كيف يبدو مديرو الثروات والاستثمار في المملكة المتحدة لفحص خارجي

ما توصلنا إليه

تظهر كلمات مرور موظفين مسروقة لدى ٣٥ من أصل ١٨٤ شركة مشمولة بالتقرير، أي نحو واحدة من كل خمس، في مجموعات إجرامية لبيانات الدخول: ٩٥٣ سجلًا، بمتوسط ٢٧ لكل شركة متأثرة. وقد جُمع معظمها بواسطة برمجيات خبيثة على أجهزة الأفراد أنفسهم أو مصدره تسريبات من مواقع أخرى. لا نستطيع أن نرى ما إذا كان أي منها لا يزال يعمل، ولم نحاول ذلك، لكن كل شركة تستطيع إعادة تعيين بيانات الدخول تلك اليوم.

ثلاث وخمسون شركة لا تطلب من أنظمة البريد المستقبِلة رفض البريد المزوَّر باسمها أو تحويله إلى البريد العشوائي. وفي هذا القطاع، لذلك أهمية تفوق ما يوحي به الرقم. فالرسالة التي تبدو صادرة عن مستشار العميل، بشأن محفظته الخاصة، هي الخطوة الافتتاحية في احتيال تحويل المدفوعات، ولا يكلّف نشر هذا الإعداد شيئًا.

تظهر ست شركات في مواقع تسريب برمجيات الفدية. والإدراج ادعاء من المجموعة الإجرامية نفسها يحتاج إلى مطابقته مع الكيان الصحيح والتاريخ الصحيح قبل أن يستخلص أحد أي استنتاج. وتُظهر شركتان إصدار برمجيات يطابق ثغرة مدرجة في القائمة العامة للثغرات التي تُستغل. وكلتاهما الثغرة نفسها، التي يمكنها تعطيل موقع إلكتروني لكنها لا تتيح الوصول إلى البيانات.

لدى ست شركات منفذ خطِر يستجيب على عنوان لا تستخدمه سوى تلك الشركة، من بينها خادم قاعدة بيانات واحد محدَّد وخادم واحد لنقل الملفات. وتقع ١٤ حالة أخرى على عناوين مزوّدين مشتركة، ونوردها بشكل منفصل لأن مزوّد الخدمة وحده يستطيع تأكيدها أو إغلاقها.

وهناك أخبار جيدة أيضًا. لا تحمل أي شركة سجل تسريب معروف أو تحذير أمان في المتصفح، و١٣١ من أصل ١٨٤ شركة، أي ٧١%، ترفض البريد المزوَّر أو تحوّله إلى البريد العشوائي.

كيف تُقرأ الدرجات

لدى ١٥٠ شركة درجة دقيقة، بمتوسط 71.2. ولدى ٣٤ درجة حد أدنى، لأن موقعها ردّ زائرًا آليًا، وهذا ضابط أمني يعمل لا خلل. وباحتسابها عند حدها الأدنى، يبلغ المتوسط عبر الشركات الـ ١٨٤ كلها 69.0. ويبلغ متوسط مديري الثروات 70.4 ومديري الاستثمار 72.2 على أساس الدرجات الدقيقة. وتشترك القائمتان في ٢١ شركة، لذا فهذا الفارق ليس ترتيبًا. ولم تُنتج تسعة مواقع أي درجة قابلة للاستخدام، وهي مستبعدة.

ما هي هذه الدراسة، وما ليست عليه

فحصنا موقع كل شركة من الخارج، كما يمكن لأي عميل أن يفعل. لم نسجّل الدخول إلى أي مكان، ولم نجرّب أي كلمة مرور، ولم نستغل أي شيء. لا شيء هنا يعني أن شركة ما قد اختُرقت، ولا شيء هنا حكم على الامتثال، ولا يسمّي التقرير أي شركة. وسجلات العملاء البالغة ٧٥٬٦٩٦ والمرتبطة بـ ١٠٢ شركة تعود إلى أفراد من العامة أُصيبت أجهزتهم الخاصة. وهي ليست تسريبًا من أي شركة.

من أين تبدأ

أعد تعيين بيانات دخول أي موظفين وُجدت في مجموعات إجرامية واحمِها بالمصادقة متعددة العوامل. انشر سياسة بريد إلكتروني مضبوطة على رفض البريد المزوَّر أو تحويله إلى البريد العشوائي. أغلق أو قيّد أي منفذ لقاعدة بيانات أو لنقل الملفات يستجيب للإنترنت، وطبّق التصحيح ضد HTTP/2 Rapid Reset.