Travelex وانقطاع الفدية الذي كشف الاعتماد على خدمات العملات الخارجية

الملخص

• سجل عام مؤكد:هجوم فدية بدأ حوالي 31 ديسمبر 2019 أجبر Travelex على إيقاف أنظمته عن العمل وعطل خدمات العملات في يناير 2020. كشفت التقارير العامة عن مزاعم مجموعة Sodinokibi/REvil، وطلب فدية وادعاء سرقة بيانات، بينما ذكر أن Travelex قال إنه لا يوجد دليل على اختراق بيانات العملاء. يُظهر إعلان إعادة الهيكلة اللاحق لـ Travelex ومواد المسؤول من PwC أن الشركة دخلت في عملية إعادة هيكلة ديون كبيرة وإجراءات إدارة في عام 2020 بعد ضغوط تجارية شديدة. (تقرير الغارديان يناير 2020,تقرير الغارديان عن الفواتير الورقية,إعلان إعادة هيكلة Travelex,صفحة المسؤول PwC)
• قضية الاعتماد:لم تكن Travelex مجرد مكتب صرف عملات تجزئة. بل كانت تقدم خدمات أموال السفر لشركاء من البنوك والعلامات التجارية للبيع بالتجزئة، لذلك أثر انقطاعها أيضًا على العملاء الذين اعتقدوا أنهم يتعاملون مع بنكهم أو سوبر ماركتهم. أصبح التواصل مع الشركاء، ومعالجة المبالغ المستردة، والحلول البديلة في الفروع، واقتصاديات الاتصال بالعملاء جزءًا من الحادث. (تقرير BBC يناير 2020,تقرير الغارديان عن استئناف الخدمات)
• حدود التصحيح:ربطت التقارير العامة والتعليقات الأمنية اللاحقة الهجوم باستغلال ثغرة أمنية غير مصححة في Pulse Secure VPN، CVE-2019-11510. حذرت CISA في يناير 2020 من أن خوادم Pulse Secure VPN غير المصححة يتم استغلالها وأن التقارير الإعلامية وصفت مجرمين يستخدمون برمجية الفدية REvil/Sodinokibi ضد هذه الأنظمة. وهذا يدعم سؤال المساءلة عن إدارة الثغرات الأمنية، لكن السجل العام لا يزال يفتقر إلى تقرير جنائي منشور من Travelex يثبت كل خطوة من خطوات الوصول الأولي. (تحذير CISA Pulse Secure,سجل CVE-2019-11510)
• التقييم:سيطر الجهات الإجرامية على الابتزاز. سيطرت Travelex على إدارة التعرض والاستعادة والحلول البديلة للشركاء والتواصل المباشر. سيطرت البنوك وشركاء التجزئة على الوعود التي تقدم للعملاء والمبالغ المستردة. سيطر الدائنون والمسؤولون على مسار إعادة الهيكلة اللاحق. تحمل المسافرون وموظفو الفروع والأطراف المقابلة الأصغر الكثير من عدم اليقين قبل أن تجعل إعادة الهيكلة المالية فشل الاستمرارية مرئيًا في الشكل المؤسسي.

خدمة العملات تبدو صغيرة حتى تتوقف

يمكن أن تبدو خدمة صرف العملات الأجنبية كطبقة راحة: موقع ويب لأموال السفر، كشك، مكتب في المطار، بطاقة مدفوعة مسبقًا، صفحة طلب باسم البنك، نقطة استلام في السوبر ماركت. هذه الصورة تقلل من شأن الاعتماد. كانت Travelex تقف خلف العديد من واجهات العملاء المرئية. عندما تم إيقاف أنظمتها عن العمل، لم يواجه العملاء الانقطاع كمشكلة Travelex بحتة. البعض اختبره كمشكلة بنك، مشكلة سوبر ماركت، مشكلة استرداد، مشكلة فرع، مشكلة سفر أو مشكلة نقد في بداية الرحلة.

لهذا السبب ينتمي حادث الفدية لعام 2020 إلى سلسلة المخاطر والمساءلة. السؤال ليس فقط ما إذا كان لدى Travelex برمجيات ضارة على شبكتها. السؤال هو كم منظمة بنت وعودًا بأموال السفر على افتراض أن أنظمة مزود متخصص ستكون متاحة ومصححة وقابلة للاستعادة ومتواصلة أثناء الأزمة.

بدأ الحادث على حافة التقويم. في ليلة رأس السنة 2019، أوقفت Travelex أنظمتها عن العمل بعد هجوم إلكتروني. في أوائل يناير، ظلت مواقع الشركة وخدماتها الإلكترونية معطلة، ووصفت التقارير العامة اضطرابًا في الفروع والشركاء. ذكرت الغارديان أن المهاجمين الذين زعموا أنهم مجموعة برمجية الفدية Sodinokibi طالبوا بدفع وهددوا بنشر بيانات قالوا إنهم أخذوها. وذكر أن Travelex قال إنه لا يوجد دليل على اختراق البيانات الشخصية أو بيانات العملاء في تلك المرحلة. (تقرير الغارديان 7 يناير)

كان التأثير التشغيلي واضحًا. أفيد أن الموظفين في بعض المواقع استخدموا فواتير ورقية بينما ظلت المواقع الإلكترونية معطلة. واجه عملاء البنوك وشركاء التجزئة خدمات أموال سفر غير متوفرة. كان على العلامات التجارية الشريكة شرح انقطاع لم تسببه مباشرة لكنها عرضته لعملائها. (تقرير الغارديان عن الفواتير الورقية, تقرير BBC)

بالنسبة للمسافر، انقطاع طلب العملات ليس وجوديًا بشكل مجرد. لكنه قد يكون مكلفًا ومرهقًا في اللحظة. قد يحتاج العميل إلى نقد لوجهة حيث قبول البطاقات غير متساوٍ، أو بطاقة مدفوعة مسبقًا لطفل، أو استرداد قبل المغادرة، أو إثبات طلب تم من خلال بنك. بالنسبة للموظفين، يعني الانقطاع أدوات متدهورة، وعمليات يدوية، وعملاء قلقين، وتعليمات غير واضحة. بالنسبة للبنوك الشريكة وتجار التجزئة، يعني ذلك حملًا على مراكز الاتصال، وتعرضًا للسمعة، وحلولًا بديلة. بالنسبة لدائني Travelex، أصبح ضغطًا إضافيًا على أعمال كانت بالفعل مثقلة بالديون ثم ضربها انهيار السفر بسبب COVID-19.

