كيف حدث تسريب بيانات Medibank وكيفية تجنبه؟

1. مقدمة#

في أكتوبر 2022، تعرضت Medibank، وهي إحدى أكبر شركات التأمين الصحي الخاص في أستراليا، لتسريب بيانات كشف عن معلومات شخصية وطبية حساسة تخص 9.7 مليون عميل. أظهر هذا الحادث العواقب الوخيمة للفشل في تنفيذ تدابير الأمن السيبراني الأساسية. يعد فهم كيفية حدوث الاختراق، والثغرات الأمنية التي تم استغلالها أمرًا ضروريًا لمنع هجمات مماثلة في المستقبل.

ولهذا السبب ستغطي هذه المقالة الأسئلة الرئيسية التالية:

• ما هي الثغرات التي مكنت اختراق Medibank؟
• ما هي التدابير المضادة التي كان من الممكن أن تمنع اختراق Medibank؟

2. كيف حدث تسريب بيانات Medibank؟#

لم يكن تسريب بيانات Medibank نتيجة لأساليب اختراق معقدة. بل حدث بسبب سلسلة من الأخطاء الأمنية التي كان يمكن الوقاية منها. سمحت هذه التجاوزات لمجرمي الإنترنت بدخول شبكة Medibank، وسرقة كميات كبيرة من المعلومات الحساسة، ثم المطالبة بفدية.

2.1 بيانات الاعتماد المسروقة ونقاط الدخول غير الآمنة#

بدأ الهجوم عندما قام مزود خدمات تقنية خارجية، متعاقد مع Medibank، بتخزين تفاصيل تسجيل دخول على مستوى المسؤول الخاصة بـ Medibank على جهاز شخصي. كان هذا الجهاز مصابًا ببرمجيات خبيثة، مما سمح للمهاجمين بالحصول على بيانات اعتماد المستخدم. ونظرًا لأن نظام الوصول عن بُعد الخاص بـ Medibank لم يكن يتطلب مصادقة متعددة العوامل في ذلك الوقت، تمكن المهاجمون من تسجيل الدخول إلى شبكة الشركة باستخدام بيانات الاعتماد المسروقة هذه، ليظهروا كمستخدمين مصرح لهم.

2.2 سرقة البيانات والاستجابة المتأخرة من Medibank#

بمجرد دخولهم إلى نظام Medibank، قام المجرمون بتثبيت برنامج نصي للبحث عن معلومات العملاء الحساسة واستخراجها. قاموا بضغط هذه البيانات ونقلها خارج الشبكة من خلال باب خلفي مدمج. على الرغم من أن الأدوات الأمنية للشركة أبلغت عن أنشطة مشبوهة، إلا أنه لم تتم متابعة هذه التنبيهات بالسرعة التي تتطلبها. وبحلول الوقت الذي تحرك فيه فريق الأمن التابع لـ Medibank أخيرًا وأغلق وصول المهاجمين، كانت قد سُرقت بالفعل 200 غيغابايت من البيانات الشخصية.

2.3 مطالب الفدية وتسريبات البيانات#

تضمنت المعلومات المسروقة:

• الأسماء
• تواريخ الميلاد
• تفاصيل جواز السفر
• أرقام Medicare

بامتلاك هذه البيانات، طالب المهاجمون بفدية قدرها 10 ملايين دولار أمريكي لمنعهم من نشرها للجمهور. رفضت Medibank الدفع، معتقدة أن القيام بذلك سيشجع على المزيد من الهجمات، وبالتالي بدأ المجرمون في تسريب أجزاء من البيانات على الويب المظلم كرد فعل، مما شكل ضغطًا إضافيًا على الشركة.

