ملخص
- قال نموذج 8-K لشركة AT&T بتاريخ 12 يوليو 2024 إن جهات تهديدية تمكنت من الوصول غير القانوني إلى مساحة عمل AT&T على منصة سحابية تابعة لجهة خارجية وسرقت ملفات بين 14 أبريل و25 أبريل 2024. غطت السجلات تفاعلات المكالمات والرسائل النصية من حوالي 1 مايو إلى 31 أكتوبر 2022، و2 يناير 2023.
- لم تحتوِ البيانات على محتوى المكالمات أو الرسائل النصية، أو أرقام الضمان الاجتماعي، أو تواريخ الميلاد، أو معلومات شخصية أخرى من هذا القبيل، وفقًا لـ AT&T. لكنها تضمنت أرقام الهواتف المشاركة في التفاعلات، وأعدادها، ومدة المكالمات الإجمالية ليوم أو شهر، وبالنسبة لمجموعة فرعية من السجلات، رقم واحد أو أكثر من أرقام تعريف مواقع الخلايا.
- أثر الحادث على سجلات جميع عملاء AT&T اللاسلكيين تقريبًا وعملاء مشغلي الشبكات الافتراضية المتنقلة الذين يستخدمون شبكة AT&T اللاسلكية، بالإضافة إلى أرقام عملاء AT&T السلكيين وعملاء شركات الاتصالات الأخرى الذين تفاعلوا مع تلك الأرقام اللاسلكية. مما جعل الضرر علائقيًا: الأشخاص الذين لم يكونوا مشتركين في AT&T اللاسلكية يمكن أن يظهروا في مخطط التفاعل.
- سجل حملة Snowflake العامة مهم لكن يجب وضعه في إطاره. قال تقرير Mandiant's UNC5537 إن كل حادثة حملة تعامل معها مباشرة تعود إلى بيانات اعتماد مخترقة للعملاء، ولم يجد أي دليل على أن الوصول غير المصرح به نجم عن اختراق بيئة Snowflake المؤسسية. لم يذكر إفصاح AT&T نفسه Snowflake، لكن التقارير الموثوقة وسجل الحملة الأوسع ربطت سرقة AT&T بهجمات بيئة عملاء Snowflake.
- سيطر الجهات الإجرامية على الوصول غير القانوني والسرقة. سيطرت AT&T على ممتلكات بيانات الاتصالات الوصفية، وخيارات الاحتفاظ والتقليل، وتصميم مساحة العمل السحابية، وحوكمة بيانات الاعتماد، والاعتماد على الطرف الثالث، وإشعار العملاء، والأدلة التي يمكنها تقديمها. سيطر مزود الخدمة السحابية على ميزات أمان المنصة، والتليمترية، والوضع الافتراضي، وإرشادات التعزيز، والكشف عبر العملاء عن الحملات.
كان الإفصاح العام دقيقًا وما زال مقلقًا
يُعتبر نموذج 8-K بتاريخ 12 يوليو 2024 لشركة AT&T المصدر الأساسي. ينص على أن AT&T علمت في 19 أبريل 2024 أن جهة تهديدية ادعت أنها تمكنت من الوصول غير القانوني إلى سجلات مكالمات AT&T ونسخها. فعّلت AT&T الاستجابة للحوادث، واستعانت بخبراء أمن سيبراني خارجيين، وخلصت إلى أن جهات تهديدية تمكنت من الوصول غير القانوني إلى مساحة عمل AT&T على منصة سحابية تابعة لجهة خارجية. وقالت الشركة إنه تم تسريب الملفات بين 14 أبريل و25 أبريل 2024.
ضيقت الشركة فئات البيانات. قالت AT&T إن الملفات احتوت على سجلات تفاعلات المكالمات والنصوص للعملاء من حوالي 1 مايو إلى 31 أكتوبر 2022، وفي 2 يناير 2023. وقالت إن البيانات لم تتضمن محتوى المكالمات أو الرسائل النصية، أو أرقام الضمان الاجتماعي، أو تواريخ الميلاد، أو معلومات تعريف شخصية أخرى من هذا القبيل. كما قالت إن السجلات حددت أرقام الهواتف التي تفاعلت معها أرقام AT&T اللاسلكية أو أرقام مشغلي الشبكات الافتراضية المتنقلة، بما في ذلك عملاء AT&T السلكيين وعملاء شركات الاتصالات الأخرى، وعدد تلك التفاعلات، ومدة المكالمات الإجمالية ليوم أو شهر. وبالنسبة لمجموعة فرعية، تم تضمين رقم واحد أو أكثر من أرقام تعريف مواقع الخلايا.
تلك القيود مهمة. لم يكن هذا تنصتًا على صوت المكالمات، أو تفريغًا لنصوص الرسائل النصية، أو سرقة لأرقام الضمان الاجتماعي من سجل 8-K. لكن القيود لا تجعل مجموعة البيانات آمنة. سجلات تفاعلات المكالمات والرسائل النصية ترسم العلاقات. تظهر من كان على اتصال بمن، وكم مرة، وأحيانًا من خلال سياق موقع الخلية. اعترفت AT&T نفسها في الإفصاح أنه على الرغم من أن البيانات لم تتضمن أسماء العملاء، إلا أن هناك غالبًا طرقًا باستخدام أدوات متاحة عبر الإنترنت للعثور على الاسم المرتبط برقم هاتف معين.
تلك الجملة هي المحور. يمكن لمجموعة بيانات أن تحذف الأسماء وما زالت قابلة للربط. يمكنها حذف نصوص الرسائل وما زالت تكشف عن علاقات حساسة. يمكنها حذف الموقع الدقيق لمعظم السجلات وما زالت تحتوي على بنية كافية لكشف الشبكات المهنية، والروابط العائلية، وجهات الاتصال الطبية، والاتصالات السياسية، وجهات إنفاذ القانون، والمصادر السرية، والمكالمات في الأزمات، والعلاقات الحميمة، وأنماط الأعمال.
كما كشفت AT&T عن مشكلة توقيت غير عادية. في 9 مايو و5 يونيو 2024، قررت وزارة العدل الأمريكية أن تأخير الإفصاح العام كان مبررًا بموجب عملية تأخير الإفصاح عن الأمن السيبراني للجنة الأوراق المالية والبورصات بسبب مخاوف تتعلق بإنفاذ القانون أو الأمن القومي أو السلامة العامة. ثم قدمت AT&T التقرير في 12 يوليو. يشير هذا التسلسل إلى أن المحققين اعتبروا البيانات المسروقة حساسة من الناحية التشغيلية، وليست مجرد إزعاج لخدمة العملاء.
