الخلاصة

  • أصدرت وزارة الشؤون الداخلية والاتصالات في 29 يوليو توجيها إداريا مكتوبا وإنذارا شديدا إلى KDDI.
  • أدى دخول خارجي غير مصرح به بين 16 مايو و17 يونيو إلى تسرب عناوين بريد وكلمات مرور ومعلومات أخرى مرتبطة بالبريد.
  • جعلت البيانات المسروقة محتوى صناديق نحو 7.62 مليون مستخدم قابلا للعرض، من دون دليل على فتح كل تلك الصناديق.
  • خلصت الوزارة إلى وقوع تسرب لسرية الاتصالات التي تحميها الفقرة الأولى من المادة الرابعة في قانون أعمال الاتصالات.
  • يتعين على KDDI تقوية الحوكمة وتنفيذ إجراءات تمنع التكرار ورفع تقرير يبين ما طبق فعلا.

الإجراء التنظيمي هو الواقعة الجديدة

كانت KDDI قد أعلنت الاختراق الأساسي في يونيو. لذلك لا يمثل يوم 29 يوليو اكتشافا جديدا للدخول نفسه، بل يمثل قرار الوزارة بنقل المسألة من بيان تصدره الشركة إلى حكم تنظيمي واضح بشأن سرية الاتصالات.

حدد إعلان الشركة الأول وقت تأكيد الدخول وبعض أعمال الاحتواء. وقالت KDDI إنها تأكدت منه في 17 يونيو، وإنها عدلت النظام في اليوم ذاته لمنع اتساع الواقعة. أما التوجيه الإداري فيضيف أسئلة تتعلق بالمسؤولية: من يملك الضابط الأمني، وما الذي نفذ، وكيف اختبرت فعاليته، وما الدليل الذي سيقدم إلى الجهة الرقابية.

لا تقول الوثائق المنشورة إن غرامة مالية فرضت، ولا إنها سحبت ترخيصا. ومن الخطأ تحويل الإنذار الشديد إلى عقوبة لم تعلن. قوته الفعلية تأتي من إلزام الشركة بإظهار التنفيذ، بدلا من الاكتفاء بوعد عام عن تعزيز الأمن.

كلمة المرور تنقل الخطر إلى مضمون الاتصال

كان النظام المتأثر يدعم خدمات بريد تشغلها عدة شركات تقدم خدمة الإنترنت. وذكرت الوزارة أن دخول طرف خارجي من دون تصريح وقع خلال الفترة من 16 مايو إلى 17 يونيو، وأن عناوين البريد وكلمات مرور الدخول ومعلومات أخرى متصلة بالبريد تسربت.

لا تحمل كل معلومة مسربة الخطر نفسه. يمكن لعنوان البريد أن يساعد على الاستهداف والاحتيال، لكن كلمة مرور صالحة قد تفتح الرسائل الخاصة والمرفقات، وقد تستخدم في استعادة حسابات أخرى. وعندما قالت الوزارة إن البيانات المسروقة جعلت محتوى نحو 7.62 مليون صندوق قابلا للعرض، أصبحت المسألة مرتبطة بالاتصال الخاص نفسه، لا بسجل عملاء منفصل فقط.

وتضاعف المنصة المشتركة أثر ضعف واحد في المصادقة. لذلك ينبغي أن تشمل المعالجة حماية الأسرار، ورصد الدخول غير المعتاد، وإلغاء الجلسات، وفصل بيانات كل مزود، وإيصال الأدلة بسرعة إلى الشركات التي تتعامل مباشرة مع المشتركين.

القابلية للعرض تختلف عن المشاهدة المثبتة

تحتاج كلمة الوزارة إلى قراءة دقيقة. وصف الصندوق بأنه قابل للعرض يعني أن مسارا تقنيا صار متاحا باستخدام البيانات المسربة. أما القول إن الصندوق شوهد فعلا فيحتاج إلى سجل دخول ناجح أو تصفح للمجلدات أو استرجاع لرسالة.

لا تفيد المواد العامة بأن المهاجم فتح 7.62 مليون صندوق، ولا تعد الرسائل التي قرئت، ولا تصف أي محتوى جرى الوصول إليه. والتمسك بهذا الحد لا يقلل خطورة التعرض. مجرد منح طرف غير مصرح له القدرة على دخول مراسلات خاصة يعد فشلا شديدا في السرية. لكنه لا يسمح بتقديم أقصى احتمال على أنه نتيجة جنائية مؤكدة.

ستكون البيانات التالية أكثر فائدة إذا فصلت بين عدد بيانات الدخول المتسربة، وعدد عمليات الدخول الناجحة، وعدد الصناديق التي جرى استعراضها، وعدد الرسائل المسترجعة، وأي إساءة لاحقة للحساب. فلكل مرحلة علاج مختلف ورسالة مختلفة للمستخدم.

