القطاع المالي يحشد طاقاته لمواجهة هجمات القراصنة المتزايدة
كارا سكانيل من نيويورك وجينا تشون من لندن
 بعد أسبوعين من اقتحام متسللين أنظمة الكمبيوتر التابعة لشركة أفلام سوني، التي أدت إلى حذف ملفات مهمة خاصة بالشركة وفضح رسائل بريد إلكتروني محرجة، قرر خبراء التكنولوجيا في بعض أكبر المؤسسات المالية في العالم إجراء تجربة.
أخذوا نسخا من "البرمجيات الخبيثة" - مسارات خبيثة لبرنامج كمبيوتر - التي استخدمت في الهجوم على "سوني" وشاهدوا ماذا يمكن أن تفعل لو كانت قد أطلقت في أنظمة الكمبيوتر لديهم.
اختراق "سوني" كان عملية متطورة ومعقدة. مثل مسدس، أطلقت البرامج الضارة جولة من التعليمات البرمجية بحثا عن نقطة ضعف في الشبكة. إذا كان هذا الضعف المحتمل قد تم تصحيحه بشكل صحيح من قبل فريق التكنولوجيا التابع للمصرف، فإنه سيثير جولة أخرى وينفجر أثناء البحث عن ثغرة أمنية مختلفة. هذا يمكن أن يستمر لمدة سبع أو ثماني جولات، وفقا لمسؤول في المصرف.
وكانت النتائج موهنة للعزيمة. قبل رؤية البرامج الضارة لسوني وهي تفعل فعلها، قال ضابط أمني رفيع في مصرف أمريكي كبير إنه سيشعر بأنه حقق نجاحا إذا استطاع تغطية 95 في المائة من نقاط الضعف في شبكته. وأضاف: "تلك الـ 5 في المائة لست متأكدا ما إذا كنت راضيا عن أي شيء آخر، استنادا إلى ما تعلمناه من سوني".
وبعد هذه العملية، كما يقول، كان قادرا على إقناع كبار المسؤولين التنفيذيين في المصرف بضخ المال لسد الثغرات - الوظيفة التي أصبحت أولوية الأمن رقم واحد.
ووفقا لضابط الأمن، نحن نتخذ "موقف المقاتل. لن ننتظر حتى نتعرض لتلك الهجمات". وعقب موجة من الهجمات الإلكترونية المتطورة على نحو متزايد، تعكف الشركات من جميع الأنواع – ابتداء من مجموعات الإنتاج الفني، مثل سوني، إلى شركات التجزئة وشركات التأمين وحتى شركات صناعة السيارات – على إنفاق أموال طائلة للرد على المتسللين.
لكن القطاع المالي هو الهدف الأكثر تعرضا للقرصنة، الذي يواجه بحسب شركة أمن الفضاء الإلكتروني "ويبسنس" Websense، هجمات تزيد بنسبة 300 في المائة مقارنة بأي قطاع آخر. ولاحظت الأجهزة المنظمة أن هجمات الفضاء الإلكتروني على المصارف هي التهديد الناشئ الذي يمكن أن يشكل خطرا نظاميا يهدد القطاع بأكمله، وفقا لتقرير في أيار (مايو) من قبل مجلس الرقابة الأمريكي للاستقرار المالي.
وضخ القطاع المصرفي مئات الملايين من الدولارات لتأمين شبكاته. واستعانت المصارف بالآلاف من ألمع عقول التكنولوجيا، واقتنصت مسؤولين سابقين في الاستخبارات من وكالات التجسس، ومشطت شبكات "نادي الحاسب الآلي الفوضوي"، أكبر جمعية أوروبية للقراصنة، من أجل توظيف المختصين.