## الجدول الزمني مزج الاستجابة للحادث مع الضغط العام

الجدول الزمني العام صاخب لأن العديد من تحديثات حادث Travelex الرسمية من يناير 2020 لم يعد من السهل التعامل معها كأرشيف واحد موثوق. أقوى سجل دائم يجمع بين التقارير ذات السمعة المعاصرة، وتحذير CISA العام حول الثغرات الأمنية، وإعلان إعادة هيكلة Travelex في أغسطس، ومواد المسؤول PwC.

في 7 يناير 2020، ذكرت الغارديان أن Travelex تعرضت لهجوم فدية، وأن مواقعها الإلكترونية معطلة، وأن المهاجمين زعموا نسخ البيانات، وأن الشركة قالت إنه لا يوجد دليل على اختراق البيانات الشخصية أو بيانات العملاء. ذكرت BBC طلب الفدية وتعطل الخدمة في نفس اليوم، واصفة الحادث بأنه مشكلة تؤثر على Travelex وشركائها. (تقرير الغارديان 7 يناير, تقرير BBC)

في 8 يناير، وصفت الغارديان الموظفين الذين يستخدمون فواتير ورقية بينما تظل المواقع الإلكترونية معطلة وحددت قنوات البنوك والتجزئة المتأثرة. هذا التقرير مهم لأنه يظهر التخفيض اليدوي المتدهور في الممارسة. يمكن للتخفيض اليدوي أن يحافظ على بعض المعاملات، لكنه أيضًا يغير معدلات الخطأ، وعمل التسوية، وضوابط الاحتيال، وأوقات انتظار العملاء، وعبء العمل على الموظفين. (تقرير الغارديان عن الفواتير الورقية)

في 13 يناير، ذكرت الغارديان أن بعض خدمات Travelex بدأت مرة أخرى بعد هجوم الفدية، بما في ذلك أجزاء من الخدمة في المتجر، بينما لم تعد جميع الأنظمة إلى طبيعتها. هذا التاريخ مهم لأنه يظهر أن التعافي لم يكن مجرد تشغيل مفتاح واحد. يمكن أن تستأنف الخدمات بشكل غير متساوٍ: قناة مستعادة، قناة أخرى معلقة، شريك أعيد ربطه، شريك آخر يدير إشعارات العملاء الخاصة به. (تقرير الغارديان عن استئناف الخدمات)

في 10 يناير، أصدرت CISA تحذيرًا حول استمرار استغلال ثغرة Pulse Secure VPN CVE-2019-11510. حذر التحذير من أن المنظمات يجب أن تصحح الأنظمة المتأثرة فورًا وأشار إلى تقارير إعلامية تفيد بأن مجرمي الإنترنت يستهدفون خوادم Pulse Secure VPN غير المصححة لتثبيت برمجية الفدية REvil/Sodinokibi. (تحذير CISA Pulse Secure) هذا التحذير ليس تقريرًا جنائيًا لـ Travelex. لكنه لا يزال محوريًا لأنه يضع الثغرة الأمنية التي نوقشت علنًا في نفس الإطار الزمني ونظام الفدية البيئي.

بحلول أغسطس 2020، أصبح الحادث جزءًا من سجل إعادة هيكلة مالية أوسع. أعلنت Travelex Financing Plc عن إتمام إعادة هيكلة الديون، قائلة إن الديون ستخفض من أكثر من 385 مليون جنيه إسترليني إلى 160 مليون جنيه إسترليني وأن المجموعة الجديدة ستحصل على 84 مليون جنيه إسترليني من السيولة الجديدة. أكد الإعلان على انهيار السفر بسبب COVID-19، لكنه جاء بعد عام أضعف فيه الهجوم الإلكتروني بالفعل توفر الخدمة والثقة. (إعلان إعادة هيكلة Travelex)

يسجل صفحة المسؤول PwC أن شركة Travelex Banknotes Limited دخلت في الإدارة في 21 يوليو 2020 وأن العديد من كيانات Travelex الأخرى دخلت في الإدارة في 6 أغسطس 2020 كجزء من إعادة الهيكلة. كما يسجل الإدارة اللاحقة لتلك الكيانات للدائنين وعملية ما بعد الإدارة. (صفحة المسؤول PwC, بيان اليوم الأول PwC PDF)

لذلك فإن الجدول الزمني له طبقتان. الأولى هي الاستجابة للحادث: أنظمة معطلة، حلول يدوية بديلة، تعطل الشريك، ضغط الفدية المزعوم، واستعادة تدريجية. الثانية هي الاستمرارية المالية: أعمال أموال سفر مضطربة بشدة تدخل في إعادة هيكلة وإدارة في نفس العام. سيكون من الإهمال القول إن برمجية الفدية وحدها تسببت في إعادة الهيكلة؛ انهيار السفر بسبب COVID-19 كان صدمة مستقلة هائلة. سيكون من الإهمال أيضًا محو حادث الفدية من سجل استمرارية الأعمال.

