نحو نصف الجمعيات الخيرية في المملكة المتحدة لديها كلمات مرور موظفين في مجموعات إجرامية لبيانات الدخول — وست من كل عشر من كبراها

شخص يمشي في شارعك

وهذا بالضبط ما يفعله هذا التقييم. كلمات مرور الموظفين المتداولة في المجموعات الإجرامية هي المفتاح الاحتياطي تحت الممسحة — لا يعني ذلك أن أحدًا استخدمه، لكن شخصًا آخر يعرف مكانه. وصفحة تسجيل الدخول المسجّلة إلى جانب تلك الكلمات هي معرفة أي باب يفتحه المفتاح. والخدمة التي يمكن الوصول إليها من الإنترنت دون حاجة هي البوابة الجانبية التي لا يتذكر أحد أنه تركها غير موصدة.

كلمة المرور المسروقة نصف اختراق

تصبح بيانات الدخول أكثر فائدة بكثير للمهاجم عندما تسجّل المجموعة الإجرامية نفسها أيضًا الصفحة التي تُستخدم فيها. وهذا الاقتران هو النتيجة الأكثر قابلية للتصرّف في هذه الدراسة — وهو ليس مجموعة جزئية. كل جهة لديها بيانات دخول موظفين مكشوفة لديها أيضًا صفحات تسجيل الدخول الداخلية الخاصة بها مسجّلة إلى جانبها: ٦٥ من أصل ٦٥ في مجموعة الأشهر، و٩٩ من أصل ٩٩ حسب الدخل. حيث يوجد المفتاح، يوجد العنوان أيضًا.

وفي إحدى الحالات شملت تلك الصفحات بوابة وظائف وبوابة سطح مكتب بعيد — وهو نوع الأبواب الذي يُفضي إلى شبكة داخلية لا إلى موقع إلكتروني.

المفتاح وحده محدود الفائدة للغريب. أما المفتاح المرفق بعنوانه فأمر مختلف.

الحل ليس لافتًا لكنه ناجع: أعد تعيين بيانات الدخول، وافرض المصادقة متعددة العوامل، وألغِ الجلسات المفتوحة بالفعل.

الميزانيات الأكبر لم تُزل التعرّض

حققت المجموعتان المتوسط الخارجي نفسه البالغ ٦٥. ولم يُترجَم الدخل الأعلى إلى وضع خارجي أفضل بشكل ظاهر — فالفروق في التفاصيل، وتسير في الاتجاهين. فمجموعة الدخل تحمل تعرّضًا أكبر في بيانات الدخول، ولدى مجموعة الأشهر خدمات أكثر تستجيب من الإنترنت. هذه فروق في التعرّض، لا في الكفاءة.

خطر انتحال الهوية هو الخطر الذي تشعر به الجمعيات الخيرية

تعتمد الجمعيات الخيرية على الثقة بدرجة غير اعتيادية، ويمكن لرسالة احتيالية مقنعة أن تستغل اسم جمعية خيرية حتى لو لم تُخترق الجمعية نفسها. ونحو ثلث كل مجموعة لا يطلب من أنظمة البريد المستقبِلة رفض الرسائل المزوَّرة.

الانتقال إلى سياسة مُلزِمة منخفض التكلفة، لكنه ليس مفتاحًا يُقلَب: حدّد المرسلين المشروعين، وراقب أولًا، ثم انتقل إلى الرفض بعد ذلك فقط، حتى لا يطال ذلك بريد جمع التبرعات وأنظمة CRM والمورّدين الحقيقي.

ما لم نستطع رؤيته

الوقوف في الشارع لا يخبرك بشيء عن نظام الإنذار أو الخزنة أو أقفال الأبواب الداخلية. وكثير من هذه الجهات لديها على الأرجح وسائل حماية جيدة لا نستطيع ببساطة رصدها.

كانت التغطية شبه كاملة لا كاملة: ٢١٤ من أصل ٢٢٠ من أشهر الجمعيات الخيرية و ٢٣٢ من أصل ٢٣٦ من الأكبر دخلًا أنتجت نتيجة مكتملة. ولم تُنتج تسع جهات أي نتيجة، وهي محتسبة على أنها غير مقيَّمة لا محذوفة — لذا فكل نسبة هنا محسوبة على المجموعات المتابَعة كاملةً، ولا تُجمَّل أي منها بمقام أصغر.

المنهجية الكاملة وملاحظات المجموعة المدروسة والتفسير موجودة في مذكرة المنهجية.

من أين تبدأ

يحدد التقرير الكامل سبع خطوات. وتحقق الثلاث الأولى معظم الفائدة:

1. تحقّق من بيانات دخول الموظفين المكشوفة وتصرّف بناءً على ما تجده — أعد التعيين، وافرض MFA، وألغِ الجلسات النشطة، بدءًا بمزوّدي الهوية والبريد الإلكتروني والمالية وCRM والوصول عن بُعد.
2. افرض المصادقة متعددة العوامل حيثما كان لها أهمية — فهي تُزيل معظم قيمة كلمة المرور المسروقة.
3. احمِ اسمك من البريد المزوَّر — انقل SPF وDKIM وDMARC نحو سياسة مُلزِمة، بعد المراقبة.

الخطوتان الرابعة والخامسة تتعلقان بالمورّدين، وهما ما يستطيع مجلس الإدارة التصرّف بشأنه دون أي عمل تقني إطلاقًا: اعرف ما يحتفظ به كل مورّد جوهري لديك، واجعل تقديم معلومات سريعة عن الحوادث خاصة بالجمعية شرطًا تعاقديًا. لا يستطيع التحقق من المورّدين منع إخفاق داخل أنظمة جهة أخرى. لكن ما يستطيعه هو تقصير زمن استجابتك.

الاستنتاج المفيد

ليس الاستنتاج أن الجمعيات الخيرية تُخفق. بل إن جزءًا كبيرًا من المرونة السيبرانية يتكوّن من قرارات صغيرة يمكن إدارتها — وإن هذا القطاع ينطلق من ثقة عامة عالية، وأشخاص ملتزمين، وعدم وجود أي علامة ظاهرة على الاختراق عبر ٣٨٠ جهة. إنها قائمة قصيرة من الأمور الجديرة بالتنفيذ، وهناك متسع من الوقت لتنفيذها.