أيام الصفر وصفر صبر: باحثو الأمن، فوضى سلاسل الإمداد، والعامل البشري

الأمن ليس مجرد شيفرة - إنه يتعلق بالناس الذين يقفون وراءها. هذا الأسبوع، فاض الإحباط في عالم الأمن السيبراني: باحثون نشروا ثغرات يوم الصفر نكايةً، وجامعات فقدت السيطرة على هوياتها الرقمية، ونموذج ذكاء اصطناعي قيل إنه «شديد الخطورة» تسرّب عبر هندسة اجتماعية على الطريقة القديمة. وفي الوقت نفسه، تسلل المهاجمون إلى سلاسل إمداد حرجة، وبلغت الثقة في برامج مكافآت اكتشاف الثغرات مستوى متدنياً جديداً. السؤال ليس فقط ما الذي هو هشّ، بل ما إذا كان أحدٌ يراقب الأشياء الصحيحة.

درامات الأسبوع السيبرانية

في صدى لأواخر التسعينيات، أفرغ مؤلف استغلال BlueHammer غضبه من استجابة مايكروسوفت للثغرات عبر نشر يوم صفر آخر لويندوز: «RedSun». يخدع هذا الاستغلال Windows Defender ليثبّت الملفات الخبيثة بدلاً من عزلها. ورغم أنه يتطلب وصولاً محلياً، فإن الإتاحة العلنية لشيفرة الاستغلال تعني أنها مسألة وقت فقط قبل أن يستغلها كتّاب البرمجيات الخبيثة لرفع الامتيازات.

في المقابل، كشفت مجموعة تُدعى «Hazy Hawk» عن ضعفٍ مستمر في كيفية إدارة الجامعات والوكالات لأصولها الرقمية. فمن خلال تسجيل نطاقات منتهية الصلاحية مرتبطة بسجلات DNS من نوع «CNAME» غير مستخدمة، استولوا على نطاقات فرعية رسمية لجامعات لتقديم إعلانات مزعجة - من دون حاجة إلى اختراق. وقد فوجئت ما لا يقل عن 30 جامعة وعدة جهات حكومية، بما في ذلك CDC، ما يسلّط الضوء على مخاطر الإهمال الرقمي.

واصلت هجمات سلسلة الإمداد اجتياحها. فقد جرى تلغيم عميل سطر الأوامر لـ Bitwarden، وهو أداة موثوقة لإدارة كلمات المرور، لسرقة رموز المصادقة والتسلل إلى تدفقات عمل المطورين. بل إن الشيفرة الخبيثة حاولت نشر نفسها عبر تعديل GitHub Actions في أي مستودع يمكنها الوصول إليه. ولحسن الحظ لم تُخترق الخزائن نفسها، لكن الحادثة تُبرز مدى اقتراب المهاجمين من كارثة سرقة بيانات اعتماد واسعة النطاق.

وبمفارقة لافتة، بينما يُروَّج لنماذج الذكاء الاصطناعي بوصفها نعمةً ونقمةً للأمن، تسرّب نموذج Anthropic الذي حظي بضجة كبيرة «Mythos» - والذي قيل إنه خطير للغاية للنشر العام - عبر هجوم هندسة اجتماعية كلاسيكي استهدف متعاقداً. واستمر الاختراق لأسابيع، ما يثير تساؤلات حول ما إذا كان التهديد الحقيقي هو التقنية أم البشر الذين يحرسونها.

ولإكمال أحداث الأسبوع: أنهت Nextcloud، المنافس مفتوح المصدر لـ Dropbox، برنامج مكافآت الثغرات لديها، مُحمِّلةً سيل التقارير منخفضة الجودة المُولَّدة بالذكاء الاصطناعي مسؤولية إغراق فريق الفرز. وأصلحت Apple خللاً في الإشعارات كان يكشف رسائل Signal المحذوفة، وخسرت سريلانكا 2.5 مليون دولار بسبب احتيال عبر البريد الإلكتروني، ما يثبت أن الجريمة السيبرانية، مثل التاريخ، تعيد نفسها.

الخلاصة: من يحرس الحراس؟

تكشف قصص هذا الأسبوع عن مشهدٍ للأمن السيبراني تتصادم فيه التكنولوجيا والسياسات والسلوك البشري - بنتائج متباينة. سواء كان الأمر باحثين يفقدون الثقة في المورّدين، أو مؤسسات تتجاهل النظافة الرقمية، أو مهاجمين يستغلون أضعف حلقة بشرية، فالدرس واضح: الأمن مشكلة الجميع، والإهمال ثمنه باهظ.

WIKICROOK

• يوم الصفر: ثغرة يوم الصفر هي خلل أمني خفي غير معروف لصانع البرمجيات، ولا يتوفر له إصلاح، ما يجعله بالغ القيمة والخطورة بالنسبة للمهاجمين.
• سجل DNS من نوع CNAME: يتيح سجل CNAME في DNS لاسم نطاق أن يعمل كاسمٍ مستعار لآخر، ما يبسّط إدارة DNS ويدعم إعدادات نطاق مرنة.
• هجوم سلسلة الإمداد: هجوم سلسلة الإمداد هو هجوم سيبراني يساوم مزوّدي البرمجيات أو العتاد الموثوقين، ناشراً برمجيات خبيثة أو ثغرات إلى العديد من المؤسسات دفعة واحدة.
• رفع الامتيازات: يحدث رفع الامتيازات عندما يحصل المهاجم على وصول بمستوى أعلى، منتقلاً من حساب مستخدم عادي إلى صلاحيات مدير على نظام أو شبكة.
• الهندسة الاجتماعية: الهندسة الاجتماعية هي استخدام الخداع من قبل المخترقين لخداع الناس كي يكشفوا معلومات سرية أو يوفّروا وصولاً غير مصرح به إلى الأنظمة.