على الرغم من التحذيرات المتكررة، فلا تزال كلمات المرور الافتراضية تُستخدم في العديد من المنشآت، وهو ما يجعلها مدخلًا سهلًا للهجمات الإلكترونية.
في حادثة كشفت مدى هشاشة بعض الأنظمة، تمكن قراصنة إيرانيون من اختراق منشأة مياه أميركية بالكامل باستخدام كلمة المرور الافتراضية "1111" فقط.
ورغم محدودية الأضرار التي لحقت بالمرفق – وهو محطة ضغط صغيرة تخدم نحو 7.000 شخص – إلا أن سهولة الاختراق دفعت وكالة الأمن السيبراني وأمن البنية التحتية الأميركية (CISA) لإطلاق دعوة حازمة للمصنعين بالتخلي عن هذه الممارسات الخطرة، مستندة إلى "سنوات من الأدلة" التي تؤكد أن كلمات المرور الافتراضية هي من أكثر الثغرات استغلالًا.
تهديد قديم لا يزال قائمًا
تُعد كلمات المرور الافتراضية، مثل "admin" أو "1234"، من البديهيات في عمليات الإعداد الأولي للأجهزة، إلا أن استمرار استخدامها في بيئات الإنتاج يجعلها نقطة دخول ذهبية للمهاجمين، بحسب تقرير نشره موقع "thehackernews" واطلعت عليه "العربية Business".
ويكمن الخطر الأكبر في أن هذه البيانات تُسهّل:
- تجنيد الأجهزة ضمن شبكات الروبوتات (botnets).
- شن هجمات فدية إلكترونية.
- اختراق سلاسل التوريد.
- تعطيل الأنظمة الأمنية الأكثر تقدمًا.
ولعل أبرز الأمثلة على هذا التهديد هو ما حدث في هجوم شبكة "ميراي" (Mirai botnet)، حيث استغل المهاجمون 61 تركيبة شائعة من كلمات المرور لاختراق أكثر من 600 ألف جهاز إنترنت أشياء، وشنّوا هجمات حجب خدمة (DDoS) أصابت مواقع كبرى مثل "نتفليكس"، وتسببت في أضرار تُقدّر بملايين الدولارات.
عواقب وخيمة للإهمال
الاعتماد على كلمات المرور الافتراضية قد يجرّ على المؤسسات خسائر ضخمة:
سمعة العلامة التجارية: تسريبات البيانات تؤدي إلى فقدان ثقة العملاء، وتعرض الشركات لدعاوى قضائية طويلة.
غرامات تنظيمية: القوانين في دول مثل بريطانيا والولايات المتحدة وأوروبا بدأت تفرض عقوبات على الشركات التي تفشل في إزالة كلمات المرور الافتراضية من أجهزتها.
أعباء تشغيلية: الاستجابة لهجوم سيبراني يكلف أضعاف تكلفة الوقاية منه مسبقًا.
تهديد النظام البيئي: يكفي جهاز مخترق واحد لزعزعة بنية صناعية كاملة، من مصانع الإنتاج إلى أنظمة الرعاية الصحية.
خمس ممارسات آمنة على المصنّعين اعتمادها فورًا
لوقف هذه الثغرة القاتلة، على الشركات المصنعة تبنّي فلسفة "التصميم الآمن" منذ البداية، عبر:
1. استخدام كلمات مرور فريدة لكل جهاز تُطبع بشكل منفصل.
2. توفير واجهات برمجية تُمكّن العملاء من تغيير كلمة المرور تلقائيًا عند الإعداد.
3. تطبيق إعداد بدون ثقة يطلب مصادقة مستقلة عبر الهاتف أو رمز QR.
4. فرض توقيع برمجي آمن على مكونات تسجيل الدخول.
5. تدريب وتدقيق المطورين دوريًا للكشف عن الثغرات قبل الإطلاق.
ما الذي يجب أن تفعله الشركات الآن؟
بينما تتأخر بعض الشركات المصنّعة في تطبيق التحديثات الأمنية، تقع المسؤولية الآن على فرق تكنولوجيا المعلومات في المؤسسات.
ويُوصى باستخدام أدوات مثل Specops Password Policy، التي تُساعد في:
- تطبيق سياسات كلمات مرور صارمة.
- حظر أكثر من 4 مليارات كلمة مرور مُخترقة.
- إدارة سريعة وآلية لتغيير كلمات مرور Active Directory.
