عندما يكذب النظام: درس في الثقة والتقنية وسلوك البشر

أحيانًا أكثر دروس الأمن السيبراني إثارة لا تحدث أثناء اختبار اختراق، أو اكتشاف ثغرة، أو مؤتمر أمني. أحيانًا تحدث وأنت ببساطة تحاول شراء تذكرة سفر.

تذكرة عودة إلى بغداد

خلال إحدى رحلاتي إلى دولة لن أذكر اسمها، كنت أحاول شراء تذكرة للعودة إلى العراق. وكما هو طبيعي أثناء السفر، لم أكن أعرّف عن نفسي على أنني مبرمج أو باحث أمني، بل كنت مجرد زبون يريد شراء تذكرة والعودة إلى بلده.

قررت في ذلك اليوم ألا أشتري التذكرة عن طريق التطبيقات، وذهبت بدلًا من ذلك إلى مكتب خاص ببيع التذاكر، رغبةً مني في التعامل مع مكتب مرخص. طلبت من الموظف تذكرة إلى بغداد في تاريخ ووقت محددين. فتح الموظف الحاسوب وأخبرني أن آخر ثلاثة مقاعد متبقية.

لكنني لاحظت شيئًا غريبًا. الوجهة الظاهرة أمامي لم تكن بغداد، وإنما كانت النجف.

سألته عن السبب، فأجابني بأن النظام لم يتحدث بعد، وأن الأمر طبيعي. لكن هذا التفسير لم يكن مقنعًا بالنسبة لي. نحن نتحدث عن نظام حجز إلكتروني يتعامل مع معلومات الرحلات والوجهات والتواريخ والمقاعد المتاحة. فإذا كان النظام يعرض وجهة معينة بينما الموظف يخبرني بأن التذكرة لبغداد، فهناك بالفعل مشكلة في الثقة بالمعلومات المعروضة.

قلت له بوضوح: إذا لم أرَ كلمة بغداد أمامي في النظام، فلن آخذ التذكرة. ثم غادرت المكتب، واعتقدت أن الموضوع انتهى.

ما رأيته من خلف الباب الزجاجي

لكن أبواب المكتب كانت زجاجية، وبعد أن خرجت التفتُّ بالصدفة إلى الداخل وأنا أتحدث مع صديقي الذي كان معي. كنت على وشك أن أخبره بأنني أعتقد أن الموظفين يحاولون تضليلنا، لكنني لاحظت شيئًا غير متوقع.

كان الموظف يستخدم أدوات المطور "فحص العنصر" الموجودة في المتصفح، ويقوم بتغيير النص الظاهر في صفحة الويب، حيث استبدل كلمة "النجف" بكلمة "بغداد" مباشرة من داخل المتصفح.

ما تم وصفه لي على أنه تحديث للنظام لم يكن في الحقيقة تحديثًا لبيانات الحجز، وإنما مجرد تعديل لما يظهر على الشاشة.

يبدو أن الافتراض كان أن الزبون سيرى الكلمة الجديدة ويعتبرها دليلًا على أن المشكلة قد حُلت. لكن ما لم يعرفوه هو أن الشخص الذي يقف أمامهم يفهم تمامًا ما الذي يحدث.

بعد لحظات، بدأوا ينادونني ويشيرون إلى الشاشة، وكأنهم يريدون أن يقولوا لي: "انظر الى هذا, اصبحت بغداد!!" عدت إلى داخل المكتب، ابتسمت، ثم خرجت. لم أحتج إلى الجدال معهم، لأن الشاشة كانت قد أخبرتني بكل ما أحتاج إلى معرفته.

الأداة لم تكن هي المشكلة

الجزء المثير للاهتمام في هذه الحادثة هو أن أدوات المطور في المتصفح لم تكن هي المشكلة. هذه الأدوات مشروعة وأساسية ويستخدمها المطورون والمختبرون والمصممون والباحثون الأمنيون يوميًا. كما أن تغيير النص محليًا داخل المتصفح ليس بحد ذاته هجومًا إلكترونيًا متقدمًا.

المشكلة الحقيقية كانت استخدام هذا التغيير البصري لصناعة انطباع بأن معلومات رسمية قد تغيرت.

إن ما يظهر على شاشة الحاسوب ليس بالضرورة دليلًا على أن المعلومات الموجودة في قاعدة البيانات أو نظام الحجز أو النظام الخلفي تحمل البيانات نفسها. العميل يرى واجهة، بينما النظام الموثوق يجب أن يضمن أن المعلومات المهمة مرتبطة ببيانات رسمية ويمكن التحقق منها بشكل مستقل عند الحاجة.

وهنا يلتقي الجانب التقني مع الهندسة الاجتماعية. الموقف لم يحتج إلى برمجية خبيثة أو استغلال خادم أو هجوم متقدم. كل ما احتاج إليه هو افتراض بسيط: أن الزبون سيصدق ما يظهر أمامه على الشاشة.

وهذا الافتراض قد يكون أقوى مما نتوقع.

الافتراض عن الزبون

ربما أكثر ما أثار استغرابي في التجربة هو الاعتقاد بأن الزبون لن يفهم ما يحدث. التقنية أصبحت جزءًا من حياتنا اليومية، والشخص الذي يجلس أمامك قد يكون مبرمجًا، أو مسؤول أنظمة، أو باحثًا أمنيًا، أو مهندسًا، أو ببساطة شخصًا لديه معرفة جيدة بكيفية عمل تطبيقات الويب.

وحتى عندما لا يمتلك العميل أي معرفة تقنية، فهذا لا يجعل الخداع مقبولًا. الخدمة المهنية لا ينبغي أن تعتمد على جهل العميل بالتقنية المستخدمة.

عملية حجز التذاكر الموثوقة لا ينبغي أن تعتمد فقط على ما يستطيع الموظف عرضه بصريًا داخل المتصفح. المعلومات المهمة في الحجز يجب أن تكون مدعومة بسجلات رسمية، ومن الأفضل أن يستطيع العميل التحقق منها بشكل مستقل من خلال رقم حجز، أو تذكرة رسمية، أو تفاصيل الرحلة، أو أي وسيلة موثوقة أخرى للتحقق.

الأمن يعتمد أيضًا على الثقة

الدرس الأوسع من هذه الحادثة هو أن الأمن السيبراني لا يتعلق فقط بكلمات المرور والتشفير والثغرات والبرمجيات الخبيثة والجدران النارية. الأمن يعتمد أيضًا على الثقة.

عندما يشتري شخص تذكرة سفر، فهو يضع ثقته في الموظف والشركة ونظام الحجز والمعلومات التي يتم عرضها أمامه. وإذا أمكن التلاعب بأي جزء من هذه السلسلة مع إبقاء العميل مقتنعًا بأن كل شيء شرعي، فإن الأمان العملي للعملية بأكملها يصبح أضعف.

بالنسبة لي، لم تكن الحادثة في النهاية مجرد تغيير كلمة "النجف" إلى "بغداد". هذا كان الجزء الأسهل. المشكلة الأهم كانت الافتراض الذي يقف خلف هذا التصرف: "إذا بدت المعلومة حقيقية على الشاشة، فسيصدقها الزبون."

في عالم أصبح رقميًا بشكل متزايد، لم يعد هذا الافتراض موثوقًا كما كان. وربما أبسط درس يمكن استخلاصه من هذه التجربة هو: لا تخلط بين ما تعرضه الشاشة وبين ما يعرفه النظام فعلًا.