القراصنة وصناعة الجريمة الإلكترونية 
تاماس غيدوش

أصبحت الجريمة الإلكترونية الآن صناعة ناضجة تقوم على مبادئ تتشابه كثيرا مع مبادئ الأعمال المشروعة سعيا إلى تحقيق الربح. ومكافحة انتشار الجريمة الإلكترونية تعني إعاقة نموذج أعمال يستخدم أدوات سهلة الاستخدام لتوليد أرباح عالية بمخاطر منخفضة.

وقد ولت منذ زمن بعيد أسطورة القراصنة الفرديين الذين ظهروا في أواخر ثمانينيات القرن الماضي، الذين كان تباهيهم بمهاراتهم المتقدمة جدا في استخدام الكمبيوتر هو السبب الرئيس لاقتحام أجهزة كمبيوتر الآخرين. وأدى التحول إلى تحقيق الربح، الذي بدأ في تسعينيات القرن الماضي، يسيطر تدريجيا على ساحة القرصنة لإنشاء صناعة الجريمة الإلكترونية التي نعرفها اليوم، التي تتميز بجميع سمات الأعمال العادية، بما في ذلك الأسواق والتبادلات والمشغلون المتخصصون ومقدمو الخدمات الخارجيون وسلاسل الإمداد المتكاملة، وما إلى ذلك. واستخدم عديد من الدول التكنولوجيا نفسها لتطوير أسلحة إلكترونية عالية الفعالية لجمع المعلومات الاستخباراتية والتجسس الصناعي وتعطيل البنى التحتية الضعيفة للأعداء.

انتشرت الجريمة الإلكترونية على الرغم من أن العدد المتاح من المتخصصين ذوي المهارات العالية لم يواكب وتيرة زيادة التقدم التقني المطلوب لنجاح القرصنة المربحة والإفلات من العقاب. وقد أدى تطور الأدوات والتشغيل الآلي إلى سد هذه الفجوة. فقد تطورت أدوات القرصنة تطورا هائلا على مدى العقدين الماضيين. ففي تسعينيات القرن الماضي، انتشر في المهنة ما يطلق عليه اسم اختبار الاختراق من أجل إيجاد مواطن ضعف في أي نظام حاسوبي.

وكانت معظم الأدوات المتاحة في ذلك الوقت بسيطة، وكثيرا ما كانت مصممة لغرض بعينه، ويتطلب استخدامها معرفة كبيرة بالبرمجة وبروتوكولات الشبكات والخصائص الداخلية لنظم التشغيل وغيرها من الموضوعات الأخرى التقنية للغاية. ونتيجة لذلك، لم يكن بوسع إلا عددا قليلا من المهنيين اكتشاف مواطن ضعف يمكن استغلالها والاستفادة منها. ومع تحسن الأدوات وزيادة السهولة في استخدامها، بدأ الشباب الأقل مهارة لكن الأكثر حماسا ــــ الذين يطلق عليهم الاسم الساخر “أطفال البرمجيات” في استخدام تلك الأدوات بنجاح إلى حد ما. والآن، أصبح إطلاق عملية التصيد الاحتيالي ــــ أي الممارسة الاحتيالية المتمثلة في إرسال بريد إلكتروني يبدو من مرسِل موثوق به لخداع الناس، حيث يكشفون عن معلومات سرية ـــ لا يتطلب إلا فهما بسيطا للمفاهيم والاستعداد وبعض الأموال النقدية.

فقد أصبحت القرصنة سهلة التنفيذ. ومن الصعب للغاية تحديد حجم المخاطر الإلكترونية من الناحية الكمية. فبيانات الخسارة شحيحة وغير موثوقة، ويرجع ذلك في جزء منه إلى ضعف الحافز على الإبلاغ عن خسائر الجرائم الإلكترونية، ولا سيما إذا لم تؤد الحادثة إلى تصدر عناوين الأخبار، أو إذا لم يكن هناك تأمين يغطي الخسائر الإلكترونية. ويجعل الطابع المتطور بسرعة لتهديدات البيانات التاريخية أقل أهمية في توقع الخسائر في المستقبل. وتؤدي النماذج القائمة على السيناريوهات التي تحسب تكاليف الحوادث المحددة جيدا التي تؤثر في بعض الاقتصادات إلى تقديرات تصل إلى عشرات أو مئات المليارات من الدولارات. وتشير تقديرات شركة لويدز القائمة في لندن إلى أن خسائر انقطاع الخدمة السحابية لمدة يومين ونصف إلى ثلاثة أيام في الاقتصادات المتقدمة قدرها 53.05 مليار دولار.