## الاستعانة بمصادر خارجية جعلت العلامات التجارية الشريكة جزءًا من الانقطاع

كان انقطاع Travelex درسًا في الاعتماد على العلامات البيضاء. قد يطلب العميل أموال سفر من موقع بنك أو سوبر ماركت ويرى أن تلك العلامة التجارية هي مزود الخدمة المسؤول. خلف الكواليس، قد يقدم مزود خدمة عملات متخصص التسعير، ومعالجة الطلبات، والتنفيذ، والمخزون، والتسوية، وسير العمل في الفروع أو التوصيل. عندما يفشل المزود المتخصص، لا تزال العلامة التجارية المرئية تمتلك ثقة العميل.

حددت تقارير الغارديان و BBC اضطرابًا لعملاء عدة قنوات شريكة. اختلفت التفاصيل حسب الشريك، لكن النمط كان ثابتًا: العملاء الذين ليس لديهم علاقة أمنية مباشرة مع Travelex تأثروا بإيقاف أنظمة Travelex عن العمل. (تقرير BBC, تقرير الغارديان عن الفواتير الورقية)

جعل ذلك الانقطاع اختبارًا عمليًا للمرونة التشغيلية المستعان بها. يمكن للبنوك والمؤسسات المالية الاستعانة بمصادر خارجية لوظيفة، لكنها لا تستعين بمصادر خارجية لمساءلة العملاء. جعلت التنظيمات المالية الحديثة في المملكة المتحدة هذه النقطة واضحة من خلال توقعات المرونة التشغيلية، التي تتطلب من الشركات تحديد خدمات الأعمال المهمة، وتحديد حدود التأثير، وإدارة الاعتماد على الأطراف الثالثة. مواد المرونة التشغيلية لـ FCA ليست نتيجة بأثر رجعي عن Travelex أو شركائها، لكنها تلتقط الدرس: يجب على الشركة المواجهة للعملاء أن تفهم ما إذا كانت الخدمة المستعان بها يمكن أن تفشل ضمن الحدود المقبولة. (المرونة التشغيلية FCA, FCA PS21/3)

كشف حادث Travelex أيضًا عن ضعف صفحات حالة الشريك ونصوص خدمة العملاء عندما تكمن المشكلة الحقيقية عند المزود. يمكن للبنك أن يخبر العملاء أن طلبات أموال السفر غير متوفرة، لكنه قد لا يعرف ما إذا كانت أنظمة المزود ستعود في ساعات أو أيام أو أسابيع. يمكن لممثل خدمة العملاء تقديم المبالغ المستردة أو البدائل، لكنه قد لا يتمكن من الوصول إلى تفاصيل المعاملة إذا كانت منصة المزود معطلة. يمكن للشريك أن يكون شفافًا بشأن الأعراض دون أن يكون قادرًا على إثبات السبب أو التعافي.

كان ينبغي نمذجة هذا الاعتماد قبل الحادث. يمكن لعقود الشريك أن تتطلب دليلًا على إدارة الثغرات الأمنية، واستجابة للحوادث مختبرة، وفترات انقطاع قصوى، وإجراءات تنفيذ يدوية، وإشعارات حماية البيانات، وجداول زمنية للتواصل حول الاختراق، وسلطة المبالغ المستردة. ربما فعلت بعض العقود ذلك، لكن السجل العام لا يظهر بطاقة أداء استمرارية لكل شريك. كانت النتيجة المرئية شبكة من العلامات التجارية تشرح اضطرابًا ناتجًا عن مزود.

## سؤال التصحيح مدعوم بالأدلة لكنه لا يزال محدودًا

الادعاء الفني الأكثر تكرارًا حول حادث Travelex هو أن المهاجمين استغلوا ثغرة أمنية غير مصححة في Pulse Secure VPN، CVE-2019-11510. يصف سجل CVE عيبًا خطيرًا في Pulse Connect Secure. حذر تحذير CISA في يناير 2020 من أن خوادم Pulse Secure VPN غير المصححة يتم استغلالها وأن التقارير الإعلامية وصفت نشر REvil/Sodinokibi ضد هذه الأنظمة. (سجل CVE-2019-11510, تحذير CISA Pulse Secure)

هذا الدليل العام يدعم سؤال المساءلة عن إدارة الثغرات الأمنية. لا يعوض بحد ذاته عن تقرير ما بعد الوفاة منشور من Travelex. يجب أن يقول حساب مسؤول أن التقارير العامة والتعليقات الأمنية ربطت الهجوم بثغرة VPN غير مصححة، وأن CISA حذرت من نفس فئة الاستغلال في نفس الفترة. لا ينبغي أن يدعي معرفة كل بيانات الاعتماد والمضيف ومسار الحركة الجانبية وقرار الاستعادة ما لم يذكر سجل جنائي أساسي ذلك.

سؤال التصحيح لا يزال حاسمًا. ثغرة جهاز محيطي ليست فشلًا بسيطًا في التدبير المنزلي عندما يتوسط الجهاز الوصول عن بعد إلى أنظمة المؤسسة. إذا كان التصحيح أو التخفيف متاحًا ومحذرًا عنه على نطاق واسع، يجب على الشركة التحكم في جرد الأصول، وفحص التعرض، والموافقة على التغيير الطارئ، والضوابط التعويضية، وإعادة تعيين بيانات الاعتماد، والمراجعة الجنائية. يجب أيضًا أن تعرف أي أنظمة الأطراف الثالثة والخدمات المُدارة تعتمد على المنتج الضعيف.

الدرس العام أقل من "أسرع في التصحيح" وأكثر من "أثبت التعرض بشكل أسرع". في مزود خدمات العملات، جهاز الوصول عن بعد الضعيف ليس مجرد أصل تكنولوجيا معلومات. يمكن أن يصبح المفصل بين التعرض للإنترنت وأنظمة المعاملات وخدمات الشركاء ومشاركات الملفات ومخازن الهوية وبيانات العملاء وتأخيرات الاستعادة. الضابط المسؤول هو حلقة إدارة الثغرات الأمنية بأكملها: معرفة أن الأصل موجود، وأنه مكشوف، وتطبيق الإصلاح، والتحقق من الإصلاح، ومراجعة السجلات بحثًا عن الاختراق، وتدوير بيانات الاعتماد، والتواصل مع الشركاء بشأن المخاطر.

