مصممة للتملص: مؤسسات البنية التحتية الحيوية هي أهداف لا مجال للتفاوض بشأنها.

• لا تُعتبر مؤسسات البنية التحتية الحيوية أهدافًا عشوائية. بل يتم اختيارها عن عمد، حيث يُعد البريد الإلكتروني مرادفًا تقريبًا لاستمرارية الأعمال. والحملات التي تستهدفها هي عمليات طويلة الأمد تشارك فيها جهات متعددة، وغالبًا ما تبدأ عبر البريد الإلكتروني.
• يقوم المهاجمون باختبار حمولاتهم ضد أنظمة الأمان المؤسسية قبل إرسالها. ولا يُعد مرور ملف ضار عبر برنامج الفحص الخاص بك دليلاً على أن الملف خالٍ من الفيروسات؛ فمن الممكن أن يكون قد صُمم خصيصًا ليتجاوز برنامج الفحص الخاص بك.
• تتميز استراتيجية «الأمن القائم على الكشف أولاً» بنقطة ضعف هيكلية في مواجهة خصم مستعد: فهي لا تستطيع التصرف تجاه ما لم تصادفه من قبل.
• يُعد الدفاع متعدد الطبقات للبريد الإلكتروني هو الاستجابة الهيكلية. فكل طبقة تكتشف ما لا تستطيع الطبقات الأخرى رصده. والتأثير الإجمالي لذلك بسيط: فهو يرفع تكلفة عملية التحسين التي يقوم بها المهاجم قبل تنفيذ الهجوم.

لا يقرر أي خبير أمني التعامل مع التهديدات على أنها أحداث منفصلة. بل يحدث ذلك بشكل تدريجي. فمعدلات الكشف تظل ثابتة، والحوادث تُحل في الموعد المحدد، وتُجتاز عمليات التدقيق دون ظهور أي نتائج مهمة. وتبدو كل نقطة بيانات على حدة معقولة، لكنها مجتمعة تشكل صورة دقيقة تمامًا، لكنها غير مكتملة بشكل خطير.

إن هذا التراكم في الثقة يمثل بحد ذاته نقطة ضعف. وبالنسبة لمؤسسات البنية التحتية الحيوية، فإن المهاجمين يستغلون هذه النقطة بشكل متعمد، بدءًا من صندوق الوارد، الذي لا يزال حتى يومنا هذا أحد القنوات الرئيسية لمخاطر أمن البريد الإلكتروني.

عندما تستهدف جماعة مدعومة من دولة ما شبكة طاقة أو مستشفى أو مقاولًا في مجال الدفاع، فقد تكون هذه حملة تمتد لعدة سنوات. وغالبًا ما تنطوي هذه الحملات على مئات من المحاولات المتكررة ومحاولات الاستطلاع والهجمات الوهمية المصممة لرسم خريطة للدفاعات قبل وصول الحمولة الحقيقية. ويتمثل هدفهم في إحداث تعطيل مستمر، والتعرض المتكرر للخطر، وإلحاق أقصى قدر من الضرر بالسمعة على المدى الطويل. يتم حساب مبلغ الفدية قبل إرسال أول رسالة بريد إلكتروني، والأسوأ من ذلك هو أن المهاجمين يعلمون مسبقًا أن هدفهم لا يستطيع تحمل أي توقف عن العمل.

تختلف دوافع الجهات التهديدية وتختلف أنماط هجماتها، لكن هناك قاسمًا مشتركًا واحدًا بينها، ألا وهو «الاستهداف». فمؤسسات البنية التحتية الحيوية لا يتم العثور عليها بالصدفة، بل يتم اختيارها بعناية، والحملات التي تشن ضدها هي عمليات طويلة الأمد تبدأ في الغالب عبر البريد الإلكتروني.

تتمثل الخطوة الأولى في إرفاق ملف ضار، أو رابط خبيث، أو محاولة تصيد احتيالي لبيانات الاعتماد تم إعدادها وتخصيصها بعناية، يتم إرسالها إلى مهندس أو مشغل أو مسؤول تنفيذي. والسبب في أن البريد الإلكتروني لا يزال نقطة الدخول المفضلة ليس التطور التقني، بل البساطة الحسابية. ولا يمكن للمؤسسات إغلاق هذه القناة أو تقييدها دون تعطيل العمليات.

