في حادثة أمنية تكشف هشاشة البنية التحتية المصرفية الرقمية، تعرض بنك سينوباك (Bank SinoPac) التايواني لاختراق استهدف نظام معاملاته المصرفية، وأسفر عن تنفيذ 427 عملية تحويل بلغت قيمتها الإجمالية 41.76 مليون دولار تايواني جديد.
الأمر اللافت أن جميع هذه التحويلات لم تصب في حسابات المقرصنين مباشرة، بل وُجهت آليًا إلى حساب رجل مسن في السبعينات من عمره، عبر حسابه في بنك تايبيه فوبون (Taipei Fubon Bank). الرجل لم يكن على علم بأن حسابه أصبح "ممرًا" لغسل وتجميع الأموال المسروقة.
كيف انتهى الأمر بالمسن إلى قلب القضية؟
الرجل كان ضحية سابقة لعملية احتيال مالي، ولم يكن يعلم أن حسابه يُستخدم من قبل مهاجمين لغسل الأموال. لم يكتشف تورطه في القضية إلا عندما توقفت بطاقته المصرفية عن العمل، فحاول الاستفسار من موظفي البنك، ليجد نفسه في مواجهة تحقيق جنائي لم يكن طرفًا فيه.
هذا المشهد يوضح كيف يمكن لحساب ضحية قديم أن يتحول إلى أداة في جريمة أكبر دون علم صاحبه، وكيف تصبح الحسابات الشخصية المهملة أو المخترقة نقطة عبور مثالية لغسل الأموال.
ما طبيعة الهجوم؟
الهجوم لم يكن اختراقًا تقليديًا لقواعد البيانات، بل استغل خللًا بنيويًا في طريقة تعامل النظام الجديد للبنك مع صلاحيات المستخدمين وعمليات التفويض. هذا الخلل نتج عنه أخطاء فادحة في التجهيز البرمجي وضوابط التحقق.
وبحسب التفاصيل المتاحة، تعاقد البنك في منتصف أكتوبر الماضي، أي قبل أسبوعين فقط من الحادثة، مع شركة البرمجيات السويسرية أفالوك (Avaloq)، المعروفة دوليًا في القطاع المصرفي، لتشغيل منصتها المتكاملة لإدارة الثروات وتحديث البنية التحتية لمعاملاته الخارجية.
كيف نجح المهاجم في تجاوز الدفاعات؟
العملية مرت بثلاث مراحل متتالية:
- اختبار أرقام الهوية الوطنية آليًا: استغل المهاجم آلية ضعيفة في النظام تسمح بتخمين أرقام الهوية دون وجود جدار حماية يمنع الهجمات المتكررة (Rate Limiting). ركّز على الأرقام التي تبدأ بحرف "P"، إذ يبدأ رقم كل مواطن تايواني بحرف لاتيني كبير يليه 9 أرقام، مما مكنه من تحديد الحسابات النشطة بسرعة.
- تخطي مرحلة تسجيل الدخول: استغل المهاجم ثغرة في إعدادات الأمان والتكوين (Security Configuration Flaw) صممها المورد الخارجي، مما سمح له بتخطي مرحلة تسجيل الدخول الفعلي وإرسال أوامر تحويل مالي مباشرة إلى الخادم (Server-Side)، دون التحقق من وجود جلسة نشطة حقيقية للمستخدم.
- استجابة نجاح وهمية: المفاجأة الأكبر أن النظام كان يحتوي على ثغرة تقبل استجابة نجاح وهمية (Fake Success Response) من التطبيق، مما جعل الخادم يعتقد أن العميل قام بمسح وجهه بالفعل وأذن بالتحويل، حتى دون وصول أي رموز تحقق (OTP) إلى الضحايا.
هذا التسلسل يكشف أن المشكلة لم تكن في طبقة واحدة، بل في سلسلة من الثغرات التي سمحت للمهاجم بالانتقال من التخمين إلى التنفيذ دون أي عائق فعلي.