إرشادات الفدية من NCSC و CISA تقدم نفس النقطة بعبارات أوسع. الإعداد الجيد للفدية يشمل التصحيح، وضوابط الوصول، والنسخ الاحتياطي، والاستعادة المختبرة، وتخطيط الاستجابة للحوادث، وتجزئة الشبكة، وتسجيل الدخول، والتواصل. (إرشادات الفدية NCSC, دليل CISA لوقف الفدية, إرشادات الفدية FBI) هذه التدابير ليست زخرفية. إنها تحدد ما إذا كان الاستغلال يصبح حدثًا محتويًا، أو انقطاعًا في الأعمال، أو فشل خدمة متتاليًا.

## التخفيض اليدوي عمل، لكن جزئيًا فقط

الصورة التي بقيت مع حادث Travelex لم تكن ملاحظة فدية. كانت ورقًا. أظهرت تقارير الموظفين الذين يكتبون فواتير ورقية أن الشركة احتفظت ببعض القدرة على التداول في وضع متدهور. هذا أفضل من التوقف التام. وهو أيضًا دليل على أن الأنظمة الرقمية كانت مركزية بما يكفي لدرجة أن الوضع المتدهور أصبح مرئيًا للعملاء. (تقرير الغارديان عن الفواتير الورقية)

غالبًا ما يُساء فهم التخفيض اليدوي. يمكن للنموذج الورقي أن يحافظ على المعاملة، لكنه لا يمكنه إعادة إنتاج منصة عملات حديثة بالكامل. قد لا يتصل بأسعار حية، أو فحص العقوبات، أو المخزون، أو التسوية، أو حالة الطلب، أو فحوصات هوية العميل، أو معالجة البطاقات، أو المبالغ المستردة، أو تسوية الفروع، أو مراقبة الاحتيال، أو تقارير الشريك، أو الأنظمة المالية. يمكن أيضًا أن يخلق تراكمًا يجب إعادة إدخاله لاحقًا، مما يخلق خطر الخطأ وإرهاق الموظفين.

بالنسبة لـ Travelex، اعتمد التخفيض اليدوي أيضًا على القناة. قد يتمكن مكتب المطار من بيع العملات يدويًا. قد لا تتمكن صفحة الطلب عبر الإنترنت باسم البنك. قد يصدر مركز اتصال الشريك استردادًا لكنه لا ينفذ الطلب. قد تحتاج بطاقة مدفوعة مسبقًا أو سير عمل تحويل الأموال إلى خدمات رقمية محددة. قد يستمر فرع المكتب فقط للمنتجات المحدودة. لذلك حدث التعافي في قنوات، وليس في حالة مؤسسية واحدة.

سؤال المساءلة الصحيح هو ما إذا كان التخفيض اليدوي مصممًا لسلسلة الاعتماد الفعلية. هل كان لدى شركاء البنوك سيناريو مختبر؟ هل عرف موظفو Travelex متى يستخدمون النماذج الورقية وكيفية تسويتها؟ هل تم تكييف ضوابط الاحتيال؟ هل تم إبلاغ العملاء بالمنتجات المتاحة وغير المتاحة؟ هل تم تفويض المبالغ المستردة للشريك المرئي أم احتفظت بها Travelex؟ هل تلقى وكلاء السفر الصغار ومكاتب المطار والشركاء المحليون نفس الوضوح مثل البنوك الكبرى؟

التقارير العامة لا تقدم إجابات كاملة. تظهر أن العمل اليدوي حدث وأن الخدمات استؤنفت على مراحل. لا تظهر خطة استمرارية أعمال مختبرة، أو بيانات قائمة انتظار العملاء، أو أحجام الاسترداد، أو مطالبات الشريك، أو أخطاء التسوية، أو العمل الإضافي للموظفين. هذا الغياب هو نمط متكرر في انقطاعات الخدمات المستعان بها: يرى الجمهور الانقطاع وإعادة التشغيل، لكن ليس تكلفة العمل بينهما.

## منتجات مختلفة خلقت أضرارًا مختلفة

يخفي مصطلح "أموال السفر" عدة منتجات ذات أنماط فشل مختلفة. النقد المطلوب للاستلام في الفرع ليس نفس النقد المطلوب للتوصيل إلى المنزل. بطاقة السفر المدفوعة مسبقًا ليست نفس صرافة مكتب الصرافة. طلب الأوراق النقدية بالجملة للشركات ليس نفس استرداد المستهلك. الطلب عبر الإنترنت باسم الشريك ليس نفس معاملة فرع Travelex المباشر. يجب على المزود المرن أن يعرف أي من هذه المنتجات يمكن تشغيله يدويًا، وأيها يمكن إيقافه بأمان، وأيها يتطلب تسوية حية، وأيها يخلق أعلى ضرر للعميل إذا فشل بالقرب من تاريخ السفر.

النقد يخلق ضررًا توقيتيًا. قد يتمكن المسافر من استخدام بطاقة بدلاً من ذلك، لكن ليس دائمًا. بعض العملاء يريدون النقد لأنهم ذاهبون إلى وجهات حيث قبول البطاقات غير مؤكد، أو لأنهم يحتاجون فئات صغيرة فور الوصول، أو لأنهم يسافرون مع معالين، أو لأنهم لا يثقون في رسوم أجهزة الصراف الآلي الأجنبية. إذا فشل استلام النقد المطلوب مسبقًا قبل يوم من المغادرة، فإن الاسترداد وحده لا يعيد وعد الخدمة. قد يضطر العميل للبحث عن مزود آخر، أو دفع سعر أسوأ، أو السفر إلى فرع آخر، أو المغادرة بدون الاحتياطي المفضل.

