محاسبة في شركة توريدات بالخبر، تسعة موظفين، تلقت مكالمة من رجل عرف اسمها الكامل واسم الشركة وآخر أربعة أرقام من الحساب. قال إنه من قسم مكافحة الاحتيال، وإن حوالة مشبوهة توشك أن تخرج، وإن إيقافها يحتاج الرمز الذي سيصلها الآن. قرأته له. الرمز لم يكن يوقف حوالة، بل كان يأذن بها.
لا برمجية خبيثة في هذه القصة، ولا مرفق، ولا ثغرة. كل ما اشترته الشركة عمل كما بيع له تماما، ولم يكن أي منه مصنوعا لهذه اللحظة. التصيد الذي ينجح هو المتوقع، ومكالمة عن حوالة مشبوهة في يوم تخرج فيه حوالات هي أكثر شيء متوقع في مكتب محاسبة.
ولهذا لا يقرأ هذا الموضوع بوصفه قائمة أدوات. كل ضابط أمني شفاف تجاه شيء ما، والشيء الذي هو شفاف تجاهه هو المكان الذي يصاب منه.
أربعة ضوابط، ولكل واحد ما يمر منه
مدير كلمات السر يوقف إعادة استعمال الكلمة نفسها، وهي الطريق الذي يحول تسريبا وقع في موقع آخر إلى حادثة هنا. ولا يوقف شيئا حين يطلب أحدهم الكلمة بلطف فتعطى، لأنه لم يصنع ليقرر من يستحقها.
والمصادقة الثنائية توقف حشو بيانات الاعتماد ولا توقف رمزا يملى في مكالمة. توقف أغلب الاستيلاء الآلي على الحسابات، ولا توقف كعكة جلسة مسروقة من متصفح. وهذا بالضبط ما جرى: المصادقة الثنائية لم تفشل، بل عملت، ونقل الإنسان الرمز عبرها بيده.
ومفتاح المرور يوقف النطاق الشبيه، لأنه يتحقق من اسم النطاق قبل أن يوقع، والإنسان لا يتحقق منه. وهو يمر أمام كل ما لا يحتاج تسجيل دخول أصلا، وهو الباب الذي دخلت منه هذه الحوالة. أما النسخة الاحتياطية الليلية فتوقف الفدية والقرص الذي يموت يوم ثلاثاء، وتمر أمامها حوالة نفذت: لا شيء فقد غير المال، ولا شيء تستعيده نسخة.
الرمز الذي لا يطلبه أحد
الجملة التي تختصر هذا كله قصيرة وتستحق أن تعلق: لا يطلب البنك الرمز، ومن طلبه هو المهاجم مهما عرف عنك. معرفته باسمك ورقم حسابك ليست دليلا على أنه من البنك، بل دليل على أن تلك البيانات تسربت من مكان آخر، وهي المادة الخام التي بنيت عليها المكالمة.
وللقاعدة نفسها صورة أشيع في المنطقة: رسالة من رقم يعرفه المستقبل يقول صاحبه إنه أرسل رمزا بالخطأ ويرجو إعادته. الرمز رمز تسجيل واتساب، وإعادته تسليم للحساب كاملا، ثم تنطلق الرسالة نفسها إلى كل جهة اتصال فيه. آلية واحدة في الحالتين: الضابط سليم، والقناة التي التف منها المهاجم هي الإنسان، وهي الوحيدة التي لا تشترى لها ترقية.
والعلاج الوحيد الذي يصمد أن يصير الرمز شيئا لا ينطق به أحد لأي أحد في أي ظرف، بلا استثناء يقدر في اللحظة. الاستثناء الذي يقدر في اللحظة هو تحديدا ما تصنعه المكالمة.
ما يشترى، وما يقع فعلا
ما ينفق عليه في المكاتب الصغيرة هنا ثلاثة أشياء ظاهرة: جهاز جدار ناري، ومضاد فيروسات على كل مكتب، ودورة أو شهادة لأحد الموظفين. الثلاثة تظهر في فاتورة، والثلاثة تشترى لأنها تظهر.
وما يقع تحت الخط أرخص من الثلاثة مجتمعة: كلمة سر مستعملة في مكان آخر، ونظام لم يحدث منذ سنتين، وحساب موظف غادر وما زال يعمل، ومكالمة تطلب رمزا، واستعادة لم يجربها أحد. أربعة من الخمسة تصلح بوقت لا بمال. والخامس، وهو الاستعادة، تكلفته ساعة في تقويم أحدهم مرة كل ربع سنة، وتظهر قيمتها في اليوم الوحيد الذي لا ينفع فيه اكتشافها متأخرا. ونسخة احتياطية لم تجرب استعادتها ليست نسخة احتياطية، بل قرص فيه ملفات لم يفتحها أحد.
