حادثة ASOS: كيف حوّلت الهندسة الاجتماعية بيانات اعتماد مسروقة إلى خطر على الأعمال

الخلاصة

خمسة استنتاجات ينبغي أن يأخذها مسؤولو الأمن السيبراني في الحسبان:

قد يكون الحساب المشروع أداةً للهجوم. أفادت ASOS بأن المهاجم حصل على بيانات اعتماد أحد الموظفين عبر انتحال صفة شخص موثوق. ويصف بيان الشركة العلني سرقة بيانات الاعتماد عبر الانتحال ولا يذكر برمجيات خبيثة، لكن عدم ذكرها لا يثبت عدم استخدام أدوات أخرى في مراحل لاحقة من الحادثة.
نطاق الصلاحيات هو ما يحدد حجم الضرر. أتاحت بيانات الاعتماد الوصول إلى منصات معينة تابعة لجهات خارجية، من بينها، بحسب بيان ASOS، المنصة المستخدمة للتواصل مع العملاء. وهكذا أمكن إرسال رسالة إلى العملاء عبر قناة تحمل هوية الشركة نفسها.
النشاط الضار قد يبدو طبيعيًا. يتطلب اكتشاف إساءة استخدام الحسابات فهم سلوكها المعتاد، والموارد التي تصل إليها، والتغييرات التي تطرأ على نشاطها.
لا قيمة عملية للاستخبارات دون قرار. ينبغي أن تقود مؤشرات التعرّض إلى إجراء واضح: التحقيق، أو إلغاء الجلسات، أو إعادة تعيين بيانات الاعتماد، أو تقييد الوصول، أو تصعيد الحادثة.
الوقاية تتطلب منظومة متكاملة. تشمل الأولويات المصادقة المقاومة للتصيّد، ومبدأ أقلّ الصلاحيات، ومراقبة الهوية، واستخبارات التعرّض لبيانات الاعتماد، وخطة احتواء جرى اختبارها مسبقًا.

لا نمتلك معلومات من داخل الحادثة. يستند هذا التحليل إلى بيان ASOS العلني والتغطية الصحفية المتاحة، فيما لا يزال التحقيق جاريًا.

1. ما هو معروف عن حادثة ASOS

من الضروري التمييز بين ما أكدته الشركة، وما أوردته وسائل الإعلام، وما لا يزال ضمن ادعاءات المهاجمين أو التفاصيل غير المعلنة.

