بعد نحو أسبوع من الهجوم السيبراني الذي تعرضت له منصة «بينانس» (Binance) في 29 أكتوبر (تشرين الأول)، والذي أثّر في أصول رقمية بقيمة تقارب 6.34 مليار دولار، تتجه الأنظار إلى قدرة المؤسسات المالية على احتواء الهجمات بعد اختراق أنظمتها، وليس فقط منع المهاجمين من الوصول إليها.
وفي تقرير أولي نشرته في 3 نوفمبر (تشرين الثاني)، كشفت «بينانس» أن الهجوم استهدف خدمة داخلية لتوقيع معاملات المحافظ الرقمية، بعد سلسلة من الاختراقات شملت أجهزة مهندسين وأدوات داخلية وصلاحيات تشغيلية. وأعلنت المنصة تجميد أو اعتراض أصول بقيمة تقارب 2.85 مليار دولار، إلى جانب تخصيص موارد لتغطية الأصول المتأثرة. وأشارت إلى أنها أعادت توفير 98 في المائة من الأصول المتأثرة لتغطية أرصدة المستخدمين حتى 31 أكتوبر، بينما لا تزال التحقيقات جارية.
وتثير الحادثة تساؤلات بشأن جاهزية المصارف وشركات التكنولوجيا المالية ومنصات الأصول الرقمية في الدول الخليجية، خصوصاً مع توسع الخدمات المصرفية المفتوحة والمدفوعات الفورية والاعتماد المتزايد على الأتمتة.
في لقاء خاص مع «الشرق الأوسط»، يرى راغو نانداكومارا، نائب الرئيس لاستراتيجية القطاع في شركة «إلوميو» (Illumio)، أن الدرس الأهم لا يتعلق فقط بكيفية منع الاختراق، بل بقدرة المؤسسات على احتوائه قبل أن يمتد إلى الأنظمة المسؤولة عن معالجة المعاملات وتحريك الأموال.
ويؤكد أن مدى قدرة المهاجم على التحرك داخل الشبكة بعد اختراقها لا يتحدد بمهاراته وحدها، بل يرتبط أيضاً بطريقة تصميم البنية التقنية للمؤسسة، والصلاحيات ومسارات الاتصال المتاحة بين أنظمتها. ولذلك تعتمد قدرة المؤسسات على الحد من الأضرار بدرجة كبيرة على القرارات التي تتخذها قبل وقوع الهجوم.
بحسب التقرير الأولي لـ«بينانس»، استخدم المهاجمون أساليب متعددة، شملت مقابلات توظيف وهمية لتحميل برمجيات خبيثة، واستغلال أدوات ذكاء اصطناعي داخلية، والاستيلاء على بيانات اعتماد وصلاحيات مرتبطة بإدارة البنية التحتية للمحافظ الرقمية.
وذكر التقرير أن المهاجمين استخدموا في 29 أكتوبر بيانات اعتماد مسروقة لنشر برمجية خبيثة والوصول إلى عمليات توقيع المعاملات. كما استغلوا آلية لتفويض صلاحيات تنفيذ العمليات على شبكة «إيثريوم»، مما سمح باستمرار بعض التحويلات غير المصرح بها حتى بعد تعليق عمليات السحب الاعتيادية.
ويصف نانداكومارا مسار الهجوم بأنه مألوف من حيث استغلال الثقة داخل المؤسسات، رغم الحجم الاستثنائي للحادثة. ويوضح أن المهاجمين غالباً لا يحتاجون إلى اختراق الأنظمة المالية الحساسة مباشرة، بل يستفيدون من جهاز أو حساب يتمتع مسبقاً بصلاحيات للوصول إلى موارد أخرى.
وقد تحتفظ بعض الحسابات بصلاحيات تراكمت على مدى سنوات، مما يسمح للمهاجم بالانتقال من جهاز مخترق إلى أنظمة المدفوعات أو حفظ الأصول إذا لم تكن هناك قيود تفصل بينها. ويشبّه ذلك ببطاقة دخول تمنح حاملها إمكانية فتح جميع أبواب المبنى، معتبراً أن المشكلة لا تكمن في سرقة البطاقة وحدها، بل في عدد الأبواب التي تستطيع فتحها.
ويحدد ثلاثة ضوابط أساسية للحد من هذا الخطر، تشمل قصر صلاحيات الوصول على ما تتطلبه مهام كل مستخدم، وفصل الأنظمة الحساسة عن أجهزة العمل الاعتيادية، والتحقق المستمر من الصلاحيات بدلاً من اعتبار تسجيل الدخول الأول دليلاً كافياً على الثقة.
