برمجيات الفدية (Ransomware) تشفّر ملفات المنشأة وقواعد بياناتها، من الحسابات إلى بيانات العملاء، ثم يطلب المهاجمون مالًا، غالبًا بعملات مشفرة، مقابل مفتاح فك التشفير. وكثير منهم يسرق البيانات قبل تشفيرها ويهدد بنشرها. والهجوم لا يستهدف الشركات الكبيرة وحدها؛ فالمنشآت الصغيرة والمتوسطة هدف سهل حين تكون حمايتها ضعيفة. يشرح هذا الدليل كيف تبدأ الهجمات عادة، وما الذي يحميك فعلًا، وماذا تفعل إذا وقع الهجوم.
1. كيف تدخل برمجيات الفدية؟
أشهر الطرق التي يرصدها دليل وكالة الأمن السيبراني الأمريكية (CISA) لمكافحة برمجيات الفدية:
- رسائل التصيد: بريد يبدو كفاتورة أو إشعار شحن، فيه مرفق خبيث أو رابط لسرقة كلمة المرور.
- الوصول عن بعد المكشوف: خدمة سطح المكتب البعيد (RDP) أو بوابات VPN مفتوحة على الإنترنت بكلمات مرور ضعيفة ودون تحقق متعدد العوامل.
- ثغرات غير محدثة: في أنظمة التشغيل والخوادم والأجهزة المتصلة بالإنترنت.
- بيانات دخول مسروقة: كلمات مرور موظفين تسربت من مواقع أخرى أو من أجهزة مصابة.
وأغلب هذه الطرق تُغلق بإجراءات معروفة: تدريب الموظفين، وتحديث الأنظمة، والتحقق متعدد العوامل، وعدم كشف خدمات الإدارة على الإنترنت.
2. ماذا يحدث بعد الاختراق؟
نادرًا ما يبدأ التشفير فور دخول المهاجم. في العادة يتنقل أولًا داخل الشبكة (الحركة الجانبية)، ويحاول الحصول على صلاحيات مدير النظام والوصول إلى الخوادم الرئيسية وقواعد البيانات، ويبحث عن النسخ الاحتياطية المتصلة بالشبكة ليحذفها أو يشفرها. ثم ينسخ البيانات الحساسة إلى خارج المنشأة قبل التشفير، ليهدد بنشرها إذا لم تُدفع الفدية، وهو ما يُعرف بـالابتزاز المزدوج.
لذلك فالرصد المبكر مهم: سجلات الدخول والأحداث الأمنية تكشف المهاجم وهو يتنقل قبل أن يشفّر. راجع سجل الأحداث الأمنية.
3. النسخ الاحتياطي: خط النجاة
النسخة الاحتياطية السليمة المعزولة هي ما يسمح لك باستعادة عملك دون التفاوض مع المجرمين. والقاعدة الشائعة 3-2-1: ثلاث نسخ من البيانات، على وسيطين مختلفين، منها نسخة خارج الموقع. وتضيف بعض الجهات إليها:
- نسخة غير متصلة أو غير قابلة للتعديل (Immutable): نسخة لا يمكن حذفها أو تغييرها خلال مدة الحفظ، حتى بحساب مدير النظام، أو نسخة مفصولة تمامًا عن الشبكة.
- اختبار الاستعادة: نسخة لم تُجرَّب استعادتها قد لا تعمل وقت الحاجة. اختبر الاستعادة دوريًا وسجّل كم تستغرق.
وأبقِ بيانات الدخول إلى نظام النسخ الاحتياطي منفصلة عن حسابات الشبكة العادية، حتى لا يصل إليها المهاجم إذا سيطر على الشبكة.
4. قسّم الشبكة وقلّل الصلاحيات
في الشبكة المفتوحة ينتقل المهاجم من جهاز موظف إلى خادم الحسابات بسهولة. للحد من ذلك:
- قسّم الشبكة إلى أجزاء منفصلة (VLANs) يفصل بينها جدار حماية، فلا تصل أجهزة المكاتب أو نقاط البيع إلى الخوادم إلا بما تحتاجه فعلًا.
- أغلق RDP المكشوف على الإنترنت، واجعل الوصول عن بعد عبر VPN مع تحقق متعدد العوامل.
- الحد الأدنى من الصلاحيات: لا يعمل الموظفون بحسابات مدير، وتُستخدم حسابات الإدارة للمهام الإدارية فقط.
- راجع الحسابات عند انتقال موظف أو مغادرته؛ انظر مراجعة صلاحيات الحسابات.
ولا يمكنك حماية ما لا تعرف بوجوده؛ ابدأ بـسجل الأصول التقنية لتعرف كل جهاز وبرنامج متصل بشبكتك.
5. خطة الاستجابة ومسألة دفع الفدية
جهّز خطة مكتوبة قبل الهجوم، تحدد من يقرر، ومن يتواصل مع مزود الخدمة والبنك والعملاء، وأين أرقام الطوارئ مطبوعة على ورق. وعند اكتشاف هجوم:
- اعزل الأجهزة المصابة عن الشبكة فورًا (افصل الكابل أو الشبكة اللاسلكية).
- لا تحذف شيئًا ولا تعيد التثبيت قبل توثيق ما حدث، فالأدلة تساعد في التحقيق ومعرفة طريقة الدخول.
- أبلغ المركز الوطني للاستجابة لطوارئ الحاسب (EG-CERT) والجهات المختصة بمكافحة جرائم تقنية المعلومات؛ راجع قانون مكافحة جرائم تقنية المعلومات رقم 175 لسنة 2018. وإذا تسربت بيانات شخصية فراجع التزاماتك في قانون حماية البيانات الشخصية رقم 151 لسنة 2020.
- استعد العمل من نسخة احتياطية نظيفة بعد إغلاق الثغرة التي دخل منها المهاجم وتغيير كلمات المرور.
أما دفع الفدية فتنصح جهات الأمن السيبراني بعدم دفعها: الدفع لا يضمن استعادة البيانات ولا يمنع نشر ما سُرق، ويمول هجمات أخرى، وقد يجعل المنشأة هدفًا مرة ثانية.
دور منصة الغرفة
المنصة لا تقدم خدمات أمن سيبراني ولا تستجيب لحوادث الاختراق في المنشآت؛ فالإبلاغ يكون إلى EG-CERT والجهات المختصة. ما تقدمه المنصة: ملخصات قانون مكافحة جرائم تقنية المعلومات وقانون حماية البيانات الشخصية في قوانين تهمك، ومقالات عملية مثل سجل الأصول التقنية وتأمين أجهزة نقاط البيع.
الخلاصة
درّب موظفيك على رسائل التصيد، وحدّث الأنظمة، وفعّل التحقق متعدد العوامل وأغلق RDP المكشوف، وقسّم الشبكة وقلّل الصلاحيات، واحتفظ بنسخة احتياطية معزولة أو غير قابلة للتعديل واختبر استعادتها، واكتب خطة استجابة قبل أن تحتاجها.