ما أكدته ASOS	في 6 أكتوبر، صدر إشعار غير مصرّح به إلى بعض العملاء. وأفادت الشركة بأن جهة غير مصرّح لها تمكنت من الوصول إلى حساب أحد الموظفين بعد انتحال صفة شخص موثوق للحصول على بيانات اعتماده، ثم استخدمت تلك البيانات للوصول إلى معلومات على منصات معينة تابعة لجهات خارجية. وأوضحت ASOS أنها أمّنت المنصات المتأثرة، وقيّدت لاحقًا الوصول إلى المنصة الخارجية المستخدمة للتواصل مع العملاء. ووفقًا لتحديث الشركة المنشور، شمل الوصول غير المصرّح به أسماء العملاء وبيانات الاتصال بهم وبعض المعلومات الأخرى غير الشخصية المرتبطة بحساباتهم، كما ذكرت صحيفة The Guardian أن تأكيد الشركة في 8 أكتوبر شمل عناوين التوصيل والبريد الإلكتروني وأرقام الهواتف. وبحسب التحديث نفسه، أفادت الشركة بأن تحقيقها لم يجد ما يشير إلى الوصول إلى بيانات بطاقات الدفع أو كلمات مرور الحسابات، وأكدت أن الموقع الإلكتروني والتطبيق ظلا آمنين للاستخدام. وهذه نتائج التحقيق المعلنة حتى وقت التحديث، وليست بالضرورة خلاصة نهائية؛ إذ يستمر التحقيق بالتعاون مع خبراء خارجيين وجهات إنفاذ القانون والجهات التنظيمية.
ما أوردته وسائل الإعلام	حمل الإشعار عنوان «Asos hacked» وتضمّن رابطًا إلى قناة على Telegram. وأفادت تقارير صحفية بأن البيانات المتأثرة شملت، بحسب ما يُفهم، سجل عمليات البحث الأخيرة للعملاء، كما أوردته BBC أولًا بعد أن تواصل معها المهاجمون، وأوردت BBC وMalwarebytes أيضًا تواريخ الميلاد وأرقام العملاء وتواريخ إنشاء الحسابات. ولم تسرد ASOS هذه الحقول في تحديثها الرسمي على موقعها، لذلك ننسبها إلى وسائل الإعلام لا إلى قائمة أكدتها الشركة بصورة مستقلة، ولم تنشر ASOS عدد العملاء المتأثرين مع أن The Guardian تقول إنهم بالملايين. كما أشار خبراء نقلت عنهم The Guardian إلى أن اتساع نطاق البيانات قد يتيح للمهاجمين إنشاء رسائل تصيّد أكثر إقناعًا واستهدافًا. راجع آخر تحديث لدى ASOS لمعرفة القائمة الحالية.
ما ادّعاه المهاجمون	نُسب الإشعار إلى مجموعة تطلق على نفسها اسم Xuanye Group، وتضمّن رسالة تزعم أنها «اخترقت بالكامل بيئة Snowflake» وتهدد بتسريب البيانات. وذكرت تقارير لاحقة أن المهاجمين حددوا Simon AI، وهي منصة لتخصيص تجربة العملاء مبنية على Snowflake، بوصفها البيئة التي وصلوا إليها. لكن ASOS لم تؤكد علنًا المنصة المحددة ولا الرواية الكاملة للمهاجمين. وأوضحت Snowflake أن الحادثة لم تنتج عن ثغرة أو ضعف أو خلل أو سوء تهيئة في خدمتها أو منصتها أو بيئاتها الداخلية. لذلك، لا ينبغي الخلط بين ادعاء الوصول إلى بيئة تستخدم Snowflake وبين إثبات اختراق منصة Snowflake نفسها.
ما لا يزال غير محسوم	لم تؤكد ASOS علنًا جميع المنصات التي جرى الوصول إليها، ولا العدد الدقيق للعملاء المتأثرين، ولا النطاق الكامل للبيانات التي ربما كُشف عنها، ولا حجم البيانات التي استُخرجت بالفعل. وتشير تقارير صحفية إلى أن المهاجمين قدّموا عينات من البيانات، لكن ذلك لا يثبت بصورة مستقلة جميع تفاصيل روايتهم. كذلك، لم يُعلن عن إعدادات المصادقة متعددة العوامل للحساب المعني ولا عن المدة التي استمر خلالها الوصول غير المصرّح به.

الدرس الأهم للمدافعين هو تسلسل الأحداث: انتحال صفة شخص موثوق أتاح الحصول على بيانات اعتماد، وهذه البيانات فتحت الوصول إلى منصات خارج الموقع والتطبيق الرسميين. وبما أن إحدى تلك المنصات كانت مرتبطة بالتواصل مع العملاء، أصبحت الثقة التي تتمتع بها العلامة التجارية جزءًا من نطاق الخطر.

وثمة خطر إضافي يتمثل في إمكانية استغلال البيانات المكشوفة لإنشاء حملات تصيّد مخصصة. فقد أشار خبراء نقلت عنهم The Guardian إلى أن الجمع بين سجل البحث لدى العملاء ورسائل التذكير التي ترسلها ASOS بشأن المنتجات التي بحثوا عنها قد يساعد المهاجمين على صياغة رسائل احتيالية تبدو أصلية. وقد ذكّرت ASOS عملاءها بأنها لن تطلب كلمات المرور أو رموز الأمان أو بيانات الدفع عبر رسائل أو مكالمات غير مطلوبة.

