يمثّل الاختراق الأخير لمركز السجلات الحكومية في ليتوانيا، والذي تسبب في كشف أكثر من 600,000 سجل بيانات وطني، تصعيدًا كبيرًا في العمليات السيبرانية التي ترعاها الدول. وبينما اعتبر معظم المحللين والوسائل الإعلامية هذا الحدث مجرد تسريب عادي لقاعدة بيانات، إلا أن التحليل الأعمق يكشف عن عملية جمع معلومات استخباراتية متطورة ومستهدفة للغاية.

كان هذا الهجوم بعيدًا كل البعد عن كونه هجوم القوة الضاربة (brute-force) أو استغلالًا للفدية. بل كان إساءة استخدام خبيثة للبنية التحتية الموثوقة الموجهة للمواطنين والشركات، وذلك بهدف رسم الخرائط البشرية والجغرافية لدولة تقع على خط المواجهة في حلف الناتو. وعند وضع هذا الهجوم في جدول زمني أوسع يغطي الهجمات السيبرانية الروسية على دول البلطيق، يظهر نمط أكثر خطورة من الاستمرارية. وبينما كانت الهجمات الأولية من قبل الجهات الفاعلة التابعة للدولة الروسية تهدف إلى إرسال رسالة، فإن الهجمات الحالية تهدف إلى استخراج البيانات واستخدام المعلومات لشن هجمات ثانوية ومراقبة المواطنين.

قد تشمل البيانات المسروقة ما يلي:

• الشركات،

• سجلات العقارات،

• السجلات المرتبطة المكررة،

• البيانات التاريخية،

• الكيانات القانونية،

• كائنات البيانات الوصفية (Metadata).

منشور المدونة اليوم هو تحليل مفصل لهذا الحادث. لقد حاولت تسليط الضوء على الحقائق التكتيكية والتحولات الجيوسياسية التي غالبًا ما تتجاهلها التقارير الإعلامية وتحليلات المحللين التقليدية، مع وضع هذا الهجوم ضمن سلسلة من الهجمات التي نسقتها جهات تهديد روسية على مدار العقد الماضي.  

قبل أن نمضي قدمًا، لا تنسَ الاطلاع على منشور مدونتنا السابق حول الإدارة المستمرة للتعرض للتهديدات في البيئات الصناعية من هنا.

الآليات التشغيلية: سرقة الهوية مقابل استغلال الأنظمة

في رأيي، فإن أهم التفاصيل التي كشف عنها مكتب المدعي العام الليتواني هي أن المهاجمين تجاوزوا الخط الأمني الدفاعي للدولة باستخدام بيانات اعتماد تسجيل دخول حقيقية لمؤسسات مرخص لها. هذا اتجاه يجب أن يقلق المدافعين عن الأمن السيبراني في كل مكان.

• ما يسمى بالجمع "البطيء والمنخفض" (low and slow): يشير هذا إلى أن المهاجمين لم يستغلوا ثغرة برمجية حديثة (zero-day). بل أمضوا على الأرجح أشهرًا في إجراء عمليات التصيد الاحتيالي، واختطاف الجلسات، وشراء بيانات الاعتماد المسروقة التابعة لموظفين بلديين، أو كتاب عدل، أو مستخدمين مؤسسيين يصلون إلى السجل قانونيًا بشكل يومي. حيث كانوا يبنون شبكة من المعلومات حول الهدف على مر السنين. وتُظهر هذه المستويات من الصبر مدى اهتمام ومثابرة هؤلاء الفاعلين المدعومين من الدولة في اختراق مركز سجلات الدولة في ليتوانيا.  

• عنصر التخفي: من خلال التخفي في شكل كيانات مؤسسية مصرح لها، نجح المهاجمون في تقليل تنبيهات حركة المرور الشاذة وإبقاء عملياتهم بعيدة عن الرادار. وعلى مدى فترة من الزمن، سمح ذلك بتنفيذ عملية جمع بيانات ضخمة طالت 600,000 سجل، وهو ما يعادل تقريبًا 20 بالمئة من إجمالي سكان ليتوانيا البالغ عددهم 2.9 مليون نسمة، بهدوء تام قبل اكتشافها. ويشير حجم السجلات التي تم الوصول إليها إلى نشاط تعداد واسع النطاق يحمل قيمة استخباراتية محتملة على مستوى الدولة بأكملها. كما يؤكد هذا على مستوى التأثير البالغ الذي تركه هذا الاختراق على ليتوانيا.