أهداف مغرية
وإلى جانب الحوافز المالية الواضحة في استهداف المصارف، فإن مدى تطورها الأمني يجعل منها هدفا مغريا. وقد أجرت "فاينانشيال تايمز" مقابلة مع مسؤولين أمنيين كبار في بعض أكبر المصارف في العالم، لكن لم يتكلم أحد بصفته الرسمية بصراحة، خوفا من استثارة عمليات انتقامية من المتسللين. مختصون في "مركز تحليل وتبادل معلومات الخدمات المالية" الذي يضم 5500 عضو، من بينهم جيه بي مورجان تشيس، وسيتي جروب، وويلز فارجو، وHSBC. مع ذلك، لا تزال الانتهاكات الخطيرة تحدث. فالهجوم على مصرف جيه بي مورجان تشيس كشف في عام 2014 عن معلومات الاتصال لـ 76 مليون أسرة في الولايات المتحدة - وهو عام أنفق فيه المصرف أكثر من 250 مليون دولار وكان لديه نحو 1000 شخص يركزون على أمن الفضاء الإلكتروني. وما أثار حرج المصرف أن القراصنة كانوا قادرين على اختراق شبكته، لأنه لم يكن هناك أي إجراء من خطوتين لعملية التحقق - إجراء تستخدمه عديد من الخدمات المجانية على الإنترنت، مثل خدمة جوجل.
وبحسب المصرف، لم يتم أخذ أي معلومات عن الحسابات لديه، مثل أسماء المستخدمين وكلمات السر، خلال الاختراق. ومع ذلك، هزت العملية ثقة العملاء بالنظام الذي يحمل المعلومات المالية الشخصية حول القروض العقارية والمدخرات والحسابات المصرفية.
وُجدت المصارف للحفاظ على المال والبيانات، لكن المخاطر التي تواجهها إذا تم اختراق أنظمتها لا تتعلق فقط بالسمعة. فهي مسؤولة أيضا عن التكلفة التي يتحملها العملاء جراء اختراق شبكاتها الخاصة، أو شبكات جهات أخرى – من بينها شركات التجزئة التي أصبحت هدفا متكررا للجماعات الإجرامية. فقد كلف اختراق "تارجت"، شركة التجزئة الأمريكية، عام 2013 المصارف بحسب التقديرات أكثر من 200 مليون دولار. وقدرت لويدز، شركة التأمين البريطانية، تكلفة هجمات قراصنة الكمبيوتر على جميع الشركات بـ 400 مليار دولار في السنة.
وتكلفة الخروقات على القطاع المالي ترتفع، مع وجود خسائر في عدد من الشركات تراوح بين عشرة ملايين دولار و20 مليونا بسبب ارتفاع عمليات الاختراق إلى ما نسبته 141 في المائة في عام 2014 مقارنة بالعام السابق، وفقا لبرايس ووترهاوس كوبرز PwC. وارتفع متوسط عدد الحوادث التي تم اكتشافها من 4628 حادثا في عام 2013 إلى 5000 في العام الماضي.
وخلافا لغيره من الصناعات، يتعين على القطاع المالي بموجب القانون الأمريكي حماية معلومات العملاء. وقد أشرفت هيئات تنظيم العمل المصرفي الأمريكية على تكنولوجيا المعلومات منذ عام 1978، وأصبح لزاما على الجهات التنظيمية إصدار المعايير الأمنية لحماية معلومات العملاء منذ عام 1999. وأقدمت جهات تنظيمية أخرى على نحو متزايد - في الولايات المتحدة وحول العالم - على إضافة أمن الفضاء الإلكتروني إلى مراجعاتها. ويقول ضابط أمن في أحد المصارف الأوروبية الكبيرة إن شركته تلقت في الأشهر الـ 12 الماضية 70 طلبا من الجهات التنظيمية على صلة بأمن الفضاء الإلكتروني، وكان الاستبيان في بعض الحالات يشتمل على أكثر من 300 استفسار.
اقتصاديات القرصنة
بعد سلسلة من الهجمات البارزة، تفكر عديد من الشركات في أساليب أشد عنفا للرد على جرائم الإنترنت، بما في ذلك استراتيجيات "الدفاع الفعال". والأكثر إثارة للجدل هو عملية "القرصنة المعاكسة" ضد مجرمي الإنترنت، وهو أمر ضد القانون الأمريكي، وفقا لعدد من مسؤولي المصارف، إلى جانب كونه فكرة سيئة بسبب صعوبة تحديد هوية الجناة بشكل قاطع. بدلا من ذلك، يتم الرد على الهجوم بتعزيز الشبكات، واستحداث "مراكز اندماج" تشكل نوعا من القيادة المركزية، وإنشاء مختبرات للبرمجيات الخبيثة في محاولة لمواكبة المتسللين.
