ماذا حدث لملعب ثيالف الجليدي

ثيالف، الملعب الجليدي الهولندي الشهير عالمياً باستضافة بطولات التزلج السريع، أصبح أحدث ضحية لهجوم سيبراني. وفقاً لمايكروسوفت، المجموعة التي تقف وراء الاختراق، المعروفة باسم ذا جنتل مان، قامت بسرقة بيانات من المنشأة وتهدد بنشرها على الويب المظلم ما لم يتم دفع فدية خلال أيام.

هذا مثال نموذجي على عمل عصابة فدية تعتمد الابتزاز المزدوج: المهاجمون لا يكتفون بقفل الملفات، بل يسرقون البيانات الحساسة أولاً ويستخدمون التهديد بالكشف العلني كوسيلة ضغط. بالنسبة لمؤسسة مثل ثيالف، قد يعني ذلك سجلات الموظفين، أو معلومات مالية، أو بيانات التذاكر، أو تفاصيل تشغيلية أخرى تنتهي معروضة للبيع أو للتحميل المجاني في منتديات إجرامية إذا انقضى الموعد النهائي دون دفع.

كيف يعمل نموذج الابتزاز المزدوج لعصابة ذا جنتل مان

أصبح أسلوب الابتزاز المزدوج النهج الافتراضي لمعظم عمليات الفدية الخطيرة، ويبدو أن ذا جنتل مان تتبع نفس النمط الموثق في حالات لا تُحصى أخرى. أولاً، يخترق المهاجمون الشبكة ويسحبون البيانات بهدوء قبل نشر أي تشفير. فقط بعد أن تصبح البيانات بأمان في حوزتهم، يقومون بقفل أنظمة الضحية ويكشفون عن أنفسهم، غالباً مع مؤقت تنازلي وموقع تسريب على الويب المظلم كدليل على ما أخذوه.

صُمم تكتيك الضغط ذو الشقين هذا لإغلاق أسهل طريق هروب أمام الضحايا. حتى المؤسسة التي تملك نسخاً احتياطية قوية وقادرة على استعادة الأنظمة المشفرة دون دفع تواجه التهديد الثاني: الكشف العلني عن الملفات المسروقة. هذا المزيج جعل الابتزاز المزدوج أكثر فعالية بكثير من نموذج التهديد الوحيد القديم القائم على التشفير وحده، وهذا هو السبب الذي يجعل الباحثين الأمنيين يحذرون بشكل متزايد من أن النسخ الاحتياطية ضرورية لكنها لم تعد كافية بمفردها.

شرح نموذج الفدية كخدمة وتجنيد الشركاء التابعين

ما يجعل مجموعات مثل ذا جنتل مان صعبة الإغلاق بشكل خاص هو أنها لا تعمل كطاقم واحد خاضع لسيطرة محكمة. يصف تحليل مايكروسوفت المجموعة بأنها توسعت من خلال تجنيد شركاء تابعين عبر ترتيبات الفدية كخدمة، وهو نموذج أعمال يقوم فيه فريق أساسي ببناء وصيانة البرمجية الخبيثة، والبنية التحتية للتفاوض، ومواقع التسريب، ثم يؤجر هذه المجموعة من الأدوات لشركاء تابعين مستقلين ينفذون عمليات الاختراق الفعلية.

يعني هذا الهيكل الشبيه بالامتياز أن دفع الفدية لا يذهب بالضرورة إلى عقل مدبر واحد. إنه يُقسم بين المطورين وأي شريك تابع نفذ الهجوم، ويعني أيضاً أن إجراءات إنفاذ القانون لإسقاط مجموعة واحدة نادراً ما تقضي على التهديد الأساسي. ينتقل الشركاء التابعون ببساطة إلى علامة تجارية أخرى للفدية كخدمة ويواصلون العمل. إنه نموذج أعمال مبني على المرونة، وهو جزء من سبب بقاء الفدية مشكلة مستمرة حتى مع صعود وسقوط العصابات الفردية. قدمت المحادثات الداخلية المسربة التي تم تفصيلها في تحقيق بودكاست بي بي سي حول عصابة كونتي لبرمجيات الفدية نظرة نادرة على مدى طابع هذه العمليات المؤسسي والهرمي خلف الكواليس.

