كيف تبدو المصارف وجمعيات البناء في المملكة المتحدة لفحص خارجي

ما توصلنا إليه

هذه بيئة قوية وفق معايير ما نقيسه، وقائمة النتائج الجدية قصيرة. كلمات مرور موظفين مسروقة متداولة لدى ٢٢ من أصل ١٤٨ جهة مشمولة بالتقرير، بإجمالي ١٤٧ سجلًا، أي نحو سبعة لدى الجهة المتأثرة النموذجية. وهذا تعرّض محدود لا عميق، ويمكن لكل جهة إعادة تعيين بيانات الدخول تلك اليوم.

سبع وعشرون جهة لا تستطيع أن تطلب من أنظمة البريد المستقبِلة رفض الرسائل المزوَّرة باسمها. وبالنسبة لمصرف أو جمعية بناء، فإن لذلك أهمية تفوق ما يوحي به الرقم، لأن رسالة مزوَّرة تتعلق بحساب الشخص نفسه يُتصرَّف بناءً عليها بسرعة، وغالبًا من قِبل أقل الناس قدرة على تحمّل الخسارة.

لدى أربع جهات منفذ قاعدة بيانات يستجيب للإنترنت العام على عنوان خاص بها، من بين ست جهات لديها منفذ خطِر ما يستجيب. وتُظهر ست جهات أخرى المنافذ نفسها على عناوين مشتركة مع جهات لا علاقة لها بها فقط، ونوردها بشكل منفصل لأن مزوّد الخدمة وحده يستطيع إغلاقها. وجهة واحدة ورد اسمها في موقع تسريب لبرمجيات الفدية، وهذا ادعاء من مجموعة إجرامية يحتاج إلى مطابقته مع الكيان الصحيح والتاريخ الصحيح قبل أن يستخلص أحد أي استنتاج.

خمس جهات تشغّل برمجيات يوحي رقم إصدارها بوجود ثغرة مسجّلة. وقد طابقنا كلًّا منها مع القائمة العامة للثغرات المعروف أن المجرمين يستغلونها، ولم تكن أي منها عليها.

كيف تُقرأ الدرجات

لدى ١١٥ موقعًا درجة دقيقة، بمتوسط 77.0. ولدى ٣٣ موقعًا درجة حد أدنى، لأنها ردّت زائرًا آليًا، وهذا ضابط أمني يعمل لا خلل. وباحتساب تلك المواقع عند حدها الأدنى، يبلغ المتوسط عبر جميع المواقع الـ ١٤٨ ما قيمته 73.9. ويبلغ متوسط المصارف 76.4 وجمعيات البناء 78.4 على أساس الدرجات الدقيقة. وتختلف القائمتان في الحجم والتكوين، لذا فهذا الفارق ليس ترتيبًا. ولم تُنتج أربعة مواقع أي درجة قابلة للاستخدام، وهي مستبعدة.

ما هي هذه الدراسة، وما ليست عليه

فحصنا كل موقع من الخارج، كما يمكن لأي عميل أن يفعل. لم نسجّل الدخول إلى أي مكان، ولم نجرّب أي كلمة مرور، ولم نستغل أي شيء. لا شيء هنا يعني أن جهة ما قد اختُرقت، ولا شيء هنا حكم على الامتثال، ولا يسمّي التقرير أي جهة. وكل ما يجري داخل هذه الجهات، من رصد الاحتيال إلى الاستجابة للحوادث، غير مرئي من الخارج ولم يُقيَّم.

من أين تبدأ

أعد تعيين بيانات دخول أي موظفين وُجدت في مجموعات إجرامية واحمِها بالمصادقة متعددة العوامل. انشر سياسة بريد إلكتروني مضبوطة على رفض البريد المزوَّر أو تحويله إلى البريد العشوائي. أغلق أو قيّد أي منفذ لقاعدة بيانات أو للوصول عن بُعد يستجيب للإنترنت على عنوانك الخاص.