من جامعات رابطة اللبلاب إلى البيانات الشخصية: اختراقات البيانات الأكاديمية في أعلى مستوياتها على الإطلاق!"

It took nothing more than a phone call with a familiar and convincing voice, a malicious actor impersonating as an internal contact, and just the right insider on the other end of the line. This is how a skilled hacker got their ‘Vish’.

تعرّف على نموذج أعمال الجرائم الإلكترونية الجديد كليًا: «التصيد الصوتي

The act of impersonating a familiar entity to garner pity or fear or even sympathy to gain critical information like bank account numbers, OTPs, passwords and more.

يلجأ القراصنة والمهاجمون إلى هذا النوع المقنع من الاحتيال باعتباره شكلاً من أشكال الإقناع المُسلَّح.

Familiarity – a psychological loophole that easily cuts through firewalls, BitLocker, antiviruses and sinks its claws deep into naive human trust. This is the beginning of all breaches, scams and ransom attacks. Because familiarity cements trust, and digital trust translates into something like ‘I know this person…let me give them what they are asking for’.

كلما أصبحت تفاعلاتك الرقمية أكثر ألفة، كلما قلت شكوكك، وهذا بالضبط نوع الفخاخ التي يتغذى عليها هؤلاء المهاجمون.

في هذا المقال، سنتعمق في كيفية وقوع جامعة مرموقة ضحية لشيء بسيط بقدر مكالمة هاتفية بصوت مألوف على الطرف الآخر من الخط.

The IVY league university is home to 20,000 faculty and staff, 24,500 students in both undergraduate and postgraduate programs, and 400,000 alumni around the world.

في حالة هارفارد، تم اختراق قواعد بيانات خريجين، والمتبرعين، وطلاب، وسجلات أعضاء هيئة التدريس.

هذا يصرخ برسالة واحدة بصوت عالٍ، وهي: هؤلاء القراصنة لا يسعون فقط للوصول إلى البيانات المالية، بل يريدون الهويات، والشبكات، والنفوذ، والقدرة على التأثير، وتفاصيل الملفات الشخصية للطلاب المهمين.

تحمل الجامعات والمؤسسات التعليمية الأخرى ثروة من المعلومات فيما يتعلق بالتاريخ الشخصي، وتفاصيل الخريجين البارزين، وشبكات العائلات، وهذا مجرد الجزء الشخصي منها.

ما بالنسبة للقيمة الحقيقية، فهذه المؤسسات تُعد منجمًا ذهبياً من قواعد البيانات التي تحتوي على معلومات حول الوثائق البحثية، ونتائج التجارب، وسجلات المنح، والمراسلات، والأرشيف الأكاديمي، وغيرها من الاتصالات والمعلومات الداخلية شديدة السرية.

ماذا تم الكشف عنه؟

أدى الاختراق إلى كشف تفاصيل الاتصال، والبيانات الشخصية، وعناوين البريد الإلكتروني، وأرقام الهواتف، والعناوين المنزلية والعمل، وغيرها من المعلومات الحساسة. كما شمل الاختراق معلومات عن أزواج وأزواج الخريجين، وتفاصيل الاتصال بالطلاب الحاليين وأولياء أمورهم.

لم يتم تسريب السجلات المالية، أو كلمات المرور، أو أرقام الضمان الاجتماعي، لكن تم الكشف عن معلومات تتعلق بالتبرعات والهدايا، ومعلومات مرتبطة بأنشطة جمع التبرعات والتفاعل مع الخريجين.

رد الجامعة على الهجوم

تمكنت جامعة هارفارد من منع أي وصول إضافي للحماية من أي نشاط غير مصرح به، كما لجأت إلى شريك خارجي في الأمن السيبراني والسلطات القانونية لمنع وقوع أي حوادث أخرى.

بينما تعرّضت جامعة هارفارد لهجومين في نفس العام، واجهت جامعات أخرى في رابطة الـIvy League، مثل جامعة بنسلفانيا وبرينستون، خروقات مماثلة أيضًا.