الجهاز الذي لا يمكن تحديثه
وبند «نظام لم يحدث» له هنا سبب لا تذكره صفحة إنجليزية. نسبة كبيرة من أجهزة المكاتب في المنطقة نصبت بنسخة فعلت بأداة نزلت من موقع تجميع. والأداة تعمل بالضبط كما وعدت، ثم يوقف صاحب الجهاز التحديثات لئلا تبطل التفعيل.
والنتيجة جهاز يبقى مفتوحا على ثغرات منشورة ومعروفة ومكتوب لها أدوات جاهزة، وهي أرخص طريق دخول موجود، لأن المهاجم لا يحتاج أن يعرف الضحية. ثم إن الأداة نفسها هي أشيع ناقل للبرمجيات الخبيثة في هذه السوق، فيدفع الجهاز الثمن مرتين. وأقل صلاحية تحد حجم الخسارة لا احتمالها: حساب موظف بلا صلاحية إدارية يبقي العطب في مكتب واحد، ولا يمنع وصوله إليه.
ما يراه العالم من هذا المكتب
وسؤال يجاب في دقيقتين ولا يسأله أحد: ما الذي يصل إليه العالم من هذه الشبكة. الأمر nmap -Pn --top-ports 100 على العنوان العام للمكتب يعطي القائمة كما يراها من هو خارجه.
والاكتشاف المعتاد ليس ثغرة بل مفاجأة: مسجل كاميرات فتح له منفذ يوم التركيب بكلمة سر المصنع، أو لوحة إدارة لموجه ظنها صاحبها داخلية. الفرق بين ما ينصت على الجهاز وما يصل إليه العالم يصنعه سطر في الموجه كتبه أحدهم مرة ونسيه، وهذا هو أسطح الهجوم بمعناها الحرفي. ولا يجرى هذا الفحص على عنوان لا تملكه: الاختراق بإذن مكتوب مهنة قائمة اسمها الاختراق الأخلاقي، وبغير الإذن هو الجريمة نفسها التي تدرس هذه الصفحة الدفاع عنها.
ما تفتحه في 2026
Bitwarden مدير كلمات سر بطبقة مجانية صالحة فعلا وعميل مفتوح المصدر، وقد حل محل جدول مشترك فيه كلمات السر، وهو الشيء الذي يوجد في أغلب المكاتب الصغيرة ولا يعترف به أحد. يعمل في كل البلدان العربية ولا يحتاج بطاقة للطبقة المجانية.
مفاتيح المرور مبنية في الهاتف نفسه منذ 2023 تقريبا، وهي المسار المجاني الوحيد الذي يعطي التحقق من اسم النطاق. وهي هنا أهم منها في أوروبا لسبب عملي: المفتاح العتادي المنفصل يشترى بالدولار ويشحن، وهو متاح في الخليج ومكلف أو بطيء الوصول في غيره، فالطبقة المجانية على الهاتف هي التي تطبق فعلا. والصريح أن المفتاح العتادي أقوى، وأنه ليس مجانيا، وقول ذلك بوضوح أنفع من التوصية به وحده.
nmap مجاني ومفتوح المصدر، وقد حل محل افتراض أن خدمة غير قابلة للوصول لأنها لم توضع لتكون كذلك. وهو أداة الفحص المعيارية في أدوات الأمن، وأول ما يشغل في أي تقييم.
الشهادة، والوظيفة التي جاء القارئ يسأل عنها
أغلب من يكتب هذه العبارة بالعربية يبحث عن تخصص ووظيفة، لا عن إصلاح عطل. والجواب الصادق أن سوق الخليج يقرأ شهادات الأمن بالاسم فعلا، فأخذها قرار سليم، وأنها في الوقت نفسه لا تحل محل قدرة على قراءة عمودين: ما يوقفه الضابط وما يمر منه.
والترتيب الذي يعمل أن تقرأ أسس الأمن أولا، لأنها المفردات التي تجعل بقية الصفحات مفهومة، ثم الدفاع لأنه العمل الذي يشغل الوظيفة فعلا يوما بعد يوم، ثم التشفير حين يصير السؤال كيف يثبت أن الرسالة من صاحبها لا كيف تخفى.
ومن خارج هذا الموضوع، كل ما سبق يفترض أنك تعرف أي طبقة تسأل، وذلك تعلم في الشبكات، والخدمة التي تحمى تدار في إدارة الخوادم، ومسؤولية ما يحمى تنقسم بينك وبين المزود في الحوسبة السحابية قسمة مكتوبة يجهلها أكثر من يستأجر.
ويبقى السؤال الذي تتركه هذه الصفحة مفتوحا: بعد أن تعرف أن كل ضابط شفاف تجاه شيء، كيف تقرر أي الأشياء تستحق الإنفاق أصلا. ذلك سؤال ترتيب لا سؤال أداة، ويقاس باحتمال وقوع الحادثة مضروبا في أثرها لا بسعر الجهاز، وهو أول ما يوضع في أسس الأمن.