البطاقات والطلبات عبر الإنترنت تخلق ضررًا مختلفًا. قد تتضمن بطاقة السفر المدفوعة مسبقًا الوصول إلى الحساب، والتحميل، والأرصدة، وأرقام التعريف الشخصية، وتطبيقات الجوال، واستبدال البطاقة، ومصادقة العميل. يمكن لانقطاع الموقع أن يمنع العميل من التحقق من الحالة أو إكمال الطلب حتى عندما يوجد النقد المادي. قد يضطر البنك الشريك للإجابة على أسئلة حول طلب لا يمكنه رؤيته. إذا كانت أنظمة المزود معطلة، يمكن للشريك المرئي أن يصبح موجه شكاوى بدون معلومات كافية لحل المشكلة.

العملاء بالجملة والأعمال يخلقون طبقة أخرى. قد تعتمد البنوك وشركات السفر والمطارات وشركاء التجزئة على ملفات التسوية، وتوقعات المخزون، وتخصيصات الفروع، وتقارير التسوية. إذا تأخرت هذه، يصبح الحادث مشكلة مالية وتشغيلية، وليس مجرد إزعاج تجزئة. قد يكون لدى الشركاء الأصغر نفوذ أقل للمطالبة بتحديثات مخصصة فورية، لكنهم لا يزالون يواجهون العملاء عبر المنضدة.

هذه الاختلافات مهمة للمساءلة لأن "استئناف الخدمات" هو مقياس تعافي واسع جدًا. قد يعود خط إنتاج واحد بينما يبقى آخر معطلاً. قد يستعيد شريك واحد الطلبات بينما ينتظر آخر الشهادة أو تنظيف التراكم. قد تقبل قناة واحدة معاملات جديدة بينما تظل المبالغ المستردة بطيئة. يجب أن يفصل تقرير استمرارية جيد هذه الحالات ويشرح أي العملاء بقوا معرضين بعد أول عنوان تعافي عام.

## التخفيض اليدوي للشريك كان مشكلة تصميم حوكمة

يجب تصميم التخفيض اليدوي للشريك قبل الانقطاع، لأن أصعب القرارات تُتخذ تحت معلومات ضعيفة. يجب أن يعرف البنك الذي يعتمد على مزود خدمة العملات مسبقًا ما يحدث إذا كانت منصة المزود معطلة ليوم واحد أو ثلاثة أيام أو أسبوعين. يجب أن تقول الخطة ما إذا كان البنك سيعلق الطلبات الجديدة، أو يستخدم مزودًا بديلاً، أو يسترد الأموال تلقائيًا، أو يوجه العملاء إلى الفروع، أو يحافظ على الأسعار الحالية، أو يبلغ عن عدم اليقين بشأن مخاطر البيانات، أو يرفع مستوى العملاء الضعفاء الذين يسافرون قريبًا.

أظهر حادث Travelex لماذا لا يمكن ترك ذلك للغة الأزمة العامة. قد لا يتحكم الشريك البنكي في استجابة المزود للفدية، لكنه يتحكم في موقعه الإلكتروني، وإشعارات التطبيق، ونصوص الفروع، وتوجيهات مراكز الاتصال، وسلطة الاسترداد. كما يتحكم في مقدار ما يفصح عنه بشأن اعتماد المزود. إذا دخل العميل من خلال خدمة تحمل اسم البنك، فقد يتوقع العميل بشكل معقول أن يملك البنك الحل، حتى عندما يكمن الفشل الفني في Travelex.

بالنسبة لـ Travelex، تطلب التخفيض اليدوي للشريك انضباطًا مختلفًا. احتاجت الشركة إلى طريقة لتزويد الشركاء الرئيسيين بتحديثات حالة متسقة، ولغة حول مخاطر البيانات، وتقديرات استعادة خاصة بالقناة، وتوفر المنتج، وقواعد المعالجة اليدوية. كما احتاجت إلى تجنب تقديم وعود لشريك لا يمكن الوفاء بها في مكان آخر. في شبكة العلامات البيضاء، تصبح المعلومات غير المتكافئة خطرًا بحد ذاته لأن العملاء يقارنون الإشعارات ويستنتجون إما الإخفاء أو الارتباك.

هنا يمكن أن يتعرض الأطراف المقابلة الأصغر للضغط. قد يكون لدى البنوك الكبيرة وتجار التجزئة خطوط تصعيد مباشرة، وفرق قانونية، وشروط خدمة متفاوض عليها. قد تعتمد المنافذ الأصغر أو وكلاء السفر أو الشركاء الإقليميون على تحديثات عامة أو جهات اتصال محلية. إذا تركز اهتمام المزود على أكبر الأطراف المقابلة، يمكن للشركات الصغيرة أن تتحمل حصة غير متناسبة من عدم اليقين وغضب العملاء وعمل التسوية.

أطر المرونة التشغيلية جعلت هذا التفكير رسميًا في وقت لاحق، لكن الدرس العملي كان مرئيًا بالفعل في يناير 2020. الاستعانة بمصادر خارجية لخدمة عملاء مرئية تتطلب سيناريو انقطاع مشترك، وقواعد استرداد مشتركة، وعتبات إشعار بيانات مشتركة، ومحفزات تصعيد مشتركة، وإجراءات يدوية مختبرة. وإلا فإن الأيام الأولى لحادث فدية تصبح تجربة حية حول من يملك العميل.