وتشير عملية إعداد النماذج في الصندوق إلى أن الخسائر الإجمالية السنوية تبلغ في الحالة الأساسية 97 مليار دولار في المتوسط، وتصل في سيناريو أسوأ الحالات إلى نحو 250 مليار دولار. عادة ما تكون الجريمة في العالم المادي ـــ بهدف كسب المال ــــ مدفوعة بمجرد تحقيق ربح أكبر من الذي تحققه الأعمال المشروعة، وهو ما يراه المجرمون كتعويض على تحمل المخاطر العالية. وفي عالم الجريمة الإلكترونية، يمكن تحقيق أرباح مماثلة أو أعلى بمخاطر أقل بكثير: احتمال أقل أن يتم إلقاء القبض عليك ونجاح محاكمتك وتقريبا لا توجد مخاطر إطلاق النار عليك. وتشير التقديرات إلى أن أرباح التصيد الاحتيالي تصل إلى مئات أو حتى أكثر من ألف نقطة مئوية. ولا يمكن أن نتوقع إلا الأرباح الناجمة عن سرقة الملكية الفكرية التي ترتكبها الجهات الأكثر تطورا التي تطلق التهديدات الإلكترونية. إلا أن الأساسيات مماثلة: تنشئ الأدوات الفعالة والنسبة الضخمة للمخاطر إلى المكافأة حالة مقنعة، وتفسر في النهاية الزيادة الحادة في الجريمة الإلكترونية وتحولها إلى صناعة.

وتؤدي الجريمة الإلكترونية إلى مخاطر نظامية في كثير من الصناعات. وبينما تتأثر الصناعات المختلفة بطرق مختلفة، فمن المرجح أن تكون أكثر الصناعات عرضة للجريمة الإلكترونية هي القطاع المالي. وهناك تهديد جديد نسبيا من القائمين بالهجمات بدافع التدمير. فعندما يسعون إلى زعزعة استقرار النظام المالي، فإنهم ينظرون إلى أكثر الأهداف الواعدة. وتعتبر البنية التحتية للسوق المالية هي الأكثر ضعفا بسبب دورها المحوري في الأسواق المالية العالمية. ونظرا إلى اعتماد القطاع المالي على مجموعة صغيرة نسبيا من النظم التقنية، يمكن أن تنتشر التأثيرات غير المباشرة الناتجة عن التخلف أو التأخر عن السداد بسبب نجاح الهجمات، ما يمكن أن تكون له انعكاسات على النظام نفسه. وبالنظر إلى الارتباط المتأصل بين المشاركين في القطاع المالي، فإن انقطاع نظم المدفوعات أو المقاصة أو التسوية ــــ أو سرقة المعلومات السرية ــــ يمكن أن يسفر عن تداعيات واسعة النطاق ويهدد الاستقرار المالي.

ولحسن الحظ، فإننا لم نشهد حتى الآن هجمة إلكترونية أثرت في النظام بأكمله. غير أن قلق صناع السياسات والهيئات التنظيمية للقطاع المالي آخذ في الازدياد في ضوء الحوادث التي وقعت في الفترة الأخيرة التي عطلت عمل شبكات أجهزة الصرف الآلي، والهجمات التي وقعت ضد النظم المالية القائمة على الإنترنت والبنوك المركزية ونظم المدفوعات…

