بريدك الشخصي.. قد يكون أخطر ثغرة أمنية

هذا الأمر مهم لأن كبار المسؤولين لا يعيشون في عوالم منفصلة. فحياتهم العملية، وحياتهم الشخصية، وجهات اتصالهم، وجداول مواعيدهم، وطرق استعادة حساباتهم غالباً ما تتداخل بطرق تخلق ثغرات للمهاجمين. قد يحتوي صندوق البريد الشخصي على تفاصيل السفر، وقوائم جهات الاتصال، والإشعارات القانونية، والسجلات المالية، أو روابط إعادة تعيين كلمات المرور. وحتى لو لم تكن هناك ملفات سرية مخزنة فيه، لا يزال بإمكان المهاجم الحصول على شيء ثمين: السياق. وفي العمليات السيبرانية، السياق هو القوة. فهو يساعد المجرمين على تنفيذ عمليات احتيال، ويساعد الجواسيس على رسم خرائط للعلاقات، ويساعد مهندسي الاختراق الاجتماعي على صياغة رسائل تبدو حقيقية لدرجة أنها تخدع حتى أكثر الأشخاص حذراً.

والأدلة الأوسع يصعب تجاهلها. فقد ذكر مركز شكاوى جرائم الإنترنت التابع لمكتب التحقيقات الفيدرالي أن الأمريكيين أبلغوا عن خسائر في الجرائم السيبرانية تجاوزت 12.5 مليار دولار في عام 2023، وهو رقم قياسي. وكثير من هذه الحالات لم تبدأ ببرمجيات خبيثة متطورة، بل بدأت بالصيد الاحتيالي، واختراق الحسابات، وسرقة الهوية، وانتحال الشخصية. كما وجد تقرير تحقيقات اختراق البيانات الذي تصدره شركة "فيرايزون" بشكل متكرر أن العنصر البشري يلعب دوراً في معظم الاختراقات، سواء من خلال بيانات الاعتماد المسروقة، أو الهندسة الاجتماعية، أو الخطأ البشري البسيط. كذلك حذرت شركتا جوجل ومانديانت لسنوات من أن الاستيلاء على الحسابات غالباً ما يبدأ من عادات مصادقة ضعيفة، وليس من برمجيات متقدمة.

هذا النمط يمتد إلى ما هو أبعد من الولايات المتحدة. ففي بريطانيا، حث المركز الوطني للأمن السيبراني مراراً المسؤولين الحكوميين والمواطنين العاديين على تأمين حسابات البريد الإلكتروني الشخصية لأنها يمكن أن تصبح نقطة انطلاق لاختراق أنظمة أكبر. وفي ألمانيا وفرنسا، أصدرت وكالات الأمن السيبراني نصائح مماثلة بعد أن استخدمت حملات مرتبطة بجماعات مدعومة من دول الاتصالات الشخصية والحسابات السحابية لجمع معلومات عن أهدافها. وحتى عندما لا يكون الهدف هو الاختراق المباشر، يمكن للمهاجمين جمع ما يكفي من المعلومات من حساب شخصي لشن حملة ضغط، أو محاولة ابتزاز، أو عملية انتحال شخصية مقنعة.

لماذا تعتبر الحسابات الشخصية ضعيفة إلى هذا الحد؟ جزء من الإجابة نفسي. فالناس عادة ما يكونون أكثر حذراً في العمل لأنهم يعرفون أنهم مراقبون ويخضعون للتدريب والمراجعة. أما في المنزل، فيتصرفون بسرعة أكبر. ينقرون على الروابط من هواتفهم، ويستخدمون كلمات مرور قديمة، ويتجاهلون التنبيهات الأمنية، ويعتبرون المنصات المألوفة آمنة. نفس الشخص الذي لن يفتح أبداً ملفاً غريباً على حاسوب حكومي قد يوافق على طلب تسجيل دخول أثناء إعداد العشاء. هذه الفجوة في الانتباه هي بالضبط ما يستغله المهاجمون.

وهناك سبب آخر هيكلي. فالحياة الرقمية الحديثة مبنية على الترابط. يمكن أن يكون حساب البريد الإلكتروني الشخصي هو عنوان استرداد الحسابات البنكية، وتطبيقات المراسلة، والتسوق، والتخزين السحابي، ووسائل التواصل الاجتماعي. ويمكن لرقم هاتف أن يفتح رموز المصادقة الثنائية. ويمكن لتقويم العائلة أن يكشف عن خطط السفر. كما يمكن لقائمة جهات الاتصال أن تحدد المساعدين والأقارب والأطباء والمحامين وزملاء العمل. بالنسبة لمسؤول حكومي كبير، تصبح هذه الشبكة أكثر فائدة للمهاجم، إذ يمكن أن تكشف له عن الهدف التالي الذي يجب استهدافه والقصة التي يجب استخدامها.