«لا يوجد محتوى» ليس هو نفسه «مخاطر منخفضة»
يمكن لمصطلح البيانات الوصفية أن يكون مضللاً لأنه يبدو إداريًا. في الاتصالات، سجلات تفاعلات المكالمات والنصوص هي سلوك. تظهر الحواف في الرسم البياني الاجتماعي. يمكن أن تكشف عن اتصال متكرر بعيادة أو محامٍ أو صاحب عمل أو صحفي أو منظم نقابي أو مؤسسة دينية أو خط مساعدة للعنف المنزلي أو مكتب سياسي أو مدرسة أو محصل ديون أو وكالة إنفاذ القانون. يمكن غالبًا حل رقم واحد من خلال الأدلة العامة ووسطاء البيانات ورسائل البريد الصوتي وصفحات الأعمال وقوائم الاتصال المخترقة وأدوات البحث العكسي.
أدب الخصوصية أشار إلى هذه النقطة لسنوات. وجدت ورقة Nature Scientific Reports Unique in the Crowd أن آثار التنقل البشري فريدة للغاية وأن عددًا صغيرًا من النقاط المكانية والزمانية يمكن أن يميز معظم الأفراد في مجموعة بيانات هاتف محمول كبيرة. لا يذكر إفصاح AT&T أن مجموعة البيانات المسروقة احتوت على آثار تنقل كاملة لجميع السجلات. يقول إن مجموعة فرعية تضمنت أرقام تعريف مواقع الخلايا. الدرس أضيق: حتى بيانات الموقع والتفاعل الجزئية للاتصالات يمكن أن تكون أكثر تعريفًا مما يوحي به تسمية جدول بيانات بسيط.
توضح مقالة مؤسسة الحدود الإلكترونية Why Metadata Matters نقطة الرسم البياني الاجتماعي بلغة المصلحة العامة: يمكن لسجلات المكالمات أن تكشف تفاصيل حميمة حتى بدون محتوى المكالمة. EFF هي مصدر مناصرة، وليست سلطة الحادث. إنها مفيدة هنا لأنها تشرح لماذا لا ينبغي تحويل التمييز «لا يوجد محتوى» إلى استنتاج «لا ضرر».
تدرك القواعد الفيدرالية للاتصالات أيضًا أن معلومات تفاصيل المكالمات حساسة. تحكم قواعد eCFR CPNI خصوصية معلومات العملاء وتقيد كيفية الكشف عن معلومات تفاصيل المكالمات للعملاء دون مصادقة. يصف دليل الامتثال للمنشآت الصغيرة القديم للجنة الاتصالات الفيدرالية FCC معلومات شبكة العملاء الخاصة بأنها معلومات تتعلق بالكمية والتكوين التقني والنوع والوجهة والموقع ومقدار استخدام خدمة الاتصالات. قد يتطلب التصنيف القانوني الدقيق وتطبيق القواعد لملفات AT&T المسروقة تحليلًا قانونيًا يتجاوز السجل العام، لكن النقطة السياسية واضحة: لطالما عوملت سجلات استخدام الاتصالات على أنها حساسة لأنها تنشأ فقط من خلال علاقة الناقل بالعميل.
لهذا السبب كان الاختراق خطيرًا حتى بدون نصوص الرسائل. البيانات الوصفية للاتصالات هي سياق على مستوى البنية التحتية حول المجتمع المدني. تشمل اتصالات المستهلكين العاديين والشركات والمسؤولين العموميين والصحفيين والمحققين والأطباء والمرضى والمحامين والمصادر والنشطاء والعائلات. عندما يتم نسخ سجلات تفاعلات جميع العملاء اللاسلكيين تقريبًا، تكون مجموعة البيانات ليست شخصية فقط. إنها علائقية ووطنية النطاق.
كانت مساحة العمل السحابية هي عنق الزجاجة التشغيلي
وصف إفصاح AT&T البيئة المتأثرة بأنها مساحة عمل AT&T على منصة سحابية تابعة لجهة خارجية. لم يذكر الإفصاح Snowflake. ربطت التقارير الموثوقة السرقة بحملة سرقة بيانات اعتماد عملاء Snowflake الأوسع، ويشرح سجل حملة Snowflake نوع نمط الفشل الذي كان مرئيًا عبر العديد من المؤسسات في عام 2024.
قال تقرير حملة UNC5537 من Mandiant إن جهة التهديد استهدفت مثيلات عملاء Snowflake لسرقة البيانات والابتزاز. بالنسبة لكل حادثة حملة تعاملت معها Mandiant مباشرة، كان السبب الجذري هو بيانات اعتماد مخترقة للعملاء. لم تجد Mandiant أي دليل على أن الوصول غير المصرح به إلى حسابات عملاء Snowflake نشأ عن اختراق بيئة Snowflake المؤسسية. وبالمثل، قال إشعار الوصول غير المصرح به الخاص بـ Snowflake للعملاء بالبحث عن نشاط غير عادي وتقوية الحسابات، مع الإشارة إلى أن النشاط لم يكن ناتجًا عن ثغرة أمنية في Snowflake أو سوء تكوين أو اختراق لمنصة Snowflake.
عززت CISA توجيهات Snowflake في تنبيه 3 يونيو 2024، وشجعت العملاء على مراجعة المؤشرات والبحث عن نشاط ضار. أصدر مركز الأمن السيبراني الكندي تنبيهًا مشابهًا بشأن وصول المستخدم غير المصرح به إلى حسابات عملاء Snowflake، ووصف النشاط الضار القائم على الهوية وأشار إلى بيان Snowflake بأن النشاط لم يكن نتيجة ثغرة أمنية في منتج Snowflake.
يخلق هذا السجل حدودًا دقيقة للمساءلة. إذا تم الوصول إلى حساب عميل باستخدام بيانات اعتماد مسروقة، فإن العميل يمتلك نظافة الهوية، وتدوير كلمة المرور، وتسجيل MFA، وسياسات الشبكة، وتصميم الدور، وتقليل البيانات، والكشف داخل المستأجر الخاص به. يمتلك مزود الخدمة السحابية خدمة المصادقة، وميزات المنصة، والتسجيل، والتنبيهات، وخريطة الطريق الآمنة افتراضيًا، وإرشادات التعزيز، ورؤية الحملة عبر العملاء. يمتلك المهاجم الجريمة.