خروقات بيانات جامعة بنسلفانيا

ادعاء آخر في عملية السرقة الرقمية هو أنهم ربما سرقوا ما يقارب 1.2 مليون سجل من المعلومات الشخصية (PII)، بما في ذلك تاريخ التبرعات وتفاصيل ديموغرافية أخرى.

رد الجامعة على الهجوم:

تم على الفور حظر الأنظمة المصابة لمنع أي اختراق إضافي أو أي وصول غير مصرح به. لجأت الجامعة إلى شركة الأمن السيبراني الخارجية "كراودسترايك" للتحقيق في الحادثة. كما أبلغت جامعة بن هذا الحادث إلى مكتب التحقيقات الفيدرالي (FBI)، وقد قامت الآن أيضًا بتنفيذ التحديثات الأمنية اللازمة التي أصدرتها شركة أوراكل لسد الثغرات المستغلة.

خرق برينستون

وفقًا لمصادر أخرى، فقد ذكر أحدها أن القراصنة قد حصلوا على معلومات كافية وأكثر لارتكاب سرقة الهوية وإلحاق الضرر بآلاف الأفراد.

قد تستغرق التحقيقات عدة أسابيع لفحص البيانات التي تم اختراقها بالضبط.

رد الجامعة على

تم إيقاف الهجوم خلال 24 ساعة.

تم الاستعانة بفريق خارجي من خبراء الأمن السيبراني، وتم أيضًا إخطار الجهات المسؤولة عن تطبيق القانون والنظام.

كما أبلغت جامعة برينستون المجتمع بضرورة اليقظة تجاه هجمات التصيد الاحتيالي، وعملت أيضًا على تعزيز بروتوكولات الأمن السيبراني والتدريب المتعلق به

حسنًا، اختراق هذا العام قد يكون الشخص المنتحل للهوية في العام المقبل.

لا يتعلق الأمر أبدًا بما يمتلكونه من بيانات، بل بما يمكنهم فعله بكل تلك البيانات. الأمر يتعلق بكيفية استخدامها لبناء شيء خطير في المستقبل.

يمكن بيع البيانات المسروقة أو الاحتفاظ بها لطلب فدية، وهذا لا يعدو كونه مجرد نظرة سطحية لما قد يحدث فعليًا.

عندما يهاجم مخترق مؤسسة تعليمية، فهو لا يسعى فقط إلى سحب البيانات. بل يبحث عن ورقة ضغط. تتم سرقة البيانات لأنها أصل متعدد الاستخدامات؛ يمكن استخدامها أو بيعها، أو استغلالها في انتحال الهوية، أو احتجازها مقابل فدية، أو ما هو أسوأ من ذلك، تحويلها إلى سلاح وتشغيلها بشكل آلي.

ومع تركيز الهجمات على الجامعات، ولا سيما جامعات رابطة الآيفي ليغ، تصبح بيانات الطلاب وأعضاء هيئة التدريس المستغلة ذات قيمة عالية. وذلك لأن هؤلاء الطلاب وأعضاء هيئة التدريس ليسوا أفرادًا عاديين فحسب؛ إذ تشمل البيانات أيضًا معلومات عن المتبرعين والخريجين والأساتذة والباحثين، وهم أشخاص يتمتعون برأس مال اجتماعي ومالي مرتفع.

اليوم، قد يؤدي بريد إلكتروني واحد للتصيّد الاحتيالي، أو رسالة تحتوي على معلومات مغرية، إلى كشف حسابك البنكي بالكامل، سواء كان حسابًا تجاريًا أو شخصيًا أو مشتركًا. بل وقد يُستخدم ذلك للتلاعب بمحاولات تسجيل الدخول الخاصة بك، أو حتى لاختطاف هويتك الرقمية في المستقبل.

وهذا بالضبط السبب الذي يجعل التشفير أمرًا مهمًا.

مع التشفير، حتى لو حدث اختراق، فإن أقصى ما يمكنهم رؤيته هو ملفاتك فقط، لكنهم لا يستطيعون أبدًا فتحها أو تعديل المعلومات الموجودة بداخلها.

