حقائق سريعة

• تعرضت جامعة برينستون لخرق بيانات في 10 نوفمبر بعد هجوم تصيد هاتفي ناجح.
• تم كشف الأسماء والعناوين والبريد الإلكتروني وأرقام الهواتف وسجلات التبرعات؛ لم يتم اختراق أي بيانات مالية أو كلمات مرور.
• قد يؤثر الخرق على الخريجين والطلاب والمتبرعين وأعضاء هيئة التدريس والموظفين وعائلاتهم.
• تمت إزالة المهاجم من النظام خلال 24 ساعة؛ لا يوجد دليل على اختراق إضافي للنظام.
• تتعاون برينستون مع سلطات إنفاذ القانون وخبراء خارجيين للتحقيق في الحادثة.

مكالمة حصان طروادة في أولد ناساو

في عطلة نهاية أسبوع هادئة في نوفمبر، وجدت جامعة برينستون - مؤسسة رابطة اللبلاب العريقة - نفسها في قلب عاصفة إلكترونية. فقد تمكن مهاجم، مسلح فقط بهاتف ونص مدروس بعناية، من إقناع موظف في برينستون بفتح بوابة إلى كنز من البيانات الحساسة. لم يكن هذا اختراقًا تقنيًا معقدًا بأوامر وامضة، بل كان حالة كلاسيكية من "التصيد الاحتيالي" - حيث لم يكن الطُعم بريدًا إلكترونيًا مشبوهًا، بل صوتًا حيًا مقنعًا على الطرف الآخر من الخط.

كان هدف المهاجم قاعدة بيانات التطوير بالجامعة، وهي مستودع يضم شرايين مجتمع برينستون الواسع: الأسماء والعناوين والبريد الإلكتروني وأرقام الهواتف وسجلات التبرعات. وبينما لم تتضمن البيانات أرقام الضمان الاجتماعي أو الحسابات المالية أو كلمات المرور، إلا أن الخرق شمل شريحة واسعة - من الخريجين (بمن فيهم من لم يتخرجوا)، وشركائهم وأراملهم، والمتبرعين، والطلاب الحاليين، وأولياء الأمور، وأعضاء هيئة التدريس والموظفين الذين قدموا الدعم لبرينستون.

التصيد الاحتيالي: أقدم خدعة، ولا تزال الأخطر

التصيد الاحتيالي - وهو مصطلح مستوحى من فكرة "الصيد" للضحايا - يظل أحد أبسط وأكثر الأسلحة فعالية في ترسانة مجرمي الإنترنت. في هذه الحالة، استخدم المهاجم ما يُعرف بـ"التصيد الصوتي" (vishing)، حيث خدع موظفًا لديه صلاحيات عادية ليكشف له طريقة للدخول. خلال 24 ساعة، اكتشف فريق تكنولوجيا المعلومات في برينستون المتسلل وطرده، لكن الضرر كان قد وقع بالفعل.

ووفقًا لإشعار الجامعة، لا يوجد دليل على أن كلمات المرور أو معلومات شخصية أكثر حساسية قد تم كشفها. ومع ذلك، فإن معلومات الاتصال والتبرعات يمكن أن تكون ذات قيمة للمحتالين، الذين قد يستخدمونها للاحتيال المستهدف أو الهندسة الاجتماعية. ويعكس هذا الخرق حوادث حديثة في مؤسسات أخرى مثل DoorDash وCheckout.com، حيث سعى المهاجمون بالمثل للحصول على بيانات شخصية لاستخدامها في مخططات مستقبلية أو ابتزاز.

التعليم العالي: هدف متزايد

أصبحت الجامعات بشكل متزايد في مرمى مجرمي الإنترنت. فأنظمة البيانات الواسعة، والأنظمة القديمة، وتنوع المستخدمين تجعلها عرضة للخطر. في السنوات الأخيرة، واجهت مؤسسات مثل جامعة كاليفورنيا وجامعة ولاية ميشيغان حوادث فدية وسرقة بيانات، غالبًا عبر منصات طرف ثالث أو، كما هنا، بسبب خطأ بشري واحد.

بالنسبة لبرينستون، كان الرد الفوري سريعًا، وتعمل الجامعة الآن مع سلطات إنفاذ القانون وخبراء الأمن السيبراني لتتبع خطوات المهاجم. حتى الآن، لا توجد مؤشرات على إساءة استخدام البيانات أو اختراق أنظمة أخرى. لكن الخرق يمثل درسًا تحذيريًا: حتى أعرق المؤسسات لا تزيد قوتها عن أضعف حلقة فيها.

ويكيكروك

• التصيد الاحتيالي: التصيد الاحتيالي هو جريمة إلكترونية يرسل فيها المهاجمون رسائل مزيفة لخداع المستخدمين للكشف عن بيانات حساسة أو النقر على روابط خبيثة.
• التصيد الصوتي: التصيد الصوتي هو احتيال هاتفي ينتحل فيه المهاجمون صفة جهات موثوقة لسرقة معلومات حساسة أو أموال من خلال مكالمات خادعة.
• قاعدة بيانات التطوير: قاعدة بيانات التطوير هي نظام تستخدمه الجامعات لتتبع الخريجين والمتبرعين وجمع التبرعات، وتخزين معلومات الاتصال والتبرعات بشكل آمن.
• الهندسة الاجتماعية: الهندسة الاجتماعية هي استخدام الحيلة من قبل القراصنة لخداع الأشخاص للكشف عن معلومات سرية أو منح وصول غير مصرح به للأنظمة.
• الاستجابة للحوادث: الاستجابة للحوادث هي عملية منظمة تستخدمها المؤسسات لاكتشاف واحتواء والتعافي من الهجمات الإلكترونية أو خروقات الأمان، لتقليل الضرر والتوقف عن العمل.