الحدود مهمة لأن مستودع البيانات السحابي يركز القيمة. يمكن لشركة اتصالات نسخ أو تخزين سجلات التفاعل التاريخية في مستودع للتحليلات، وتحليل الفوترة، وتخطيط الشبكة، واكتشاف الاحتيال، وعمليات العملاء، أو إعداد التقارير التنظيمية. بمجرد وجودها هناك، قد يكون من الأسهل الاستعلام عن البيانات وتصديرها مما لو كانت مجزأة عبر أنظمة المصدر. هذه الفائدة التحليلية هي بالضبط لماذا يمكن أن يصبح الوصول المسروق كارثيًا.
حوكمة بيانات الاعتماد ليست تفصيلًا تنفيذيًا
جعلت حملة Snowflake موضوعًا واحدًا من المستحيل تجاهله: بيانات اعتماد مستودع السحابة هي مفتاح ممتلكات البيانات. إذا كان الحساب يفتقر إلى المصادقة متعددة العوامل، إذا كانت كلمة المرور مكشوفة بواسطة برامج ضارة لسرقة المعلومات، إذا كان الوصول إلى الشبكة غير مقيد، وإذا كان الدور يمكنه قراءة أو تصدير الجداول الحساسة، فيمكن للمهاجم استخدام واجهات المنتج العادية لإنتاج ضرر غير عادي.
أفادت Mandiant أن UNC5537 استخدمت بيانات اعتماد مخترقة للعملاء، وأن العديد منها جاء من سجلات سرقة معلومات تاريخية، وأن الحسابات المتأثرة كانت تفتقر إلى MFA. تُظهر وثائق طرح MFA الحالية لـ Snowflake كيف تحركت المنصة لاحقًا نحو إهمال تسجيلات الدخول بكلمة مرور أحادية العامل للمستخدمين البشريين ومنع كلمات المرور لمستخدمي الخدمة. تشرح وثائق سياسة المصادقة الحالية لـ Snowflake كيف يمكن للعملاء تقييد طرق المصادقة والعملاء وحالة MFA. لا ينبغي قراءة هذه الضوابط الحالية على أنها دليل على ما قامت AT&T بتكوينه بالضبط في أبريل 2024. لكنها تظهر فئة التحكم التي كانت مهمة.
لا يحدد الإفصاح العام لـ AT&T بيانات الاعتماد أو طريقة المصادقة أو الدور أو ضوابط الشبكة أو الاستعلامات المستخدمة في مساحة العمل الخاصة بها. هذا الغياب مهم. يمكن للعملاء والمنظمين فهم أنه تم تسريب الملفات، لكنهم لا يستطيعون رؤية من 8-K ما إذا كان الفشل يتضمن مستخدمًا بشريًا أو حساب خدمة أو حساب مقاول أو بيانات اعتماد قديمة أو MFA مفقودة أو دورًا واسعًا جدًا أو فجوة في سياسة الشبكة أو مسار وصول آخر. ربما قدمت AT&T مزيدًا من التفاصيل على انفراد لإنفاذ القانون أو المنظمين أو Snowflake أو شركات التأمين أو الأطراف المتضررة. يظل سجل المساءلة العامة جزئيًا.
بالنسبة لشركة اتصالات وطنية، يجب أن تكون حوكمة بيانات الاعتماد حول بيانات تفاصيل المكالمات أكثر صرامة من الوصول التحليلي العادي. لا ينبغي أن يتمكن المستخدمون البشريون من الوصول إلى بيانات التفاعل التاريخية من خلال تسجيلات الدخول بكلمة مرور فقط. يجب أن تستخدم حسابات الخدمة بيانات اعتماد عبء العمل التي يمكن تدويرها وتحديد نطاقها. يجب أن تنتهي حسابات المقاولين. يجب أن تكون الأدوار المميزة نادرة ومراقبة ومحددة زمنيًا. يجب أن يتطلب التصدير بالجملة سلطة منفصلة أو مسار كشف. يجب معاملة بيانات الاعتماد التي يمكنها الوصول إلى البيانات الوصفية للاتصالات بشكل أشبه بالمفاتيح للبنية التحتية المنظمة من تسجيلات دخول ذكاء الأعمال العادية.
النقطة ليست تحديد أي عنصر تحكم محدد فشل في AT&T من الخارج. النقطة هي أن الخسارة العامة لا يمكن أن تصبح بهذا الحجم إلا إذا سمح جزء كافٍ من سلسلة التحكم بالوصول والتصدير. لا ينبغي أن تكون كلمة المرور المسروقة وحدها كافية لإزالة مجموعة بيانات تفاعل اتصالات على نطاق وطني.
ضوابط الشبكة والتصدير كانت البوابة الثانية
الهوية هي البوابة الأولى. ضوابط الشبكة والتصدير هي الثانية. تنص وثائق سياسة الشبكة الحالية لـ Snowflake على أنه بدون سياسة شبكة، يمكن للمستخدمين الاتصال من أي كمبيوتر أو جهاز، وأنه يمكن للعملاء تعريف نطاقات IP المسموح بها أو المحظورة وتطبيق الضوابط على مستوى الحساب أو المستخدم. بالنسبة لعميل يخزن بيانات اتصالات حساسة، فإن سطح تسجيل الدخول العام غير المقيد هو استثناء عالي المخاطر، وليس حالة تشغيل طبيعية.
القيود على الشبكة ليست سحرية. قد يستخدم المهاجم VPN معتمدًا، أو يخترق جهاز مقاول، أو يختطف جلسة بعد مصادقة مشروعة. لكن البوابات المستقلة مهمة. إذا سرقت بيانات الاعتماد، يمكن لقائمة السماح للشبكة أن تمنع الاستخدام من بنية تحتية غير مألوفة. إذا كان أصل الشبكة مسموحًا به، يمكن لـ MFA أن تمنع استخدام كلمة المرور. إذا نجحت المصادقة، يمكن أن يحد الامتياز الأقل من الجداول. إذا كانت الجداول قابلة للقراءة، يمكن لضوابط التصدير وكشف الحالات الشاذة اكتشاف أو مقاطعة عمليات التفريغ الكبيرة. يظهر الحادث الحاجة إلى مقاومة طبقات الفشل.
