برمجيات الفدية: لماذا تتفوق النسخ الاحتياطية على الدفع

برمجية الفدية برمجية خبيثة تأخذ شيئًا تقدّره رهينةً وتطالب بالدفع لإعادته. تشفّر برمجية الفدية التقليدية الملفات، فتحوّل صور العائلة أو مستندات العملاء أو خادم ملفات الشركة بأكمله إلى بيانات غير مقروءة، ثم تعرض رسالة تشرح كيفية الدفع، بالعملة المشفّرة عادةً، للحصول على مفتاح فك التشفير. وتصنّف MITRE ATT&CK هذا السلوك تحت «تشفير البيانات بغرض التأثير»: فالتشفير هنا لا يحمي شيئًا، بل غايته حرمانك من الوصول.

كيف يتكشّف الهجوم

نادرًا ما تظهر برمجية الفدية من العدم. تصف وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) نقاط الدخول الشائعة في دليلها #StopRansomware: رسائل التصيّد، وكلمات المرور المسروقة أو الضعيفة للوصول عن بُعد، والثغرات غير المصحّحة في الأنظمة المكشوفة على الإنترنت. وعلى الحاسوب الشخصي، يكون حصان طروادة أو تنزيل خبيث هو الخطوة الأولى عادةً. وبعد الدخول، كثيرًا ما يقضي المهاجمون وقتًا في الاستكشاف، ويعطّلون النسخ الاحتياطية التي يطالونها وينسخون البيانات الثمينة، قبل إطلاق التشفير الذي تلاحظه الضحية أخيرًا.

الابتزاز المزدوج: السرقة أولًا ثم القفل

جعلت النسخ الاحتياطية برمجيات الفدية أقل ربحًا، فتكيّفت العصابات الإجرامية. كثير منها ينسخ البيانات الآن قبل تشفيرها، ثم يهدد بنشرها إن رفضت الضحية الدفع. وتسمّي CISA هذا الابتزاز المزدوج. وهو يغيّر الحسابات للشركات والأفراد على حد سواء: النسخة الاحتياطية الجيدة تعيد ملفاتك، لكنها لا تمحو التسريب. لهذا فإن الجزء الصادر من الهجوم لا يقل أهمية عن التشفير، ورؤية عمليات رفع كبيرة أو غير معتادة من جهاز ما علامة تحذير ذات معنى.

لماذا الدفع مقامرة

تنصح CISA ومكتب التحقيقات الفيدرالي (FBI) بعدم دفع الفدية. فالدفع لا يضمن مفتاح فك تشفير يعمل، والأدوات التي يقدّمها المجرمون تكون أحيانًا بطيئة أو معطّلة، وقد تُباع نسخة من البيانات المسروقة أو تُنشر لاحقًا رغم ذلك. كما أن الدفع يموّل الهجوم التالي ويَسِم الضحية بأنها مستعدة للدفع. وقد تكون هناك مخاطر قانونية أيضًا، بحسب من يتلقى المال. وقبل التفكير في أي شيء آخر، راجع مشروع No More Ransom، وهو تعاون بين جهات إنفاذ القانون وشركات الأمن ينشر أدوات فك تشفير مجانية لعائلات برمجيات الفدية التي كُسر تشفيرها.

قاعدة النسخ الاحتياطي 3-2-1

لا شيء يُضعف برمجية الفدية مثل نسخة احتياطية لا يستطيع المهاجم الوصول إليها. وقاعدة 3-2-1 الراسخة، الموصى بها في إرشادات CISA للنسخ الاحتياطي، سهلة التذكر:

• 3 نسخ من بياناتك المهمة: الأصل ونسختان احتياطيتان.
• نوعان مختلفان من وسائط التخزين، مثل قرص خارجي وخدمة سحابية.
• نسخة واحدة غير متصلة أو في مكان آخر، مفصولة عن الحاسوب، كي لا تستطيع برمجية الفدية على جهاز Mac تشفيرها أيضًا.