يربط نانداكومارا هذه المخاطر بسرعة تطوير الخدمات المالية في الخليج، من المصارف المفتوحة إلى المدفوعات الفورية ومنصات الأصول الرقمية المرخصة. ويحدد ثلاث نقاط ضعف هيكلية تستدعي اهتمام المؤسسات. الأولى الثقة الضمنية بين الأنظمة والشركاء المتصلين، بما قد يسمح بانتقال آثار الاختراق من بيئة إلى أخرى. والثانية تراكم صلاحيات الوصول خلال عمليات إطلاق الخدمات والتوسع السريع، دون مراجعتها أو إلغائها بصورة منتظمة.
أما الثالثة، فتتعلق باستمرار تركيز جانب كبير من الإنفاق الأمني على حماية الحدود الخارجية للشبكات، بينما توجد بعض المخاطر الأساسية داخل البيئة التقنية نفسها. ويؤكد أن هذه المشكلات لا تقتصر على الخليج، مشيراً إلى الدور الاستباقي للجهات التنظيمية في المنطقة. لكنه يحذر من أن معالجة نقاط الضعف تصبح أكثر تكلفة كلما زاد عدد الأنظمة والجهات المتصلة ببعضها، مما يجعل إدماج الضوابط الأمنية أثناء تصميم الخدمات أكثر أهمية من إضافتها بعد التوسع.
لا يرى نانداكومارا أن عزل الأنظمة المالية الحساسة يستلزم بالضرورة تعطيل العمليات، بل يعتبره جزءاً من تصميم البنية التقنية وطريقة تنظيم الاتصالات بين مكوناتها. لكن تطبيق هذه الإجراءات يطرح تحدياً عملياً أمام المصارف التي تعتمد على ترابط الأنظمة لمعالجة المدفوعات والمعاملات اليومية. ويقول إن الخطوة الأولى هي تحديد الاتصالات الفعلية التي تحتاج إليها الأنظمة الحساسة، إذ إن مؤسسات كثيرة لا تمتلك رؤية مكتملة لجميع مسارات الاتصال المؤدية إلى أنظمة المدفوعات ومعالجة المعاملات وحفظ الأصول الرقمية. وبعد تحديد الاتصالات المشروعة، يمكن تقييد المسارات الأخرى مع الإبقاء على حركة البيانات الضرورية لاستمرار الأعمال.
ويحذر من انتظار وضع تصميم أمني شامل ومثالي قبل البدء في التنفيذ، معتبراً أن إنشاء حدود حماية حول نظام بالغ الحساسية خلال فترة قصيرة أكثر فائدة من إعداد خطة متكاملة يستغرق تنفيذها سنوات.
ويدعو إلى البدء بحماية الأنظمة الأكثر حساسية، بدلاً من تأجيل التنفيذ إلى حين الانتهاء من تصميم أمني شامل لجميع أنظمة المؤسسة.
تضيف الأنظمة الوكيلة بعداً آخر للمخاطر، مع تزايد استخدامها لتنفيذ عمليات مستقلة والوصول إلى التطبيقات والبيانات نيابة عن الموظفين. ويصف نانداكومارا وكلاء الذكاء الاصطناعي بأنهم فئة جديدة من الجهات الفاعلة داخل الأنظمة، وليسوا مجرد برمجيات تقليدية، لأنهم يستطيعون اتخاذ قرارات وتنفيذ إجراءات بسرعة آلية، وأحياناً باستخدام صلاحيات مستمدة من الأشخاص الذين يشغّلونهم. ويوضح أن أنظمة الحوكمة المصممة لمراقبة قرارات بشرية تُتخذ خلال ساعات قد تواجه صعوبة في التعامل مع برمجيات تنفذ قراراتها خلال أجزاء من الثانية. وفي حال تعرض وكيل للتلاعب أو ارتكب خطأً، فقد تتسارع الأضرار قبل أن تتمكن الفرق البشرية من التدخل.
ولهذا يدعو إلى التعامل مع الوكلاء وفق ضوابط مشابهة لتلك المطبقة على الموظفين، من خلال منح كل وكيل هوية مستقلة ودوراً محدداً وصلاحيات مرتبطة بالمهمة فقط، مع مراقبة مستمرة لنشاطه. كما يشدد على ضرورة تقييد الأنظمة التي يستطيع الوكيل الوصول إليها، بحيث لا تتحول الصلاحيات الممنوحة له لتنفيذ مهمة محددة إلى مسار للوصول إلى موارد مالية أو تشغيلية لا ترتبط بتلك المهمة.
