برامج الفدية لقد تطور ليصبح نشاطًا إجراميًا مربحًا ومنخفض المخاطر. كما أنه يمثل تهديدًا للصحة الاقتصادية للدول المتقدمة ويؤثر سلبًا على البنية التحتية الوطنية الحيوية. تقرير حديث للمركز الوطني للأمن السيبراني (NCSC). حول الآثار المترتبة على المدى القريب للذكاء الاصطناعي (منظمة العفو الدولية) تسلط الضوء على أن العصابات الإجرامية تستخدم بالفعل هذه التكنولوجيا بشكل أولي لتمكين الهجمات السيبرانية، وخلصت إلى أن هذا الاتجاه لن ينمو إلا في المستقبل. لذلك ليس من المستغرب أنه وفقًا لـ NCSC، “لا تزال برامج الفدية تمثل التهديد السيبراني الأكثر خطورة الذي يواجه المؤسسات والشركات في المملكة المتحدة”.
ولمعالجة هذه المشكلة الخبيثة، رئيس NCSC السابق كياران مارتن وقد دعا إلى فرض حظر كامل على مدفوعات برامج الفدية. ويستند هذا إلى فرضية مفادها أن الهجمات ستتوقف عندما يتوقف المجرمون عن دفع أجورهم. على الرغم من أننا نؤيد نية القضاء على برامج الفدية وندرك أنها تمثل تهديدًا خطيرًا، إلا أننا غير مقتنعين بأن هذا النهج سيكون قابلاً للتطبيق في الممارسة العملية.
Ransomware هو تجسيد جديد لمضرب الابتزاز. لم تجرم الأنظمة القانونية أبدًا ضحايا الابتزاز، ومن غير الواضح كيف يمكن حظر المدفوعات دون تطبيق عقوبات قانونية على أولئك الذين يدفعون الفدية. عادةً ما يتم الدفع إلى عصابات برامج الفدية عبر العملات المشفرة مثل البيتكوين، ونظرًا لميزات إخفاء الهوية التي تتميز بها العملات المشفرة، قد تواجه سلطات المملكة المتحدة صعوبة في التعرف على مدفوعات برامج الفدية التي تتم سرًا. يجوز للشركات أيضًا تجاوز لوائح المملكة المتحدة عن طريق الدفع في الولايات القضائية التي لا تحظر الدفع.
ومما يزيد الأمور تعقيدًا، أن الشركات التي تعمل سرًا لن تتعامل مع سلطات إنفاذ القانون، مما يؤدي إلى إخفاء المشكلة. وترى بعض المؤسسات أيضًا أن دفع برامج الفدية لا يختلف عن التسامح مع السرقات البسيطة، على سبيل المثال انخفاض مستويات الاحتيال على بطاقات الائتمان. ولذلك قد ينظرون إلى دفع الفدية على أنها مجرد تكلفة ممارسة الأعمال التجارية. سيكون من الصعب تغيير هذه العوامل والمواقف مجتمعة، مما يعني (للأسف) أن حظر دفع برامج الفدية من غير المرجح أن ينجح.
إذا لم يكن حظر المدفوعات هو الحل، فكيف يمكن للمملكة المتحدة معالجة مسألة برامج الفدية؟
مطلوب نهج “المجتمع بأكمله” لمعالجة برامج الفدية
وبدلاً من المخاطرة بتنفير المنظمات من خلال حظر مدفوعات برامج الفدية، تحتاج المملكة المتحدة إلى بناء علاقات بين المنظمات الحكومية والشركات بما يتماشى مع نهج “المجتمع بأكمله” المنصوص عليه في ميثاق المملكة المتحدة. الاستراتيجية الوطنية السيبرانية.
يجب أن تفهم الشركات دورها في مكافحة برامج الفدية وأن تشعر بدعم الحكومة ووكالات إنفاذ القانون. إدراكًا للفوائد طويلة المدى التي تعود على الجميع إذا أمكن الحد من الجرائم السيبرانية بنجاح، يمكن للشركات أن تلعب دورها من خلال:
- الاستمرار في تعزيز وسائل الحماية التنظيمية لمنع حوادث برامج الفدية. على الرغم من أن الأمر قد يبدو وكأنه سباق سيبراني لا ينتهي أبدًا، إلا أنه يجب على الشركات الاستمرار في الاستثمار في برامج الأمن السيبراني حتى لا يُنظر إليها على أنها هدف سهل للمجرمين. ومن شأن التدابير الأمنية المتعددة الطبقات أن تقلل من الاعتماد على التدريب والوعي، اللذين غالباً ما يكون فشلهما نقطة الدخول الأساسية للهجمات الناجحة.
