الهاكر الطيب "إحراز أحمد".. تعرف على روبن هود الهند

اخترق إحراز أحمد أجهزة 50 شركة كبيرة، وكان في عمر 16 عاما، يعيل عائلته من العمل في سوق الأوراق المالية وأسواق الصرف الأجنبي. ويعمل أحمد حاليا كـ"مخترق أبيض"، حيث يساعدنا جميعًا على البقاء في مأمن من مخاطر العالم السيبراني.

في صباح أحد أيام الثلاثاء في ديسمبر/كانون الأول من العام الماضي، أدرك إحراز أحمد، الذي يبلغ حاليا 24 عامًا، مرة أخرى أنه لا يوجد أي تطبيق على هاتفه لم يتمكن من اختراقه في السابق.

ومن منطلق اهتمامه بخصوصية الملايين من الأشخاص الذين يستخدمون هذه التطبيقات على الإنترنت، قرر أحمد النظر بنفسه في شبكة الهاتف المحمول "إيرتل"، التي تقدم خدمات إنترنت لحوالي 325 مليون مستخدم في الهند.

يعمل أحمد حاليا باحثا في أمن الشبكات بمدينة مايسورو في الهند، البلد التي تضم ما يقارب 700 مليون مستخدم للإنترنت. كان أحمد يعمل على اكتشاف الثغرات الأمنية في الشركات على الإنترنت -بما في ذلك مواقع عمالقة التكنولوجيا في العالم مثل مايكروسوفت (Microsoft) وآبل (Apple) ونتفليكس (Netflix)- منذ أن كان عمره 16 عامًا فقط.

ما اكتشفه أحمد عندما فحص نظام أمان "إيرتل" كان صادمًا، حتى بالنسبة له. في غضون 15 دقيقة فقط، مسلحًا برقم هاتف عادي، تمكن من الوصول إلى معلومات حساسة مثل عناوين المنازل وعناوين البريد الإلكتروني وتواريخ الميلاد وأرقام الهوية الدولية للأجهزة المتنقلة (IMEI) للعملاء، والذي يعد بمثابة معرف رقمي فريد لكل جهاز محمول.

وقد اكتشف إحراز أن المشكلة تكمن في إحدى واجهات برمجة تطبيقات الشركة التي يستخدمها البرنامج للوصول إلى البيانات أو برامج الخادم أو التطبيقات الأخرى، ولهذا قرر أحمد التواصل مع الشركة، وهي ثاني أكبر شركة اتصالات في الهند، من أجل دعوتها إلى اتخاذ الإجراءات اللازمة، كما حذّر وسائل الإعلام من مثل هذه الثغرات.

انتداب قراصنة "أخلاقيين"

يعتبر أحمد من الفئة الجديدة من "القراصنة الأخلاقيين"، أو حراس أمن الإنترنت، الذين يقولون إنهم أخذوا على عاتقهم حماية المستخدمين من الاحتيال عبر الإنترنت، ويعتبر أحمد أن هذه المهنة من الوظائف التي تخدم المجتمع.

ويوضح "كنت قلقًا بشأن خصوصية المستخدمين، لذلك قررت البدء باختبار أمان التطبيقات المثبتة على هاتفي. لاحقًا ذهبت إلى أبعد من ذلك لفحص تطبيق شبكة الاتصالات".

أحد حراس العالم الرقمي

يعتبر أحمد من الأشخاص المولعين باكتشاف العيوب الأمنية وحذفها. في هذا السياق، يشير أحمد إلى أنه "منذ سن مبكرة، استمتعت بكوني مرشدًا يمكنه توجيه أولئك الذين يطلبون المساعدة في إيجاد حلول للمشاكل الإلكترونية. من الشركات الصغيرة والمتوسطة، إلى الشركات الكبيرة، على غرار لينكد إن، شغفي هو تقديم حلول أمنية في العالم الرقمي".

كما يقدم أحمد خدماته للشركات التي لا يعمل معها ويكتشف فيها مشكلات أمنية، مثلما حدث مع شركة "لينكد إن" مؤخرا. في هذا الإطار، يؤكد أحمد "لقد ساعدت لينكد إن من خلال الإبلاغ عن ثغرة أمنية على موقعها على الويب. وتلقيت رسالة منهم تشكرني على مساعدتهم".