2. الهوية أصبحت جزءًا أساسيًا من سطح الهجوم

اعتادت برامج الأمن السيبراني التركيز على حماية الأجهزة الطرفية والشبكات والتطبيقات والخوادم. ولا تزال هذه الضوابط ضرورية، لكنها لم تعد كافية وحدها. فالمؤسسات الحديثة تعتمد أيضًا على الهويات الرقمية والصلاحيات التي تربط الموظفين بالمنصات السحابية وتطبيقات البرمجيات كخدمة (SaaS) وقواعد بيانات العملاء ومزوّدي الخدمات الخارجيين. لذلك، قد يتيح حساب موظف واحد الوصول إلى أنظمة وبيانات تتجاوز بكثير ما يوجد على جهازه الشخصي.

ويزداد الخطر عندما يمتلك الحساب صلاحيات أوسع من حاجته الفعلية، أو تختلف آليات المصادقة بين الخدمات، أو تتمتع تطبيقات الأطراف الخارجية بإمكانية الوصول إلى معلومات تجارية حساسة. وفي مثل هذه الظروف، قد لا يحتاج المهاجم إلى إصابة جهاز ببرمجية خبيثة؛ فقد يستخدم متصفحًا عاديًا وبيانات اعتماد صحيحة وواجهات وصول مشروعة لإساءة استخدام الصلاحيات المتاحة له.

وهنا يبرز السؤال الأساسي أمام فرق الأمن: كيف نميّز الجلسة المشروعة عن جلسة يستخدمها مهاجم يستولي على هوية مشروعة؟

3. كيف تتحول بيانات اعتماد واحدة مسروقة إلى حادثة تمس الأعمال؟

يوضح الجدول التالي سيناريو افتراضيًا لمؤسسة تعتمد على عدة منصات سحابية. وهو ليس ادعاءً بأن جميع هذه المراحل وقعت في حادثة ASOS؛ فالمعلومات المنشورة عن الحادثة لا تغطي سوى الخطوط العامة. كما أن المؤشرات المذكورة في العمود الأخير، مثل إضافة وسيلة مصادقة جديدة أو إعادة استخدام الرموز أو تصدير كميات كبيرة من البيانات أو تغيير الصلاحيات، هي أمثلة على فرص محتملة للكشف، وليست أحداثًا مؤكدة في حادثة ASOS.

المرحلة	ما قد يفعله المهاجم	ما يمكن أن يلاحظه فريق الدفاع
1. التواصل الأول	انتحال صفة زميل أو مورّد أو موظف دعم تقني، عبر مكالمة أو رسالة، لإقناع الموظف بكشف بيانات اعتماده أو الموافقة على طلب وصول.	طلبات غير معتادة لإعادة تعيين كلمات المرور أو المصادقة متعددة العوامل، أو بلاغات الموظفين، أو سجلات الاتصالات ذات الصلة.
2. الاستيلاء على الحساب	تسجيل الدخول ببيانات اعتماد صحيحة، أو إعادة استخدام جلسة أو رمز وصول مسروق، دون الحاجة بالضرورة إلى إصابة جهاز الموظف ببرمجية خبيثة.	عمليات تسجيل دخول غير مألوفة، أو تناقضات جغرافية تستدعي التحقق، أو إضافة وسيلة مصادقة جديدة، أو استخدام رمز من مواقع مختلفة. وينبغي تفسير هذه الإشارات ضمن سياق الجهاز والجلسة والهوية، لأن شبكات VPN والخوادم الوكيلة قد تؤدي إلى تنبيهات كاذبة.
3. توسيع الوصول	استكشاف التطبيقات والتكاملات التي يستطيع الحساب الوصول إليها، مثل أنظمة المراسلة ومنصات التواصل مع العملاء ولوحات إدارة السحابة ومنصات البيانات.	الوصول إلى تطبيق للمرة الأولى، أو إنشاء رموز API جديدة، أو منح تطبيقات صلاحيات إضافية، أو إجراء استعراض واسع للسجلات.
4. إحداث أثر على الأعمال	الاطلاع على بيانات العملاء أو استرجاع مستندات أو إرسال رسائل باسم الشركة أو تغيير إعدادات الأنظمة.	عمليات تصدير واسعة للبيانات، أو رسائل صادرة لم يرسلها الفريق المسؤول، أو تغييرات غير متوقعة في الإعدادات.
5. الكشف والاحتواء	تحديد الهوية المتأثرة، وحصر الموارد التي وصلت إليها، وإلغاء الجلسات وبيانات الاعتماد، وفحص الحسابات المرتبطة.	الزمن اللازم لإلغاء الوصول، ومدى اكتمال السجلات لتحديد ما جرى الاطلاع عليه أو تغييره.