- بناء قدرات الكشف والاستجابة إلى جانب عمليات الاسترداد التي تتم ممارستها بشكل جيد. قد لا يكون دفع الفدية هو الخيار الأرخص أو الأسهل بالنسبة لمؤسسة كانت مؤسفة بما يكفي لتتعرض لهجوم فدية ناجح، إذا كانت لديها عمليات استرداد فعالة ومجربة ومختبرة. لا يضمن دفع الفدية دائمًا استعادة الوصول إلى البيانات والأنظمة، لذا يمكن أن يصبح الاسترداد أمرًا بالغ الأهمية بغض النظر عن تقليل التأثير المحسوس.
- تحسين الشفافية مع الحكومة/وكالات إنفاذ القانون. من خلال تبادل المعرفة حول هجمات برامج الفدية مع أولئك الذين يسعون بنشاط إلى ردع المجرمين ومحاكمتهم، يمكن جمع المعلومات الاستخبارية والأدلة القيمة لمحاكمة المجرمين ومنع المنظمات الأخرى من أن تصبح ضحايا في المستقبل. سيؤدي دعم حماية الجميع إلى تقليل جدوى صناعة برامج الفدية.
اجعل موردي تكنولوجيا المعلومات مسؤولين قانونيًا عن تقديم حلول آمنة التصميم يسهل صيانتها بطريقة آمنة
لقد عززت NCSC منذ فترة طويلة فضائل موردي تكنولوجيا المعلومات الذين يقدمون حلولاً آمنة حسب التصميم وآمنة افتراضيًا. وبينما يولي موردو تكنولوجيا المعلومات أهمية أكبر للأمن، لا تزال هناك منتجات غير آمنة تدخل السوق. تستفيد برامج الفدية (جزئيًا) من الشركات التي تكافح من أجل تنفيذ وصيانة تكنولوجيا المعلومات التي لم يتم تصميمها مطلقًا مع مراعاة الاحتياجات الأمنية بشكل مناسب. إن جعل موردي تكنولوجيا المعلومات مسؤولين عن الالتزامات المتعلقة بتكنولوجيا المعلومات الخاطئة وغير الآمنة سوف يجذب انتباه البائعين. هذه ممارسة شائعة في عدد من الصناعات مثل صناعة السيارات أو إنتاج الغذاء، ولكنها لم يتم اعتمادها على الإطلاق في صناعة تكنولوجيا المعلومات. إن تحويل المسؤولية من المستهلك إلى منتج حلول تكنولوجيا المعلومات سوف يحفز إنشاء منتجات آمنة ومرنة. سيؤدي هذا إلى تقليل نقاط الضعف التي تعتمد عليها برامج الفدية بشكل كبير، مما يجعل عمل مجرمي الإنترنت أكثر صعوبة.
وقف شركات التأمين التي تدفع مقابل مدفوعات برامج الفدية
يلعب التأمين السيبراني أيضًا دورًا في قرار دفع طلبات الفدية. يمكن لشركات التأمين أن تقدم تعويضًا عن مدفوعات الفدية وغالبًا ما توفر مدربين ومفاوضين في حالة الاختراق، الذين يحاولون تقليل المبالغ التي تدفعها المؤسسات بعد ذلك. في حين يجب على شركات التأمين أن تضع في اعتبارها أحكام قانون الإرهاب لعام 2000 ونظام العقوبات المالية للاتحاد الأوروبي (الذي يحظر دفع الأموال إذا كانت هناك صلات بالإرهاب و/أو كيانات أو أفراد معينين)، فإنها لا تزال تدفع في كثير من الأحيان. في الوقت الحالي، لا يعتبر دفع الفدية في حد ذاته أمرًا غير قانوني في قانون المملكة المتحدة أو القانون الدولي. يدفع العديد منهم ليس فقط لتجنب خسائر انقطاع الأعمال، ولكن أيضًا مطالبات الطرف الثالث المحتملة حيث تم اختراق البيانات الشخصية. إذا كان من الممكن أن يكون هناك المزيد من التعاون الدولي للحد من المدفوعات من شركات التأمين، التي تخضع للتنظيم، فإن هذا سيكون له، جزئياً، دور يلعبه في نهج “المجتمع بأكمله”.
إن تجريم المدفوعات قد لا يفعل شيئا سوى إخفاء المشكلة وجعل من الصعب على جهات إنفاذ القانون التعامل مع الشركات التي تعاني من هجمات برامج الفدية. يوفر اتخاذ الخطوات الموضحة أعلاه طريقة أفضل لمعالجة برامج الفدية بدلاً من مجرد حظر المدفوعات.
توبي سيبلي ولويز باربر خبيران في الأمن السيبراني في استشارات السلطة الفلسطينية.