ويوضح "أحاول أن أجد الثغرات الأمنية في الشركات التي تقدم خدمات عامة والتي تمتلك قاعدة مستخدمين كبيرة، حيث يمكن أن يستغل القراصنة البيانات المسربة في الهندسة الاجتماعية والوصول إلى البيانات الخاصة للأشخاص، على غرار المعلومات البنكية أو كلمات المرور أو العناوين البريدية".

ويضيف أحمد "يمكن أن يستغرق إصلاح هذه الثغرات ساعات أو أياما إذا كانت معقدة. وإذا لم تنتبه الشركات لوجودها، يمكن للقراصنة إحداث أضرار جسيمة".

ويقول إنه لم يتلق أي مقابل من الشركات التي ساعدها على اكتشاف ثغراتها الأمنية في السنوات الأخيرة (تلك التي ليست من بين عملائه). غالبًا ما يحصل على إقرار أو رسالة شكر من الشركات. وفي حالات أخرى، تنكر بعض الشركات وجود أي ثغرات في تطبيقاتها.

وبحسب أحمد "يبحث صائدو المكافآت عن الثغرات الأمنية ليحصلوا على أجر من الشركات، لكن هدفي هو مساعدة الشركات في إصلاح عيوبها الأمنية فحسب، دون توقع أي مقابل مادي".

إلى جانب هذه النشاطات الخيرية، يعمل أحمد مديرا تنفيذيا، وقد أسس 3 شركات؛ هي "فوكسي ويلث مانجمنت" (Voxy Wealth Management)، وهي شركة أبحاث مالية تقدم استشارات لمحللي السوق والتجار، و"أسبايرهايف" (Aspirehive)، التي تقدم خدمات أمنية على الإنترنت، و"ستاكنيكسو" (StackNexo)، التي تقدم خدمات إدارة مواقع الويب والبيانات.

من خلال أسبايرهايف، يستخدم أحمد برنامجًا لفحص مواقع الويب الخاصة بعملائه وتطبيقات الهاتف المحمول بحثًا عن أي ثغرات أمنية. في سياق متصل، يوضح أحمد أنه "من الجيد دائمًا اتخاذ الاحتياطات وإصلاح العيوب قبل أن يتمكن المتسللون من استغلالها، فلقد كانت الثغرة الأكثر انتشارا التي تمكن من العثور عليها في عام 2019 هي عملية تسريب بيانات كانت من الممكن أن تؤدي إلى اختراق بيانات 700 مليون مستخدم في المجموع، عبر حوالي 150 شركة.

إجمالا، قامت حوالي ألف شركة بتوظيف شركة "أسبايرهايف" لمساعدتها على تأمين أنظمتها الإلكترونية ضدّ المخترقين.

البدء مبكرا

نشأ أحمد في مايسورو، في ولاية كارناتاكا الهندية، وقد كان مولعا بألعاب الحاسوب مثل "كاونتر سترايك"، وتقول والدته "كان إحراز من الأطفال الذين يفضّلون البقاء بمفردهم عندما كان الآخرون يدعونه للخروج للعب الكريكيت وكرة القدم. اعتاد أن يختلق الأعذار لممارسة ألعاب الفيديو على جهاز الحاسوب الخاص به. لقد كان فضوليا ومغرما بألعاب الحاسوب منذ أن كان في سنّ العاشرة".

أسّس أحمد شركة استضافة خوادم الألعاب الخاصة به في سن الرابعة عشرة، والتي وسّعها لاحقا لتوفير مساحة استضافة أو بيع أو استئجار مواقع الويب على الخوادم، حيث يمكن للعملاء تخزين الملفات لدعم مواقعهم على الإنترنت.

يقول والداه إنهما فوجئا بمواهبه في ريادة الأعمال ولم يكونا على دراية بما كان يعمل على تحقيقه عندما كان مراهقا، مضيفين: "لقد علمنا لأوّل مرة عن شركته التي أسّسها عندما قرّر الانقطاع عن دراسة الهندسة في الجامعة. وحتى ذلك الحين، لم نكن نعلم ما يخطّط له".