يستحق التصدير معالجة منفصلة لأن المستودعات مبنية للإجابة على الاستعلامات ونقل النتائج. تصف طرق عرض LOGIN_HISTORY و QUERY_HISTORY و ACCESS_HISTORY الحالية لـ Snowflake أنواع الأدلة التي يمكن للعملاء استخدامها للتحقيق في من قام بتسجيل الدخول، وما تم تشغيله، والأدوار والجلسات المتضمنة، والكائنات التي تم لمسها، وكمية البيانات التي تم نقلها. هذه السجلات تكون قيمة فقط إذا تم الاحتفاظ بها ومراجعتها وتصديرها إلى أنظمة الأمان عند الحاجة وربطها بسلطة الاستجابة.
قال إفصاح AT&T إنه تم تسريب الملفات بين 14 أبريل و25 أبريل. هذه النافذة التي تبلغ أحد عشر يومًا تثير أسئلة تحكم واضحة. متى كان أول تسجيل دخول شاذ مرئيًا؟ متى أصبح سلوك الاستعلام أو التفريغ غير معتاد؟ ما هي عتبة الحجم التي كان ينبغي أن تنبه؟ هل احتوت مساحة العمل على جميع السجلات المتأثرة في ملفات تم تجهيزها بالفعل للتصدير، أم تم إنشاء الملفات أثناء نشاط المهاجم؟ هل تم تشفير الملفات أو ترميزها بطريقة تقلل من الحساسية بعد التصدير؟ هل تم تخزين معرفات موقع الخلية مع سجلات التفاعل لأنها كانت ضرورية لحالة استخدام محددة، أم لأن البيانات التاريخية تراكمت؟
السجل العام لا يجيب على هذه الأسئلة. هذه نتيجة، وليس تكهنًا. ستقوم حزمة مساءلة ما بعد الحادث بوصف مسار الوصول على مستوى عالٍ، والضوابط التي كشفته، والضوابط المفقودة أو التي تم تجاوزها، وفترة الاحتفاظ المعنية، والحقول المكشوفة، والتدابير الموضوعة الآن لمنع تصدير مماثل.
الاحتفاظ جعل السجلات القديمة حديثة مرة أخرى
كانت السجلات المسروقة في الغالب من عام 2022 ويوم واحد في يناير 2023. تم تسريبها في أبريل 2024. تلك الفجوة تنقل التحليل من الاستجابة للاختراق إلى الاحتفاظ بالبيانات. لماذا كانت السجلات من فترة ستة أشهر في 2022 لا تزال موجودة في مساحة عمل سحابية قابلة للتصدير في 2024؟ ما هو الغرض التجاري أو التنظيمي أو التشغيلي أو القانوني أو الفوترة أو الشبكة أو التحليلات الذي تطلب بقاء مجموعة البيانات تلك بالضبط قابلة للوصول؟ هل كان يمكن تجميعها أو ترميزها أو تقسيمها أو أرشفتها دون اتصال أو حذفها؟
سجلات الاتصالات ليست سجلات عادية قابلة للتخلص. قد تحتاج شركات الاتصالات إلى بيانات الاستخدام للفوترة وحل النزاعات والاحتيال وتسوية التجوال وعمليات الشبكة والامتثال لإنفاذ القانون والضرائب وإعداد التقارير التنظيمية ووصول العملاء. توضح صفحات دعم AT&T الخاصة لعملاء الاتصالات اللاسلكية كيفية التحقق من الاستخدام و تنزيل تفاصيل استخدام المكالمات والنصوص لأغراض إدارة الحساب. يوضح ذلك سبب وجود هذه البيانات. لا يوضح أن كل ملف تفاعل تاريخي كان يجب أن يكون قابلاً للاستعلام في مساحة العمل المتأثرة في 14 أبريل 2024.
الاحتفاظ هو عنصر تحكم لأن الزمن يغير المخاطر. السجل الضروري تشغيليًا للفوترة في يونيو 2022 قد يكون أقل ضرورة، أو ضروريًا فقط في شكل مجمع، بحلول أبريل 2024. قد لا يحتاج معرف موقع الخلية المطلوب لاستكشاف أخطاء الشبكة إلى البقاء مرتبطًا بملف تفاعل واسع. قد يخدم المجمع اليومي أو الشهري غرضًا تجاريًا دون الحفاظ على كل حافة علائقية في مساحة عمل عالية الامتياز. يمكن أن تكون مجموعة البيانات قيمة للتحليل وما زالت حساسة جدًا بحيث لا يمكن الاحتفاظ بها في أكثر أشكالها الخام.
سؤال المساءلة ليس «لماذا كان لدى AT&T سجلات مكالمات؟» يجب أن يكون لدى شركة اتصالات سجلات مكالمات. السؤال هو لماذا تبقى مجموعة البيانات هذه بالذات، بهذا النطاق، بهذه الحقول، قابلة للوصول في بيئة سحابية تابعة لجهة خارجية وقابلة للتصدير من خلال مسار الوصول الذي استخدمه المهاجم. غالبًا ما يتم مناقشة تقليل البيانات كمبدأ خصوصية. هنا هو أيضًا عنصر تحكم في نصف قطر الانفجار.
الموقع والسيادة أكثر من مجرد اختيار منطقة
تشرح وثائق المناطق لـ Snowflake أن حساب Snowflake مستضاف في منطقة محددة وأن البيانات تبقى في تلك المنطقة ما لم يتم نسخها أو نقلها أو تكرارها من قبل المستخدمين. وتذكر أيضًا حدًا مهمًا: تحدد المناطق أين يتم تخزين البيانات وتوفير موارد الحوسبة؛ فهي لا تحد من وصول المستخدم إلى Snowflake. هذا التمييز أساسي في حالة AT&T.
يمكن أن يساعد موقع البيانات في القانون وزمن الوصول والحوكمة. لا يوقف بمفرده هوية صالحة أو مسروقة من تسجيل الدخول من مكان آخر، والاستعلام عن البيانات، وتنزيل الملفات. قد تبقى منطقة التخزين دون تغيير بينما يقوم المهاجم بإنشاء نسخة غير خاضعة للرقابة خارج البيئة المتوقعة. بهذا المعنى، فإن الموقع دون هوية والتحكم في الخروج هو قاعدة موضعية، وليس ضمانًا للسيادة.