مدة شهر تضع الرصد تحت الاختبار

تبدأ الفترة التي حددتها الوزارة في 16 مايو، بينما جاء التأكيد في 17 يونيو. وقد يكون تعديل النظام يوم التأكيد قد أوقف التوسع، لكنه لا يجيب عن سبب بقاء النشاط من دون تأكيد قرابة شهر.

المهاجم الذي يستعمل كلمة مرور صحيحة لكنها مسروقة قد لا يطلق تنبيها يعتمد على كثرة المحاولات الفاشلة. ولهذا تحتاج المنصة إلى مقارنة الموقع والجهاز والوقت وحجم تنزيل الرسائل والجلسات المتزامنة بالسلوك المعتاد. كما تحتاج إلى قدرة سريعة على إلغاء الجلسات وفرض بيانات دخول جديدة.

ينبغي أن يميز تقرير التنفيذ بين أعمال اكتملت، وضوابط ما زالت قيد الاختبار، وخطوات لم تبدأ. كما ينبغي أن يحدد المسؤول عن التحقق، ومقياس زمن الاكتشاف، وكيف ستعرف KDDI أن محاولة مشابهة لن تبقى شهرا آخر.

تعدد المزودين لا يقطع سلسلة المسؤولية

قد تكون السجلات التقنية لدى KDDI، بينما تكون علاقة العميل لدى مزود إنترنت آخر يستخدم منصتها. هذا الفصل التشغيلي مفهوم، لكنه لا يجوز أن يخلق فراغا في مسؤولية حماية المراسلات.

يحتاج الشركاء إلى نطاق موثوق للحسابات المتأثرة، وإجراء متسق لتغيير كلمات المرور، وصياغة لا تخلط التعرض بالقراءة. وتحتاج الشركات أيضا إلى معلومات كافية لتقييم التصيد، وإعادة استعمال كلمة المرور، والاستيلاء على حسابات أخرى.

أما الجهات التي تشتري منصات اتصالات مدارة، فعليها أن تسأل عن حقوق التدقيق، ومهل الإبلاغ، وتركيز المخاطر في بنية مشتركة. يمكن نقل التشغيل إلى مورد خارجي، لكن لا يمكن نقل الضرر الذي يصيب سرية المستخدم بعيدا عن الجهة التي تقدم الخدمة.

المطلوب دليل على الحوكمة لا قائمة نوايا

يتطلب توجيه الوزارة حماية دقيقة لسرية الاتصالات، وإجراءات تمنع تكرار الواقعة، وتقريرا عن تنفيذها. وتصبح المؤشرات المفيدة هي تغيير بيانات الدخول، وتقوية المصادقة، وتقليل زمن الاكتشاف، وتسمية أصحاب المسؤولية، وإجراء تحقق مستقل من فعالية الضوابط.

لا تزال هوية المهاجم ومكانه، وعدد الصناديق التي دخلها فعلا، ومحتوى الرسائل التي ربما قرئت، وفعالية الإصلاح بعد موعد الإغلاق أمورا غير مثبتة. يجب ألا تملأ هذه الفراغات بالتخمين.

تكمن الأهمية الطويلة للإجراء في إنشاء دورة قابلة للمراجعة. حددت الوزارة الحق القانوني المتضرر، وعلى KDDI إصلاح نظام التحكم، ثم يجب أن يبين التقرير اللاحق إن كان الخطر قد انخفض بصورة قابلة للقياس. إذا بقي الرد في مستوى السياسات العامة، فلن تكتمل تلك الدورة.

ما الذي ينبغي مراقبته لاحقا

أول اختبار هو ما إذا كانت الشركة ستنشر أو تقدم نتائج تنفيذ محددة، لا مجرد عناوين للمشروعات. فرض تغيير واسع لكلمات المرور، وتقوية المصادقة، وتحسين تنبيه الشركاء، وقياس سرعة الاكتشاف، كلها إشارات يمكن التحقق منها.

والاختبار الثاني هو جودة الفصل بين الاحتمال والدليل. إذا ظهرت معلومات جنائية لاحقة، فيجب ربطها بعمليات دخول ورسائل محددة، لا إعادة استعمال رقم التعرض بوصفه رقما للقراءة. هذا الفصل يحمي دقة التنبيه العام، ويساعد المستخدم على اتخاذ خطوة متناسبة.

والاختبار الثالث هو قدرة المنصة المشتركة على توزيع المسؤولية من دون توزيع الغموض. كل مزود يحتاج إلى معرفة ما يبلغه إلى عميله، بينما تحتاج KDDI إلى الاحتفاظ بصورة موحدة عن الخطر. عندها فقط يمكن للتوجيه الإداري أن يتحول من تحذير إلى تحسن تشغيلي واضح.

المصادر