لندن -»القدس العربي»: أطلقت دراسة جديدة تحذيراً من استخدام الموظفين لشبكات التواصل الاجتماعي خلال تواجدهم في شركاتهم وأدائهم أعمالهم، إضافة إلى خدمات تخزين الملفات عبر الانترنت، معتبرة أنها من الوسائل التي ينفذ من خلالها القراصنة والمخترقون وتتسبب بخسائر فادحة للشركات وقطاع الأعمال.
وأشارت الدراسة الصادرة عن شركة «سيكيور ووركس» المتخصصة في أمن المعلومات وحماية الشبكات إلى أن مجرمي الإنترنت يواصلون الاستفادة من خدمات الإنترنت الشائعة من أجل استهداف بيانات الشركات، وخاصة شبكات التواصل الاجتماعي التي تمثل ثغرة مهمة يستفيدون منها. ولا تزال وسائل التواصل الاجتماعي تشكل مصدراً قوياً لشن مجموعة كبيرة من التهديدات الالكترونية، حيث يتم استخدام المعلومات المستمدة من هذه المواقع كوسيلة لمعرفة الضحايا المستهدفين، وتطويعهم اجتماعياً.
وتقول الدراسة إنه على مدى الأشهر الـ 12 الماضية استعان مجرمو الإنترنت المتطورون بشبكات التواصل الاجتماعي من أجل جمع المعلومات الداعمة لشن هجمات مصممة بدرجة عالية من الاعتمادية، والمقنعة على الصعيد الاجتماعي. وجاءت غالبية هذه الهجمات على شكل رسائل احتيال عبر البريد الإلكتروني، أرسلت إلى بعض الأشخاص الذين يشغلون وظائف محددة ضمن المؤسسات المستهدفة.
كما تبين أن الجهات التي تقف وراء مثل هذه الهجمات تستعين بخدمات التوظيف عبر الإنترنت، ومنصات الشبكات التجارية الشائعة، كوسيلة لتحديد صفات بعض الأفراد العاملين ضمن المؤسسات التي يحاولون استهدافها. وفي بعض الحالات، قامت الجهات التي تقف وراء هذه الهجمات بتوطيد علاقاتهم مع ضحاياهم المستهدفين، والتي تم استغلالها فيما بعد كجزء من محاولات الاختراق.
وعلى سبيل المثال، قامت بعض الجهات الفاعلة والمتطورة في هذا المجال بعرض نفسها كجهات توظيف عبر الانترنت، واستخدام الملفات المرسلة من قبل الأشخاص كوسيلة للتفاعل مع ضحاياهم المستهدفين، وبالتالي تشجيعهم على تحميل البرمجيات الخبيثة المخبأة ضمن البرامج المزيفة لتقديم السير الذاتية.
كما يستعين الخصوم أيضاً بهذه المواقع من أجل الوصول إلى المسار الداخلي لعمليات المؤسسة، والأدوات الأمنية الخاصة بها، وأصول المعلومات التي تملكها. فعلى سبيل المثال، قد يقوم الخبراء الأمنيون العاملون في مجال تقنية المعلومات الذين ينشرون سيرهم الذاتية عبر الإنترنت بإدراج تفاصيل حول الخطوات المطبقة من قبل مؤسساتهم في كيفية استخدام البرامج والتقنيات الأمنية المحددة، ما يقدم ميزة مضافة للخصم.
وقال الباحث الأمني لدى شركة «سيكيور ووركس» مات وبستر إنه «بإجراء عمليات بحث بسيطة وقليلة عبر الإنترنت، يصبح بإمكان الجهات الفاعلة بناء معرفة وصورة مفصلة حول موظفي المؤسسة، إلى جانب وسائل الأمن التي تستعين بها، وبالتالي زيادة فرص نجاح هجماتها. وبما أن آلية تفاعل الأشخاص والمؤسسات تتطور باستمرار عبر الإنترنت، فإن المخاطر المرتبطة بأمن الشبكات تواكب هذا التطور بدورها، ما يخلق تحديات للمدافعين عن الشبكة اثناء محاولتهم تحديد ورصد هذه المخاطر».
صعوبة إدارة المخاطر
وعادةً ما تكون مواقع تخزين البيانات الشخصية عبر الإنترنت مريحة، وسهلة الاستخدام، ومجانية، ما يؤدي إلى نمو معدل استخدام الخدمات التي تقدمها بشكل كبير، سواءً كان ذلك ضمن السياق الشخصي أو المهني. أما التحدي الذي يواجه خبراء الأمن في مجال تقنية المعلومات فيتمثل في استفادة مجرمي الإنترنت من خدمات التخزين عبر الإنترنت من أجل تحقيق مجموعة متنوعة من أهدافهم ضمن مراحل مختلفة من عمليات الاختراق التي يديرونها. وهذا يشير إلى أن المخاطر الناجمة عن الاستفادة من هذه الخدمات قد يكون من الصعوبة بمكان إدارتها أو الوقوف بوجهها.
ومن الشائع استخدام المجموعات التي تقف وراء الهجمات لمواقع التخزين المجانية في السحابة من أجل تقديم البرمجيات الخبيثة لضحاياهم المستهدفين. ومن الأمثلة التي حدثت مؤخراً، قامت كلاً من الجهات الفاعلة التي تقف وراء الهجمات، والجهات الفاعلة التي استطاعت الوصول إلى الداخل، بتحميل البيانات المسروقة من شبكات الضحايا إلى مواقع التخزين الشخصية، التي تتيح إمكانية استرجاعها لاحقاً.
وقد يكون من الصعوبة بمكان كشف هذه الممارسات والأنشطة الخبيثة التي تتم بواسطة مواقع تخزين الملفات الشائعة من قبل أنظمة أمن الشبكات، لأنها لا تستطيع تمييزها بسهولة عن حركة البيانات المشروعة، في حين قد تقوم بعض تقنيات الفحص والكشف الآلي بمصادقة استخدام مثل هذه المواقع الشائعة.
كما أن الغالبية العظمى من مواقع تخزين الملفات الشائعة وقنوات التواصل الاجتماعي تقوم بتشفير الاتصالات ما بين المستخدمين والموقع، وهذا يشير إلى أنه في بعض الحالات قد يحظى المدافعون عن الشبكة برؤية محدودة وغير واضحة حول هذه الاستخدامات الخبيثة.
وينبغي على المؤسسات البدء من مرحلة التقييم، وذلك لمعرفة فيما إذا كانت أعمالها بشكل عام بحاجة للوصول إلى وسائل التواصل الاجتماعي، والشبكات المهنية، ومواقع التخزين الشخصية عبر أنظمتها المؤسسية. وفي حال لم تكن هناك حاجة للمؤسسات للوصول إلى هذه المواقع كي تنجز أعمالها بنجاح، سيصبح في الإمكان الحد من المخاطر المرتبطة بها بدرجة كبيرة عن طريق منع الوصول إلى مثل هذه المواقع، أو السماح بالوصول إليها بشكل استثنائي.