بالنسبة للبيانات الوصفية للاتصالات، للسيادة عدة أبعاد. يتعلق الموقع الفعلي بمكان تخزين المستودع للبيانات ومعالجتها. يتعلق الموقع القانوني بواجبات الخصوصية والاتصالات والأوراق المالية وإنفاذ القانون والإخطار بالاختراق المعمول بها. يتعلق الموقع التشغيلي بمن يمكنه الوصول إلى البيانات، ومن أي شبكات، وتحت أي إثبات هوية، ولأي غرض. يتعلق موقع الأدلة بما إذا كانت السجلات وتاريخ الاستعلام وأدلة الحادث تظل متاحة لإعادة بناء التعرض.
لم يقدم إفصاح AT&T تفاصيل عن المنطقة أو مزود الخدمة السحابية أو بنية مساحة العمل أو مسار الخروج. هذا مفهوم على مستوى واحد لأن إفصاحات الحوادث لا تنشر عادةً رسومات معمارية. لكن الغياب يعني أن الجمهور لا يمكنه تقييم ما إذا كانت البيانات محلية فقط عند الراحة أم خاضعة للحوكمة طوال دورة حياتها. يمكن للبيانات الوصفية لشركة اتصالات وطنية أن تنتقل من بيئة تشغيل محمية إلى نسخة غير خاضعة للرقابة دون فشل مادي في مركز البيانات إذا فشلت حوكمة الوصول.
تنطبق نفس النقطة على البائعين. تسوية لجنة الاتصالات الفيدرالية FCC لاختراق سحابة بائع AT&T لعام 2024 تعلقت باختراق منفصل في يناير 2023 في بيئة سحابية لبائع، وليس بسرقة سجلات المكالمات المرتبطة بـ Snowflake في 2024. لا تزال ذات صلة لأن FCC قالت إن AT&T فشلت في ضمان قيام البائع بحماية معلومات العملاء بشكل كافٍ وإعادتها أو إتلافها كما هو مطلوب بموجب العقد. PDF إصدار FCC شدد على إدارة البائعين والتزامات دورة حياة البيانات. هذا الموقف التنظيمي يوضح أن نقل معلومات العملاء إلى بيئة بائع أو سحابية لا ينقل المساءلة خارج الناقل.
تأخير الإفصاح كشف بُعدًا يتعلق بالسلامة العامة
قدمت AT&T في 12 يوليو 2024، بعد أن قررت وزارة العدل مرتين أن الإفصاح العام يمكن تأخيره. توجد عملية SEC لأن بعض إفصاحات الأمن السيبراني يمكن أن تتداخل مع عمل إنفاذ القانون أو الأمن القومي. في حالة AT&T، التأخير هو إشارة حول حساسية السجلات والتحقيق.
يمكن أن تهم البيانات إنفاذ القانون بطرق متعددة. قد تتضمن أرقام هواتف مرتبطة بعملاء ومخبرين سريين وشهود وضحايا ومدعين عامين وقضاة ومحامين دفاع وأهداف تحقيقية. يمكن أن تكشف سلاسل الاتصال. يمكن أن تساعد المجرمين في استنتاج من تحدث مع من خلال فترة. يمكن أن تكشف عن أشخاص لم يكونوا عملاء AT&T لكنهم تواصلوا مع أرقام AT&T اللاسلكية أو أرقام MVNO. يقول إفصاح AT&T إنه تم القبض على شخص واحد على الأقل حتى تاريخ التقديم وأن AT&T تعمل مع إنفاذ القانون. لاحقًا، وجهت مواد وزارة العدل في الولايات المتحدة ضد كونور رايلي موكا وجون إيرين بينز اتهامات لمزاعم مخططات لاختراق شبكات كمبيوتر محمية، وسرقة معلومات حساسة، والتهديد بالتسريب، وبيع البيانات.
هذه الاتهامات هي مزاعم ما لم تثبت، لكنها تظهر إطار إنفاذ القانون حول نشاط ابتزاز عملاء Snowflake.
كما خلق التأخير توترًا في إشعار العملاء. لا يمكن إخبار العملاء فورًا إذا كان القيام بذلك سيضر بالتحقيق أو السلامة العامة. لكن الإشعار المتأخر يترك العملاء غير قادرين على اتخاذ حتى خطوات حماية محدودة. نظرًا لأن كشف سجل المكالمات ليس مثل إعادة تعيين كلمة المرور، فإن القيمة العملية للإشعار أقل حول تغيير بيانات الاعتماد وأكثر حول الوعي ومخاطر الاحتيال ومخاطر العلاقات الحساسة. لا يمكن للضحية تدوير محادثة هاتفية من عام 2022. يمكنهم، مع ذلك، مراقبة الابتزاز والمضايقة والكشف المستهدف والتصيد الاحتيالي وإساءة استخدام بيانات العلاقة.
توفر موارد الاحتيال والأمان من AT&T نصائح عامة حول عمليات الاحتيال عبر الهاتف والنص والرسائل النصية الاحتيالية والإبلاغ. هذا التوجيه مفيد لكنه ليس علاجًا كاملاً لكشف تفاصيل المكالمات. يحتاج العميل إلى فهم ما تم تضمينه وما لم يتم تضمينه، وما إذا كانت سجلاته متأثرة، وما إذا كانت الأرقام المتصلة أو المرسلة إليها رسائل مكشوفة، وما يمكن للشركة تقديمه. قال إفصاح AT&T إنها ستقدم إشعارًا للعملاء الحاليين والسابقين المتأثرين، لكن الإشعار العام من هذا النوع لا يمكنه محو الرسم البياني العلائقي.
لم يكن العميل هو الشخص الوحيد في السجل
واحدة من أهم التفاصيل في 8-K هي أن السجلات تضمنت أرقامًا تفاعلت معها أرقام AT&T اللاسلكية أو أرقام MVNO، بما في ذلك عملاء AT&T السلكيين وعملاء شركات الاتصالات الأخرى. هذا يعني أن مجموعة البيانات احتوت على معلومات عن غير عملاء AT&T اللاسلكيين بحكم تفاعلهم مع عملاء AT&T.
