اندلعت أربع قصص أمنية غير مترابطة خلال الأسابيع القليلة الماضية. اكتشف أحد الباحثين أن جهاز إنذار سيارات لاحق التركيب يُدعى KARR - مُركّب في أكثر من 2 مليون سيارة تقريبًا - يمكن فتحه أو تعطيل تسليحه أو إبطاله بصمت من قِبل أي شخص ضمن نطاق البلوتوث. واكتشف باحث تهديدات في شركة Bitsight أن جهاز بث رخيص شائع يُدعى H96 كان منذ سنوات يؤجر بصمت اتصال الإنترنت الخاص بمالكيه وينقر على إعلانات احتيالية متظاهرًا بأنه هاتف محمول. كما أقر أحد المخترقين بالذنب في اختراقات مرتبطة ببيانات أكثر من 100 مليون شخص، ولم يتمكن من الدخول عبر ثغرة ذكية بل عبر كلمات مرور عملاء ظلت قابعة منذ إصابة ببرمجية سرقة معلومات وقعت قبل سنوات، في حسابات لم يُفعَّل فيها التحقق المتعدد العوامل قط. وأثبت باحثون أن البرمجيات الخبيثة يمكنها، في ظل الظروف المناسبة، استخراج مفاتيح المرور (passkeys) المتزامنة عبر مدير كلمات مرور جوجل - وهو ذات النظام الذي تبناه كثيرون منا خصيصًا للتخلص من مخاطر كلمات المرور.

إذا نظرنا إلى كل قصة على حدة، فهذه أربع فئات مختلفة من المشكلات: عيب في الأجهزة، ومخطط احتيال في سلسلة التوريد، واختراق شركة، ومشكلة في تطبيق التشفير. لكنها تشترك في سبب جذري لا علاقة له بالتقنية المعنية. ففي كل حالة، تم تركيب الشيء المعرَّض للخطر أو تفعيله أو إنشاؤه مرة واحدة - ثم لم يعد أحد ينظر إليه مجددًا.

النمط الكامن وراء العناوين

يتراكم الدَّين الأمني تحديدًا في الأماكن التي تتوقف فيها عن الانتباه. يُركَّب جهاز إنذار السيارة أثناء حزمة إضافات لدى الوكيل ولا يخطر ببالك مجددًا حتى يصبح هو السبب في وصول سيارتك إلى يد شخص آخر. يُوصَل جهاز البث بالتلفاز، ويعمل بشكل جيد لسنوات، ولا يثير أي شك لأنه لا يزال يعرض ما طلبته منه - بينما تجري حركة الاحتيال الإعلاني ومشاركة النطاق الترددي بشكل خفي بالتوازي مع ذلك. تُنشَأ بيانات اعتماد تسجيل الدخول، وتعمل في نافذة تسجيل الدخول، ثم تبقى في قاعدة بيانات لسنوات بعد أن يُنسى الجهاز الذي تسرّبت منه منذ زمن طويل، لأن تدوير كلمة مرور لا تفكر فيها ليس مهمة يضعها أحد في تقويمه. يُنشَأ مفتاح مرور خصيصًا ليكون "أكثر أمانًا من كلمة المرور"، وتصبح هذه السمعة سببًا للتوقف عن التفكير فيما يحمي الجهاز الذي يقيم عليه.

لم يكن أي من هذه الحالات يتطلب مهاجمًا بارعًا لاكتشاف عيب مبتكر لم يتوقعه أحد. صحيح أن سرقة جهاز إنذار السيارة ومفاتيح المرور تضمّنتا بحثًا تقنيًا حقيقيًا. لكن ما سمح فعليًا بوقوع الضرر على نطاق واسع هو الفجوة بين "الإعداد لمرة واحدة" و"عدم العودة إليه أبدًا".

تدقيق مدته 20 دقيقة لأشياء تملكها بالفعل

لست بحاجة لشراء أي شيء أو أن تصبح شخصًا مختلفًا لسد معظم هذه الفجوة. كل ما تحتاجه هو جولة واحدة عبر الفئات أعلاه، تُعامَل كمهمة روتينية متكررة لا كإعداد يُنجز مرة واحدة.