اعتمد القطاع المالي على تكنولوجيا المعلومات عقودا، واحتفظ على مر التاريخ ببيئات قوية لضوابط تكنولوجيات المعلومات المفروضة بموجب القواعد التنظيمية. وبينما قد يكون القطاع المالي الأكثر عرضة للهجمات الإلكترونية، فإن هذه الهجمات تنطوي أيضا على زيادة المخاطر للمجرمين الإلكترونيين، ويرجع ذلك في جزء منه إلى زيادة الاهتمام من جانب القائمين بإنفاذ القانون “شأنها شأن سرقات المصارف بالطريقة القديمة”. ويقوم القطاع المالي أيضا بعمل أفضل في مجال دعم إنفاذ القانون – على سبيل المثال – عن طريق الاحتفاظ بسجلات كثيرة مفيدة في التحقيقات الجنائية. ويمكن أن تؤدي الميزانيات الكبيرة في كثير من الأحيان إلى حلول فعالة بشأن الأمن الإلكتروني، التي “من الاستثناءات البارزة أخيرا شركة يقال إن القرصنة التي تعرضت لها كانت نتيجة القواعد التنظيمية الإلكترونية التي لم تكن متناسبة مع المخاطر التي تتعرض لها”.

ويختلف الوضع في مجال الرعاية الصحية. فباستثناء أغنى الدول، عادة ما يفتقر قطاع الرعاية الصحية إلى الموارد اللازمة للدفاع الإلكتروني الفعال. ويتضح ذلك مثلا من الهجمات ببرمجيات طلب الفدية، التي حدثت هذا العام واستهدفت نظم الحاسوب في شركة السجلات الصحية الإلكترونية Allscripts ومستشفيين إقليميين في الولايات المتحدة. وعلى الرغم من أن قطاع الرعاية الصحية يخضع أيضا إلى تنظيم شديد وقواعد صارمة بشأن حماية البيانات، فإنه لم يعتمد على تكنولوجيا المعلومات بالقدر نفسه، الذي اعتمد عليه القطاع المالي، وبالتالي لم تتطور فيه ثقافة الضوابط الصارمة نفسها بشأن تكنولوجيا المعلومات، وهذا ما يجعل أيضا قطاع الرعاية الصحية أكثر عرضة للاختراقات الإلكترونية. والأكثر مدعاة للقلق إزاء هذا الضعف هو أنه على خلاف القطاع المالي، يمكن أن تفقد الأرواح إذا ضرب القائمون بالهجمات نظم الحاسوب التي تعمل على الحفاظ على الحياة.

ويشار كثيرا إلى قطاع المرافق، خاصة شبكات الكهرباء والاتصالات، على أنه القطاع التالي الذي يمكن أن تكون للهجمات الإلكترونية واسعة النطاق عواقب وخيمة عليه. غير أن الشاغل الرئيس في هذه الحالة هو تعطيل النظم أو اختراقها من جانب الدول المتنافسة، إما بطريقة مباشرة أو من خلال منظمات بديلة. وعلى النحو الذي أظهره المثال الشهير للهجمة الضخمة على البنية التحتية للإنترنت في إستونيا عام 2007، التي عطلت الخدمات المالية ووسائل الإعلام والوكالات الحكومية القائمة على الإنترنت، كلما كان الاقتصاد متقدما وقائما على الإنترنت، يمكن أن تكون الهجمات الإلكترونية مدمرة. وإستونيا من أكثر المجتمعات “إستونيا الإلكترونية تنطلق” الرقمية في العالم.

إذا تعرضت البنية التحتية الحيوية – مثلا شبكات الطاقة أو الاتصالات أو النقل – لهجمة، أو أدت هجمة ما إلى تعطيل الحكومة عن تحصيل الضرائب أو تقديم الخدمات الضرورية، يمكن أن تلي ذلك اضطرابات كبرى ذات انعكاسات نظامية اقتصادية، ومن المحتمل أن يؤدي ذلك إلى أخطار على الصحة العامة والأمن. وفي مثل هذه الحالات، يمكن أن تتجاوز المخاطر الإجمالية التي يتعرض لها الاقتصاد العالمي مجموع المخاطر الفردية؛ بسبب الطابع العالمي لشبكات ومنصات تكنولوجيا المعلومات، أو الطابع الوطني لهياكل الاستجابة، أو التعاون غير الفعال على المستوى الدولي، أو حتى وجود دول بين مرتكبي الهجمات.

