كيف تُغلق هذه الثغرة عشان الهكر
فلاشة منسية في الممر، وشبكة كاملة في يد غريب
كيف يتحول قطعة بلاستيك بحجم الإصبع إلى باب خلفي لشركة بأكملها — في ثانيتين
الفكرة باختصار: هذا الهجوم لا يستغل ثغرة في جهازك، بل يستغل فضولك ونيّتك الحسنة. ومن التقطها كان يحاول أن يفعل الصواب.
الثامنة إلا عشر دقائق
هالة موظفة استقبال في شركة متوسطة الحجم، أول من يصل كل صباح وآخر من يغادر. لم تفتح رابطًا مشبوهًا، ولم تعطِ كلمة مرور لأحد، ولم ترتكب خطأ واحدًا مما تحذّر منه الدورات التدريبية. كل ما فعلته أنها التقطت شيئًا من الأرض.
شيء صغير عند باب المدخل
فلاشة سوداء عادية، ملقاة على بُعد خطوتين من باب الزجاج، في المسار الذي يمرّ به كل موظف. لم تكن مخبأة ولا مرمية في زاوية — كانت في المكان الذي يستحيل ألا يراها فيه أحد.
الملصق الذي غيّر القرار
على جسم الفلاشة ملصق أبيض صغير، مكتوب عليه بخط يد سريع: «مرتبات ٢٠٢٥ — نسخة». لولا هذا السطر لوضعتها هالة في درج المفقودات وانتهى الأمر.
هنا يعمل الفخ على مستويين في وقت واحد: نيّة حسنة تريد معرفة صاحبها لتعيدها إليه، وفضول لا يعترف به أحد أمام نفسه. كلاهما دافع بشري طبيعي تمامًا، وكلاهما مقصود في التصميم.
ثانيتان ثم لا شيء
أدخلتها في جهاز الاستقبال. ومضت نافذة سوداء ظهرت واختفت في أقل من لحظة — ظنّتها وميض شاشة عاديًا. ثم فتح المستكشف مجلدًا فيه ملف واحد باسم «كشف المرتبات»، وحين ضغطت عليه ظهرت رسالة: الملف تالف.
ما حدث فعليًا أن الفلاشة لم تعرّف نفسها على الجهاز كوسيط تخزين، بل كلوحة مفاتيح. ومن حق أي لوحة مفاتيح أن تكتب. فكتبت بنفسها، بسرعة تفوق أي إنسان، ما يكفي لفتح قناة اتصال مع خادم بعيد. الملف «التالف» لم يكن سوى ديكور يمنح التجربة نهاية طبيعية.
الدرج
وضعتها في درج المكتب لتسأل عنها لاحقًا في اجتماع الصباح. جاء الاجتماع وانشغلت، ونسيت الموضوع تمامًا. لا شيء في سلوك الجهاز طوال ذلك اليوم كان يستدعي التذكّر — لا بطء، ولا رسالة خطأ، ولا تحذير من مضاد الفيروسات.
من جهاز الاستقبال إلى قلب الشبكة
جهاز الاستقبال لم يكن الهدف أبدًا؛ كان المدخل فقط. جهاز واحد داخل الشبكة يكفي ليبدأ المهاجم بالتحرك عرضيًا: يجمع بيانات دخول محفوظة، ينتقل لجهاز أوسع صلاحية، ثم لآخر، حتى يصل إلى حساب إداري يفتح له خادم الملفات.
وطوال هذه الأيام لم يظهر شيء. الاختراق الناجح في هذه المرحلة يبدو تمامًا كموظف يعمل في وقت متأخر.
اللحظة التي اختاروها
بدأ التشفير في أول ساعات عطلة نهاية الأسبوع — التوقيت الذي يضمن أطول فترة ممكنة قبل أن ينتبه أحد. صباح السبت كانت مجلدات المشاركة كلها مغلقة، وعلى شاشة الخادم رسالة واحدة تطلب فدية مقابل مفتاح فك التشفير.
السجلات ترجع إلى الوراء
تتبّع فريق التحقيق الخيط حتى وصل إلى نقطة البداية: جهاز الاستقبال، الساعة ٨:٠٥ صباح يوم ما قبل أحد عشر يومًا.