1. الأجهزة اللاحقة التركيب والإضافية

تفقّد أي شيء رَكّبه طرف ثالث بدلًا من أن يكون مدمجًا أصلًا - أجهزة إنذار السيارات، وكاميرات لوحة القيادة، والأقفال الذكية، وأجهزة التتبع اللاحقة التركيب. تحقق من تطبيق الشركة المصنعة أو موقعها بحثًا عن آلية تحديث للبرامج الثابتة وقم بتشغيلها فعليًا. وفيما يخص جهاز إنذار KARR تحديدًا، أشار الباحثون إلى أن العلامة المرئية السهلة هي ملصق كُتب عليه "KARR" على نافذة جانب السائق؛ فإذا كان لديك واحد، راجع الجهة المُركِّبة أو الشركة المصنعة بخصوص تحديث قبل افتراض أن كل شيء على ما يرام. العادة الأوسع التي تستحق البناء عليها: أي جهاز يحتوي على وحدة راديو وتطبيقًا من الشركة المصنعة هو جهاز يحتاج إلى صيانة دورية، تمامًا مثل هاتفك أو حاسوبك المحمول.

2. أي شيء موصول بجهاز التلفاز لديك

صناديق البث العامة التي تُباع في الأسواق بأسماء مثل H96، والتي غالبًا ما يُروَّج لها برسم لمرة واحدة مقابل محتوى "غير محدود"، تستحق نظرة فاحصة. إذا كنت تملك واحدًا منها، فاعلم أن خطره لا يقتصر على المحتوى المقرصن فحسب - بل إن الجهاز نفسه قد يتصرف كحاسوب ثانٍ على شبكتك له أجندته الخاصة. وإذا لم تستطع التحقق مما يفعله جهاز على شبكتك، وكان قادمًا من علامة تجارية غير مألوفة تعِد بشيء أفضل من قيمته الفعلية، فهذا سبب كافٍ لعزله في شبكة ضيوف منفصلة أو استبداله بجهاز بث من شركة معروفة لديها سمعة تحرص على حمايتها.

3. كلمات المرور القديمة، خصوصًا المُعاد استخدامها أو الخاملة

الاختراق المرتبط بإقرار المخترق المتصل بـSnowflake بالذنب لم يكن سببه عيبًا في المنصة. بل كان سببه بيانات اعتماد جُمعت قبل سنوات عبر برمجية خبيثة على حاسوب أحدهم، بيانات اعتماد لم يُعد أحد تدويرها، في حسابات كان التحقق المتعدد العوامل فيها مُعطَّلًا. هذا نمط فشل يمكن تجنبه تمامًا، وهو شائع: فأي حساب أنشأته مرة واحدة ونادرًا ما تسجل الدخول إليه هو تحديدًا نوع الحساب الذي قد يحمل الآن كلمة مرور مسرَّبة يعود عمرها لسنوات. إذا كان مدير كلمات المرور لديك يوفر فحصًا للاختراق أو إعادة الاستخدام، شغّله. وإذا كان الحساب يتيح التحقق المتعدد العوامل وكان معطَّلًا، فعّله - فهذا الإجراء وحده كان كفيلًا بإيقاف الاختراق الذي كشف سجلات أكثر من 100 مليون شخص.

4. الحساب الذي يحمي مفاتيح مرورك

مفاتيح المرور تمثل تحسنًا حقيقيًا مقارنة بكلمات المرور فيما يخص مشكلتي التصيّد الاحتيالي وإعادة الاستخدام تحديدًا. لكن البحث الأخير حول سرقة مفاتيح المرور المتزامنة عبر مدير كلمات مرور جوجل تذكير مفيد بأن مفتاح المرور ليس سحرًا - فهو يرث أمان أي حساب وجهاز يتزامن عبره. وهذا يعني أن الحساب الذي يحتضن مدير كلمات المرور لديك أو مزامنة مفاتيح المرور يستحق أقوى حماية تملكها: رمز دخول قوي وفريد على الجهاز نفسه، وتحقق متعدد العوامل على الحساب الذي يقوم بالمزامنة، وانتباه لما تُثبّته على ذلك الجهاز، لأن هذا البحث يعتمد على برمجية خبيثة تعمل بالفعل على الجهاز، لا على عيب يمكنك "إصلاحه" في مفاتيح المرور نفسها.

لماذا يستحق هذا الاهتمام الآن بدلًا من لاحقًا

لا تصف أي من هذه القصص الأربع تهديدًا يستدعي الذعر اليوم. لكن الأربع جميعًا تصف تهديدات نمت على مدى أشهر أو سنوات تحديدًا لأن أحدًا لم يعد للتحقق منها. الحل ليس أداة جديدة أو اشتراكًا - بل اختيار وقت متكرر، ربما إلى جانب عادة تمارسها بالفعل مثل مراجعة كشف حسابك المصرفي، لتطرح سؤالًا بسيطًا حول الأشياء التي تملكها بالفعل وتثق بها بالفعل: متى كانت آخر مرة تحققت فيها من هذا، وهل ما زال لدى أي شخص غيري سبب لمراقبته؟