3. الثغرات الرئيسية في أمن Medibank#

أظهر اختراق Medibank العديد من نقاط الضعف الحرجة في الدفاعات السيبرانية للمؤسسة. من خلال الفشل في تنفيذ هذه الضوابط الأمنية الأساسية، أوجدت Medibank فرصًا للمهاجمين لاستغلال الوصول المميز، والتنقل في الأنظمة الداخلية، واستخراج بيانات حساسة. فيما يلي الثغرات الرئيسية التي ساهمت في الحادث:

3.1 الافتقار إلى حماية بيانات الاعتماد#

سمح فشل Medibank في حماية بيانات الاعتماد المميزة للمهاجمين بتجاوز التدابير الأمنية الأولية حيث لم تكن هناك مصادقة ثنائية أو متعددة العوامل (2FA/MFA) معمول بها لاستخدام تسجيل الدخول داخل النظام.

3.2 غياب مبدأ أقل الامتيازات (POLP)#

كان حساب الموظف الذي اشتراه القراصنة على الويب المظلم يمتلك وصولاً أكثر مما هو ضروري لأداء المهام اليومية، مما أدى إلى زيادة خطر اختراق الحسابات ذات الامتيازات العالية. سمح هذا للمهاجمين بالوصول إلى البيانات الحرجة بشكل مباشر.

3.3 عدم كفاية تجزئة الشبكة#

سهّل نقص تجزئة الشبكة على المهاجمين تحديد موقع البيانات الحساسة واستخراجها. بدون مناطق معزولة أو ضوابط وصول قوية، كان بإمكان المهاجمين الوصول إلى قاعدة البيانات دون مواجهة عوائق كبيرة.

3.4 التأخر في اكتشاف الأبواب الخلفية#

على الرغم من اكتشاف الاختراق في النهاية، مكنت استجابة Medibank المتأخرة المهاجمين من تنزيل كمية كبيرة من البيانات بالفعل قبل إيقاف الهجوم السيبراني.

4. كيف كان يمكن منع اختراق Medibank؟#

فيما يلي أربع استراتيجيات كان من الممكن أن تخفف أو حتى تمنع تسريب بيانات Medibank:

4.1 تنفيذ التدريب على الوعي بالتهديدات السيبرانية#

يمكن أن يؤدي تعليم الموظفين كيفية التعرف على محاولات التصيد الاحتيالي وسرقة بيانات الاعتماد إلى تقليل خطر الاختراق الأولي نظرًا لأن التصيد الاحتيالي لا يزال أحد أكثر الطرق شيوعًا لسرقة بيانات الاعتماد.

4.2 فرض مبدأ أقل الامتيازات (POLP)#

يحد مبدأ POLP من الوصول إلى الأنظمة والبيانات الحساسة ليقتصر على الأشخاص الذين يحتاجون إليها فقط. من خلال فرض POLP، كان بإمكان Medibank إبطاء المهاجمين أو منعهم من الوصول إلى قواعد البيانات الحرجة تمامًا.

4.3 استخدام المصادقة المتعددة العوامل (MFA)#

تضيف المصادقة المتعددة العوامل طبقة إضافية من الأمان من خلال طلب خطوات تحقق إضافية تتجاوز مجرد كلمة المرور. وفقًا لـ Microsoft، يمكن لـ MFA منع ما يصل إلى 98% من محاولات اختراق الحسابات. توفر المصادقة المتعددة العوامل التكيفية (Adaptive MFA)، التي تضبط المتطلبات بناءً على عوامل الخطر، حماية أقوى.

4.4 تنفيذ تجزئة شبكة قوية#

تعزل تجزئة الشبكة البيانات الحساسة في مناطق آمنة، مما يجعل من الصعب على المهاجمين تحديد موقعها والوصول إليها. لمزيد من الأمان، يمكن لخوادم الانتقال للتحكم في طلبات الاتصال بهذه المناطق، مما يقلل من خطر الوصول غير المصرح به.

5. خاتمة#

يسلط تسريب بيانات Medibank الضوء على الحاجة الماسة إلى تدابير أمن سيبراني قوية في المشهد الرقمي اليوم. من خلال تنفيذ ممارسات الأمان الأساسية مثل حماية بيانات الاعتماد، وMFA، وPOLP، وتجزئة الشبكة، يمكن للمؤسسات تقليل خطر تعرضها لهجوم مماثل بشكل كبير.

