ملخص الحوادث الأمنية: تسريب عبر "طلب رسمي" وإصلاح خطأ بقيمة 55 مليون دولار

شهد شهر سبتمبر مجموعة من الحوادث الأمنية اللافتة التي جمعت بين الاحتيال، والأخطاء البرمجية، وضعف الضوابط الداخلية. في هذا العدد: بنوك سلّمت بيانات عملائها للمحتالين بنفسها، ومطوّرون أدّت البرمجة بأسلوب Vibe Coding لديهم إلى ثغرات في البنية التحتية، وحتى شركات أمن سيبراني افتقرت إلى قواعد أمنية أساسية.

أمن سيبراني بلا قواعد أمنية

ما حدث: سرّب مهاجمون بيانات داخلية لشركة أمن سيبراني بعد اختراق حساب موظف سابق.

كيف حدث ذلك: في مايو، حقن قراصنة شيفرة خبيثة في حزم npm الشهيرة TanStack. وثبّت أحد مطوّري شركة CrowdSec الفرنسية للأمن السيبراني، التي تطوّر برمجيات مفتوحة المصدر لاكتشاف التسلل وحماية الشبكات بشكل تعاوني، المكتبة المصابة عن طريق الخطأ. وبعد فترة قصيرة غادر الموظف الشركة وفق الخطة، لكن وصوله إلى حساب GitHub المؤسسي لم يُلغَ إلا بعد عدة أيام.

وخلال هذه الفترة، تمكّنت البرمجية الخبيثة من سرقة رمز OAuth الشخصي للموظف. وحصل المهاجمون على وصول إلى 170 مستودعًا خاصًا، إضافة إلى بيانات شخصية لأكثر من 80 مستخدمًا و50 مستثمرًا محتملاً في CrowdSec.

ولم تكتشف الشركة التسريب إلا في سبتمبر، عندما نُشرت البيانات في منتدى للقراصنة. ثم أصدرت CrowdSec بيانًا رسميًا قالت فيه إن بنيتها التحتية وقواعد بيانات العملاء لم تتأثر، وإنها اتخذت بالفعل إجراءات إضافية لتعزيز الحماية.

هل تؤدي كل الطرق إلى روما؟

ما حدث: سلّم بنك Revolut البريطاني بيانات شخصية لعملائه إلى محتالين طواعية.

كيف حدث ذلك: اخترق القراصنة نظام البريد الإلكتروني المعتمد الذي تستخدمه السلطات الإيطالية، وأرسلوا لعدة أشهر إلى موظفي Revolut طلبات رسمية المظهر للإفصاح عن معلومات. واستجابةً لهذه الطلبات، قدّم موظفو البنك للمهاجمين معلومات عن 680 من كبار حاملي العملات المشفرة في 33 دولة.

وبعد التسريب، نشر المهاجمون وثائق تخص بعض العملاء وطالبوا الشركة بثلاثة ملايين دولار. وقالوا إنهم سيواصلون نشر المعلومات ما لم يحصلوا على المبلغ. ولا يزال التحقيق في الحادثة مستمرًا.

Vibe Coding أولًا... والأسئلة لاحقًا

ما حدث: وصل قراصنة إلى بنية مؤسسة وبياناتها عبر تطبيق أنشأه أحد الموظفين.

كيف حدث ذلك: أنشأ باحث في منظمة METR الأمريكية، المتخصصة في تقييم سلامة الذكاء الاصطناعي، تطبيقًا بأسلوب Vibe Coding وشغّله على مثيل EC2 شخصي مكشوف للإنترنت كان يستخدمه لاختبار وكلاء الذكاء الاصطناعي. وبسبب خطأ في الشيفرة، أصبح بإمكان أي شخص الوصول إلى نماذج الذكاء الاصطناعي الخاصة بالمؤسسة وإلى مفتاح API المستخدم مع خدمات الذكاء الاصطناعي العامة.

عثر المهاجمون على المثيل الضعيف وبدأوا باستخدام مفتاح API. ووصلت تكلفة طلباتهم إلى نحو 600 ألف دولار على حساب METR من دون أن تلاحظ المؤسسة ذلك. ثم حاولوا اختراق الأنظمة الداخلية والوصول إلى بيانات سرية، إلا أن تسريب البيانات تم منعه.

بعد الحادثة، عيّنت METR مسؤولًا للأمن، وعزّزت المراقبة، وفصلت بيئة الإنتاج الخاصة بالتطبيقات العامة عن البنية التحتية الداخلية، وشدّدت قواعد تخزين البيانات.

جريمة لا يمكن إخفاؤها

ما حدث: حاول موظف سابق ابتزاز شركة لمستحضرات التجميل بأكثر من 330 ألف دولار مقابل عدم كشف معلومات سرية.

كيف حدث ذلك: أمضى موظف في شركة بيلاروسية كبيرة لمستحضرات التجميل عامين في جمع معلومات عن الأنشطة المالية والتجارية للشركة. ثم استقال وانتقل للعمل لدى منافس وبدأ بابتزاز صاحب عمله السابق. ومقابل عدم نشر المعلومات، طلب مليون روبل بيلاروسي، أي نحو 330,600 دولار.

وأُلقي القبض على الموظف السابق متلبسًا خلال اجتماع آخر مع ممثلي شركته السابقة. ويواجه الآن عقوبة قد تصل إلى 15 عامًا في السجن بتهمة الابتزاز بمبلغ كبير على نحو استثنائي.

ثمن الخطأ البرمجي

ما حدث: سرق قراصنة 320 مليون دولار من شركة العملات المشفرة Liquid Federation.

كيف حدث ذلك: اخترق المهاجمون حسابات Liquid Federation وحوّلوا إلى أنفسهم نحو 96% من احتياطيات الشركة. ثم تركوا رسالة "للمطوّرين": أصلحوا الخطأ أولًا. تأكدوا من تحديث كل عقدة. بعد تأكيد الإصلاح، سنعيد الأموال.

ناقش الطرفان الثغرة في سجل المعاملات. وفي اليوم التالي أعاد "قراصنة القبعات البيضاء" 265 مليون دولار إلى الشركة. ويبدو أن المبلغ المتبقي احتُفظ به كمكافأة. والخلاصة بسيطة: قلّلوا الأخطاء البرمجية، فتكلفتها اليوم مرتفعة جدًا.

سباق البيانات

ما حدث: نشر قراصنة على الدارك ويب وثائق تخص نحو 40% من سكان الولايات المتحدة وكندا.

كيف حدث ذلك: عثر الصحفي المتخصص في الأمن السيبراني برايان كريبس على أكثر من 153 مليون نسخة ممسوحة ضوئيًا من رخص القيادة على الدارك ويب، من بينها رخصته الشخصية وبيانات مرتبطة بمساعد مدير في مكتب التحقيقات الفيدرالي ووزير الدفاع الأمريكي. وسرعان ما حدّد خدمة التحقق من الهوية IDScan باعتبارها المصدر المحتمل للتسريب.

وبعد أن نشر كريبس تحقيقه وجذب انتباه مكتب التحقيقات الفيدرالي إلى القضية، أكدت الشركة تعرض منصتها السحابية للاختراق. ولم تُعرف هوية المهاجمين حتى الآن، ولا يزال التحقيق مستمرًا.