4. لماذا قد تفشل الضوابط التقليدية في اكتشاف هذه المؤشرات؟

قد تمتلك المؤسسة أنظمة متقدمة للكشف والاستجابة عند نقاط النهاية (EDR)، ومنصة لإدارة المعلومات والأحداث الأمنية (SIEM)، ومصادقة متعددة العوامل، وأدوات لفحص الثغرات. ومع ذلك، لا توفر أي من هذه الأدوات بمفردها رؤية كاملة لكل حالات إساءة استخدام الهوية. وتبرز أربع فجوات رئيسية:

بيانات الاعتماد الصحيحة قد تخفي نشاطًا ضارًا. لا يصبح تسجيل الدخول مريبًا تلقائيًا لمجرد أن المهاجم هو من يستخدم الحساب. يتطلب الكشف فهم السلوك المعتاد للهوية، والموارد التي تصل إليها، وأنماط المصادقة، والتغييرات التي تطرأ على نشاطها.
الوصول عبر الأطراف الخارجية يوسّع نطاق الضرر المحتمل. تمنح المؤسسات التطبيقات والمورّدين الخارجيين صلاحيات للتفاعل مع أنظمة الأعمال. وإذا لم تُحكم إدارة هذه الصلاحيات، فقد يتيح حساب واحد الوصول إلى معلومات موزعة عبر عدة منصات. لذلك، تحتاج فرق الأمن إلى معرفة الحسابات والتكاملات التي تصل إلى البيانات الحساسة، وأسباب منح الصلاحيات، وما إذا كانت لا تزال ضرورية.
المنصات التي تتحدث باسم المؤسسة أهداف عالية التأثير. تحمل منصات مراسلة العملاء والإشعارات سلطة العلامة التجارية ومصداقيتها. وإذا تمكن مهاجم من الوصول إليها، فقد يبدأ الضرر بالظهور فورًا على شكل رسائل احتيالية أو تراجع في الثقة، حتى قبل حسم نطاق البيانات التي جرى الوصول إليها. لذا ينبغي التعامل مع هذه المنصات بوصفها أنظمة عالية الأهمية، مع فرض ضوابط وصول صارمة وتسجيل شامل للأنشطة.
قد تنفصل استخبارات التعرّض عن الاستجابة للحوادث. قد تظهر بيانات اعتماد أحد الموظفين في تسريب خارجي، أو تُرصد مؤشرات مريبة مرتبطة بنطاق المؤسسة. لكن إذا لم تصل هذه المعلومات إلى فرق مراقبة الهوية وإدارة الوصول والاستجابة للحوادث، فقد تضيع فرصة التدخل المبكر. وتتحقق القيمة العملية للاستخبارات الخارجية عندما تؤدي إلى إجراء واضح ومناسب للمخاطر.

5. خمسة إجراءات ينبغي إعطاؤها الأولوية

الإجراءات التالية توصيات أمنية من ClairSec، وليست استنتاجات بشأن الضوابط الداخلية لدى ASOS، إذ لا تتوافر معلومات عامة كافية لتقييم تلك الضوابط. وليس من الواقعي افتراض إمكانية منع كل محاولة للهندسة الاجتماعية، لكن من الممكن تقليل احتمال اختراق الحسابات والحد من الأثر إذا وقع الاختراق. لكل إجراء خطوة أولى لهذا الربع ودليل على فاعليته.