يعتبر هذا الحادث تذكيرًا صارخًا بأن حماية بيانات العملاء الحساسة ليست مجرد التزام قانوني ولكنها جانب أساسي في الحفاظ على الثقة في العصر الرقمي.

حول Corbado

Corbado هي Passkey Intelligence Platform لفِرَق CIAM التي تُدير المصادقة الاستهلاكية على نطاق واسع. نُمكّنك من رؤية ما لا تستطيع سجلات IDP وأدوات التحليل العامة إظهاره: أي الأجهزة وإصدارات أنظمة التشغيل والمتصفحات ومديري بيانات الاعتماد تدعم passkeys، ولماذا لا تتحوّل عمليات التسجيل إلى عمليات دخول، وأين يفشل تدفق WebAuthn، ومتى يُعطّل تحديث نظام التشغيل أو المتصفح تسجيل الدخول بصمت — كل ذلك دون استبدال Okta أو Auth0 أو Ping أو Cognito أو IDP الداخلي لديك. منتجان: Corbado Observe يُضيف observability للـ passkeys وأي طريقة دخول أخرى. Corbado Connect يُقدّم managed passkeys مع تحليلات مدمجة (إلى جانب IDP الخاص بك). تُشغّل VicRoads passkeys لأكثر من 5 ملايين مستخدم مع Corbado (تفعيل passkey بنسبة +80%). تحدث مع خبير Passkey →

الأسئلة الشائعة#

كيف تمكن المهاجمون من دخول شبكة Medibank في البداية؟#

حصل المهاجمون على بيانات اعتماد مسؤول Medibank من جهاز شخصي خاص بمزود خدمات تقنية خارجية كان مصابًا ببرمجيات خبيثة. ونظرًا لعدم احتواء نظام الوصول عن بُعد الخاص بـ Medibank على مصادقة متعددة العوامل في ذلك الوقت، كانت بيانات الاعتماد المسروقة كافية لتسجيل الدخول كمستخدم معتمد.

ما الذي جعل اختراق Medibank مدمرًا للغاية بمجرد دخول المهاجمين إلى الشبكة؟#

ضخمت نقطتا ضعف رئيسيتان من حجم الضرر: كان الحساب المخترق يتمتع بصلاحيات مفرطة تتجاوز ما تتطلبه المهام اليومية، مما ينتهك مبدأ أقل الامتيازات، كما أن عدم كفاية تجزئة الشبكة يعني أن المهاجمين يمكنهم التحرك بحرية لتحديد موقع قواعد البيانات الحساسة واستخراجها دون عوائق كبيرة.

ما هي الضوابط الأمنية التي كانت ستمنع بشكل أكثر فعالية تسريب بيانات Medibank؟#

كان فرض المصادقة المتعددة العوامل (MFA) على جميع نقاط الوصول عن بُعد هو عنصر التحكم المفقود الأكثر أهمية، حيث تظهر بيانات Microsoft أن المصادقة المتعددة العوامل تمنع ما يصل إلى 98% من محاولات اختراق الحسابات. كان من شأن الجمع بين MFA ومبدأ أقل الامتيازات والتجزئة القوية للشبكة أن يوقف أو يحد بشكل كبير من الهجوم حتى لو سُرقت بيانات الاعتماد.

لماذا يجب على المؤسسات تجنب دفع الفدية بعد تسريب بيانات مثل اختراق Medibank؟#

رفضت Medibank دفع فدية بقيمة 10 ملايين دولار أمريكي تحديدًا لأن الشركة اعتقدت أن الدفع سيشجع على المزيد من الهجمات ضدها وضد الآخرين. وعلى الرغم من أن الرفض أدى إلى تسريب البيانات على الويب المظلم، إلا أن هذا الموقف يتماشى مع التوجيهات الأمنية الأوسع بأن دفع الفدية لا يضمن حذف البيانات ويحفز الهجمات المتكررة.