الطفل النابغة في عالم المال

في عام 2010، تعرض شقيق أحمد الأكبر، أومراز، البالغ من العمر 28 عاما، لحادث دراجة نارية غيّرت حياته وتسبّب في قلب حياة أحمد رأسا على عقب. كافحت الأسرة لدفع تكاليف العلاج في المستشفى واضطر والداه إلى قضاء بعض الوقت بعيدا عن العمل لمساعدة شقيقه على التعافي. وبسبب الحادث، أصبحت الأسرة تعيش ضائقة مالية.

في تلك المرحلة، قرر أحمد توسيع شركة استضافة خوادم الألعاب الخاصة به لتوفير خدمات استضافة الويب. وبعد عامين، أصيب والده بنوبة قلبية في سن 48 وتعافى، لكن الوضع المالي للأسرة أصبح أكثر سوءا.

في سنّ السادسة عشرة، أشاد الناس بنجاحه في إيجاد ثغرات أمنية في 50 شركة على مدار 12 شهرا بين عامي 2013 و2014، بما في ذلك شركات مايكروسوفت وآبل وأدوبي وبلاك بيري وساوند كلاود ونتفليكس، التي رحّبت جميعها بالمساعدة التي قدّمها أحمد. ويقول "كنت أتواصل مع هذه الشركات عبر البريد الإلكتروني لإثبات الثغرات الأمنية. وبعد إصلاح الخلل، كانوا يعترفون بجهودنا من خلال إضافة أسمائنا إلى صفحة قاعة المشاهير الخاصة بهم".

بالنسبة لشخص لم يكمل دراسة البكالوريوس في الهندسة وعلوم الحاسوب في جامعة "بي إي آس" في بنغالور، في عام 2017، تمكّن أحمد في المقابل من تحقيق أشياء رائعة. في سن العشرين، أسّس أحمد شركته للتكنولوجيا المالية "فوكسي ويلث مانجمنت"، التي توفر منصة للمتداولين والمحللين الماليين للبحث في الأسواق المالية. تساعد منصة الويب الأشخاص على إدارة ومتابعة جميع أسهمهم، كما تقدم لهم المشورة اليومية من المحللين الماليين. وبين عامي 2017 و2019، أسس شركتيه الناشئتين، "أسبايرهايف" و"ستاكنيكسو".

الاصطياد بالرمح

يجلس أحمد في مكتبه في مايسورو، وهي مدينة صغيرة في ولاية كارناتاكا جنوب غرب الهند، موضحا أن القراصنة يعملون باستمرار على تطوير أساليب جديدة لاختراق التدابير الأمنية لشركات الإنترنت. ويقول "في السنوات القليلة الماضية، تجلّى نمط واضح لاختراق حسابات تويتر. لقد بات القراصنة يستخدمون أساليب معقدة للغاية في الهندسة الاجتماعية".

مضيفا أنه "في حالات باراك أوباما وإيلون ماسك وبيل غيتس، استخدم القراصنة مدخل "الباب الخلفي" لاستهداف موظفي تويتر، وبذلك وصلوا إلى هذه الحسابات الشخصية".

عموما، يرسل المتسللون بريدا إلكترونيا يبدو عليه الشرعية لموظفي الشركات التي تتعامل مع حسابات التواصل الاجتماعي لشخصيات مشهورة، حيث يطلب نصه ملء نموذج يوفر معلومات حساسة ليستطيعوا الوصول إليها.

في حالات أخرى -كما حدث مع رئيس الوزراء الهندي مودي- استخدموا ثغرة أمنية في موقع إلكتروني لتسجيل الدخول إلى حساب تويتر متصل بالموقع. ويوضح أحمد أن "هذا شكل من أشكال (الاصطياد بالرمح)، وقد ثبتت الفعالية العالية لهذه الهجمات غير المباشرة في اختراق الجدران الأمنية للشركات الكبرى".

