف على أساليب الهندسة الاجتماعية التي تستهدف الأشخاص، وليس الأنظمة فقط.
- تطبيق وصول وفق مبدأ الحد الأدنى من الامتيازات بحيث لا يستطيع أي موظف بمفرده تعطيل البنية التحتية الحيوية.
- تدقيق أمن البائعين وسلسلة التوريد، حيث يمكن لأطراف ثالثة تسريب بيانات حساسة حتى عندما تصمد دفاعاتك.
انتهت قضية تسلا بشكل جيد لأن موظفًا واحدًا اتخذ القرار الصائب. بناء مكان عمل يكون فيه هذا القرار سهلًا ومتوقعًا ومُكافأً يُعد أحد أكثر دفاعات برامج الفدية فعالية من حيث التكلفة يمكن لأي مؤسسة تطبيقها.