يقول أوستن بيرجلاس، النائب السابق لرئيس وحدة أمن الفضاء الإلكتروني التابعة لمكتب التحقيقات الفيدرالي في نيويورك، الذي يعمل الآن في K2 للاستخبارات: "ليس كافيا بناء الجدران وتشديد الأنظمة. ثمة حاجة إلى رأسمال بشري لفهم التهديد". وأنشأت المصارف "مركز تحليل وتبادل معلومات الخدمات المالية" FS-ISAC في عام 1999 لتبادل المعلومات حول التهديدات الأمنية. ولديه 5500 عضو، من بينهم جيه بي مورجان تشيس، وسيتي جروب، وويلز فارجو، وHSBC.
واستحدثت الصناعة أيضا نظام إنذار ضد الهجمات الإلكترونية مع شركة ديبوزيتي تراست آند كليرنج، دار المقاصة التي تتولى تسوية تريليونات الدولارات من معاملات الأوراق المالية لأكثر من 50 بورصة ومنصة تداول أمريكية. وأنشأ الجانبان معا "سولترا إيدج" Soltra Edge، وهي برمجية مصممة لمنح المستخدمين المعلومات في الوقت المناسب بلغة موحدة حول الهجمات المحتملة. وكان هناك نحو 1800 تثبيت للبرمجية منذ إطلاقها في كانون الأول (ديسمبر) 2014. ويقول بيل نيلسون، رئيس مركز تحليل وتبادل معلومات الخدمات المالية: "إذا كنا لا نحمي أنفسنا، لن يحمينا أحد".
وتم تصميم نظام سولترا إيدج لتقويض الجوانب الاقتصادية للقرصنة. وغالبا ما يستخدم القراصنة التكتيكات نفسها لاستهداف ضحايا متعددين، وهو ما يعمل على تقليل تكلفة الهجوم وتعظيم المكافآت المحتملة. ويتم استخدام سولترا إيدج أيضا من قبل الشركات وتجار التجزئة ومؤسسات الرعاية الصحية، بهدف منع المتسللين من استخدام الأسلوب نفسه لانتهاكات متعددة، على نحو يؤدي الى ارتفاع تكاليفها.
وبحسب مارك كلانسي، مسؤول أمن المعلومات في DTCC ونائب الرئيس التنفيذي السابق لمخاطر تكنولوجيا المعلومات في سيتي بانك: "إذا كان الهجوم الذي كلف 1000 دولار يكلف الآن 50 ألف دولار ربما يفكر القراصنة مرتين".
ويتذكر كلانسي عندما كان هو وزملاؤه من خبراء أمن البيانات في الصناعة المالية يشعرون بالأسف لعدم فهم أصحاب عملهم ما كانوا يتعاملون معه. ويقول كلانسي الذي غادر سيتي بانك في عام 2009: "الفرق الأمنية كانت تطبق القوانين التنظيمية لمشكلة لا أحد يفهمها أو حتى سمع عنها". ويضيف: "ربما لم نُحْسن توضيح المخاطر للناس. ولكن من الواضح أن الناس قد فهموا الأمر الآن".
وبدأ مسؤولو المصارف يتنبهون للمخاطر بعد اختراق بورصة ناسداك وسيتي بانك في عام 2011. وقالت ناسداك في شباط (فبراير) من ذلك العام إن أنظمة الكمبيوتر - وليس المنصة التجارية الأساسية – قد تم اختراقها من قبل قراصنة. وبعد أربعة أشهر تم اختراق موقع بطاقات الائتمان على الإنترنت التابع لسيتي بانك وتم الوصول إلى 360 ألف تفصيل حول حسابات عملائه. وفي العام التالي، عانت معظم المصارف الكبرى هجمات "الحرمان من الخدمة"، التي يشتبه مسؤولون أمريكيون أن لها علاقات بإيران.