بمجرد كشف البيانات الأكاديمية أو أي نوع من البيانات أو اختراقها، يتم احتجازها ونقلها إلى الأسواق الإلكترونية غير القانونية، حيث تُباع أو تُنسخ أو تُضاعف وتُكرر إلى ما لا نهاية. وهذا يعني أن البيانات المسربة لا تختفي أبدًا بشكل كامل.

ورغم أن الأمر قد يبدو غير ضار تمامًا، إلا أن هذه البيانات تصبح مادة خام لجرائم إلكترونية موجهة ومضايقات شخصية. والمتعة الحقيقية بالنسبة للمخترقين لا تكمن في التعامل مع بيانات خام فقط، بل في العبث بالمصداقية المرتبطة بهذه البيانات.

في حالات اختراق البيانات على مستوى الجامعات، ينتحل المهاجمون صفة أشخاص موثوقين داخل أنظمة الجامعة لتنفيذ محاولات تصيّد احتيالي، ويستخدمون أساليب مدعومة بالهندسة الاجتماعية تبدو مقنعة للغاية.

ومن خلال ذلك، فإن الخطر الأكبر في النهاية ليس مجرد كشف المعلومات، بل تحويل الثقة إلى سلاح، واستغلال الألفة كثغرة مثالية، واستخدام الروابط والعلاقات للتلاعب بالوصول والصلاحيات والموارد المالية، والاعتماد على علاقة مهنية بسيطة ومألوفة لشخص من الداخل من أجل السيطرة الكاملة.

كل ذلك وأكثر يتم تحت غطاء اتصال أكاديمي يبدو شرعيًا.

لم يعد التشفير خيارًا، وبالتأكيد ليس مجرد إجراء احترازي يُطبق بين الحين والآخر. بل يجب أن يصبح ممارسة يومية داخل المؤسسات لمنع حدوث اختراقات جسيمة.

سواء كان التشفير للأعمال أو للاستخدام الشخصي، فهو استثمار في راحة بالك وحماية مثالية لهويتك.

كيف يعمل التشفير

Encryption, if implemented properly, basically means even if someone were to access your device or drive, they will be left with nothing but unreadable and useless ciphertext. For instance, the AES-256-bit encryption is one of the strongest, unbeatable and trusted types of encryption present. And the best part? AxCrypt offers you this, along with layered security like password protection and data breach prevention.

سواء كنت تبحث عن خيارات آمنة لمشاركة الملفات مثل أوراق الملكية، والمستندات القانونية، والمواد البحثية، وغيرها من الوثائق، فإن هذا التشفير يُعد درعًا صامتًا لكنه قوي يحمي خصوصيتك وراحة بالك.

ليست كل الهجمات بحاجة إلى ثغرة رقمية. فبعضها يحتاج فقط إلى شخص ساذج ضمن الفريق، أو صوت مألوف على الطرف الآخر من الخط.

Here is a simple rule to spot a vishing attack from taking over you.

هل تلقيت مكالمة عشوائية في العمل؟ تبدو مألوفة جدًا، لكن هناك شيء غير مريح؟ فقط تحقّق من المكالمة بسؤال بسيط، غير ضار، وشخصي لا يعرف إجابته إلا أنت والشخص الحقيقي الذي يتم انتحال هويته.

على سبيل المثال.

المنتحل الذي يتظاهر بأنه السيد ديفيد: مرحبًا يا جين… أحتاج منك فتح حاسوبي المحمول وإرسال ملف “ABC” إليّ فورًا.

وهنا بالضبط يبدأ حدوث الاختراق

Either Jane, from accounts, can give the impersonator the file and get the company bankrupt, OR she can prevent a Vishing attack and get promoted with a really good hike for this move she pulled.

**جين: بالتأكيد، سأفعل ذلك. لكن بالمناسبة، كيف سارت زيارة طبيب الأسنان؟ هل قاموا بخل

Now the impersonator will answer, just to play along until they get their hands on what they are looking for. But Jane is smarter. She hangs up immediately and informs Mr David, who is on vacation in Bora Bora with his family.

Now this is only merely an example of how your instincts, along with a zero-knowledge encryption software, could save you from being the next breach headline.