ثم جاء الاكتشاف الأهم: الفلاشة لم تكن وحدها. وُجدت ثلاث أخرى مطابقة — واحدة في موقف السيارات، وواحدة قرب ماكينة القهوة في الطابق الثاني، وواحدة داخل المصعد. لم تكن مصادفة أن تسقط فلاشة، بل حملة موزّعة تنتظر أن يلتقطها أي شخص. لو لم تكن هالة، لكان غيرها.
الجزء الذي يحدد ما سيحدث في المرة القادمة
حين عُرف أن الجهاز جهازها، لم يكن السؤال الحقيقي هو ماذا فعلت هالة، بل: لماذا كان جهاز في الاستقبال يملك منفذًا مفتوحًا وصلاحيات تصل إلى بقية الشبكة؟ ولماذا لم تكن هناك جهة واضحة تُسلَّم إليها الأشياء المجهولة؟
الشركات التي تخرج من هذه الحوادث أقوى تسأل السؤال الثاني. والتي تكتفي بالسؤال الأول تضمن شيئًا واحدًا: أن الموظف التالي لن يبلّغ، بل سيخفي ما فعل.
ثانيتان بين لمسة الإدخال وبين أن يصبح للمهاجم موطئ قدم.
ثم أحد عشر يومًا من الهدوء التام. الفجوة بين اللحظتين هي ما يجعل هذا الهجوم صعب الربط: حين يظهر الضرر، يكون سببه قد خرج من ذاكرة الجميع.
لماذا لم يعترض مضاد الفيروسات؟
هذا هو السؤال الذي يطرحه الجميع، والإجابة عنه هي جوهر فهم هذه الفئة من الهجمات: لم يكن هناك ما يُفحص أصلًا.
ليست وسيط تخزين
الجهاز رآها لوحة مفاتيح جديدة وُصلت للتو، وهو أمر عادي تمامًا. مضاد الفيروسات يفحص الملفات، ولا يعترض على أن لوحة مفاتيح تكتب — فهذه وظيفتها المعلنة.
تعطيل التشغيل التلقائي لا يكفي
الحماية القديمة كانت مبنية على منع تشغيل الملفات تلقائيًا عند التوصيل. هذا لا علاقة له بما حدث هنا: لم يُشغَّل ملف، بل كُتبت أوامر عبر لوحة مفاتيح.
فحص الفلاشة بمضاد الفيروسات مطمئن زائف
«سأفحصها أولًا ثم أفتحها» تبدو خطوة حذرة، لكنها لا تعني شيئًا في هذه الحالة، لأن الضرر يقع في اللحظة التي تُوصَل فيها — قبل أن تضغط على أي شيء.
المهلة تكسر الرابط الذهني
لا شيء يحدث أمامك. لا نافذة تحذير ولا بطء ولا تصرّف غريب. وحين يظهر الأثر بعد أيام، لا يربط أحد بين شيء التقطه من الأرض في صباح بعيد وبين ما يحدث الآن.
ستة أشياء تجعل الفلاشة تُلتقط
لا يعتمد هذا الهجوم على خداع ذكي، بل على هندسة موقف: أين تُترك، وكيف تبدو، ومن يمرّ من هناك. كل تفصيلة فيه محسوبة.
المكان مختار بعناية
المدخل، موقف السيارات، المصعد، محيط ماكينة القهوة، دورات المياه. أماكن مرور لا مراقبة فيها غالبًا، ويصعب فيها معرفة من ترك الشيء ومتى.
الملصق المكتوب بخط اليد
خط اليد يوحي بأن صاحبها إنسان مثلك نسيها، لا جهة مجهولة. وكلمة واحدة مثل «مرتبات» أو «سري» أو «تقييمات» ترفع احتمال الفتح رفعًا هائلًا.
النية الحسنة كطُعم
أكثر من نصف من يلتقطونها يوصّلونها بدافع البحث عن صاحبها فقط. الرغبة في إعادة الأمانة تُستخدم هنا سلاحًا، وهذا ما يجعل لوم الموظف ظلمًا وخطأً في آن.
العدد لا الحظ
لا تُترك فلاشة واحدة بل عدة فلاشات في نفس اليوم. المهاجم لا يراهن على شخص بعينه، بل على الاحتمالات: يكفي أن يستجيب واحد من عشرة.