بمجرد اختراق القرصان لهذه الجدران والوصول إلى أنظمة الشركة، يصبح من السهل عليه الاستيلاء على حسابات المستخدمين، وتشغيل جميع الميزات الخاصة بالجهات الإدارية على الموقع. كما يمكنهم إرسال رسائل بريد إلكتروني تطالب المستخدمين بتغيير كلمات المرور الخاصة بهم، أو يبلغهم بأنهم أصبحوا مؤهلين للحصول على "قسيمة خصم".

يؤدي هذا البريد الإلكتروني إلى رابط ضار يحتوي على نموذج لملء المعلومات الحساسة مثل كلمات المرور وعناوين البريد الإلكتروني، مما يمكّن القراصنة من الوصول إلى حسابات المستخدمين. ويمكن لموظفي الإدارة في الشركات أن يقعوا فريسة لمثل هذه الحيل، لأنها مقنعة للغاية.

يشير أحمد إلى أن "المهاجمين يتظاهرون بأنهم جهة فاعلة شرعية للحصول على التفاصيل المطلوبة، بغية الوصول بعد ذلك إلى نظام التحكم في الشركة. ولا يوجد برنامج يمكنه منع ذلك حقا، إذ لا توجد وسيلة للحماية التامة من الخطأ البشري". مضيفا أن "القراصنة يقومون بإجراء بحوث مكثفة في حسابات الموظفين الشخصية والأنظمة الداخلية التي يستخدمونها".

فضلا عن ذلك، يقول أحمد إن ثقافة اختصار الطرق وإجراءات الأمن الإلكتروني المتساهلة في الهند قد ساعدت هذا الانتشار، مؤكدا أن "الشركات جشعة للغاية. إنهم بحاجة إلى التركيز بقدر أكبر على البنية التحتية بدلاً من الاكتفاء بمحاولات التوسع. إنهم لا يتخذون الاحتياطات اللازمة لمنع أي كوارث محتملة".

كارثة وشيكة

ويقول أحمد إنه عثر على ثغرة أمنية في شركة هندية تسمى "ليزي باي"، والتي كان من الممكن أن تسمح للقراصنة بالوصول إلى المعلومات الشخصية للمستخدمين، بما في ذلك تفاصيل بطاقة الائتمان الخاصة بهم. وتعدّ "ليزي باي" تطبيق ائتمان فوريا يسمح للمستخدمين الذين يزيد عددهم على المليون شخص بدفع فواتيرهم.

على موقعها الإلكتروني، تصف "بايو" التي تمتلك "ليزي باي" بأنها "بوابة الدفع الرائدة في الهند" حيث يستخدمها أكثر من 450 ألف شركة. يقول أحمد "عند اكتشاف الخلل، قمت بالتواصل مع الشركة عبر البريد الإلكتروني وأقروا بالثغرة، واستغرق الأمر بضع ساعات لإصلاحه"، وانتهى الأمر بخير.

وقد ظهرت حالة أخرى للعلن مع شركة "تروكولر"، وهي شركة توفر تطبيقا هاتفيا بإمكانه عرض أسماء المتصلين في حالة استخدامهم رقما مخفيا. وغالبا ما يستخدمه الأشخاص الذين يواجهون المضايقات أو الذين يحاولون حجب المكالمات المسيئة.

يقول أحمد إنه وجد عيبين في نظام التحقق المكون من خطوتين في "تروكولر" والذي كان من الممكن أن يسمح للقراصنة بالدخول إلى النظام والوصول إلى معلومات المستخدمين في عام 2019. عثر على الخلل الأول في 21 أغسطس/آب 2019، ووجد الثاني في 23 نوفمبر/تشرين الثاني من العام ذاته. يضيف أحمد أنه تواصل مع الشركة عبر البريد الإلكتروني بشأن الثغرة الأولى في أغسطس/آب، لكنه ذهب مباشرة إلى وسائل الإعلام عند اكتشاف الثغرة الثانية.

بعد ذلك، صرحت "تروكولر" بأنها حققت في المشكلة وأنه قد تم إصلاح الخلل، وذلك في بيان صدر عنها في نوفمبر/تشرين الثاني، وجاء فيه "تم لفت انتباهنا مؤخرًا إلى وجود خطأ صغير في خدمات التطبيقات لدينا مما سمح بتعديل ملف التعريف الخاص بالفرد بطريقة غير مقصودة. نشكر الباحث الأمني لإبلاغنا بذلك والتعاون معنا. لقد تم إصلاح الخلل على الفور".

