كيف تبدو المكاتب العائلية في المملكة المتحدة لفحص خارجي

ما توصلنا إليه

واحد وثمانون من أصل ١٢٨ مكتبًا عائليًا مشمولًا بالتقرير، أي ٦٣%، لا تطلب من أنظمة البريد المستقبِلة رفض البريد المزوَّر باسمها أو تحويله إلى البريد العشوائي، و٤٥ منها لا تنشر أي تعليمات قابلة للاستخدام إطلاقًا. و٢٠ فقط تطلب الرفض الصريح. والمكتب العائلي موجود لتنفيذ تعليمات مكتوبة بتحويل أموال العائلة، وهذا بالضبط ما يقلّده احتيال تحويل المدفوعات. ولا يكلّف نشر هذا الإعداد شيئًا، وقد أنجز ١٢٢ من أصل ١٢٨ العمل التمهيدي بالفعل بنشر سجل يحدد الخوادم المسموح لها بإرسال بريدها.

لدى خمس عشرة شركة منفذ خطِر يستجيب للإنترنت ويُحتسب ضد الشركة. وحُدّد منتج قاعدة بيانات لدى خمس منها، والخمس جميعها على خوادم استضافة مشتركة تحمل أيضًا مواقع جهات أخرى. وتقع ١٢ حالة أخرى على عناوين مزوّدين مشتركة دون تحديد أي شيء، ونوردها بشكل منفصل لأن مزوّد الخدمة وحده يستطيع تأكيدها أو إغلاقها. وست وعشرون من الحالات الـ ٢٧ تتضمن تسجيل دخول لنقل الملفات، لذا فمعظم ذلك سؤال واحد يُوجَّه إلى عدد قليل من مزوّدي الاستضافة.

تُظهر أربع شركات إصدار برمجيات يطابق ثغرة مدرجة في القائمة العامة للثغرات التي تُستغل. والأولى بالفحص أولًا ثغرة في خادم الويب Apache يمكن أن تكشف ملفات، وفي بعض الإعدادات أن تسمح بتشغيل تعليمات برمجية. واثنتان ثغرة لا يمكنها سوى تعطيل موقع إلكتروني، وواحدة تتعلق بتعليمات برمجية تُقدَّم إلى متصفحات الزوار. وورد اسم شركة واحدة في مواقع تسريب برمجيات الفدية من قِبل ثلاث مجموعات مختلفة. والإدراج ادعاء من المجموعة الإجرامية نفسها يحتاج إلى مطابقته مع الكيان الصحيح والتاريخ الصحيح قبل أن يستخلص أحد أي استنتاج.

كلمات المرور المسروقة هي المفاجأة. فلم تُعِد المجموعات الإجرامية لبيانات الدخول أي سجلات لحسابات موظفين ولا لحسابات عملاء لأي من الشركات الـ ١٢٨، وإنما خمسة سجلات منفردة فقط لهويات موظفين على منصات أخرى. وهذا يعكس مكاتب صغيرة بعدد قليل من الموظفين ودون بوابات للعملاء، لا دليلًا على الأمان، ولا يقول شيئًا عن حسابات البريد الشخصية والأجهزة الشخصية التي كثيرًا ما يجري عبرها عمل المكاتب العائلية.

وهناك أخبار جيدة أيضًا. لا تحمل أي شركة سجل تسريب معروف أو تحذير أمان في المتصفح، والشهادات في حالة جيدة مع خلل واحد فقط عبر الشركات الـ ١٢٨ كلها، و١١٣ لا تقبل إلا التشفير الحديث.

كيف تُقرأ الدرجات

لدى ١١٣ شركة درجة دقيقة، بمتوسط 60.7، مقابل 71.2 لمديري الثروات في المملكة المتحدة في تقريرنا الصادر في ١ أكتوبر. وتبلغ إحدى عشرة شركة الفئة الجيدة البالغة ٧٥ فأكثر، وتقع ١٨ في فئة المعرّضة للخطر دون ٥٠. ولدى خمس عشرة درجة حد أدنى، لأن موقعها ردّ زائرًا آليًا، وهذا ضابط أمني يعمل لا خلل. وباحتسابها عند حدها الأدنى، يبلغ المتوسط عبر الشركات الـ ١٢٨ كلها 59.5. ولم تُنتج أربعة مواقع أي درجة قابلة للاستخدام، وهي مستبعدة.

ما هي هذه الدراسة، وما ليست عليه

فحصنا موقع كل شركة من الخارج، كما يمكن لأي عميل أن يفعل. لم نسجّل الدخول إلى أي مكان، ولم نجرّب أي كلمة مرور، ولم نستغل أي شيء. لا شيء هنا يعني أن شركة ما قد اختُرقت، ولا شيء هنا حكم على الامتثال، ولا يسمّي التقرير أي شركة. وكثير من المكاتب العائلية الفردية تقع خارج تنظيم FCA، ولا يدّعي التقرير أي شيء بشأن الوضع التنظيمي لأي شركة.

من أين تبدأ

احصر كل نظام يرسل بريدًا باسم المكتب، ثم انشر سياسة بريد تنتقل من المراقبة إلى التحويل إلى البريد العشوائي ثم إلى الرفض. اسأل مزوّد الاستضافة عن المنافذ التي يُفترض أن يمكن الوصول إليها، وأغلق نقل الملفات أو افرض التشفير عليه. تأكّد من إصدار البرمجية وراء أي تطابق مع ثغرة معروف استغلالها، بدءًا بـ Apache. وانشر سياسة قصيرة للإفصاح عن الثغرات ليتمكن أي شخص يجد مشكلة من الإبلاغ عنها بشكل سري.