الاستهداف الاستراتيجي: تقاطع بيانات الشركات والعقارات

تستهدف اختراقات البيانات التقليدية عادةً البيانات المالية (بطاقات الائتمان)، أو الملكية الفكرية للشركات، أو بيانات الموظفين، أو معلومات الهوية الشخصية (PII) لسرقة الهوية. لكن هذا الهجوم استهدف قاعدتي بيانات حكوميتين محددتين: العقارات والكيانات القانونية. وعلينا إيلاء المزيد من الاهتمام لهذا الجزء من الاختراق.

عند مطابقة هذا الاختراق مع متطلبات جهاز استخبارات معادٍ، فإن هذا المزيج المحدد يمنح المخترق نتائج تشغيلية قوية للغاية:

الاستطلاع التشغيلي

كما ذكر السياسي المعارض لوريناس كاسشيوناس، فإن الربط المتقاطع لسجلات العقارات يتيح للخصم الكشف عن العناوين السكنية الفعلية لكل من:

• ضباط الاستخبارات

• الأفراد العسكريين وحرس الحدود

• الدبلوماسيين والشخصيات السياسية الرئيسية

• معلومات استخدام الأراضي

• التحقق من صحة معلومات مسروقة إضافية

من خلال تتبع سجلات الملكية، يمكن لجهة فاعلة تابعة لدولة أجنبية بناء خريطة مادية دقيقة لجهاز الدفاع الوطني بأكمله في ليتوانيا. ويمكن بعد ذلك استخدام هذه المعلومات لبناء خريطة للأهداف يمكن للدولة المارقة استخدامها في أوقات الصراع أو حتى لتحديد واستهداف أي مواطن محل اهتمام.

هناك العديد من النقاط التي يمكن لمثل هذه البيانات توفيرها، ويمكن لوكالة استخبارات بعد ذلك ربط هذه النقاط ببعضها واستخدام المعلومات لتحقيق أهداف متنوعة.

رسم خرائط الشركات وسلاسل التوريد

من خلال الاستعلام عن قاعدة بيانات الكيانات القانونية، تكتسب جهة التهديد رؤية واضحة وعالية المستوى للملكية النفعية، وهياكل الشركات، والعلاقات البينية، وشبكات الخدمات اللوجستية المحلية. وتقع هذه البيانات في صميم النظام الاقتصادي ليتوانيا.

في سيناريوهات الأزمات، يمكن استخدام هذه البيانات لتحديد نقاط الفشل الفردية في سلاسل التوريد الوطنية، وموردي البنية التحتية الحيوية، وشركات التكنولوجيا ذات الاستخدام المزدوج. ويمكن بعد ذلك استهداف هذه النقاط لإثارة أزمات وضغوط اقتصادية.

استهداف الاستخبارات البشرية (HUMINT)

إن معرفة ما يملكه شخص ذو قيمة عالية، ومن يشاركونه التوقيع، وأصول شركته، والتزاماته المالية يوفر أساسًا مرجعيًا لعمليات الابتزاز، والضغط، والتجنيد.

البوتقة الجيوسياسية: الحرب الهجينة على خط مواجهة البلطيق

لا يمكن فصل توقيت هذا الحادث والتركيز الجغرافي عليه عن الاحتكاكات الحركية وغير الحركية الأوسع التي تشهدها أوروبا، وتحديدًا منطقة البلطيق.

[اختراق الأمن السيبراني التقليدي]

       │ (يتطور عبر التوتر الجيوسياسي)

       ▼

[محفز الحرب الهجينة] ───► التخريب والترهيب المادي والتجسس

لقد وضعت ليتوانيا نفسها كواحدة من أعلى الأصوات المنتقدة للقوى التحريفية الشرقية، مما جعلها مختبرًا رئيسيًا للحرب الهجينة الحديثة. ويسد هذا التسريب الفجوة بين المجالين الرقمي والمادي بثلاث طرق متميزة:

• العمل المشترك مع التخريب المادي: شهدت منطقة البلطيق مؤخرًا طفرة في العمليات الهجينة المادية التي ترعاها الدول، والتي تتراوح بين التشويش الغامض على نظام تحديد المواقع العالمي (GPS) واستفزازات الطائرات بدون طيار بالقرب من حدود بيلاروسيا، إلى الحرائق العمد وأعمال التخريب المنظمة في عواصم الاتحاد الأوروبي. تحول بيانات السجلات الممنهجة السجلات الرقمية إلى ثغرات مادية، مما يغذي المخربين على الأرض ببيانات وتفاصيل دقيقة للمواقع.