الجهاز المتاح دائمًا
أجهزة الاستقبال والقاعات والطابعات المشتركة كثيرًا ما تكون الأقل تحديثًا والأوسع صلاحية والأقل مراقبة. وهي أول ما يصادف الزائر والغريب.
غياب جهة تسليم واضحة
حين لا يعرف الموظف إلى من يسلّم شيئًا مجهولًا، سيتصرف باجتهاده. وجود صندوق تسليم ورقم داخلي معروف يحوّل القرار من اجتهاد فردي إلى إجراء.
ماذا تفعل — للموظف وللشركة
القاعدة الفردية هنا من سطر واحد، وهي أبسط قاعدة في هذه السلسلة كلها: أي جهاز لا تعرف مصدره لا يدخل أي منفذ. ما بعدها إجراءات.
لا توصّلها لتعرف صاحبها. سلّمها كما هي لأمن المعلومات أو للإدارة، ولو لم يكن هناك من تسلّمها له، ضعها في درج مغلق وأبلغ كتابيًا.
لا تجرّبها على جهازك الشخصي ولا على جهاز «قديم لا يهم». الجهاز القديم غالبًا متصل بنفس الشبكة، والشبكة هي الهدف لا الجهاز.
لو أدخلتها فعلًا: افصل الجهاز عن الشبكة فورًا — سلك الشبكة والواي فاي معًا — وأبلغ فورًا. لا تحاول «تنظيفه» بنفسك ولا حذف ما ظهر.
بلّغ حتى لو مرّ وقت طويل. التبليغ المتأخر يظل ذا قيمة كبيرة: يمنح الفريق نقطة بداية للسجلات، ويختصر أيامًا من البحث الأعمى.
احتفظ بالفلاشة كدليل ولا ترمها. جسمها وملصقها ومحتواها كلها مواد يحتاجها التحقيق، وقد تكشف أن الحادثة أوسع من جهاز واحد.
غيّر كلمات مرورك من جهاز آخر نظيف، لا من الجهاز المشتبه فيه، وأبلغ إن كنت تستخدم نفس كلمة المرور في أماكن أخرى.
- سياسة منافذ واضحة: تعطيل منافذ التخزين على الأجهزة التي لا تحتاجها فعلًا — خصوصًا الاستقبال والقاعات والأجهزة المشتركة — أو تقييدها بأجهزة معتمدة فقط.
- مبدأ الصلاحية الأدنى وتقسيم الشبكة: جهاز الاستقبال يجب ألا يكون على مسافة خطوة واحدة من خادم الملفات. الاختراق يقع دائمًا؛ المهم إلى أين يستطيع أن يمتد.
- جهة تسليم معلنة: صندوق مخصص ورقم داخلي يعرفه الجميع للأشياء المجهولة، فيصبح التصرف الصحيح هو الأسهل لا الأصعب.
- جهاز فحص معزول غير متصل بالشبكة، تُفحص عليه أي وسائط مجهولة عند الحاجة الفعلية لذلك.
- مراقبة على مستوى الأجهزة الطرفية ترصد السلوك الغريب بعد التوصيل، مع الاحتفاظ بسجلات كافية لفترة تسمح بتتبّع حادثة عمرها أسبوعان.
- ثقافة بلا لوم: اجعل الإبلاغ آمنًا وصريحًا. الموظف الذي يخاف العقاب يخفي الحادثة، وأيام الإخفاء هي بالضبط ما يحتاجه المهاجم.
اختبر السياسة قبل أن تختبرك الحادثة: اترك بنفسك عدة فلاشات غير ضارة في مواقع مختلفة، وقِس كم منها وصل إلى جهة التسليم وكم منها وُصِّل بجهاز. النتيجة أصدق من أي دورة تدريبية.
هذا الهجوم لا يبحث عن ثغرة في نظامك، بل عن لحظة إنسانية طبيعية: شيء ضائع، ورغبة في إعادته. ولهذا لا يُواجه بالتحذير من الفضول، بل بإجراءين: منفذ مغلق، وجهة معروفة تُسلَّم إليها الأشياء المجهولة.