هذا ليس مصدر قلق افتراضي. فقد أظهر نشر رسائل البريد الإلكتروني المسروقة من شخصيات سياسية أمريكية بارزة في عام 2016 كيف يمكن للحسابات الشخصية وحسابات الحملات الانتخابية أن تصبح أسلحة سياسية وأمنية قومية. وفي السنوات التالية، وثق الباحثون ووكالات الاستخبارات محاولات متكررة من قبل جماعات مرتبطة بجهات أجنبية لاستهداف مسؤولين وصحفيين ومعارضين وخبراء سياسات عبر منصاتهم الشخصية بدلاً من القنوات الرسمية. وقد وصفت شركة مايكروسوفت كيف أن الجهات الفاعلة المدعومة من الدول غالباً ما تبدأ بهجمات تخمين كلمات المرور، أو سرقة رموز الدخول، أو التصيد الاحتيالي ضد المستخدمين الأفراد لأنها أرخص وأكثر هدوءًا من مهاجمة شبكة محصنة بشكل مباشر.

يمكن أن تنتشر العواقب بسرعة. أولاً، يأتي الضرر المباشر للهدف: رسائل مسروقة، وجهات اتصال مكشوفة، وتفاصيل شخصية مسربة، واحتيال مالي محتمل. ثم يأتي الضرر المؤسسي، حيث قد يتلقى الزملاء رسائل مزيفة تبدو جديرة بالثقة. وقد تضطر فرق الأمن إلى التحقيق فيما إذا كانت الأنظمة الداخلية قد تأثرت بشكل غير مباشر. ويمكن للخصوم استغلال الحادث لتقويض ثقة الجمهور، والإيحاء بوجود عدم كفاءة أو اختراق أعمق حتى لو كان الاختراق محدوداً. وبالنسبة لقادة أجهزة إنفاذ القانون والمخابرات، فإن هذا الضرر بالسمعة يحمل مخاطر خاصة، إذ يمكن أن يضعف الثقة في الداخل ويرسل إشارات للخارج.

هناك أيضاً مشكلة ديمقراطية أعمق. فغالباً ما يُقال للمواطنين إن الأمن السيبراني القومي هو في الأساس مسألة تتعلق بالوكالات النخبوية والأدوات السرية والدفاعات التي تكلف مليارات الدولارات. لكن الحوادث التي تنطوي على حسابات شخصية تظهر أن السلامة السيبرانية العامة مرتبطة بأساسيات السلامة الرقمية اليومية. إذا كان من الممكن كشف كبار المسؤولين من خلال نفس أنواع نقاط الضعف التي تؤثر على ملايين الأسر، فإن المرونة السيبرانية ليست مجرد قضية تقنية، بل هي مسؤولية مجتمعية. فهي تعتمد على العادات، وخيارات التصميم، وما إذا كانت المنصات تجعل الأمان القوي هو الخيار الافتراضي بدلاً من أن يكون اختيارياً.

الخبر السار هو أن العديد من أفضل وسائل الدفاع ليست غامضة. فقد حث خبراء الأمن منذ فترة طويلة الناس على استخدام برامج إدارة كلمات المرور، وكلمات مرور فريدة لكل حساب، والمصادقة متعددة العوامل المقاومة للتصيد، وحسابات بريد إلكتروني منفصلة للوظائف عالية القيمة مثل استرداد الحسابات. وقد شددت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية على قيمة مفاتيح الأمان المادية للأشخاص المعرضين لمخاطر عالية، بمن فيهم المسؤولون الحكوميون والصحفيون والناشطون. وتقدم شركات مثل آبل وجوجل ومايكروسوفت الآن برامج حماية حسابات أقوى، لكنها لا تزال تتطلب من المستخدمين التسجيل فيها والالتزام بها.

تحتاج المؤسسات أيضاً إلى التوقف عن التعامل مع أمن الأجهزة والحسابات الشخصية كقضية ثانوية ومحرجة. بالنسبة لكبار المسؤولين، يجب أن يكون هذا جزءاً من إدارة المخاطر القياسية. وهذا يعني إجراء مراجعات أمنية منتظمة للحسابات الشخصية، وتقديم إرشادات أقوى لأفراد الأسرة، والفصل بشكل أوضح بين الواجبات العامة والاتصالات الخاصة، ووضع قواعد إبلاغ سريعة عند الشك في حدوث اختراق شخصي. قد تبدو هذه الخطوات تطفلية، لكن البديل أسوأ. فالمهاجمون يدركون بالفعل أن حدود الشبكة هي الحياة البشرية المرتبطة بها.

هناك درس هنا يتجاوز مجرد اختراق واحد أو عنوان صحفي واحد. فالاختراقات السيبرانية لا تأتي دائماً بقوة سينمائية. غالباً ما تتسلل من خلال تطبيق مألوف، أو تسجيل دخول روتيني، أو رسالة خاصة تبدو عادية جداً لدرجة لا تثير الخوف. ولهذا السبب تعتبر الحسابات الشخصية مهمة جداً. فهي لم تعد خارج المحيط الأمني. في كثير من الحالات، هي المحيط الأمني نفسه. وإلى أن يتقبل القادة والمؤسسات والجمهور ذلك، سيظل الاختراق التالي أشبه بمشهد من الحياة اليومية أكثر من كونه مشهداً من حرب رقمية.