هذه هي مشكلة الخصوصية العلائقية. نموذج الإشعار بالاختراق الذي يركز على «عملائنا» يمكن أن يفوت الأشخاص الذين يظهرون كأطراف مقابلة في البيانات. إذا اتصل مشترك AT&T بطبيب أو مدرسة أو مكتب نقابة أو مصدر أو أحد أفراد العائلة على شركة اتصالات أخرى أو عميل تجاري، يمكن أن يكون الرقم الآخر موجودًا. قد لا يتلقى ذلك الشخص الآخر إشعارًا مباشرًا لأنه ليس في علاقة عميل مع AT&T للحساب اللاسلكي. ومع ذلك، تكشف البيانات أنهم تفاعلوا مع رقم AT&T.
تظهر نفس المشكلة في إنفاذ القانون والصحافة. قد لا يكون مصدر الصحفي عميلاً لـ AT&T، لكن رقم المصدر يمكن أن يظهر لأن عميل AT&T اتصل به. قد لا تكون جهة الاتصال السرية للمحقق مشتركًا في AT&T، لكن التفاعل يمكن أن يكون مرئيًا من خلال سجلات هاتف المحقق. يمكن أن يظهر عملاء شركة صغيرة من خلال المكالمات إلى صاحب العمل. ينتقل ضرر الخصوصية على طول الحواف، وليس حدود الحسابات.
يجب أن يؤثر هذا على تقليل البيانات. تستحق مجموعات البيانات العلائقية ضوابط أقوى من ملفات تعريف العملاء المعزولة لأنها تحمل معلومات عن العديد من الأشخاص الذين لم يوافقوا أبدًا على علاقة خدمة مباشرة مع حامل البيانات. تجمع شركات الاتصالات هذه المعلومات لأنه يجب على الشبكات التوجيه والفوترة والعمل. يجب أن تزيد تلك الضرورة من انضباط الاحتفاظ، لا تقلله.
يجب أن يؤثر أيضًا على الأدلة المقدمة بعد الحادث. قد يحتاج العملاء المتأثرون إلى طريقة للحصول على أرقام الهواتف المخترقة المرتبطة بحسابهم، لكن هذا في حد ذاته يخلق مخاطر خصوصية ثانوية إذا لم تتم المصادقة والتسليم بعناية. كان على AT&T الموازنة بين الشفافية ومخاطر كشف الأطراف المقابلة مرة أخرى من خلال عملية الإشعار. هذا صعب. وهو أيضًا لماذا كان التصدير الواسع لمجموعة البيانات الأصلية خطيرًا جدًا.
سياق تسوية لجنة الاتصالات الفيدرالية FCC زاد من حدة سؤال مساءلة البائعين
تعلقت تسوية FCC في سبتمبر 2024 مع AT&T باختراق مختلف، لكنها وصلت في نفس موسم المساءلة وحملت رسالة واضحة: يظل ناقل الاتصالات مسؤولاً عن معلومات العملاء التي تتم معالجتها من خلال بيئات سحابية تابعة للبائعين. قالت FCC إن اختراق البائع في يناير 2023 تعلق ببيانات محتجزة بعد انتهاء علاقة البائع وأن AT&T فشلت في ضمان قيام البائع بحماية معلومات العملاء بشكل كافٍ وإعادتها أو إتلافها. وافقت AT&T على دفع 13 مليون دولار وتنفيذ تحسينات في الخصوصية والأمن السيبراني.
لا ينبغي الخلط بين هذه التسوية وسرقة سجلات المكالمات المرتبطة بـ Snowflake. تختلف مجموعة البيانات والجدول الزمني والحقائق. لكنها ذات صلة كبيرة كسياق تنظيمي. تُظهر FCC وهي تنظر إلى بيانات سحابة البائع وضوابط العقد والاحتفاظ والإتلاف وإشراف الناقل كواجبات خصوصية وأمن سيبراني. هذه هي بالضبط الفئات التي أثارتها سرقة سجلات المكالمات في 2024: ما هي البيانات التي تم الاحتفاظ بها، وأين، وتحت ضوابط من، ولماذا، ومع أي دليل على الحماية؟
الاعتماد على السحابة ليس ثغرة. يمكن لشركة اتصالات الاستعانة بمصادر خارجية للتخزين أو المعالجة أو التحليلات أو وظائف الدعم، لكن العملاء يظلون في علاقة ناقل. لا يختارون مستودع البيانات. لا يقومون بتكوين مساحة العمل. لا يعرفون أي بائع لديه أي حقول. لا يمكنهم تدقيق سياسات الشبكة أو MFA. لا يمكنهم حذف سجلات تفاصيل المكالمات القديمة من بيئة تحليلات. تظل المساءلة بالتالي مع الناقل لدورة حياة البيانات ومع مزود الخدمة السحابية لضوابط المنصة التي يبيعها.
أقوى برنامج ناقل من شأنه أن يربط كل مجموعة بيانات اتصالات حساسة خارج أنظمة الشبكة الأساسية؛ ويوثق الغرض والمالك والاحتفاظ والمنطقة ومسارات التصدير؛ ويتطلب مصادقة قوية وضوابط شبكة؛ ويفصل المعرفات الأولية عن الجداول التحليلية حيثما أمكن؛ ويسجل ويراجع الوصول؛ ويختبر الاستجابة للحوادث؛ ويتحقق من الحذف عند انتهاء مجموعة بيانات أو علاقة بائع. تسوية FCC تجعل ذلك أقل طموحًا وأكثر تحذيرًا تنظيميًا.
التعزيزات اللاحقة من Snowflake تظهر ما يمكن أن تصبح عليه المسؤولية المشتركة
بعد الحملة الأوسع، تحركت Snowflake نحو خطوط أساس هوية أقوى. تصف وثائق طرح MFA الخاصة بها إهمال تسجيلات الدخول بكلمة مرور أحادية العامل. يُظهر توجيه سياسة المصادقة ووثائق سياسة الشبكة وفحوصات وضع Trust Center مزودًا يحاول تحويل إخفاقات التحكم المتكررة للعملاء إلى حواجز حماية منتجة. هذا لا يعيد كتابة حقائق سرقة AT&T في أبريل 2024. يظهر أن المسؤولية المشتركة ليست ثابتة.
