الخلاصة

  • أقر Connor Riley Moucka بالذنب في الاحتيال الحاسوبي والاحتيال عبر الاتصالات وسرقة الهوية المشددة والتآمر المرتبط بحملة امتدت من فبراير إلى أكتوبر 2024.
  • قالت وزارة العدل إن بيانات دخول مسروقة فتحت بيانات مستضافة سحابياً تخص ما لا يقل عن 165 عميلاً لشركة SaaS أمريكية لم تسمها.
  • سرق المتآمرون مليارات السجلات وتيرابايتات من المعلومات، وكان لدى الشركات المتضررة ما لا يقل عن 100 مليون عميل.
  • تجاوزت مدفوعات الفدية 2.5 مليون دولار، وحصل Moucka شخصياً على 495 ألف دولار على الأقل، وتكبدت الشركات الضحية خسائر مباشرة تجاوزت 9.5 ملايين دولار.
  • ربطت Mandiant حملة شملت نحو 165 مؤسسة بمثيلات عملاء Snowflake، لكنها لم تجد دليلاً على اختراق بيئة Snowflake المؤسسية.
  • حُدد 27 أكتوبر 2026 للنطق بالعقوبة؛ ولا يغلق الإقرار تعافي الضحايا أو تداول البيانات أو فجوات الهوية لدى كل عميل.

التقاطع بين رقمين لا يمنح المحكمة اسماً لم تنشره

تصف وزارة العدل شركة SaaS مقرها الولايات المتحدة من دون ذكر Snowflake. ولا ينسب البيان الدخول إلى ثغرة في المنصة أو إلى اختراق شبكة الشركة نفسها. يجب أن يبقى هذا القيد ظاهراً، لأن تحويل السياق العام إلى تسمية قضائية سيغيّر قوة الدليل.

أما الصلة التشغيلية فتأتي من تحقيق 2024. قالت Mandiant إنها وSnowflake أخطرتا نحو 165 مؤسسة يحتمل تعرضها بعد استهداف مثيلات العملاء. تتقارب الفترة، وعدد عملاء SaaS، وأنواع البيانات مع الوقائع التي أقر بها Moucka. يبرر ذلك تحليل Snowflake كبيئة اعتمد عليها العملاء، لكنه لا يعني أن وزارة العدل سمتها أو أن بيئتها المؤسسية تعرضت للاختراق.

الإقرار يحسم مسؤولية فرد محدد

اعترف Moucka بأربع تهم. لم تعد أفعاله المقبولة قضائياً مجرد مزاعم في لائحة اتهام. مع ذلك، لا ينتقل هذا الحسم تلقائياً إلى شخص آخر أو إلى كل نسبة علنية مرتبطة باسم UNC5537.

تبدأ الساعة القضائية التالية في 27 أكتوبر. تفرض سرقة الهوية المشددة حداً أدنى إلزامياً قدره عامان، فيما يصل الحد الأقصى للتهم الأخرى إلى 30 عاماً. الحد الأقصى ليس توقعاً للحكم، كما أن التعويض والمصادرة وتوزيع الخسائر لم تُحسم بعد.

الهوية الصالحة لدى العميل كانت المعبر

تتبعت Mandiant كل حادث تعاملت معه إلى بيانات اعتماد عملاء مكشوفة، جُمعت غالباً ببرمجيات سرقة معلومات على أجهزة لا تملكها Snowflake. كان لما لا يقل عن 79.7% من الحسابات المستخدمة تاريخ تعرض سابق، وأقدم إصابة مرتبطة رصدتها تعود إلى نوفمبر 2020.

اجتمعت ثلاثة نواقص: غياب المصادقة متعددة العوامل، وبقاء كلمات المرور صالحة أحياناً لسنوات، وعدم وجود قوائم شبكية تقصر الاتصال على مصادر موثوقة. بذلك تحول سر قديم مسروق في مكان آخر إلى إذن حالي للوصول إلى قاعدة بيانات. وصف ذلك بأنه «اختراق سحابي» فقط يخفي موضع التحكم الفعلي.

لكل رقم جهة وميزانية مختلفة

يشير 165 إلى مؤسسات عميلة، وتشير المليارات إلى سجلات، ويشير 100 مليون إلى أشخاص يتعاملون مع الشركات المتضررة. أما 2.5 مليون دولار فهي فدية حصل عليها المتآمرون، و495 ألفاً حصة Moucka الشخصية الدنيا، و9.5 ملايين خسائر الشركات المباشرة، من دون خسائر عملائها.

جمع هذه المقاييس في رقم ضحايا واحد يبالغ في بعض الأوجه ويحجب أخرى. قد يظهر شخص واحد في سجلات كثيرة، وقد تحفظ مؤسسة واحدة بيانات الملايين، وقد تتحمل شركات التأمين والعملاء تكاليف لا تظهر في حساب الشركة. ليست كل الخسارة خسارة Snowflake ولا كل سجل شخصاً مستقلاً.

بيانات الدخول القديمة صارت مخزوناً قابلاً للبيع

لا تنتهي قيمة سجل برمجية سرقة المعلومات عند يوم الإصابة. إذا لم تُغيّر كلمة المرور ولم يُغلق الحساب ولم يُطلب عامل ثانٍ، يستطيع المهاجم اختبار السر بعد سنوات. تكلفة تجميع القوائم منخفضة، بينما يمكن لحساب ناجح واحد أن يفتح مخزناً كبيراً صالحاً للابتزاز.

لذلك ينبغي ربط مراقبة التسرب بالإلغاء الفوري، وإنهاء الجلسات، وفرض مصادقة مقاومة للتصيد، وجرد حسابات الخدمة والمتعاقدين، وتقييد الشبكة، والتنبيه إلى الاستعلامات وعمليات التصدير غير المعتادة. شراء أداة رصد إضافية لا يلغي خطر كلمة مرور مكشوفة ما زال النظام يقبلها.

المسؤولية المشتركة تحتاج إلى نسب تغطية

يوفر مزود SaaS قدرات المصادقة والسجلات والتقييد؛ ويحدد العميل الصلاحيات والاستثناءات والاستجابة؛ ويضيف مزود الهوية والمتعاقدون حدوداً أخرى. يمكن لكل جهة أن تقول إن الضابط موجود، فيما يبقى حساب واحد خارج التطبيق.

يجب قياس نسبة الحسابات البشرية والخدمية المحمية بمصادقة قوية، وعدد الأسرار المتقادمة، والهويات ذات الامتياز المتاحة من الإنترنت، وزمن الإلغاء بعد إنذار التسرب، وحجم التصدير الذي يطلق المراجعة، وإغلاق كل مسارات المتعاقد عند خروجه. وجود الميزة لا يساوي شمولها.

نهاية المسار الجنائي لا تمحو النسخ المسروقة

يشرح الإقرار كيف تحول الوصول غير المشروع إلى فدية وربح شخصي. لكنه لا يثبت حذف جميع النسخ، أو توقف بيعها، أو اكتمال إخطار الأفراد، أو إصلاح كل مثيل عميل. كما أن خسائر العملاء النهائيين مستبعدة صراحة من رقم 9.5 ملايين دولار.

للإغلاق مساران. يتقدم القضاء نحو العقوبة والتعويض. أما التشغيل فلا ينتهي إلا عندما تصبح بيانات الاعتماد القديمة غير كافية، ويُكتشف استخراج البيانات قبل اكتمال التيرابايتات. الإقرار محطة مساءلة، لا شهادة بأن الحادث انتهى.

المصادر