البريد الإلكتروني الخبيث
المشكلة التي تعانيها كثير من المؤسسات المالية العالمية هي التكنولوجيا القديمة وغير المتوافقة التي أُلصقت معا نتيجة لعمليات الدمج. فهذه المؤسسات لديها منصات تداول ليس من السهل أن يتم نقلها إلى نظم جديدة، أو أنها تكلف كثيرا في حالة النقل. ويقول ضابط أمن في أحد المصارف الاستثمارية العالمية: "مقياس النجاح لدينا هو القضاء على [التكنولوجيا] القديمة ودخول بيئة دفاعية جديدة بأسرع ما نستطيع". ويضيف: "السؤال بالنسبة لنا وللمصارف الكبيرة الأخرى هو، كيف يمكنك تغيير بيئتك برمتها إلى تلك البيئة الجديدة بطريقة تظل في مصلحة العملاء؟".
ويتابع: "أود أن ألوح بالعصا السحرية، وأتمنى أن يحدث هذا الآن. لقد فعلنا الكثير ولا تزال أمامنا مسافة لا بد لنا أن نقطعها".
وبدأت عديد من المصارف الكبيرة بنقل تكنولوجيتها للدخول إلى "بنية يمكن الدفاع عنها". ويعكف بعضها على بناء منصات جديدة، وإنشاء سحب إلكترونية، واستحداث مكاتب افتراضية للحفاظ على البيانات بعيدا عن "المحيط" وحبيسة خوادم تجعل من غير الممكن سحبها منها إلى محركات الأقراص USB - أجهزة التخزين الصغيرة التي استخدمها إدوارد سنودن لسرقة البيانات من وكالة الأمن القومي.
ووفقا لمسؤول الأمن الذي أدار تجربة سوني للبرمجيات الخبيثة: "90 في المائة من الأنشطة السيئة تبدأ مع البريد الإلكتروني الذي يأتي إلى أحد موظفيك ويحتوي على برنامج خبيث يتم فتحه. بعد ذلك يعمل البرنامج دون أي جهد آخر".
لكن القيود الأمنية كثيرا ما تعيق العمل. ولاحظ أحد المسؤولين الأمنيين أن بعض المتداولين اعترضوا على الخطوات الإضافية التي يعتقدون أنها تعمل على إبطاء قراراتهم الخاصة بالعمل.
مشاكل المصارف الصغيرة
الاستثمار في تكنولوجيا أكثر أمنا أمر مكلف بالنسبة للمصارف العالمية، لكن بالنسبة للمصارف الصغيرة والمتوسطة يفرض تكاليف باهظة. وهذا وفقا لمستشاري المصارف، يجعلها أمام احتمال التعرض إلى خطر أكبر غير مجهزة للتعامل معه.
وبالنسبة لبعضهم، أفضل دفاع هو تبسيط أنظمتها. عندما استحوذ "جراند رابيدز ستيت بانك"، في ولاية مينيسوتا، على "كراو رفير ستيت بانك" في العام الماضي كانت إحدى أولى الخطوات التي اتخذها هي نقل الشركة الجديدة إلى شبكة الحاسب الآلي لديه. ويقول نوه ويلكوكس، رئيس جراند رابيدز: "الشيء رقم واحد على القائمة، كان تجريد الشبكة بالكامل وبفعالية من المنظمة وتنفيذ شبكة جديدة تنسجم مع أنواع الأمن الذي نطلبه لأنفسنا".
وجراند رابيدز، الذي هو عضو مؤسس في مركز تحليل وتبادل معلومات الخدمات المالية، له أصول بقيمة 320 مليون دولار، ويوظف فريقا أمنيا يتكون من ثلاثة أشخاص ويعتمد على الموردين الخارجيين لمزيد من الأمن.
وكما يقول ويلكوكس: "الأمر لا يتعلق دائما بالقروض والودائع. وإنما كيفية التعامل مع البيانات التي ائتمنك الجمهور على حمايتها".
