كل الاستراتيجيات الأمنية تقريبًا تركز على فكرة واحدة: إبعاد الغرباء. لكن الحقيقة أن التهديد أحيانًا يأتي من الداخل. من شخص يملك صلاحيات الوصول أصلًا. هذا المقال يتناول كيف يستغل المهاجمون أنظمة المصادقة نفسها، ولماذا يجب أن يعيد كل مسئول في المؤسسة النظر في طريقة تفكيره حول الأمان.
الحقيقة المُرعبة عن الثقة: لماذا علامة "موثّق" لا تعني أنك بأمان
عندما يعمل القفل بشكل مثالي... لكن الشخص الخاطئ يدخل من الباب
لنتحدث عن شيء يجعل المتخصصين في الأمن يقضون لياليهم بدون نوم. ليست الصورة النمطية للهاكر في هوديه داكن. وليست ثغرة برمجية معقدة.
الفكرة الخطرة ببساطة: افتراض أن التحقق من الهوية يعني التأكد من المصداقية.
صادفت دراسة حالة مخيفة قبل أيام، ولا زلت أفكر فيها.
شركة متوسطة الحجم - لنسمّها بأي اسم - تعرضت لثلاث حوادث أمنية خلال أربعة أشهر. اللافت؟ لا واحدة منها تضمنت اقتحام شبكات أو استغلال ثغرات برمجية.
في كل مرة، المهاجم ببساطة أصبح شخصاً تثق به الشركة أصلاً.
هذا... مقلق فعلاً.
كلمة المرور كانت مثالية. الشخص؟ لا.
المشكلة مع الأمن التقليدي؟ نعامل المصادقة وكأنها قفل ومفتاح. أدخل الكلمة الصحيحة، اجتز التحقق الثنائي، وادخل.
لكن ماذا لو القفل يعمل تماماً كما صُمم... والشخص الذي يدخل من خلاله ليس من المفترض أن يكون هناك؟
الحالات اللي صادفتها أظهرت ثلاث أشكال مختلفة لنفس المشكلة.
أولاً: مدير مالي تلقى اتصالاً من "الدعم التقني" عن نشاط مشبوه في حسابه. رقم المتصل كان داخلياً. المتصل كان يعرف مزود التحقق الثنائي. عرف أن المدير مسافر (لأنه نشر عن رحلته على وسائل التواصل - نعم، نحن نفعل ذلك جميعاً). حتى معلوماته من اختراقات قديمة كانت متوفرة على الإنترنت المظلم.
كل ما احتاجوه؟ أن يقرأ لهم رمز التحقق.
فعل.
خلال عشرين دقيقة، شخص كان يستخدم بريده لطلب تحويلات مستعجلة. السبب الوحيد الذي منع المال من التحرك؟ محاسب في الحسابات المستحقة شعر أن الطلب "غريب" واتصل بالمدير مباشرة.
الغريزة البشرية أنقذت الموقف.
ثق... لكن تحقق (إلا عندما تنسى)
أكثر شيء يلفت انتباهي في هذه الحوادث ليس ذكاء الهجمات — بل كيف مملة ستبدو لأغلب أنظمة الأمن.
بيانات الدخول صحيحة. المصادقة اجتازت. الجلسات صالحة.
لكننا نسينا في طريقنا أن التحقق ليس مجرد وضع علامة صح. الهدف الأساسي هو التأكد أن الشخص على الطرف الآخر فعلاً من يدّعي... وأن له سبب مشروع يفعل ما يفعله.
الحالة الثانية: موظف يعمل عن بُعد بدا شرعياً تماماً. سيرة ذاتية ممتازة. مراجع موثوقة. أعمال قوية.
المشكلة؟ لا شيء من هذا صعب سرقته.
الشخص تبين أنه يستخدم هوية مهندس حقيقي، مع مراجع مصنوعة بالكامل، ويعمل من خارج البلاد باستخدام أجهزة الشركة المُرسلة لشقة مؤجرة.
السبب الوحيد لكشفه؟ أحدهم لاحظ أن الجهاز يكون أكثر نشاطاً في ساعات الليل المتأخرة.
فقط. لا اكتشاف تقني متطور. مجرد انتباه لصورة غريبة قليلاً.
مشكلة الجلسة التي لا أحد يتحدث عنها
ثم جاءت الحالة الثالثة، وهي أخطر تهديد يتجاهله الناس في الأمن الحديث.
حساب مسؤول تنفيذي تم الوصول إليه من رومانيا. كانت المسؤولة نائمة في أوهايو.
كلمة المرور لم تُكشفَّ. التحقق الثنائي لم يُتجاوز.
السبب؟ برمجية خبيثة على جهاز كمبيوتر مشترك في المنزل سرقت ملفات تعريف الارتباط للجلسة. المهاجم مشى مباشرة من الباب الأمامي الرقمي، ظاهراً كمستخدم مصادق عليه بشكل كامل.
هذه هي الحقيقة غير المريحة عن المصادقة المبنية على الجلسات: بمجرد ما تدخل، غالباً تبقى داخل. رموز الجلسات قد تظل صالحة لساعات أو حتى أيام. وعلى خلاف كلمات المرور، لا شيء يسهل على المستخدمين حمايته أو تغييره.
إذن... ما الدرس الحقيقي؟
الدرس ليس "كن أكثر paranoia" - رغم أن القليل من الحذر الصحي لا يضر.
الدرس الحقيقي هو الفجوة بين التحقق من الهوية وتأكيد الثقة المستمرة.
أغلب المؤسسات أصبحت جيدة في الجزء الأول. نتحقق من البيانات، نفرض التحقق الثنائي، نراجع الصناديق.
لكن الجزء الثاني — التأكد المستمر أن الشخص لا يزال مصرحاً له ويفعل ما هو مناسب — هذا حيث نواجه مشكلة حقيقية.
الحالات اللي ناقشتها تشترك في شيء آخر: كلها اكتُشفت بواسطة بشر أو أنظمة صممها بشر يبحثون عن انحرافات سلوكية، مو مجرد فشل في المصادقة.
زميل سأل عن طلب غير مألوف. محلل لاحظ نمط عمل غريب. نظام آلي سجل "سفراً مستحيلاً".
الضوابط التقنية ضرورية. لكنها ليست كافية.
المضاعف الأمني الحقيقي؟ بناء ثقافة يشعر فيها الناس بالقدرة على التساؤل عن أشياء تبدو خاطئة — حتى لو بيانات الدخول صحيحة.
لأن الحقيقة غير المريحة؟
في واقع التهديدات اليوم، أكبر خطر أمني قد لا يكون المهاجم خارج جدرانك.
قد يكون الهوية صاحبة المظهر الصحيح... الموجودة بالفعل داخلها.
ابقَ يقظاً يا أصدقاء. 🔒
الكلمات الدالة: ['identity-security', 'social-engineering', 'business-security', 'remote-work-security', 'authentication']