على Mac، يغطي Time Machine على قرص خارجي الجزء الأول جيدًا؛ وفصل القرص بعد انتهاء النسخ يبقيه بعيدًا عن المتناول. ونسخة ثانية في خدمة سحابية تحتفظ بالإصدارات السابقة من الملفات تساعد إذا كُتبت فوق النسخة المتزامنة ملفات مشفّرة. والنسخة الاحتياطية لا تصبح حقيقية إلا عندما تجرّب الاستعادة منها: اختر ملفًا كل بضعة أشهر واستعده.

ما يفعله FileVault والمزامنة السحابية وما لا يفعلانه

كثيرًا ما تُعد ميزتان في Mac حمايةً من برمجيات الفدية خطأً. يشفّر FileVault قرصك كي لا يستطيع لص يسرق جهاز Mac قراءته؛ لكنه لا يفعل شيئًا ضد برمجية فدية تعمل داخل حسابك المسجّل الدخول، إذ ترى ملفاتك مفكوكة التشفير كما تراها أنت. وخدمات المزامنة السحابية مثل iCloud Drive تبقي ملفاتك متطابقة في كل مكان، ما يعني أن ملفًا مشفّرًا قد يتزامن فوق النسخة السليمة على أجهزتك الأخرى. المزامنة ليست نسخًا احتياطيًا. ما يساعد هو سجل الإصدارات، حيث تحتفظ الخدمة بإصدارات سابقة من كل ملف لفترة، ونسخة احتياطية حقيقية لا تطالها المزامنة.

تقليل احتمال الهجوم

• حدّث macOS والتطبيقات؛ فكثير من اختراقات برمجيات الفدية يبدأ بعيب معروف سبق تصحيحه.
• استخدم كلمات مرور فريدة والمصادقة الثنائية، خصوصًا للوصول عن بُعد والبريد الإلكتروني.
• كن مرتابًا من المرفقات والروابط، حتى من أشخاص تعرفهم.
• لا تثبّت برامج مقرصنة أو أدوات غير موثّقة.
• أوقف خدمات المشاركة التي لا تستخدمها، مثل مشاركة الملفات وتسجيل الدخول عن بُعد.

أين يساعد جدار الحماية

لا يستطيع جدار الحماية فك تشفير الملفات، ولا يزيل FireAI برمجيات الفدية. ما يستطيعه هو تقييد الخطوات المحيطة بالتشفير. فبرمجية الفدية والأدوات التي توصلها تحتاج عادةً إلى تنزيل مكونات والاتصال بمشغّليها، والابتزاز المزدوج يحتاج إلى رفع بياناتك. يسأل FireAI قبل أن يتصل تطبيق مجهول، ويعرض على خريطة العالم إلى أين يرسل كل تطبيق بياناته، ووضعا «الحذر الشديد» و«تحت الهجوم» يقيّدان ما يمكنه الاتصال أصلًا. وإن اشتبهت في هجوم جارٍ، فإن مفتاح القطع (kill switch) يفصل جهاز Mac عن الإنترنت بنقرة واحدة بينما تفصل أقراص النسخ الاحتياطي وتطلب المساعدة.

إن حدث ذلك

• افصل الحاسوب عن الشبكة وانزع أي أقراص نسخ احتياطي.
• لا تحذف رسالة الفدية؛ التقط صورة لها. فهي تساعد في تحديد عائلة برمجية الفدية.
• ابحث في No More Ransom عن أداة فك تشفير مجانية.
• أبلغ عن الحادثة: في الولايات المتحدة إلى مركز شكاوى جرائم الإنترنت التابع لـ FBI (IC3)، وفي غيرها إلى السلطة الوطنية المعنية بالجرائم الإلكترونية.
• استعد بياناتك من نسخة احتياطية نظيفة غير متصلة إلى نظام أُعيد تثبيته حديثًا.
• غيّر كلمات المرور من جهاز نظيف، خصوصًا إن كانت البيانات قد سُرقت.