كلمات مرور موظفين مسروقة متداولة لدى ثلث المجالس المحلية في المملكة المتحدة

لماذا يهم ذلك

المجلس المحلي هو الجهة التي لا يملك المقيم خيار عدم التعامل معها. فضريبة المجلس والإسكان والمقاعد المدرسية والإعانات ومواقف السيارات والرعاية الاجتماعية كلها تترك معلومات شخصية لدى سلطة لا يملك المقيم خيارًا واقعيًا لاستبدالها بغيرها. كما أن الرسالة التي تبدو صادرة عن مجلس تحمل ثقل مؤسسة ذات صلاحيات قانونية، فيُتصرَّف بناءً عليها بسرعة.

ومع ذلك تقع المجالس المحلية خارج اللوائح الرئيسية للأمن السيبراني في المملكة المتحدة، دون جهة تنظيمية مخصّصة. وما يوجد هو إطار للتقييم الذاتي لا التزام.

معظم الأرقام المنشورة في هذا الشأن تأتي من مسوح، مثل Cyber Security Breaches Survey الحكومي، أو من أعمال تدقيق تُجرى داخل الحكومة، مثل أعمال National Audit Office. وكلاهما يعتمد على ما تُبلغ به الجهات عن نفسها. هذه الدراسة لم تسأل أحدًا عن أي شيء. كل رقم ملاحظة مأخوذة من الخارج بالفحوصات نفسها على كل موقع: ما يُظهره قطاع ما للعالم، لا ما يعتقده عن نفسه.

ما يحتاج إلى اهتمام

كلمات مرور موظفين في مجموعات إجرامية: ١٢٢ من أصل ٣٧٩ مجلسًا، ٥٠٦ سجلات. نحو أربعة سجلات لدى المجلس المتأثر النموذجي — تعرّض واسع لا عميق. وهذه مفاتيح لأنظمة المجلس نفسه، ويستطيع المجلس استعادتها اليوم.

ثلاثة مجالس تشغّل برمجيات فيها ثغرة معروف أن المجرمين يستخدمونها الآن، مدرجة في الفهرس العام للثغرات التي تُستغل في الواقع لا المسجّلة في مكان ما فحسب. اثنتان منها الخلل نفسه في جانب المتصفح ضمن إصدار قديم من مكتبة مواقع واسعة الاستخدام، على عناوين لمزوّدين في إنجلترا وأيرلندا الشمالية؛ والثالثة على عنوان مسجّل باسم المجلس نفسه، في برمجية خادم ويب تجاوزت نهاية فترة دعمها. وقد طوبقت الثلاث جميعها بناءً على أرقام الإصدارات، وربما صُحّحت بالفعل.

لدى ١٦ مجلسًا خلل في أنظمتها الخاصة يصادفه أي زائر أو نظام بريد. ١٤ منها تعلن سياسة تحمي بريدها الوارد لكنها تقدّمها بطريقة لا يستطيع أي نظام بريد قراءتها، غالبًا بسبب مشكلة في الشهادة، لذا فالحماية التي أعدّتها لا تعمل. وكل خلل يُعالج بتغيير في الإعدادات.

لدى ١٢ مجلسًا خدمة تستجيب للإنترنت يُرجَّح أنها لا ينبغي أن تستجيب، مثل الوصول عن بُعد أو نقل الملفات أو أداة إدارة، على عناوين غير مشتركة مع جهات لا علاقة لها بها. ١٠ منها على منفذ قاعدة بيانات، وهذه الـ ١٠ ضمن الـ ١٢. ولم تُحدَّد خدمة فعلية إلا لدى ٤، منها ٣ قواعد بيانات؛ أما البقية فالسؤال الأول هو ما إذا كان هناك أي شيء يستمع أصلًا.

وتقع ٤ حالات أخرى على عناوين مشتركة مع جهات لا علاقة لها بها، دون تحديد أي خدمة. ونوردها بشكل منفصل لأن أي مجلس لا يستطيع إغلاقها بمفرده؛ فأي ثغرة هناك تطال كل جهة على المنصة.

٢٧ مجلسًا لا تُلزم الزوار باستخدام اتصال آمن، لذا يمكن قراءة أي شيء يُكتب في تلك الصفحات أو تعديله في الطريق. وقد احتسب الرقم الأعلى في الإصدار السابق المواقع التي رفضت الطلب العادي لأداة الفحص لدينا على أنها مُخفقة؛ وهي تُحتسب الآن على أنها غير معروفة، لذا لا ينبغي مقارنة الرقمين.

هذه الصفوف متداخلة ويجب ألا تُجمع معًا. ١٦٥ مجلسًا، أي ٤٤%، لديها بند جدي واحد على الأقل، ومعظمها بسبب كلمات مرور الموظفين. ويحتاج كل بند إلى تحقق سري قبل التعامل معه على أنه حقيقة.

ما يسير على ما يرام

لا إدراج واحد في مواقع برمجيات الفدية، ولا سجل تسريب، ولا تحذير أمان في المتصفح في أي من عمليات الفحص الـ ٣٧٩.

