على بُعد أسبوع من الهجوم السيبراني الذي استهدف منصة «بينانس» (Binance) في 29 أكتوبر (تشرين الأول)، والذي أسفر عن تأثير على أصول رقمية بقيمة تقارب 6.34 مليار دولار، تتحول الأنظار نحو مدى استعداد المؤسسات المالية للتعامل مع الهجمات بعد اختراق أنظمتها، وليس مجرد سعيها لمنع وصول المهاجمين إليها.
وفي تقرير أولي صدر في 3 نوفمبر (تشرين الثاني)، أوضحت «بينانس» أن الهجوم ركز على خدمة داخلية مخصصة لتوقيع معاملات المحافظ الرقمية، عقب سلسلة من الاختراقات طالت أجهزة المهندسين والأدوات الداخلية والصلاحيات التشغيلية. وأعلنت المنصة عن تجميد أو اعتراض أصول بقيمة تقارب 2.85 مليار دولار، مع تخصيص موارد لتغطية الأصول المتضررة. كما أشارت إلى استعادة 98 في المائة من الأصول المتأثرة لتغطية أرصدة المستخدمين حتى 31 أكتوبر، في حين لا تزال التحقيقات مستمرة.
وتطرح هذه الحادثة أسئلة حول جاهزية المصارف وشركات التكنولوجيا المالية ومنصات الأصول الرقمية في المنطقة الخليجية، خاصة في ظل التوسع في الخدمات المصرفية المفتوحة والمدفوعات الفورية والاعتماد المتزايد على الأتمتة.
في مقابلة حصرية مع «الشرق الأوسط»، يرى راغو نانداكومارا، نائب الرئيس لاستراتيجية القطاع في شركة «إلوميو» (Illumio)، أن الدرس الجوهري لا يقتصر على كيفية منع الاختراق، بل يمتد إلى قدرة المؤسسات على احتوائه قبل أن يتسرب إلى الأنظمة المعنية بمعالجة المعاملات ونقل الأموال.
ويؤكد أن قدرة المهاجم على التنقل داخل الشبكة بعد الاختراق لا تعتمد على مهاراته فقط، بل ترتبط بتصميم البنية التقنية للمؤسسة، والصلاحيات ومسارات الاتصال بين أنظمتها. وبالتالي، فإن قدرة المؤسسات على تقليل الأضرار تعتمد بشكل كبير على القرارات المتخذة قبل وقوع الهجوم.
وفقاً للتقرير الأولي لـ«بينانس»، لجأ المهاجمون إلى أساليب متنوعة، بما في ذلك مقابلات توظيف وهمية لتحميل برمجيات خبيثة، واستغلال أدوات الذكاء الاصطناعي الداخلية، والسيطرة على بيانات الاعتماد والصلاحيات المرتبطة بإدارة بنية المحافظ الرقمية.
وأشار التقرير إلى استخدام المهاجمين لبيانات اعتماد مسروقة في 29 أكتوبر لنشر برمجية خبيثة والوصول إلى عمليات توقيع المعاملات. كما استغلوا آلية تفويض صلاحيات تنفيذ العمليات على شبكة «إيثريوم»، مما أتاح استمرار بعض التحويلات غير المصرح بها حتى بعد إيقاف عمليات السحب الاعتيادية.
يصف نانداكومارا مسار الهجوم بأنه نمط شائع من حيث استغلال الثقة داخل المؤسسات، رغم الحجم الاستثنائي للحادثة. ويوضح أن المهاجمين غالباً ما يستغنون عن اختراق الأنظمة المالية الحساسة مباشرة، بل يستفيدون من جهاز أو حساب يتمتع مسبقاً بصلاحيات للوصول إلى موارد أخرى.
قد تحتفظ بعض الحسابات بصلاحيات متراكمة على مدى سنوات، مما يتيح للمهاجم الانتقال من جهاز مخترق إلى أنظمة المدفوعات أو حفظ الأصول إذا لم توجد قيود تفصل بينها. ويضرب تشبيهاً ببطاقة دخول تتيح لحاملها فتح جميع أبواب المبنى، معتبراً أن المشكلة لا تكمن في سرقة البطاقة فحسب، بل في عدد الأبواب التي يمكن فتحها.
ويحدد ثلاثة ضوابط أساسية لتقليل هذا الخطر: قصر صلاحيات الوصول على ما تتطلبه مهام كل مستخدم، فصل الأنظمة الحساسة عن أجهزة العمل الاعتيادية، والتحقق المستمر من الصلاحيات بدلاً من اعتبار تسجيل الدخول الأول دليلاً كافياً على الثقة.
