تحدث الآن بعض خروقات الهوية الأكثر ضررًا بعد تسجيل الدخول — أثناء إعادة تعيين كلمة المرور، أو إعادة تسجيل MFA، أو طلبات الاسترداد الروتينية لمكتب المساعدة. قامت العديد من المؤسسات بتعزيز أمان تسجيل الدخول باستخدام MFA وعناصر التحكم المقاومة للتصيد الاحتيالي.
نادرًا ما يتم التعامل مع مهام سير العمل هذه على أنها أحداث أمنية حرجة. يعرف المهاجمون أنه يمكن إعادة تعيين بيانات الاعتماد، ويمكن تعطيل MFA، ويمكن استبدال الأجهزة. لا يحتاجون إلى التغلب على التشفير إذا تمكنوا من إقناع نظام أو مكتب خدمة بالسماح لهم بالدخول.
وقد تم استغلال هذا الضعف في العالم الحقيقي. في سلسلة من الحوادث في عام 2025، تم استهداف تجار التجزئة الرئيسيين في المملكة المتحدة مثل Marks & Spencer وHarrods وCo-op Group من قبل مهاجمين استخدموا الهندسة الاجتماعية لخداع موظفي مكتب المساعدة لإعادة تعيين بيانات الاعتماد وتجاوز حماية MFA.
توجد مسارات التعافي لأن الأمور تسوء. وهذا يجعلهم أسهل مكان لاستغلال الثقة.
عندما يتم تحليل الانتهاكات بعد وقوعها، غالبًا ما يمكن إرجاع التسوية الأولية إلى حساب تم إصداره بشكل قانوني، ومحمي بواسطة MFA، ومتوافق مع السياسة. لم يكن الفشل عند تسجيل الدخول. كان الأمر يتعلق بكيفية إعادة تأسيس الهوية بعد ذلك.
لماذا تعتبر عمليات سير عمل التعافي ضعيفة من الناحية الهيكلية؟
تم تصميم عملية استرداد الحساب لتحقيق السرعة وتقليل الاحتكاك، وليس مرونة التهديدات. ونتيجة لذلك، غالبًا ما يتم بناء سير عمل الاسترداد على افتراضات لم تعد صالحة:
- الشخص الذي يطلب الوصول يتصرف بحسن نية
- الصوت أو البريد الإلكتروني أو الدردشة هي قنوات جديرة بالثقة
- توفر الأسئلة المبنية على المعرفة ضمانًا ذا مغزى
- يمكن لموظفي مكتب المساعدة اكتشاف الخداع بشكل موثوق
وكانت هذه الأجهزة هشة حتى قبل أن يبدأ المهاجمون في استخدام الذكاء الاصطناعي. اليوم، هم خرق في انتظار أن يحدث.
لم يعد انتحال الشخصية يتطلب التخمين. ومن الممكن تجميع البيانات العامة، وأوراق الاعتماد المخترقة، والأصوات المركبة، والذرائع المقنعة بسرعة وبتكلفة زهيدة. أصبحت مسارات الاسترداد التي تعتمد على الحكم البشري أو المعلومات الثابتة هي الآن المسار الأقل مقاومة.
مكتب المساعدة باعتباره سلطة الهوية
سواء أرادوا هذا الدور أم لا، تعمل فرق مكتب المساعدة كسلطات هوية فعلية. إنهم يقررون من الذي سيتم استعادة الوصول إليه، وأي المصادقين يتم إعادة تعيينهم، ومتى يتم منح الاستثناءات.
وهذا يضع موظفي الخطوط الأمامية في موقف ناكر للجميل. ويُطلب منهم التحقق من الهوية دون أدلة موثوقة، وغالبًا ما يكون ذلك تحت ضغط الوقت، وذلك باستخدام قنوات يمكن للمهاجمين التلاعب بها بسهولة.
حتى الفرق المدربة جيدًا تعاني. تساعد البرامج النصية والتدريب في مواجهة المحاولات غير المعقدة، لكنها لا تتناسب مع انتحال الشخصية المعقدة. عندما يعرف المهاجم المصطلحات الداخلية والهيكل التنظيمي والأنشطة الحديثة، يصبح من المستحيل تقريبًا اكتشاف الفرق بين الموظف الحقيقي والموظف المزيف دون دليل أقوى.