## جودة الأدلة تعتمد على تسمية عدم اليقين

سجل Travelex مفيد لأنه غير كامل. يجمع بين حسابات الصحافة، وتحذيرات الثغرات الأمنية، ووثائق الإعسار اللاحقة، وإعلانات إعادة الهيكلة بدلاً من تقرير جنائي عام واحد. هذا يعني أن المقال يجب أن يعالج الأدلة في طبقات. انقطاع الخدمة والتخفيض اليدوي مدعومان بقوة بالتقارير المعاصرة. الإدارة وإعادة الهيكلة مدعومتان بسجلات Travelex و PwC. نظرية الثغرة الأمنية مدعومة بالتقارير العامة وتحذير CISA العام حول استغلال خوادم Pulse Secure VPN، لكن ليس بنشر سلسلة هجوم من تأليف Travelex.

معيار الطبقات هذا يحمي القراء من خطأين متعارضين. أحدهما هو قبول ادعاءات المهاجم كحقائق لأنها كانت دراماتيكية ومحددة. الآخر هو تجاهل ادعاءات المهاجم تمامًا لأنها جاءت من مجرمين. الوسط المسؤول هو القول إن المجرمين ادعوا سرقة البيانات وطالبوا بالمال، وذكر أن Travelex قال إنه لا يوجد دليل على اختراق بيانات العملاء، وأن الجمهور لم يتلق أدلة جنائية كافية لتحويل أي من البيانين إلى حساب نهائي كامل.

ينطبق نفس المعيار على التعافي. التقارير أن الخدمات بدأت في الاستئناف لا تثبت التعافي التشغيلي الكامل. قد يكون الفرع مفتوحًا بينما تظل الطلبات عبر الإنترنت معطلة. قد يقبل الشريك طلبات جديدة بينما تظل المبالغ المستردة بطيئة. قد يتم استعادة النظام بينما لا تزال الفواتير اليدوية بحاجة إلى تسوية. بالنسبة للخدمات المستعان بها، يجب على الجمهور أن يطلب أدلة التعافي حسب المنتج والقناة والشريك، وليس مجرد بيان أن الشركة عادت على الإنترنت.

## استغل المهاجمون الانتباه وكذلك الأنظمة

كانت اقتصاديات الاتصال بإساءة الاستخدام في حادث Travelex مرئية بشكل غير عادي. لم يقم المهاجمون بتشفير الأنظمة فقط. استخدموا الضغط العام. أفاد بأنهم اتصلوا بالصحفيين، وادعوا سرقة البيانات، وذكروا طلب فدية، وهددوا بالكشف. حول ذلك الحادث من مشكلة استعادة خاصة إلى بيئة تفاوض عامة. (تقرير الغارديان 7 يناير, تقرير CyberScoop)

تغير هذه التكتيك اقتصاديات اتصال العملاء. كل ادعاء عام من المهاجمين يمكن أن يزيد المكالمات للبنوك، ورسائل البريد الإلكتروني لـ Travelex، وأسئلة المنظمين، وطلبات وسائل الإعلام، وقلق الموظفين، وتصعيد الشركاء، ومطالب استرداد العملاء. حتى لو بالغ المهاجمون، يجب على الشركة الرد. إذا ردت الشركة بشكل ضئيل جدًا، تتآكل الثقة. إذا ردت كثيرًا قبل اكتمال الطب الشرعي، قد تضطر لاحقًا لتصحيح السجل. يستغل المجرمون هذا عدم اليقين.

تعتمد الفدية المزدوجة الابتزاز على هذا الضغط. ادعاءات سرقة البيانات تخلق خطر خصوصية وسمعة حتى قبل التحقق من البيانات. يسمع العملاء أن المهاجمين يدعون امتلاك البيانات ويريدون طمأنة فورية. يريد الشركاء معرفة ما إذا كان عليهم إبلاغ عملائهم. يريد المنظمون معرفة ما إذا كانت عتبات الإبلاغ القانونية قد تحققت. يريد الموظفون معرفة ما إذا كانت سجلاتهم متورطة. يستفيد المهاجمون من إجبار كل قنوات الاتصال هذه على أن تصبح باهظة الثمن.

ذكر أن Travelex قال إنه لا يوجد دليل على اختراق بيانات العملاء. كان ذلك طمأنة مهمة، لكنها لم تكن نفس نشر تقرير جنائي مستقل. المعيار المسؤول هو التمييز بين "لا دليل في ذلك الوقت" و "ثبت عدم تعرض البيانات". الأول قد يكون صحيحًا ويذكر بمسؤولية أثناء التحقيق. الثاني يتطلب أدلة لم يتلقها الجمهور كاملة.

هنا كان للشركاء المواجهين للعملاء مساءلتهم الخاصة. لم يستطع البنك أو السوبر ماركت ببساطة تكرار عدم يقين المزود دون تحديد ما سيفعله لعملائه. كان عليه أن يختار ما إذا كان سيعلق الطلبات، أو يقدم المبالغ المستردة، أو يوجه العملاء إلى الفروع، أو يستخدم مزودين بديلين، أو يحذر من التصيد، أو يقدم تحديثات الحالة. لم يكن الشريك مسؤولاً عن اختراق الفدية، لكنه سيطر على طبقة اتصال العملاء التي تحدد مدى التكلفة والارتباك الذي أصبح عليه الحادث للمستخدمين العاديين.