موظف واحد، يوم سيئ واحد، ملف مفتوح واحد. هذا هو كل ما يتطلبه الأمر لتحقيق الفوز. فالحملة التي تصل إلى آلاف صناديق البريد الإلكتروني في آن واحد لا تحتاج سوى لحظة ضعف واحدة لتنجح، وعلى المدافع أن يمنع كل لحظة من هذه اللحظات.

وقد بدأ نموذج الحملة هذا يظهر بالفعل في البنية التحتية الحيوية للولايات المتحدة. فقد أكد بيان استشاري مشترك صادر عن وكالة الأمن السيبراني والبنية التحتية (CISA) ووكالة الأمن القومي (NSA) ومكتب التحقيقات الفيدرالي (FBI) أن الجهات الفاعلة التابعة لمجموعة «فولت تايفون» كانت متواجدة داخل بعض شبكات تكنولوجيا المعلومات لمدة خمس سنوات على الأقل، وذلك للتحضير مسبقًا لشن هجمات محتملة تهدف إلى تعطيل أو تدمير التكنولوجيا التشغيلية.

لن يقوم أي من هؤلاء الفاعلين بإعادة تقييم استراتيجيته لمجرد أن الهدف قام بإصلاح الثغرات بشكل أسرع أو وظف المزيد من المحللين. فهذه الهجمات هي خطوة تكتيكية، وغالبًا ما تكون جزءًا من استراتيجية أوسع نطاقًا.

الموقف الذي ينبثق عن ذلك ليس اختيارياً. يجب على مؤسسات البنية التحتية الحيوية أن تعمل انطلاقاً من الافتراض الثابت بأن اختراقاً سيحدث، وأن تبني أنظمتها وفقاً لذلك: دفاعات متعددة الطبقات عند كل نقطة دخول، وقدرة استجابة قريبة بما يكفي من السطح بحيث يبدأ الاحتواء قبل أن يتفاقم الضرر.

هذه الممارسة شائعة وموثقة. فسواءً كان الأمر يتعلق بالجماعات المدعومة من الدول، أو مشغلي برامج الفدية، أو المنظمات الإجرامية المتطورة، فإن الحمولات تخضع لعملية تحضير قبل إرسالها. حيث يقوم المهاجمون بإنشاء نسخ مطابقة لمنظومات الأمان المؤسسية، ويكررون العملية حتى يحصل الملف على درجة كشف خالية من الشذوذ، وعندها فقط يقومون بإرساله.

في عام 2025، أسفرت عملية دولية منسقة عن إغلاق «AVCheck»، إحدى أكبر الخدمات التحايل على برامج مكافحة الفيروسات في العالم، والتي كانت تتيح لمطوري البرامج الضارة اختبار ما إذا كانت ملفاتهم ستُكتشف قبل نشرها. وقد نشأت هذه الخدمة لأن الطلب على اختبارات التحايل قبل التسليم كان كبيرًا بما يكفي لدعم عملية تجارية مبنية حولها.

تتعرض استراتيجية «الأمن القائم على الكشف أولاً» لثغرة هيكلية في مواجهة خصم مستعد. فهي مصممة للتعرف على التهديدات التي واجهتها من قبل، أو تلك التي تشبه إلى حد كبير تهديدات موجودة بالفعل في سجلها. أما الحمولة المصممة خصيصًا بحيث لا تندرج تحت أي من هاتين الفئتين، فتتمكن من التسلل دون أن توفر لطبقة الكشف أي أساس للتصرف.

لا يحدث هذا التحسين مرة واحدة فقط. فخلال سنوات من التكرار ومئات المحاولات الاستكشافية، تُعد كل عملية عزل وكل حظر بمثابة ردود فعل يستخدمها المهاجم لتحسين محاولته التالية. تتعلم الحملة من دفاعاتك بطريقة لا تستطيع دفاعاتك الرد عليها تلقائيًا. وهذه نتيجة منطقية لاتباع نهج «الكشف أولاً» في مواجهة مهاجم استعد خصيصًا للتعامل مع نظام الكشف الخاص بك.