إعادة تعيين MFA تكشف عن فجوات أمان الهوية
في حين يتم نشر أسلوب MFA على نطاق واسع في العديد من المنظمات، إلا أنه يتم تنظيمه بشكل أقل صرامة أثناء فترة التعافي. في العديد من البيئات، لا تتطلب إعادة تعيين MFA أكثر من مجرد الإجابة على الأسئلة، أو النقر فوق رابط بريد إلكتروني، أو إقناع وكيل الدعم. بمجرد إعادة تعيينها، ترث عناصر التحكم النهائية تلك الثقة المخترقة.
وهذا هو السبب وراء تعرض المؤسسات لانتهاكات حيث تم “تمكين” أسلوب التمويل المتعدد الأطراف ولكنه غير فعال. التحكم موجود، لكن المسار من حوله كان أسهل من المسار من خلاله. تفقد المصادقة القوية قيمتها عندما تقوم تدفقات الاسترداد بإعادة إنشاء الثقة من البداية بدلاً من إعادة تأسيسها.
لماذا يفشل التدريب؟
عند حدوث فشل في التعافي، تكون الاستجابة الغريزية هي المزيد من التدريب والإجراءات الأكثر صرامة. تساعد هذه التدابير على الهامش، لكنها لا تعالج المشكلة الجذرية: غياب أدلة الهوية التي يمكن التحقق منها أثناء التعافي.
لا يجيد البشر اكتشاف الخداع على نطاق واسع، خاصة عندما يتحلى المهاجمون بالصبر والاستعداد والمثابرة. يؤدي انتحال الشخصية بمساعدة الذكاء الاصطناعي إلى ترجيح كفة الميزان، لأن الصوت وحده لم يعد دليلاً على الهوية.
وطالما أن التعافي يعتمد على الحكم بدلا من الأدلة، فإنه سيظل قابلا للاستغلال.
يجب أن تكون الهوية التي تم التحقق منها قابلة لإعادة الاستخدام
العيب الأساسي في معظم تصميمات التعافي هو أن ضمان الهوية يتم التعامل معه على أنه يمكن التخلص منه. يتم التحقق من الهوية أثناء الإعداد، ثم يتم التخلص منها فعليًا بمجرد إصدار بيانات الاعتماد.
عند الحاجة إلى الاسترداد، تحاول المؤسسات إعادة بناء الثقة باستخدام إشارات أضعف من تلك المستخدمة في عملية التدقيق الأصلية. هذا الانقلاب لا معنى له. لا ينبغي للتعافي أن يخفض المستوى؛ وينبغي أن تشير إلى أقوى دليل متاح على الهوية.
يجب أن يكون ضمان الهوية شيئًا يمكن للمنظمات العودة إليه بشكل موثوق. ليس شيئًا يجب إعادة إنشائه بسرعة تحت الضغط.
هذا لا يعني فرض كل عملية استرداد من خلال المراجعة اليدوية أو إضافة الاحتكاك بشكل عشوائي. فهو يتطلب ببساطة تصميم أنظمة يمكن من خلالها إعادة تأكيد الهوية التي تم التحقق منها دون الاعتماد على الذاكرة أو السرية أو الثقة في القناة.
تصميم الاسترداد لظروف الخصومة
يجب أن يتم إنشاء سير عمل الاسترداد مع افتراض أن المهاجمين سيستهدفونهم عمدًا. يبدأ ذلك بمعاملة عمليات إعادة التعيين وإعادة التسجيل كأحداث عالية الخطورة بدلاً من اعتبارها أحداثًا روتينية. يجب أن تؤدي الإجراءات الحساسة إلى تكثيف التحقق بناءً على السياق والتأثير، وليس على الملاءمة.
لا يزال من الممكن أن يظل التعافي من خلال الخدمة الذاتية موجودًا، ولكن يجب أن يحافظ على ضمان الهوية بدلاً من إضعافها. وبخلاف ذلك، تقوم المؤسسات ببساطة باستبدال مخاطر مكتب المساعدة بالمخاطر الآلية. وبنفس القدر من الأهمية، يجب أن تكون إجراءات الاسترداد قابلة للتدقيق. يجب أن تكون المنظمات قادرة على إثبات ليس فقط أنه تم استعادة الوصول، ولكن لماذا، ولمن.
وطالما ظل التعافي هو الحلقة الأضعف، سيستمر المهاجمون في تجاوز المصادقة القوية دون الحاجة إلى مهاجمتها مباشرة.