وقال إنه يود أن تكون للمصارف الصغيرة إمكانية الوصول نفسها إلى معلومات سرية مثل تلك التي للمصارف الكبيرة. ويود أيضا أن يرى الحكومة، التي تم اختراقها عدة مرات، أفضل حال في حماية نفسها. "دائما يرددون مقولة "افعل مثلما أقول وليس كما ترني أفعل". إنهم يقولون لأي شخص آخر هذه هي الطريقة التي ينبغي أن تسير من خلالها، لكنهم لا يتناولون العلاج الذي ينصحون الآخرين باستعماله".
الأجهزة التنظيمية للعمل المصرفي لديها تحدياتها الخاصة. فمنذ الأزمة المالية، والأجهزة التنظيمية تعمل على إصلاح الطريقة التي ترصد وتقيم بها وول ستريت. لكن نهجها في التعامل مع جرائم الإنترنت يظهر أنه لا يزال لديها عمل للقيام به على صعيد كسر الحواجز للسماح لها بالتعرف على توجهات القرصنة عبر هذه الصناعة. وقال "مكتب محاسبة الحكومة" في الولايات المتحدة في تقرير هذا الشهر، إنه الآن يركز فقط على الحوادث في المؤسسات المالية الفردية.
وأضاف المكتب: "المنظمون لم يكونوا يجمعون بشكل روتيني تقارير الحوادث الأمنية المتعلقة بتكنولوجيا المعلومات وأوجه قصور الفحص وتصنيفها حسب فئة النقص".
شكاوى القطاع
وتشكو المصارف من أنها تحتاج من الأجهزة المنظمة إلى معلومات قابلة للاستخدام أكثر فيما يتعلق بالتهديدات الإلكترونية. وقال مكتب محاسبة الحكومة، في إشارة الى المعلومات الغامضة التي تتلقاها المصارف: "قال أحد ممثلي المؤسسة إن تلقي معلومات مفصلة بشكل كاف كان يشبه إخبار المؤسسة أنها قد تتعرض لهجوم من قبل مجرم يعتمر قبعة حمراء". وقادت وزارة الخزانة الأمريكية أخيرا حملة لجعل المعلومات الحساسة، ولكن غير السرية متاحة بسرعة أكبر، وحثت في الوقت نفسه على إنفاذ قانون يسمح بتشارك المعلومات السرية بحرية أكبر مع المصارف.
يقول كلانسي، من مبادرة وزارة الخزانة: "هناك مسافات واسعة علينا أن نقطعها في هذه الجبهة. لكننا بدأنا نرى ثمرة تلك الجهود". وهناك أيضا شعور بالإحباط من استجابة الحكومة الأمريكية للانتهاكات، بما في ذلك الاختراق من مكتب إدارة شؤون الموظفين، الذي يكشف تحريات عن خلفيات 22 مليون موظف حكومي حالي وسابق.
وبحسب مسؤول أمني في مصرف أمريكي: "إذا اقتحم شخص مكتب إدارة شؤون الموظفين ومشى أسفل المدخل وسرق كل تلك البيانات سيكون لدينا حملة مطاردة وطنية في كل أنحاء الولايات المتحدة، في محاولة للعثور على هؤلاء الناس". ويضيف: "لسبب ما نشعر بطريقة مختلفة حيال حوادث الإنترنت، لأنه لا يمكن لمسه".
على الخطوط الأمامية، أفضل الأمن قد يكون اليقظة الدائمة. في الشهر الماضي، المسؤول الذي كرر اختراق سوني سرَّب البرمجيات الخبيثة من خلال نظامه مرة أخرى. هذه المرة كان لديه شعور أفضل إزاء النتيجة. "عدنا إلى كتاب قواعد اللعب التي نمارسها، وقلنا إن علينا أن نفهم البرمجيات الخبيثة المدمرة. لقد استغرقنا كثيرا من الساعات مع الفريق للتفكير في كيف يمكن أن نفعل ذلك. ثم نفذنا الإجراء ونحن مسرورون بالنتيجة".
لكنه يضيف: "لا يزال علي أن أمارس ألعاب الحرب التي أصممها، وأعمل على تحديث كتب القواعد لدينا، وأن أجري التجارب والبروفات". 