غالبًا ما يقول مزودو الخدمات السحابية إن العملاء مسؤولون عن تكوين الهوية والوصول. هذا صحيح، لكنه غير مكتمل. يقرر المزودون ما إذا كانت MFA اختيارية أم افتراضية، وما إذا كان مستخدمو الخدمة بكلمة مرور فقط مسموحين، وما إذا تم اكتشاف عمليات تسجيل الدخول المحفوفة بالمخاطر، وما إذا كانت سياسات الشبكة سهلة النشر، وما إذا كان موقف الأمان مرئيًا، وما إذا كانت السجلات كاملة بما يكفي للأدلة الجنائية، وما إذا تم التعرف على الحملات عبر العملاء بسرعة. يقرر العملاء من يحصل على الوصول، وما هي الأدوار التي يمكنها القراءة، وما إذا تم تكوين السياسات، وما هي البيانات المخزنة، ومدى سرعة التصرف في التنبيهات.
كشفت حملة Snowflake عن عدم تطابق بين تركيز البيانات وموقف الهوية الأساسي. وضعت العديد من المؤسسات مجموعات بيانات قيمة للغاية في مستودعات سحابية مع ترك بعض الحسابات بمصادقة ضعيفة أو قديمة. يمكن للمزود رؤية النمط عبر الحسابات. يمكن لكل عميل رؤية بيئته الخاصة فقط. يعطي هذا التباين للمزود واجب التحذير والدفع والافتراضي والإنفاذ في النهاية.
بالنسبة لـ AT&T، المسؤولية المشتركة لا تقلل من مسؤولية الناقل. توضحها. كانت AT&T مالك البيانات وناقل الاتصالات. اختارت ما هي السجلات التاريخية التي دخلت مساحة العمل، وأي الهويات يمكنها الوصول إليها، ومدة بقائها، وما هي الضوابط المطلوبة. قدم مزود الخدمة السحابية المنصة وضوابط الأمان. استغلت الجهات الإجرامية السلسلة. تتبع المساءلة السلسلة بدلاً من التوقف عند أول حدود تعاقدية.
ما يمكن للعملاء فعله وما لا يمكنهم فعله
كان لدى عميل AT&T العادي القليل من القدرة العملية على منع الاختراق. لم يستطع العميل اختيار مستودع مختلف، أو طلب MFA على مساحة عمل AT&T، أو حذف سجلات المكالمات القديمة، أو فحص سجلات سحابة AT&T. بعد الإشعار، يمكن للعميل مراقبة عمليات الاحتيال، والحذر من المكالمات أو النصوص غير المتوقعة، وطلب معلومات من AT&T. هذه الإجراءات محدودة لأن البيانات المكشوفة وصفت العلاقات والتفاعلات الماضية.
يجب أن يشكل هذا التباين الدعم بعد الحادث. يحتاج العملاء إلى تفسيرات واضحة لا تقلل من شأن البيانات الوصفية. يحتاجون إلى معرفة أن المحتوى لم يتم تضمينه، لكن سجلات العلاقات كانت. يحتاجون إلى معرفة ما إذا كان حسابهم متأثرًا وما هي الفئات المطبقة. يحتاجون إلى تحذيرات بشأن التصيد الاحتيالي المستهدف الذي يشير إلى جهات اتصال حقيقية. قد تحتاج المهن الحساسة إلى نصائح أكثر تخصيصًا: الصحفيون، وموظفو إنفاذ القانون، والمدافعون عن العنف المنزلي، والعاملون في مجال الرعاية الصحية، والمسؤولون العموميون، والشركات التي يمكن أن تكشف أنماط اتصالاتها عن عملائها.
يصف إشعار الخصوصية لـ AT&T تعامل الشركة مع معلومات العملاء والخيارات بعبارات عامة. (إشعار خصوصية AT&T) إشعارات الخصوصية ليست تحقيقات ما بعد الحادث، لكنها مهمة لأنها تحدد توقعات العملاء حول استخدام المعلومات وحمايتها. يسأل الحادث ما إذا كانت هذه التوقعات مدعومة بضوابط دورة الحياة لمساحات عمل التحليلات، وليس فقط بلغة السياسة.
يحتاج العميل أيضًا إلى دليل دامغ على أن المشكلة تم احتواؤها. قالت AT&T إنها أغلقت نقطة الوصول غير القانوني ولم تعتقد أن البيانات كانت متاحة للجمهور حتى تاريخ التقديم. هذا مهم، لكن الجمهور ما زال يفتقر إلى تفاصيل حول كيفية التحقق من الاحتواء، وما إذا تم استرداد النسخ أو حذفها، وما إذا حدثت مطالب فدية أو ابتزاز، وما هي المراقبة المتبقية، وما هي الضوابط طويلة الأجل التي تغيرت. قد تكون بعض التفاصيل سرية لأسباب وجيهة. ومع ذلك، يمكن أن تكون الالتزامات الإجمالية والمعمارية عامة دون مساعدة المهاجمين.
لم تحسم المادية المساءلة
أخبرت AT&T المستثمرين في 8-K أنه بناءً على المعلومات المتاحة، لم يكن للحادث ومن غير المعقول أن يكون له تأثير جوهري على الوضع المالي لـ AT&T أو نتائج العمليات. بيان قانون الأوراق المالية هذا مهم، لكن لا ينبغي الخلط بينه وبين حكم المصلحة العامة بأن الحادث كان منخفض العواقب. مادية المستثمرين وحساسية العملاء هما سؤالان مرتبطان لكنهما مختلفان.
يمكن أن تكون سرقة البيانات الوصفية للاتصالات قابلة للإدارة المالية لناقل كبير وما زالت خطيرة اجتماعيًا. قد تكون التكاليف المباشرة محصورة من خلال التأمين واستراتيجية التقاضي ونفقات إشعار العملاء والتعاون مع إنفاذ القانون وميزانيات المعالجة. قد لا تتضمن البيانات المتأثرة كلمات مرور تتطلب إعادة تعيين حسابات جماعية. قد تستنتج الشركة أن الإيرادات والسيولة والعمليات ليست مهددة بشكل جوهري. لا شيء من هذا يغير خطورة الخصوصية لرسم بياني علائقي يغطي جميع العملاء اللاسلكيين تقريبًا على مدار أشهر.