ماذا يقول البنك؟
أعلن رئيس البنك رسميًا أنهم بصدد رفع دعاوى قضائية لمطالبة المورد الخارجي، دون ذكر شركة أفالوك بالاسم، بالتعويض المالي الكامل عن الأضرار المادية وتعويضات العملاء، بالإضافة إلى الأضرار الجسيمة التي لحقت بسمعة البنك التجارية.
هذه الخطوة تعكس تحولًا في طريقة تعامل المؤسسات المالية مع حوادث الأمن السيبراني: بدلًا من تحمل المسؤولية وحدها، تتجه إلى تحميل الموردين مسؤولية الثغرات في أنظمتهم.
ماذا عن التحقيقات؟
تولت نيابة تايبيه العامة ومكتب التحقيقات الفيدرالي التايواني فحص الأكواد البرمجية وإعدادات الخوادم التي صاغها المورد، لتحديد ما إذا كان الخلل ناتجًا عن إهمال برمجي جسيم أم قرصنة متعمدة عبر ثغرة خلفية.
الفرق بين الاحتمالين جوهري: الإهمال البرمجي يعكس ضعفًا في عمليات التطوير والاختبار، أما الثغرة الخلفية المتعمدة فتعني اختراقًا في سلسلة التوريد نفسها، وهي تهمة أخطر بكثير.
ما الذي يجب الانتباه إليه؟
- سرعة الاعتماد على أنظمة جديدة: التعاقد مع مورد جديد قبل أسبوعين من الحادثة يثير تساؤلات حول كفاية الاختبارات الأمنية قبل التشغيل الكامل.
- غياب الحد من المحاولات: السماح بتخمين أرقام الهوية آليًا دون Rate Limiting ثغرة كان يمكن معالجتها بإجراءات بسيطة.
- التحقق من الجلسات: قبول الخادم لأوامر تحويل دون التحقق من جلسة نشطة حقيقية يمثل خللًا جوهريًا في منطق التفويض.
- رموز التحقق (OTP): إتمام التحويلات دون وصول رموز تحقق للضحايا يعني أن طبقة حماية أساسية كانت معطلة أو قابلة للتجاوز.
- الحسابات المهملة: استخدام حساب مسن ضحية سابقة كوسيط لغسل الأموال يبرز مخاطر الحسابات غير المراقبة.
ماذا يعني ذلك للمؤسسات المالية؟
الحادثة تقدم درسًا عمليًا للمؤسسات التي تعتمد على أنظمة موردين خارجيين:
- الاختبارات الأمنية قبل التشغيل لا تقل أهمية عن اختبارات الوظائف.
- التحقق من إعدادات الأمان والتكوين يجب أن يكون جزءًا من أي عملية تدقيق.
- وجود طبقات تحقق متعددة لا يكفي إذا كانت كل طبقة قابلة للتجاوز بشكل منفصل.
- المسؤولية القانونية عن الثغرات في أنظمة الموردين يجب أن تكون واضحة في العقود.
الخلاصة
اختراق بنك سينوباك ليس مجرد حادثة سرقة مالية، بل كشف لسلسلة ثغرات مترابطة في أنظمة حديثة الاعتماد، وفي بنية تفويض تسمح بتجاوز طبقات حماية أساسية. النتيجة لم تكن خسارة مالية فقط، بل تورط شخص بريء في قضية لم يكن طرفًا فيها، وتضرر سمعة مؤسسة مالية تعاقدت مع مورد عالمي.
السؤال الذي تنتظر الإجابة عنه الأوساط المصرفية الآن: هل ستثبت التحقيقات إهمالًا برمجيًا، أم ثغرة خلفية متعمدة؟ والإجابة ستحدد ليس فقط مصير الدعاوى القضائية، بل مستقبل الثقة في أنظمة الموردين الخارجيين.
المصدر: صفحة هكر نيوز