قضية ملحة

ومع ذلك، فإن الشركات الأخرى التي تواصل معها أحمد بعد اكتشاف ثغرات أمنية مماثلة لم تتصرف بهذه السرعة. يقول أحمد "إذا حددنا وجود خلل ما، فقد يكون من الصعب للغاية بالنسبة لنا إصلاحه، لأن الشركات ترفض الاعتراف ولا تريد أن تظهر في الأخبار". وحسب خبرته، سوف تبذل بعض الشركات جهودا كبيرة حتى لا تظهر للعلن.

في بعض المناسبات، تجاهلت الشركات الثغرات التي تم تحديدها أو محاولة إصلاحها دون الاعتراف بالمشكلة لتجنب الإحراج وردود الفعل العكسية من العملاء. وأوضح أحمد أن "الشركات تستخدم أحيانا حسابات "جي ميل" (Gmail) مزيفة للتواصل مع مخترقين أخلاقيين مثلي، من أجل الحصول على معلومات من المخترق الأخلاقي بشكل سري حتى لا يكشفوا عن المشكلة علنا في وقت لاحق. بالنسبة لي، هذا يُظهر أن الشركات تعطي مرارا وتكرارا الأولوية للربح على حساب خصوصية الأشخاص".

وفي حالة حدثت مؤخرا، تم استخدام شركة هندية غير معروفة من دلهي لتنفيذ عمليات تجسس إلكترونية تستهدف المستثمرين والمسؤولين الحكوميين والنشطاء في جميع أنحاء العالم. وقد عرضت شركة تكنولوجيا المعلومات الهندية خدمات قرصنة لمساعدة العملاء على التجسس على أكثر من 10 آلاف حساب بريد إلكتروني على مدار 7 أعوام.

تظهر مثل هذه الحوادث أن الأمن السيبراني أصبح مسألة ملحة يجب معالجتها، وذلك على حد تعبير الخبراء مثل أحمد. ويُضيف أحمد "توجد مثل هذه الشركات للأسف في بلدنا، خاصة حيث تتجمع مراكز تكنولوجيا المعلومات في المدن الكبرى مثل مومباي ونيودلهي وغوجارات".

قوانين قيد الصياغة

على الرغم من اللوائح الجديدة، فإن تقرير الولايات المتحدة حول جرائم الإنترنت في عام 2019، الصادر عن مركز شكاوى جرائم الإنترنت التابع لمكتب التحقيقات الفدرالي، كشف أن الهند تحتل المرتبة الثالثة في العالم من حيث عدد ضحايا جرائم الإنترنت.

يقول أحمد إنه "يتعيّن على الشركات أن تستثمر أكثر في البنية التحتية الأمنية. ولا ينبغي تأجيل مسألة أمن البيانات، بل يجب أن تكون أولوية، خاصة أن المزيد من الأشخاص يبحرون عبر الإنترنت لتلبية جميع احتياجاتهم اليومية".

ومن أجل منع الاختراقات التي تحدث على تويتر مثلا، يقول أحمد إنه "يجب على الشركات إجراء تدريب دوري، لأن الموظفين ليسوا مدربين على اكتشاف عمليات الاحتيال. ثانيا، يتعين على الشركات أن تقيّد من له الحق في الوصول إلى لوحات التحكم الخاصة بها، ثم يتعيّن عليها السماح باستخدام شبكة الشركات الخاصة فقط للوصول إلى هذا النظام. كما ينبغي أن تلتزم عناوين بروتوكول الإنترنت المستخدمة للوصول إلى لوحات التحكم الخاصة بالشركات الحساسة بالبروتوكولات الصارمة.

ويرى أحمد أن "أفضل الممارسات في هذه الصناعة تُظهر أن أفضل دفاع ضد الخداع الإلكتروني هو موظفو الشركة، فهذا من شأنه أن يمنع المخترقين من الاحتيال واستخدام الثغرات البشرية".