الإجراء	الخطوة الأولى هذا الربع	كيف تقيس الفاعلية
1. اعتماد مصادقة مقاومة للتصيّد	إعطاء الأولوية للحسابات الإدارية والحسابات ذات الصلاحيات العالية في منصات SaaS، باستخدام مفاتيح الأمان FIDO2 أو مفاتيح المرور (Passkeys)، وتعطيل الرسائل النصية والموافقة عبر الإشعارات بوصفها وسائل بديلة لهذه الحسابات، مع فرض تحقق مستقل عند طلب إعادة تعيين المصادقة أو استعادة الحساب.	اختبار مسارات الدخول والاستعادة والبدائل الاحتياطية للتأكد من عدم إمكانية تجاوز المصادقة القوية عبر آليات قديمة أو أضعف، ومن أن مكالمة هاتفية وحدها لا تكفي لإعادة تعيين وسائل المصادقة.
2. تطبيق مبدأ أقلّ الصلاحيات على منصات SaaS والخدمات السحابية	حصر حسابات الموظفين وحسابات الخدمات ورموز API والتكاملات الخارجية، وإزالة ما لم تعد هناك حاجة إليه، ومراجعة الجهات التي تستطيع الوصول إلى بيانات العملاء والبيانات التشغيلية.	القدرة على تحديد من يستطيع الوصول إلى كل منصة حساسة، وسبب امتلاكه لهذه الصلاحية، مع إجراء مراجعات دورية موثقة.
3. مراقبة سلوك الهوية، لا البرمجيات الخبيثة وحدها	ربط سجلات تسجيل الدخول ونشاط الجلسات وتغييرات الصلاحيات وأنماط الوصول إلى البيانات عبر المنصات المختلفة، وإعداد تنبيهات للأنشطة غير المعتادة على الأنظمة التي تحتفظ ببيانات العملاء أو تتيح إرسال الرسائل باسم المؤسسة.	تنفيذ اختبار يحاكي وصولًا غير معتاد إلى منصة حساسة، والتحقق من صدور التنبيه، ومن قدرة المحقق على تتبع نشاط الهوية عبر الخدمات المختلفة.
4. ربط استخبارات التعرّض لبيانات الاعتماد بإجراءات الاستجابة	مراقبة المصادر ذات الصلة بحثًا عن بيانات اعتماد مؤسسية مكشوفة، والتحقق من كل نتيجة، وتحديد ما إذا كان الحساب لا يزال نشطًا أو يمتلك صلاحيات مرتفعة، والتنسيق مع فرق الهوية والاستجابة للحوادث قبل اتخاذ الإجراء المناسب.	توثيق قرار لكل حالة ضمن مدة زمنية محددة: التحقيق، أو إعادة تعيين بيانات الاعتماد، أو إلغاء الوصول، أو تقييده، أو إغلاق الحالة مع تسجيل السبب.
5. الاستعداد للاحتواء السريع	توثيق إجراءات تعطيل الحسابات المتأثرة، وإلغاء الجلسات والرموز، وتدوير الأسرار المكشوفة، ومراجعة وصول الأطراف الخارجية، وحفظ الأدلة الرقمية. وينبغي أن تشمل الخطة المنصات التي تتواصل مع العملاء باسم المؤسسة.	تنفيذ تمرين محاكاة للاستجابة يتضمن قياس الزمن اللازم للاحتواء، وتوثيق الثغرات الإجرائية التي يكشفها التمرين، ومتابعة معالجتها.

6. من تنبيهات بيانات الاعتماد إلى القرارات

جمع بيانات التهديدات لا يعني بالضرورة تقليل المخاطر. فالتنبيهات المتعلقة ببيانات اعتماد مسرّبة أو نطاقات مشبوهة أو حملات تصيّد أو تهديدات تستهدف قطاعًا معينًا قد تتحول إلى ضجيج تشغيلي إذا لم تخضع للتحقق وترتيب الأولويات والاستجابة المناسبة. وتربط القدرة الفعّالة على استخبارات التهديدات السيبرانية المؤشرات الخارجية ببيئة المؤسسة الفعلية، بحيث يمكن تحديد مدى ارتباط كل مؤشر بحسابات المؤسسة وأنظمتها ومخاطرها التشغيلية.