يرى نانداكومارا أن المؤسسات المالية لا تزال تولي منع الاختراق الأولي اهتماماً أكبر من الحد من آثاره بعد وقوعه، رغم استمرار ارتفاع الإنفاق الأمني خلال السنوات الماضية. ويشير إلى أن أدوات الحماية في حادثة «بينانس» لم تتمكن من اكتشاف البرمجيات الخبيثة في الوقت المناسب، وهو ما يتسق مع ما أعلنته المنصة بشأن استخدام برمجيات تمكنت من تفادي وسائل الحماية على الأجهزة.
ولا يدعو إلى تقليص أهمية الوقاية، بل إلى تحقيق توازن أكبر بينها وبين الاستثمار في احتواء الاختراقات وتقييد حركة المهاجمين داخل الأنظمة. ويلفت إلى أن هذه الإجراءات لا تحظى دائماً بالتقدير الكافي، لأن نجاحها لا يظهر عادة في صورة حادثة كبيرة أو خسائر معلنة. فالهجوم الذي يبقى محدود النطاق قد لا يتصدر الأخبار، رغم أن منع انتشاره يمثل نتيجة أمنية مهمة للمؤسسة. ويصرح بأن مجالس الإدارات ينبغي ألا تكتفي بالسؤال عن كيفية منع المهاجمين من الدخول، بل أن تطلب توضيحاً لما يمكن أن يحدث إذا نجح أحدهم في تجاوز وسائل الحماية.
وبحسب نانداكومارا، فإن الاستثمار في الاحتواء يستهدف تقليص المساحة التي يستطيع المهاجم التحرك داخلها، بحيث لا يؤدي اختراق جهاز أو حساب واحد إلى الوصول تلقائياً إلى الأنظمة الأكثر حساسية.
ينتقد نانداكومارا اعتماد المؤسسات على مؤشرات تقيس حجم النشاط الأمني، بدلاً من النتائج الفعلية عند وقوع الاختراق، ويقترح ثلاثة مؤشرات يمكن لمجالس إدارات المؤسسات المالية الخليجية استخدامها لتقييم جاهزيتها. الأول هو مدى الوصول، أي عدد الأنظمة الحساسة التي يمكن للمهاجم الوصول إليها انطلاقاً من جهاز موظف أو حساب مخترق. ويساعد هذا المؤشر على تحديد مدى اتساع نطاق الاختراق المحتمل انطلاقاً من نقطة دخول واحدة.
والثاني نطاق التغطية، ويقيس نسبة أنظمة المدفوعات والمعاملات وحفظ الأصول الموضوعة خلف حدود حماية مطبقة فعلياً، وليس مجرد ضوابط منصوص عليها في السياسات الأمنية. أما المؤشر الثالث فهو سرعة العزل، أي الوقت اللازم لفصل جهاز أو هوية مخترقة عن بقية الأنظمة دون تعطيل العمليات الأساسية، وتحديد ما إذا كانت الاستجابة تستغرق دقائق أم أياماً. ويشدد على ضرورة اختبار هذه المؤشرات عملياً، بدلاً من الاكتفاء بالافتراضات، موضحاً أن الجهات الرقابية باتت تركز بصورة متزايدة على قدرة المؤسسات على مواصلة العمل خلال الاضطرابات، وليس فقط على امتلاكها أدوات الحماية. ويضيف أن اختبار هذه المؤشرات يساعد المؤسسات على التعبير عن المخاطر السيبرانية بلغة مالية يفهمها أعضاء مجالس الإدارات وشركات التأمين.
مع اقتراب 2027، يتوقع نانداكومارا أن تصبح المؤسسات المالية الخليجية أكثر ترابطاً واعتماداً على الأتمتة ووكلاء الذكاء الاصطناعي، في وقت يستطيع فيه المهاجمون استخدام قدرات مماثلة لتسريع عملياتهم.
ويضع احتواء الاختراقات ضمن أولويات مجالس الإدارات في السعودية والإمارات وبقية دول الخليج، مشدداً على ضرورة ألا يؤدي اختراق شخص واحد أو جهاز واحد أو وكيل ذكاء اصطناعي إلى فتح الطريق أمام الأنظمة المسؤولة عن تحريك الأموال.
وبحسب نانداكومارا، لا تستطيع أي مؤسسة ضمان عدم تعرضها لاختراق، لكنها تستطيع تحديد مدى انتشاره من خلال تصميم بنيتها التقنية وضبط الصلاحيات وعزل الموارد الحساسة.
ويرى أن إثبات القدرة على احتواء الهجمات والحفاظ على استمرارية العمليات سيصبح عاملاً في تنافسية المؤسسات المالية الخليجية، إلى جانب الامتثال للمتطلبات التنظيمية، مع اتساع اعتماد القطاع على الأنظمة المتصلة والخدمات الرقمية.