يربط نانداكومارا هذه المخاطر بسرعة تطوير الخدمات المالية في الخليج، من المصارف المفتوحة إلى المدفوعات الفورية ومنصات الأصول الرقمية المرخصة. ويحدد ثلاث نقاط ضعف هيكلية تستدعي الانتباه: الأولى هي الثقة الضمنية بين الأنظمة والشركاء المتصلين، مما قد يسمح بانتقال آثار الاختراق من بيئة إلى أخرى. والثانية هي تراكم صلاحيات الوصول خلال عمليات إطلاق الخدمات والتوسع السريع، دون مراجعتها أو إلغائها بانتظام.
أما النقطة الثالثة، فتتعلق باستمرار تركيز الإنفاق الأمني على حماية الحدود الخارجية للشبكات، بينما تكمن بعض المخاطر الأساسية داخل البيئة التقنية نفسها. ويؤكد أن هذه المشكلات ليست حصرية على الخليج، مشيراً إلى الدور الاستباقي للجهات التنظيمية في المنطقة. لكنه يحذر من أن معالجة نقاط الضعف تصبح أكثر تكلفة كلما زاد عدد الأنظمة والجهات المتصلة، مما يجعل إدماج الضوابط الأمنية أثناء تصميم الخدمات أكثر أهمية من إضافتها بعد التوسع.
لا يرى نانداكومارا أن عزل الأنظمة المالية الحساسة يتطلب بالضرورة تعطيل العمليات، بل يعتبره جزءاً من تصميم البنية التقنية وتنظيم الاتصالات بين مكوناتها. لكن تطبيق هذه الإجراءات يطرح تحدياً عملياً أمام المصارف التي تعتمد على ترابط الأنظمة لمعالجة المدفوعات والمعاملات اليومية. ويقول إن الخطوة الأولى هي تحديد الاتصالات الفعلية التي تحتاجها الأنظمة الحساسة، إذ إن العديد من المؤسسات تفتقر إلى رؤية شاملة لجميع مسارات الاتصال المؤدية إلى أنظمة المدفوعات ومعالجة المعاملات وحفظ الأصول الرقمية. وبعد تحديد الاتصالات المشروعة، يمكن تقييد المسارات الأخرى مع الإبقاء على حركة البيانات الضرورية لاستمرارية الأعمال.
ويحذر من انتظار وضع تصميم أمني شامل ومثالي قبل البدء في التنفيذ، معتبراً أن إنشاء حدود حماية حول نظام بالغ الحساسية خلال فترة قصيرة أكثر فائدة من إعداد خطة متكاملة يستغرق تنفيذها سنوات.
ويدعو إلى البدء بحماية الأنظمة الأكثر حساسية، بدلاً من تأجيل التنفيذ إلى حين الانتهاء من تصميم أمني شامل لجميع أنظمة المؤسسة.
تضيف الأنظمة الوكيلة بعداً آخر للمخاطر، مع تزايد استخدامها لتنفيذ عمليات مستقلة والوصول إلى التطبيقات والبيانات نيابة عن الموظفين. ويصف نانداكومارا وكلاء الذكاء الاصطناعي بأنهم فئة جديدة من الجهات الفاعلة داخل الأنظمة، وليسوا مجرد برمجيات تقليدية، لأنهم يستطيعون اتخاذ قرارات وتنفيذ إجراءات بسرعة آلية، وأحياناً باستخدام صلاحيات مستمدة من الأشخاص الذين يشغلونهم. ويوضح أن أنظمة الحوكمة المصممة لمراقبة قرارات بشرية تُتخذ خلال ساعات قد تواجه صعوبة في التعامل مع برمجيات تنفذ قراراتها خلال أجزاء من الثانية. وفي حال تعرض وكيل للتلاعب أو ارتكب خطأً، فقد تتسارع الأضرار قبل أن تتمكن الفرق البشرية من التدخل.
ولهذا يدعو إلى التعامل مع الوكلاء وفق ضوابط مشابهة لتلك المطبقة على الموظفين، من خلال منح كل وكيل هوية مستقلة ودوراً محدداً وصلاحيات مرتبطة بالمهمة فقط، مع مراقبة مستمرة لنشاطه. كما يشدد على ضرورة تقييد الأنظمة التي يستطيع الوكيل الوصول إليها، بحيث لا تتحول الصلاحيات الممنوحة له لتنفيذ مهمة محددة إلى مسار للوصول إلى موارد مالية أو تشغيلية لا ترتبط بتلك المهمة.