عند الاشتباه في انكشاف بيانات اعتماد مؤسسية، ينبغي طرح الأسئلة التالية:

هل الحساب لا يزال نشطًا؟
هل يمتلك صلاحيات مرتفعة أو وصولًا إلى أنظمة حساسة؟
هل توجد أنشطة تسجيل دخول أو جلسات غير معتادة؟
ما التطبيقات والمنصات التابعة لجهات خارجية التي يستطيع الحساب الوصول إليها؟
ما الإجراء الأنسب للتحقيق أو الاحتواء؟

وهناك نقطتان أساسيتان ينبغي عدم إغفالهما: ظهور بيانات اعتماد في تسريب لا يثبت أن الحساب قد اختُرق، كما أن عدم العثور على تسريب معروف لا يثبت أن الحساب آمن. ويمكن للمؤسسات التي لا تمتلك فريق استخبارات تهديدات متخصصًا الاستفادة من خدمات استخبارات التهديدات السيبرانية المُدارة، التي تربط المراقبة والتحليل والتقارير المتعلقة بالتهديدات الخارجية باحتياجات فرق الأمن الداخلية.

7. أسئلة ينبغي لكل مسؤول أمن أن يجيب عنها

هل نعرف أين يمكن أن تكون بيانات اعتماد مؤسستنا مكشوفة؟
هل نستطيع اكتشاف الوصول غير المعتاد إلى منصات SaaS والأنظمة السحابية الحساسة؟
هل راجعنا الصلاحيات الممنوحة للتطبيقات الخارجية، بما فيها المنصات التي تتواصل مع عملائنا؟
هل نستطيع ربط استخبارات التهديدات الخارجية بسجلات الهوية والنشاط الداخلي؟
هل لدينا إجراءات مجرّبة لاحتواء حساب مخترق؟
هل نستطيع إثبات أن المخاطر التي اكتشفناها تُعالج بالفعل؟

إذا تعذّرت الإجابة عن هذه الأسئلة بثقة، فالمشكلة ليست بالضرورة نقصًا في الأدوات أو المنتجات الأمنية. فقد تكمن الفجوة في الرؤية التشغيلية، أو ترتيب الأولويات، أو التنسيق بين فرق الأمن والاستجابة للحوادث وإدارة الهوية.

الخلاصة: احمِ الهوية، لا الجهاز وحده

توضح حادثة ASOS، وفق المعلومات التي نشرتها الشركة حتى الآن، كيف يمكن للهندسة الاجتماعية وسرقة بيانات اعتماد موظف أن تؤديا إلى وصول غير مصرّح به إلى منصات خارجية، وكيف يمكن أن تتجاوز العواقب الحساب الذي بدأ منه الهجوم. وتتطلب مواجهة هذا النوع من المخاطر نهجًا مستمرًا يجمع بين المصادقة القوية، وتطبيق مبدأ أقلّ الصلاحيات، ومراقبة سلوك الهويات، والاستفادة من الاستخبارات الخارجية، واختبار إجراءات الاستجابة والاحتواء بانتظام.

الهدف ليس مجرد اكتشاف أن بيانات الاعتماد قد انكشفت، بل تحديد مدى خطورة ذلك، وفهم الأنظمة التي يمكن لهذه الهوية الوصول إليها، واتخاذ الإجراء المناسب قبل أن يتسع نطاق الضرر.

المصادر

تُعرض المصادر بلغاتها الأصلية. وادعاءات المهاجم والحقول الإضافية للبيانات مأخوذة من تقارير صحفية ولم يؤكدها تحديث ASOS نفسه. والتحقيق جارٍ، فراجع صفحة ASOS لمعرفة آخر المستجدات.