هذا التمييز مهم لأن الإبلاغ عن الحوادث غالبًا ما يستخدم لغة المادية المالية كعنوان عام. إفصاحات الأوراق المالية مصممة للمستثمرين. يقرأها العملاء لأنها غالبًا المصدر الرسمي الأكثر تفصيلاً المتاح. إذا كان السرد الرسمي الوحيد يؤكد على عدم وجود تأثير مالي جوهري متوقع، فقد يستنتج العملاء أن الحدث لم يكن خطيرًا. في هذه الحالة، وصف نفس الإفصاح أيضًا سجلات تفاعلات جميع العملاء اللاسلكيين تقريبًا وتأخير الإفصاح المعتمد من وزارة العدل. تلك التفاصيل تشير في الاتجاه الآخر.
يجب أن يحمل سجل المساءلة إذن حقيقتين في وقت واحد. قد تخبر AT&T المستثمرين بشكل معقول أن الشركة لا تتوقع تأثيرًا ماليًا جوهريًا بناءً على ما تعرفه. قد يعامل المنظمون والعملاء ومراقبو المصلحة العامة الحادث أيضًا بشكل معقول على أنه خطير بسبب حجم وحساسية البيانات الوصفية. الإفصاح الناضج سيجعل كلا المعنيين صريحين: محدود ماليًا لا يعني بسيط اجتماعيًا.
المادية أيضًا لا تجيب على أسئلة التحكم. يمكن أن يكون الاختراق غير جوهري ماليًا لأن الشركة كبيرة، وليس لأن الضوابط كانت كافية. يمكن أن يتجنب الاضطراب التشغيلي مع كشف بيانات حساسة. يمكن أن يتجنب فقدان العملاء الفوري مع زيادة الضغط التنظيمي. على العكس، قد تواجه شركة أصغر عواقب مالية جوهرية من مجموعة بيانات أقل حساسية. عدسة المستثمر ضرورية، لكنها ليست عدسة مساءلة كاملة.
بالنسبة لشركات الاتصالات، يجب أن يكون هذا التمييز مدمجًا في الحوكمة. يجب على مجالس الإدارة والمديرين التنفيذيين تتبع ليس فقط المادية المادية للمستثمرين ولكن أيضًا أحداث البيانات الحرجة: الحوادث التي تنطوي على سجلات شبيهة بـ CPNI، وبيانات تفاصيل المكالمات، والحقول المتعلقة بالموقع، وسجلات حساسة لإنفاذ القانون، واتصالات الفئات السكانية الضعيفة، أو مجموعات البيانات العلائقية على نطاق وطني. تلك الأحداث تستحق اهتمام مجلس الإدارة حتى عندما يمكن لبيان الدخل استيعابها.
يجب أن يشكل نفس المبدأ مراجعات التحليلات السحابية. لا ينبغي أن تحصل مجموعة بيانات على حماية أقل لمجرد أن سرقتها قد تكون قابلة للإدارة ماليًا. يجب أن تستند الحماية إلى الحساسية والحجم وقابلية التعريف والضرر العلائقي والواجبات القانونية والثقة العامة. بهذا المقياس، تنتمي سجلات تفاعلات المكالمات والنصوص لـ AT&T إلى أعلى طبقة حماية داخلية بغض النظر عن تأثير بيان الدخل المالي المتوقع.
اختبار المساءلة
يجب الحكم على حادث AT&T مقابل ستة ضوابط.
أولاً، التقليل: يجب أن توجد سجلات تفاعل الاتصالات الحساسة في شكل أولي قابل للتصدير فقط حيثما توجد حاجة حالية موثقة. يجب أن تتقدم البيانات القديمة إلى أشكال مجمعة أو موثقة أو أرشيفات مقيدة عندما يكون ذلك ممكنًا.
ثانيًا، الوصول: يجب أن تكون أي هوية يمكنها الوصول إلى بيانات تفاعل المكالمات والنصوص الأولية مصادقًا عليها بقوة، ومحددة النطاق، ومراقبة، ومحددة زمنيًا. يجب أن يكون الوصول البشري بكلمة مرور فقط غير مقبول. يجب أن تكون بيانات اعتماد الخدمة خاصة بعبء العمل ومدارة.
ثالثًا، الخروج: يجب معاملة التصدير بالجملة لسجلات الاتصالات على نطاق وطني كإجراء عالي المخاطر يتطلب الكشف، والتحكم في المعدل، والموافقة، أو الاحتواء السريع. سجلات الاستعلام ليست كافية إذا لم يتصرف أحد حتى بعد التسريب.
رابعًا، الموقع: يجب مطابقة منطقة البيانات والموضع السحابي مع ضوابط الهوية والشبكة والتصدير والأدلة. لا تتحقق السيادة من خلال مكان راحة البيانات إذا كانت بيانات الاعتماد المسروقة يمكنها نقل نسخة.
خامسًا، الإشعار: يجب أن تحافظ الإفصاحات العامة على احتياجات إنفاذ القانون مع إعطاء العملاء معلومات واضحة غير مخففة عن مخاطر البيانات الوصفية. يجب إقران «لا يوجد محتوى» بـ «تم كشف بيانات العلاقة».
سادسًا، حوكمة البائعين: يجب أن يكون ناقلو الاتصالات قادرين على إثبات أن بيئات السحابة والبائعين الخارجية تحمي معلومات العملاء وتحتفظ بها وتعيدها وتتلفها تحت ضوابط تتناسب مع حساسية الاتصالات. سياق تسوية سحابة البائع لدى FCC يجعل ذلك توقعًا تنظيميًا حيًا.
النتيجة النهائية واضحة. لم تكشف AT&T عن سرقة محتوى المكالمات أو أرقام الضمان الاجتماعي في هذا الحادث. كشفت عن شيء مختلف وما زال خطيرًا: خريطة علائقية كبيرة لتفاعلات المكالمات والنصوص لجميع العملاء اللاسلكيين تقريبًا على مدار أشهر، مأخوذة من مساحة عمل سحابية. في شركة اتصالات، البيانات الوصفية ليست عادمًا. إنها خريطة الاتصال. بمجرد تركيز تلك الخريطة في منصة بيانات سحابية، تعود المساءلة للأشخاص الذين يقررون لماذا هي هناك، ومن يمكنه الاستعلام عنها، وكيف تغادر، وكم تعيش، وما هي الأدلة المتبقية عندما تُسرق الخريطة.