## إعادة الهيكلة المالية جعلت مشكلة الاستمرارية مرئية

في أغسطس 2020، أعلنت Travelex عن إتمام إعادة هيكلة الديون التي خفضت المديونية المالية ووفرت سيولة جديدة لمجموعة معاد هيكلتها. قال الإعلان إن New Travelex ستكون أقل استدانة بشكل كبير وستستمر في الشراكة مع البنوك العلائقية الحالية. كما وصف بيع إدارة مسبقة لكيانات بريطانية معينة وتغيير في الإدارة. (إعلان إعادة هيكلة Travelex)

تؤكد صفحة المسؤول PwC تعيينات الإدارة وسياق إعادة الهيكلة. كما تظهر الذيل الطويل لمواد إدارة الدائنين، والإشعارات، وتقارير التقدم، وإثباتات الديون، وتغييرات أسماء الكيانات. (صفحة المسؤول PwC)

لا ينبغي اختزال إعادة الهيكلة إلى ادعاء سببية إلكتروني. دمر COVID-19 السفر الدولي في عام 2020، وتعتمد إيرادات أموال السفر على السفر. هيكل الديون وظروف الجائحة كانت محركات رئيسية. أكد إعلان Travelex على COVID-19 والحاجة إلى هيكل رأس مال مستدام. يجب فهم حادث الفدية بدلاً من ذلك كصدمة تشغيلية سابقة استنزفت الثقة، واستهلكت النقد، وعطلت الشركاء، وأظهرت أن العمل كان لديه مرونة أقل مما يتطلبه دوره الخدمي.

هذا التمييز مهم لأنه يمكن المبالغة في المساءلة بعد فشل الشركة. إذا دخلت شركة في الإدارة بعد أشهر من حادث إلكتروني، فمن المغري القول إن الحادث الإلكتروني تسبب في الإدارة. الأدلة لا تدعم هذا الخط البسيط. الاستنتاج الأفضل هو أن الفدية كشفت و worsened ضعفًا في الاستمرارية داخل أعمال تعتمد على السفر ومثقلة بالديون ثم واجهت انهيار الطلب بسبب الجائحة.

بالنسبة للموظفين والدائنين، قد يبدو التمييز أكاديميًا. لقد عانوا من انعدام الأمن الوظيفي، ونقل الكيانات، وعمليات المطالبة، وعدم اليقين في الأعمال. تظهر مواد PwC آلة الإدارة الرسمية التي تلت ذلك. لتحليل المخاطر، الدرس أكثر حدة: المرونة الرقمية والمرونة المالية مترابطتان. يمكن للشركة استعادة الأنظمة لكنها لا تزال تفتقر إلى السيولة والثقة ومسار التشغيل اللازم لاستعادة موقعها التجاري.

## ما كان ينبغي للمنظمين والشركاء تعلمه

سبقت Travelex أقوى مرحلة لتنفيذ المرونة التشغيلية في المملكة المتحدة، لكن الحدث يُقرأ كدراسة حالة لتلك القواعد. خدمة الأعمال المهمة لم تكن "صرف العملات الأجنبية" بمعنى غامض. كانت قدرة عملاء العديد من العلامات التجارية المرئية على طلب واستلام واسترداد وإدارة أموال السفر ضمن وقت مقبول. الاعتماد على الطرف الثالث لم يكن مخفيًا عن المتخصصين، لكنه كان مخفيًا عن العديد من العملاء.

تطلب إطار المرونة التشغيلية لـ FCA من الشركات تحديد خدمات الأعمال المهمة، وتحديد حدود التأثير، واختبار قدرتها على البقاء ضمن تلك الحدود أثناء الاضطرابات الشديدة ولكن المعقولة. (المرونة التشغيلية FCA) بالنسبة للبنوك التي تستخدم Travelex، يجب أن يتضمن الاختبار فدية المزود، وعدم يقين بيانات المزود، وانقطاع موقع المزود، ومعالجة الاسترداد اليدوي، واتصالات تحمل اسم الشريك، وموردي التخفيض اليدوي. بالنسبة لـ Travelex، يجب أن يتضمن الاختبار فشل التحكم في أمان الوصول عن بعد، وفقدان أنظمة المعاملات، وادعاءات ابتزاز البيانات، واتصال الشركاء، والاستعادة التدريجية.

يوفر إطار الأمن السيبراني NIST هيكلًا عبر القطاعات لنفس الدرس. الحوكمة، والتحديد، والحماية، والكشف، والاستجابة، والتعافي كلها تظهر في قصة Travelex. تسأل الحوكمة ما إذا كان مجلس الإدارة والمديرون التنفيذيون قد فهموا التعرض والاعتماد على الاستعانة بمصادر خارجية. يسأل التحديد ما إذا كانت الأصول المواجهة للإنترنت وخدمات الشركاء قد تم جردها. تسأل الحماية ما إذا كانت التصحيحات والمصادقة متعددة العوامل والتجزئة في مكانها. يسأل الكشف ما إذا تم العثور على الاستغلال قبل الفدية. تسأل الاستجابة ما إذا كان العملاء والشركاء قد تلقوا تحديثات واضحة. يسأل التعافي ما إذا كانت الخدمات قد عادت دون تراكم يدوي غير مقبول أو عدم يقين في البيانات.

(إطار الأمن السيبراني NIST)

أكدت بنك إنجلترا، PRA، و FCA لاحقًا على المرونة التشغيلية عبر القطاع المالي، بما في ذلك مخاطر الطرف الثالث وخدمات الأعمال المهمة. (المرونة التشغيلية لبنك إنجلترا, FCA PS21/3) يظهر Travelex سبب أهمية تلك اللغة بما يتجاوز الخدمات المصرفية الأساسية. يمكن لمزود متخصص أن يجعل خدمة تبدو هامشية تفشل عبر العديد من العلامات التجارية المواجهة للعملاء في وقت واحد.

بالنسبة للمؤسسات الصغيرة والمتوسطة والأطراف المقابلة الأصغر، الدرس أصعب. قد تتفاوض البنوك الكبيرة على شروط استمرارية مفصلة. قد يقبل وكلاء السفر الصغار أو الشركاء المحليون أو مشغلو الفروع شروطًا قياسية ويتحملون الاضطراب العملي. برنامج المخاطر الذي يحمي فقط أكبر الشريك يترك المستخدمين الأصغر بقوة مساومة ضعيفة ورؤية ضعيفة. لهذا السبب يجب أن تكون أدلة استمرارية الخدمة عامة بما يكفي لدعم جميع الأطراف المقابلة المتأثرة، وليس فقط أكبر العملاء تحت إحاطات سرية.