• عتبة عدوان "المنطقة الرمادية": تقع الإجراءات السيبرانية التي لا تدمر البنية التحتية الحيوية (مثل إيقاف تشغيل شبكة الكهرباء بالكامل) بشكل صارم ضمن "المنطقة الرمادية". وهي مصممة لإضعاف الأمن القومي بمرور الوقت مع البقاء دون العتبة التي قد تستدعي استجابة دفاع جماعي موحدة بموجب المادة 5 من معاهدة الناتو.

• زعزعة الثقة: توضح الاستقالة السريعة لأدريوس جوساس، رئيس مركز السجلات الحكومية، أن المهاجمين حققوا هدفًا استراتيجيًا رئيسيًا قبل استخدام البيانات المسروقة؛ ألا وهو تقويض الثقة المؤسسية. إن فرض تغييرات قيادية في الهيئات الحكومية الرئيسية خلال فترة من التوتر الإقليمي المرتفع يضعف استقرار القيادة المحلية.

الظل الروسي

على الرغم من عدم وجود تأكيد رسمي يربط حتى الآن اختراق السجلات في ليتوانيا بموسكو، إلا أن العملية تتماشى مع عدة أنماط استراتيجية ارتبطت تاريخيًا بالأنشطة السيبرانية والهجينة الروسية في منطقة البلطيق. على مدار العقدين الماضيين، واجهت دول البلطيق مرارًا وتكرارًا حملات ضغط سيبرانية مصممة ليس فقط لجمع المعلومات الاستخباراتية، بل وأيضًا لاختيار المرونة السياسية وسرقة البيانات وتقويض الثقة المؤسسية وإبراز النفوذ الاستراتيجي.

بدءًا من هجمات حجب الخدمة الموزعة ضد إستونيا في عام 2007 عقب نزاع الجندي البرونزي، وصولاً إلى حملات التجسس المستمرة التي تستهدف قطاعات الحكومة والدفاع والخدمات اللوجستية والطاقة في ليتوانيا ولاتفيا وإستونيا، ركزت العمليات المرتبطة بروسيا باستمرار على جمع المعلومات الاستخباراتية طويلة المدى بدلاً من أي تعطيل فوري. وفي هذا السياق، يمكن للوصول إلى سجلات العقارات والكيانات القانونية أن يدعم أهدافًا أوسع مثل رسم خرائط الشبكات السياسية والعسكرية، وتحديد التبعيات الاقتصادية الاستراتيجية، وتمكين عمليات التأثير والتجنيد، وتعزيز الوعي الظرفي للأنشطة الهجينة المستقبلية، سواء كانت سيبرانية أو معلوماتية أو مادية. ولا تكمن قيمة هذه البيانات في السجلات المسروقة نفسها، بل في قدرتها على تحويل المعلومات العامة والمؤسسية المفككة إلى معلومات استخباراتية قابلة للتنفيذ على مستوى الدولة.

التداعيات الدفاعية والخطوات التالية

تمثلت الاستجابة الفورية من فيلنيوس في حظر الحسابات المخترقة وفرض إعادة تعيين كلمات المرور بشكل إلزامي. هذا إجراء مؤقت وضروري، لكنه يعالج الأعراض فقط.

بالنسبة لدولة تعمل تحت تهديد مستمر من الحرب الهجينة، يجب أن تتحول المعالجة طويلة المدى من الدفاع السلبي عن الحدود السيبرانية إلى هندسة بنية تحتية هجومية قائمة على مبدأ انعدام الثقة المطلق (Zero-Trust). لم يعد من الممكن الوثوق بالمستخدمين المؤسسيين المصرح لهم بناءً على بيانات الاعتماد الصالحة وحدها؛ بل أصبحت المراقبة المستمرة للسلوك، والمصادقة المرتبطة بالأجهزة، وتحديد معدل نقل البيانات محليًا (لمنع الكشط الجماعي للبيانات) مكونات إلزامية للدفاع الوطني في الخطوط الأمامية.

موارد إضافية      

معيار IEC 62443 - الدليل العملي لأمن تكنولوجيا العمليات OT/ICS وإنترنت الأشياء الصناعي IIoT من هنا
أدلة معالجة وتصحيح الثغرات من هنا 
دليل جرد أصول تكنولوجيا العمليات OT وإدارة الأجهزة لتحسين الأمان من هنا
حقيبة تدريب التوعية بأمن أنظمة التحكم الصناعي ICS للمشغلين من هنا
قائمة مراجعة إدارة المخاطر السيبرانية من هنا