٢٢٧ مجلسًا، أي ٦٠%، تطلب من أنظمة البريد الأخرى رفض البريد المزوَّر باسمها، و١٧ فقط لم تبدأ بعد. وتنشر جميع المجالس الـ ٣٧٩ السجل الذي يحدد خوادم بريدها. وقد فعلت المجالس ذلك إلى حد كبير دون أي قانون يُلزمها به.

ثلاث درجات دقيقة فقط تقع في الفئة الأدنى، وجميعها في إنجلترا.

الدرجات

أكملت جميع المواقع الـ ٣٧٩ الفحص. وأنتج ٢٩١ منها درجة دقيقة، بمتوسط 76.3. واحتساب ٦٢ درجة أخرى من فئة الحد الأدنى عند حدها الأدنى يعطي 74.1 عبر ٣٥٣ موقعًا — وهو الرقم الأكثر تحفظًا المتاح. استخدم 76.3 للوضع المقيس للقطاع و74.1 للوضع المتحفظ.

تردّ بعض مواقع المجالس على الزائر الآلي بصفحة حماية بدلًا من الصفحة الرئيسية الحقيقية، وهذا عادةً ضابط أمني يعمل. وحيث كانت هذه الفجوة الوحيدة، تكون الدرجة حدًا أدنى: لا يمكن أن يكون الرقم الحقيقي إلا مساويًا أو أعلى. ولا درجة لـ ٢٦ موقعًا: ١٥ بسبب خلل في أنظمة المجلس نفسه، و٥ لم يستجب خادم سياسة البريد فيها لأداة الفحص لدينا، و٦ لم يستجب موقعها إطلاقًا. وتظل نتائجها محتسبة في كل رقم في هذه الصفحة.

ما ليست عليه هذه الدراسة

ليست ادعاءً بأن أي مجلس قد اختُرق: لم نستطع رؤية ما بداخل أي منها ولم نحاول ذلك. وليست تدقيقًا ولا اختبار اختراق ولا حكمًا على الامتثال. وليست جدول ترتيب، ولا ترتّب الدول الأربع. ولا يُسمّى أي مجلس.

الخصوصية

٢٤٣ من أصل ٣٠٨ صفحات رئيسية تمكّنا من قراءتها لم تُظهر أي آلية للموافقة على ملفات تعريف الارتباط. وهذا سبب لفتح الموقع في متصفح ومراقبته، لا نتيجة: فهناك تفسيرات بريئة، والجهة التنظيمية تختبر تحديدًا السلوك الذي لا يستطيع فحص خارجي رؤيته.

وبشكل منفصل، تعود ٤٦٬٩٤٨ سجلًا عبر ٣٥٩ موقعًا إلى حسابات المقيمين أنفسهم على خدمات المجالس، من أجهزة المقيمين المصابة. ولا يستطيع أحد في المجلس إعادة تعيينها؛ وحده المقيم يستطيع ذلك.

من أين تبدأ

1. عالج الثغرات الثلاث المستغَلة فعليًا هذا الأسبوع. تأكّد من الإصدار المشغَّل قبل أي شيء آخر، وتواصل مع المجلس بشكل سري أولًا؛ والاثنتان على عناوين المزوّدين تتطلبان إشراك المزوّد.
2. أصلح الأعطال الـ ١٦ في أنظمة المجالس نفسها. قدّم سياسة البريد المعلنة بالفعل بشهادة صالحة، أو اسحبها إلى أن يمكن تقديمها، وأرسل سلسلة الشهادات الكاملة أو صحّح إعادة التوجيه في الحالتين الأخريين.
3. افحص الخدمات المكشوفة الـ ١٢، ١٠ منها على منفذ قاعدة بيانات. تأكّد من مالك كل عنوان. وحيث لم يُحدَّد أي شيء على المنفذ المُنبَّه عليه، فالسؤال الأول هو ما إذا كان هناك أي شيء يستمع أصلًا.
4. أعد تعيين كلمات مرور الموظفين — أعد التعيين، وأنهِ الجلسات النشطة، وتأكّد من تسجيل الدخول متعدد العوامل. ولا تختبر أبدًا كلمة مرور مستردّة.
5. ألزِم كل زائر باستخدام اتصال آمن في المجالس الـ ٢٧ التي لا تفعل ذلك، واختبر التوافق قبل تفعيله.
6. أكمل العمل على البريد المزوَّر، بحذر. ينبغي للمجالس الـ ١٧ التي تفتقر إلى سياسة بريد أو تقتصر سياستها على المراقبة أن تحصر كل المرسلين المشروعين وتراقب قبل التطبيق، دون القفز مباشرةً إلى الرفض.

الحالات الـ ٤ لدى المزوّدين المشتركين سؤال يُوجَّه إلى المزوّد، ونوردها بشكل منفصل لأن أي مجلس لا يستطيع إغلاقها بمفرده.