## ما لا يزال غير معروف

يترك السجل العام فجوات كبيرة. لم تنشر Travelex تقريرًا جنائيًا كاملًا يثبت مسار الوصول الأولي، والجدول الزمني، ووقت بقاء المهاجم، والأصول المتأثرة، ونطاق التشفير، واستنتاج الوصول إلى البيانات، وتاريخ التفاوض على الفدية، أو تسلسل الاستعادة. ربطت التقارير العامة الحادث بـ Sodinokibi/REvil وثغرة Pulse Secure VPN، لكن الأدلة العامة الأولية لا تقدم سلسلة هجوم كاملة من التعرض للإنترنت إلى انقطاع المؤسسة.

سجل البيانات أيضًا غير كامل. أفاد المهاجمون أنهم نسخوا البيانات. ذكر أن Travelex قال إنه لا يوجد دليل على اختراق بيانات العملاء. لا يقدم السجل العام جرد بيانات نهائيًا مستقلاً، أو عدد الأفراد الذين تم تقييمهم، أو فئات البيانات التي تمت مراجعتها، أو الطريقة الجنائية، أو قرارات الإخطار. هذا لا يعني أن البيانات سُرقت بالتأكيد. يعني أن الجمهور لا يمكنه التحقق بشكل مستقل من الطمأنة.

سجل الاستمرارية أيضًا غير كامل. ليس لدينا جدول زمني للانقطاع لكل شريك، أو إجمالي المبالغ المستردة، أو عدد شكاوى العملاء، أو عدد المعاملات اليدوية، أو معدل خطأ التسوية، أو تقدير العمل الإضافي للموظفين، أو خريطة خدمة على مستوى الفرع، أو خطة المزود البديل. لا نعرف أي الشركاء لديه تخفيضات يدوية مختبرة وأيها ارتجل. لا نعرف عدد العملاء الذين تم خدمتهم يدويًا أو عدد الطلبات التي تم إلغاؤها.

السجل المالي أوضح لكنه لا يزال محدودًا. إعلان إعادة هيكلة Travelex في أغسطس ومواد PwC يظهران مسار إعادة الهيكلة والإدارة. لا يعزلان تكلفة الفدية عن انهيار إيرادات الجائحة، وعبء الديون، وتفاوض الدائنين، وقرارات الإدارة. أي مقال يعزو الإدارة فقط إلى الفدية هو مبالغة. أي مقال يعامل الفدية كأمر عرضي هو تقليل من شأن سجل الاستمرارية.

## المساءلة تتبع وعد الخدمة

من السهل سرد حادث Travelex كفشل في التصحيح، والتصحيح محوري. إذا كانت رواية الثغرة الأمنية العامة صحيحة، فإن عيبًا معروفًا في الوصول عن بعد أصبح طريقًا إلى مزود تدعم أنظمته العديد من خدمات العملاء المرئية. لكن المساءلة لم تتوقف عند التصحيح. امتدت إلى جرد الأصول، والتحكم في التغيير الطارئ، والتجزئة، وإعادة تعيين بيانات الاعتماد، واستعادة النسخ الاحتياطي، والتخفيض اليدوي، وإخطار الشريك، ودعم العملاء، والتحكم في الاحتيال، وسلطة الاسترداد، والمرونة المالية على مستوى مجلس الإدارة.

سيطر الجهات الإجرامية على الابتزاز والإساءة. استخدموا الفدية، وادعاءات سرقة البيانات، والضغط الإعلامي لرفع تكلفة التأخير. سيطرت Travelex على البيئة المكشوفة، والاستجابة، والاستعادة، ورسائل الشريك التي مكنتها، والأدلة التي نشرتها أو لم تنشرها. سيطرت البنوك وشركاء التجزئة على وعود العملاء، والمبالغ المستردة، والقنوات البديلة، وتحديثات الحالة. سيطر الدائنون على مفاوضات إعادة الهيكلة التي قررت أي أجزاء من الأعمال تقدمت وأيها بقي في الهيكل القديم. سيطر المنظمون على المعايير اللاحقة التي جعلت من الصعب تجاهل هذه التبعيات.

الدرس الدائم للحادث هو أن مرونة الخدمات المستعان بها يجب أن تُقاس من أول معاملة فاشلة للعميل، وليس من بيان الاستعادة النهائي للمزود. العميل البنكي الذي لا يستطيع استلام أموال السفر لا يهتم بما إذا كان المزود يسميه حادثًا إلكترونيًا داخليًا. موظف الفرع الذي يستخدم فواتير ورقية لا يهتم بما إذا كان اسم مجموعة الفدية صحيحًا إملائيًا. الدائن لا يهتم بما إذا كان الانقطاع مصنفًا كتقنية معلومات أو عمليات. كل طرف يشعر بالعاقبة من خلال وعد الخدمة الذي اعتمد عليه.

لذلك تنتمي Travelex إلى سجل المساءلة كحالة كشفت فيها الفدية اقتصاديات الاعتماد. استغل المهاجم الأنظمة والانتباه. كافح المزود مع الاستعادة والتواصل. اكتشف الشركاء الوزن التشغيلي لمزود العلامة البيضاء. تحمل الموظفون والعملاء العمل اليدوي وعدم اليقين. أظهرت إعادة الهيكلة اللاحقة أن الثقة الرقمية والسيولة والاستمرارية ليست مواضيع منفصلة. في خدمات العملات، يمكن أن يصبح الانقطاع الإلكتروني أزمة اتصال مع العملاء، واختبار حوكمة الشريك، وحدث مرونة مالية في نفس الوقت.