والتعاون الدولي في مجال مكافحة الجريمة الإلكترونية والملاحقة القضائية لمرتكبيها يتأخر كثيرا عن الطابع العالمي للتهديد. وأفضل طريقة لمكافحة الجريمة الإلكترونية تتمثل في الهجوم على نموذج أعمالها، الذي يعتمد على النسبة الضخمة للمخاطر إلى المكاسب، التي تصاحبها الملاحقة القضائية غير الفعالة. وفي هذا السياق، يجب رفع مخاطر أعمال الجريمة الإلكترونية بشكل كبير، لكن هذا غير ممكن إلا بتعاون دولي أفضل.

ويمكن أن تمتد عمليات الجرائم الإلكترونية عبر كثير من مناطق الاختصاص، ما يجعل من الصعب مكافحتها وملاحقة مرتكبيها. وتكون بعض مناطق الاختصاص بطيئة أو غير فعالة أو غير متعاونة في مكافحة الجريمة الإلكترونية. والتعاون الأكثر قوة يزيد من سرعة تتبع المشتبه بهم، وتوجيه التهم إليهم، وأن يجعل التتبع أكثر فعالية. وفي القطاع المالي، طورت الهيئات التنظيمية معايير محددة للتقييم، ووضعت توقعات ومعايير مرجعية قابلة للإنفاذ، وشجعت تبادل المعلومات والتعاون بين الشركات والهيئات التنظيمية. وتضطلع الهيئات التنظيمية المعنية بالمصارف بفحوص تكنولوجيا المعلومات، التي تدمج مدى استعداد الأمن الإلكتروني في اختبارات القدرة على تحمل الضغوط، وتخطيط عمليات التسوية، والسلامة والرقابة السليمة. وتقتضي بعض الهيئات التنظيمية إجراء عمليات محاكاة للهجمات الإلكترونية، تكون مصممة تحديدا لكل شركة، استنادا إلى معلومات وخبرة من الحكومة أو القطاع الخاص، لتحديد القدرة على الصمود أمام أي هجمة. ورفعت الشركات أيضا الاستثمارات في مجال الأمن الإلكتروني، وأدمجت الاستعداد للهجمات الإلكترونية في إدارة المخاطر. وإضافة إلى ذلك، لجأت بعض الشركات إلى تحويل بعض المخاطر عن طريق التأمين الإلكتروني.

ولا تزال ساحة الأمن الإلكتروني الحالية متفاوتة ولا مركزية، ويتم التعامل مع المخاطر أساسا على أنها مشاكل فردية محلية. وهناك بعض آليات التعاون، حيث تضاعف الحكومات والهيئات التنظيمية جهودها، لكن يُحدد اختيار الأمن – كل بمفرده – الإلكتروني إلى حد كبير بالحاجة المؤسسية، ويجب أن يتغير هذا الوضع لبناء القدرة على مواجهة المخاطر الإلكترونية عموما. وهناك حاجة إلى تدابير وقائية قوية على مستوى القواعد التنظيمية، وعلى المستوى التكنولوجي، وعبر الصناعات. ومن أهم هذه التدابير الالتزام بحد أدنى من معايير الأمن الإلكتروني، التي تنفذها الهيئات التنظيمية بشكل منسق. وسيساعد التدريب على زيادة الوعي بالأمن الإلكتروني في الدفاع ضد مواطن الضعف التقنية الأساسية، وأخطاء المستخدمين التي تشكل مصدر معظم الاختراقات.

ويبدو أنه لا مفر من الهجمات الإلكترونية واختراقات الأمن الإلكتروني، ولذا علينا أن نركز أيضا على سرعة اكتشافنا للاختراقات، ومدى فعالية استجابتنا، والسرعة التي نعيد بها العمليات إلى مسارها الطبيعي.

إعادة نشر بواسطة محاماة نت