يرى نانداكومارا أن المؤسسات المالية لا تزال تولي منع الاختراق الأولي اهتماماً أكبر من الحد من آثاره بعد وقوعه، رغم استمرار ارتفاع الإنفاق الأمني خلال السنوات الماضية. ويشير إلى أن أدوات الحماية في حادثة «بينانس» لم تتمكن من اكتشاف البرمجيات الخبيثة في الوقت المناسب، وهو ما يتسق مع ما أعلنته المنصة بشأن استخدام برمجيات تمكنت من تفادي وسائل الحماية على الأجهزة.
ولا يدعو إلى تقليص أهمية الوقاية، بل إلى تحقيق توازن أكبر بينها وبين الاستثمار في احتواء الاختراقات وتقييد حركة المهاجمين داخل الأنظمة. ويلفت إلى أن هذه الإجراءات لا تحظى دائماً بالتقدير الكافي، لأن نجاحها لا يظهر عادة في صورة حادثة كبيرة أو خسائر معلنة. فالهجوم الذي يبقى محدود النطاق قد لا يتصدر الأخبار، رغم أن منع انتشاره يمثل نتيجة أمنية مهمة للمؤسسة. ويصرح بأن مجالس الإدارات ينبغي ألا تكتفي بالسؤال عن كيفية منع المهاجمين من الدخول، بل أن تطلب توضيحاً لما يمكن أن يحدث إذا نجح أحدهم في تجاوز وسائل الحماية.
وبحسب نانداكومارا، فإن الاستثمار في الاحتواء يستهدف تقليص المساحة التي يستطيع المهاجم التحرك داخلها، بحيث لا يؤدي اختراق جهاز أو حساب واحد إلى الوصول تلقائياً إلى الأنظمة الأكثر حساسية.
ينتقد نانداكومارا اعتماد المؤسسات على مؤشرات تقيس حجم النشاط الأمني، بدلاً من النتائج الفعلية عند وقوع الاختراق، ويقترح ثلاثة مؤشرات يمكن لمجالس إدارات المؤسسات المالية الخليجية استخدامها لتقييم جاهزيتها. الأول هو مدى الوصول، أي عدد الأنظمة الحساسة التي يمكن للمهاجم الوصول إليها انطلاقاً من جهاز موظف أو حساب مخترق. ويساعد هذا المؤشر على تحديد مدى اتساع نطاق الاختراق المحتمل انطلاقاً من نقطة دخول واحدة.
والثاني نطاق التغطية، ويقيس نسبة أنظمة المدفوعات والمعاملات وحفظ الأصول الموضوعة خلف حدود حماية مطبقة فعلياً، وليس مجرد ضوابط منصوص عليها في السياسات الأمنية. أما المؤشر الثالث فهو سرعة العزل، أي الوقت اللازم لفصل جهاز أو هوية مخترقة عن بقية الأنظمة دون تعطيل العمليات الأساسية، وتحديد ما إذا كانت الاستجابة تستغرق دقائق أم أياماً. ويشدد على ضرورة اختبار هذه المؤشرات عملياً، بدلاً من الاكتفاء بالافتراضات، موضحاً أن الجهات الرقابية باتت تركز بصورة متزايدة على قدرة المؤسسات على مواصلة العمل خلال الاضطرابات، وليس فقط على امتلاكها أدوات الحماية. ويضيف أن اختبار هذه المؤشرات يساعد المؤسسات على التعبير عن المخاطر السيبرانية بلغة مالية يفهمها أعضاء مجالس الإدارات وشركات التأمين.
مع اقتراب 2027، يتوقع نانداكومارا أن تصبح المؤسسات المالية الخليجية أكثر ترابطاً واعتماداً على الأتمتة ووكلاء الذكاء الاصطناعي، في وقت يستطيع فيه المهاجمون استخدام قدرات مماثلة لتسريع عملياتهم.
ويضع احتواء الاختراقات ضمن أولويات مجالس الإدارات في السعودية والإمارات وبقية دول الخليج، مشدداً على ضرورة ألا يؤدي اختراق شخص واحد أو جهاز واحد أو وكيل ذكاء اصطناعي إلى فتح الطريق أمام الأنظمة المسؤولة عن تحريك الأموال.
وبحسب نانداكومارا، لا تستطيع أي مؤسسة ضمان عدم تعرضها لاختراق، لكنها تستطيع تحديد مدى انتشاره من خلال تصميم بنيتها التقنية وضبط الصلاحيات وعزل الموارد الحساسة.
ويرى أن إثبات القدرة على احتواء الهجمات والحفاظ على استمرارية العمليات سيصبح عاملاً في تنافسية المؤسسات المالية الخليجية، إلى جانب الامتثال للمتطلبات التنظيمية، مع اتساع اعتماد القطاع على الأنظمة المتصلة والخدمات الرقمية.
