يوم الأربعاء، أغلقت محكمة فدرالية في سياتل ملف واحدة من أكبر عمليات اختراق البيانات في الذاكرة الحديثة. أقرّ كونور رايلي موكا، البالغ من العمر 26 عامًا والمقيم في كيتشنر بأونتاريو، بالذنب في تهم الاحتيال الحاسوبي، والاحتيال الإلكتروني، وسرقة الهوية المشددة، والتآمر، على خلفية حملة اختراقات شنّها عام 2024 وطالت ما لا يقل عن 165 منظمة وكشفت سجلات تخص ما لا يقل عن 100 مليون شخص. وقد جنى شخصيًا ما لا يقل عن $495,000 من الفديات وبيع البيانات. ومن المقرر أن يصدر الحكم بحقه في 27 أكتوبر، ويواجه حدًا أدنى إلزاميًا قدره عامان في تهمة سرقة الهوية وحدها، مع احتمال أن تصل العقوبة في التهم الأخرى إلى 30 عامًا.

تلك هي الأرقام التي تصدرت العناوين. أما التفصيل الجدير بالتأمل فهو أصغر بكثير وأقل إثارة من الناحية السينمائية: يقول الادعاء إن ما سمح لموكا بالدخول فعليًا كان كلمات مرور قديمة. لم تكن ثغرة «يوم الصفر». ولم تكن عيبًا في المنصة المستهدفة، التي لم تسمِّها وزارة العدل علنًا حتى الآن (فقد أعلنت Snowflake وشركة الاستجابة للحوادث Mandiant أنهما معنيتان بالحادثة في عام 2024، رابطتين القضية بموجة الاختراقات التي استهدفت حسابات عملاء Snowflake في ذلك العام). كانت بيانات الاعتماد قد جُمعت قبل سنوات بواسطة برمجيات خبيثة سارقة للمعلومات، وظلت غير مستخدمة ولم تُستبدل، وفتحت حسابات تصادف أيضًا أن المصادقة متعددة العوامل كانت معطلة فيها.

لماذا تؤدي كلمة «غير مستبدلة» كل هذا الدور في تلك الجملة

برمجيات سرقة المعلومات الخبيثة هي فئة من البرمجيات الضارة التي، ما إن تصل إلى جهاز — غالبًا عبر تطبيق مقرصن، أو تحديث مزيف للمتصفح، أو مرفق خبيث — حتى تسحب بهدوء أي بيانات اعتماد موجودة في الملء التلقائي للمتصفح ومخازن كلمات المرور المحفوظة على ذلك الجهاز، ثم ترسلها إلى مشغّل البرمجية الخبيثة. هذا ليس أمرًا جديدًا أو غريبًا؛ فقد ظل لسنوات خدمة إجرامية متاحة كسلعة، تُشترى دفعات بيانات الاعتماد المسروقة وتباع بالجملة.

الجزء الذي يجعل قضية Snowflake مثالًا تعليميًا مفيدًا هو الفجوة بين السرقة والاستخدام. فقد جُمعت كلمات المرور هذه تحديدًا، بحسب التقارير، «قبل سنوات». وهذا يعني أنه طوال فترة طويلة، كانت لدى أصحاب تلك الحسابات بيانات اعتماد مخترقة لا تزال فعالة في قاعدة بيانات ما، ولم يجبرهم شيء على تغييرها. ولم تُعلَّم أي محاولة تسجيل دخول على أنها مشبوهة، لأن المهاجم لم يكن يحاول بعد. ولم يُفعَّل أي طلب لإعادة تعيين كلمة المرور، لأنه لم يكن هناك استغلال نشط يلاحظه أحد. ظلت بيانات الاعتماد ببساطة تنتظر، وهي صالحة، إلى أن قرر شخص ما استخدامها على نطاق واسع ضد حسابات عملاء Snowflake.

ذلك هو نمط الفشل الذي تخلقه كلمات المرور المعاد استخدامها وغير المستبدلة: ليست المشكلة بالضرورة أنها ضعيفة — فبرمجيات سرقة المعلومات الخبيثة ستلتقط بكل سرور كلمة مرور قوية وفريدة أيضًا، مباشرة من خزنة كلمات المرور المحفوظة في المتصفح. المشكلة هي أن كلمة المرور المسروقة لا تنتهي صلاحيتها ما لم يمنحها إنسان أو سياسة ما تاريخ انتهاء. فقد يظل اختراق حدث في 2021 يفتح الأبواب في 2024 إذا لم يقم أحد باستبدال بيانات الاعتماد في الفترة الفاصلة.