لماذا لن تمنع الشبكات الافتراضية الخاصة (VPN) وحدها هجمات الفدية، وما الذي يساعد فعلاً

من الجدير أن نكون واضحين بشأن شيء تتجاهله الكثير من التغطيات: الشبكة الافتراضية الخاصة (VPN) لم تكن لتمنع هجوماً مثل هذا، ولا توجد أداة واحدة ستمنعه. عادةً ما تدخل عصابات الفدية عبر رسائل التصيد الاحتيالي، أو بيانات الاعتماد المسروقة، أو البرامج غير المحدثة، أو خدمات الوصول عن بُعد المكشوفة، وليس عبر ثغرات صُممت الشبكات الافتراضية الخاصة للمستهلكين لسدها. تحتاج المؤسسات بدلاً من ذلك إلى دفاعات متعددة الطبقات: المصادقة متعددة العوامل، وتجزئة الشبكة، والنسخ الاحتياطية المنتظمة غير المتصلة بالإنترنت، وأدوات كشف نقاط النهاية، وتدريب الموظفين على التعرف على محاولات التصيد.

إن قرار الدفع أم لا هو حيث تصبح الأمور صعبة حقاً، والبيانات هنا مثبطة لأي شخص يأمل في أن يضمن الدفع حلاً نظيفاً. وجد تقرير غطاه بروف بوينت حول تعرض دافعي الفدية للهجوم مرة أخرى غالباً أن حصة كبيرة من المؤسسات التي تدفع مرة واحدة ينتهي بها الأمر مستهدفة مرة ثانية، مما يشير إلى أن الدفع يمكن أن يسم الضحية كهدف سهل بدلاً من أن يغلق ملف الحادثة. ولا تختار كل منظمة الرضوخ أيضاً. رفضت الشركة المصنعة السويسرية ستادلر ريل علناً دفع فدية بقيمة 12.3 مليون دولار من عصابة إيفرست، مما يدل على أن الرفض طريق قابل للتطبيق، وإن كان صعباً، تسلكه بعض الضحايا.

ماذا يعني هذا لك

بالنسبة لمعظم القراء، لا تشكل حادثة ثيالف تهديداً مباشراً، لكنها تذكير مفيد بكيفية عمل عمليات الفدية الحديثة ولماذا تستمر في النجاح. إذا كنت تعمل في مؤسسة، خاصة تلك التي تتعامل مع بيانات العملاء، أو الموظفين، أو الزوار، فالدرس المستفاد هو أن الوقاية يجب أن تحدث قبل وقت طويل من بدء ساعة المهاجم التنازلية. إذا كنت زائراً، أو موظفاً، أو شريكاً لثيالف وتشعر بالقلق على بياناتك الخاصة، فتابع البيانات الرسمية من المنشأة وكن متيقظاً لمحاولات التصيد الاحتيالي التي تشير إلى الاختراق، حيث غالباً ما يستخدم المهاجمون والانتهازيون أخبار التسريب لتنفيذ عمليات احتيال لاحقة.

استنتاجات قابلة للتطبيق

  • افترض أن أي منظمة تحتفظ ببياناتك يمكن أن تواجه عصابة فدية تعتمد الابتزاز المزدوج؛ اسأل الشركات التي تتعامل معها عن شكل ممارسات الاستجابة للحوادث وحماية البيانات لديها.
  • إذا كنت تدير أنظمة تكنولوجيا المعلومات، أعطِ الأولوية للمصادقة متعددة العوامل، والتحديثات، والنسخ الاحتياطية غير المتصلة على أي منتج أمني منفرد، بما في ذلك الشبكات الافتراضية الخاصة.
  • لا تفترض أن دفع الفدية يحل الحادثة بشكل نظيف. تشير الأدلة إلى أن الاستهداف المتكرر شائع بين المؤسسات التي تدفع.
  • احترس من رسائل التصيد الاحتيالي التي تشير إلى اختراق ثيالف أو حوادث مماثلة، حيث يستغل المهاجمون غالباً أخبار الاختراق العام لتنفيذ عمليات احتيال لاحقة.
  • تابع كيفية استجابة المؤسسات المتضررة في الأيام القادمة. سيضيف قرار ثيالف بشأن الدفع من عدمه نقطة بيانات أخرى إلى الجدل المستمر حول مدفوعات الفدية.

مع استمرار عمليات الفدية كخدمة مثل ذا جنتل مان في تجنيد الشركاء التابعين وصقل تكتيكات الابتزاز المزدوج، من المرجح أن تستمر حوادث مثل تلك التي حدثت في ثيالف في تصدر العناوين الرئيسية. يبقى البقاء على اطلاع بكيفية تطور هذه الهجمات، وحث المؤسسات التي تعتمد عليها على أخذ الوقاية على محمل الجد، إحدى أكثر الخطوات العملية المتاحة للجمهور.