اختراق ConnectWise: تجسس صيني على آلاف الشركات بمساعدة وكلاء ذكاء اصطناعي

تشهد ساحة الأمن السيبراني فصلاً جديداً من الحوادث التي تستهدف «حلقة الوسط» في سلسلة التوريد التقنية، أي الشركات التي تدير أنظمة غيرها. فقد كشفت تحقيقات أجراها باحثون في مايكروسوفت أن مجموعة قرصنة مرتبطة بالدولة الصينية تمكنت من النفاذ إلى خدمة النسخ الاحتياطي السحابي التابعة لشركة ConnectWise، وهي من أكبر مزودي حلول الإدارة عن بُعد وإدارة تقنية المعلومات، لتستخدم ذلك النفاذ في التجسس على آلاف الشركات العميلة.

كيف وقع الاختراق؟

جوهر المشكلة لم يكن ثغرة في أنظمة الشركات المتضررة نفسها، بل في بيانات الاعتماد المخزّنة لدى المزوّد. فخدمة النسخ الاحتياطي تحتاج إلى صلاحيات ربط مع بيئة العميل حتى تتمكن من سحب البيانات وأرشفتها. وبحسب ما ورد، استولى المهاجمون على بيانات اعتماد التطبيقات التي تُستخدم لإنشاء هذه الروابط بين ConnectWise وعملائها من المؤسسات.

بامتلاك هذه المفاتيح، أصبح بإمكان المهاجمين تسجيل الدخول إلى بيئات العملاء المستضافة على خدمات مايكروسوفت كما لو كانوا مستخدمين مصرّحاً لهم، والوصول إلى رسائل البريد الإلكتروني والملفات والمستندات الداخلية. وهذا النوع من الوصول يصعب اكتشافه، لأن حركة الدخول تبدو في السجلات نشاطاً مشروعاً صادراً عن تطبيق موثوق.

سرعة هجوم تتجاوز قدرة الدفاع البشري

الجانب الأبرز في هذه الحادثة ليس الاختراق في ذاته، بل وتيرته. فقد أشارت مايكروسوفت إلى أن المهاجمين استعانوا بوكلاء ذكاء اصطناعي لتنفيذ العملية على نطاق واسع، فاستهدفوا ما يقارب 2250 مؤسسة بمعدل بلغ نحو 3000 محاولة تسجيل دخول في الدقيقة الواحدة.

هذه الأرقام تعني عملياً أن فرق الحماية لم تحصل على وقت كافٍ للكشف والاستجابة. فالمنهجية التقليدية في الاستجابة للحوادث تفترض وجود فاصل زمني بين بداية النشاط المشبوه واتساعه، أما في هذه الحالة فقد انتهى الاختراق الواسع قبل أن تُصدر أنظمة المراقبة تنبيهاتها وتُراجع من قِبل محللين بشريين.

أدوات مفتوحة المصدر في خدمة الهجوم

أُرجعت هذه السرعة إلى استخدام إطار عمل ذكاء اصطناعي مفتوح المصدر يُعرف باسم ARTEX، صُمم في الأصل لاختبار صلابة الدفاعات السيبرانية عبر إخضاعها لضغط آلي. ويُشار إلى أن الأداة ذاتها ظهرت في حادثة سابقة استهدفت أنظمة مالية في كوريا الجنوبية، كان كثير منها يعاني ضعفاً في الإعدادات الأمنية وافتقاراً إلى المصادقة متعددة العوامل.

هذا يعيد طرح إشكالية مزدوجة الاستخدام في أدوات الأمن: الأداة التي تساعد الفرق الدفاعية على اكتشاف نقاط ضعفها هي نفسها التي يمكن توجيهها للهجوم إذا سقطت بين يدي جهة خبيثة ومُنحت موارد حسابية كافية.

موقف الشركة والإجراءات المتخذة

أعلنت ConnectWise أنها أوقفت الوصول إلى نظام النسخ الاحتياطي السحابي مؤقتاً، وأنها تُجري تحقيقاً في الحادثة، مع العمل على إعادة تشغيل الخدمة تدريجياً. وهذا القرار، على الرغم من تكلفته التشغيلية على العملاء، يُعدّ خطوة منطقية لقطع قناة الوصول قبل تقييم حجم الضرر.

ماذا ينبغي أن تفعل المؤسسات؟

الدرس الأهم أن ثقة المؤسسة بمزوّدها لا تُغني عن الرقابة. وفيما يلي إجراءات عملية ينبغي مراجعتها فوراً:

• جرد جميع التطبيقات الخارجية التي تمتلك صلاحيات على بيئة البريد والملفات، وإلغاء ما لم تعد له حاجة فعلية.
• تقليص الصلاحيات إلى الحد الأدنى اللازم، فخدمة النسخ الاحتياطي لا تحتاج دائماً إلى صلاحيات قراءة شاملة.
• تدوير أسرار التطبيقات ومفاتيح الربط دورياً، وبعد أي حادثة تمسّ مزوّداً من مزوّدي الخدمة.
• تفعيل المصادقة متعددة العوامل على جميع الحسابات دون استثناء، ومراقبة الاستثناءات المخصصة للتطبيقات.
• ضبط تنبيهات تلقائية على الأنماط غير الطبيعية مثل محاولات الدخول المتسارعة أو الوصول من نطاقات جغرافية جديدة.
• الاعتماد على استجابة آلية جزئية، لأن مواجهة هجوم بسرعة الآلة تحتاج دفاعاً بسرعة مماثلة.

خلاصة

تؤكد هذه الحادثة أن سلسلة التوريد البرمجية أصبحت الهدف الأكثر جاذبية للمهاجمين، لأن اختراق مزوّد واحد يفتح أبواب آلاف العملاء. ومع دخول وكلاء الذكاء الاصطناعي على خط التنفيذ، تغيّر معيار الزمن في الأمن السيبراني: لم تصبح المسألة مسألة أيام أو ساعات، بل دقائق. وعلى المؤسسات أن تبني برامجها الأمنية على افتراض أن المزوّد قد يُخترق، وأن تُصمّم الحدود والصلاحيات بما يحدّ من أثر ذلك عند حدوثه.

✦ بقلم فريق دروب أيديا