القفل الثاني الذي لم يكن موجودًا

أما التفصيل الآخر الذي أشار إليه الادعاء — وهو تعطيل المصادقة متعددة العوامل في الحسابات المتأثرة — فهو ما حوّل كلمة مرور مسروقة إلى وصول كامل إلى الحساب. صُممت المصادقة متعددة العوامل تحديدًا لهذا السيناريو: فهي تفترض أن كلمات المرور ستتسرب في نهاية المطاف، وتضيف إثباتًا ثانيًا للهوية (رمزًا، أو إشعارًا فوريًا، أو مفتاحًا للأجهزة) لا تستطيع كلمة المرور المسروقة وحدها تقديمه. وعند تعطيلها، تصبح بيانات الاعتماد المتسربة هي الحاجز بأكمله. وقد أشارت التقارير عن موجة الاختراقات الأوسع المرتبطة بـ Snowflake في عام 2024 إلى أن العديد من الحسابات المتأثرة لم تكن المصادقة متعددة العوامل مفروضة عليها افتراضيًا، ما يعني أن تفعيل الإعداد كان يعتمد على قيام كل مؤسسة عميلة بتشغيله فعليًا.

ما يعنيه هذا فعليًا لك

معظم قراء هذه النشرة لا يديرون مستودع بيانات Snowflake، لكن الآلية هنا تنطبق على أي حساب تملكه في أي مكان:

  • افترض أن كلمات المرور القديمة مخترقة، لا ضعيفة فحسب. إذا أعدت استخدام كلمة مرور في مواقع متعددة ولم تغيّرها منذ ذلك الحين، فاعتبرها مكشوفة — ليس لأن أحدًا خمّنها، بل لأنها قد تكون موجودة بالفعل في قائمة بيانات اعتماد مسروقة لن تراها أبدًا.
  • استبدل بيانات الاعتماد بعد أن تكشف أي خدمة تستخدمها عن حدوث اختراق — حتى لو أُبلغت بأن حسابك المحدد «لم يتأثر». فكثيرًا ما تكون إشعارات الاختراق الأولية غير مكتملة مع استمرار التحقيقات.
  • فعّل المصادقة متعددة العوامل في كل مكان تُتاح فيه، ولا تفترض أن الخدمة تفعّلها افتراضيًا. تحقّق مباشرة من إعدادات أمان الحساب بدلًا من الوثوق بأن الخيار الأكثر أمانًا مفعّل بالفعل.
  • يحل مدير كلمات المرور السبب الجذري، لا العرض فحسب: فهو يجعل استخدام كلمات مرور فريدة وغير معاد استخدامها هو الخيار الأسهل، بدلًا من أن يكون أمرًا يتعين عليك تذكّر القيام به.
  • إذا كان من المحتمل أن يكون جهاز ما قد أُصيب ببرمجيات سرقة المعلومات الخبيثة (كتثبيت برنامج غير مألوف، أو تنزيل مقرصن، أو تنبيه تسجيل دخول مريب)، فإن استبدال كل كلمة مرور محفوظة بعد ذلك — لا كلمة المرور التي تظن أنها كانت مهمة فحسب — هو الطريقة الوحيدة للتأكد من أن إصابة قديمة لا تزال لا تدرّ مكاسب لمن جمع البيانات.

التباين هو الدرس

ثمة شيء يبعث على الانزعاج تقريبًا في قضية بهذه العواقب — حد أقصى محتمل للعقوبة يبلغ 30 عامًا، وحد أدنى إلزامي، وسجلات 100 مليون شخص — وهي قائمة على آلية عادية إلى هذا الحد. لا سلسلة استغلال، ولا تقنية مبتكرة، بل مجرد كلمة مرور لم يجد أحد وقتًا لتغييرها، وإعداد أمني لم يشغّله أحد. وهذا التباين تحديدًا هو سبب جدارة القضية بالتذكر بعد أن تخفت عناوين الحكم: فأكبر الاختراقات لا تحتاج عادةً إلى مهاجم عبقري. إنها تحتاج إلى بيانات اعتماد واحدة لم تُستبدل قط، جالسة في حساب لم تُفعّل فيه المصادقة متعددة العوامل قط.