القصة التي نشرها مكتب المفتش العام لوكالة NASA يجب أن تقلق كل مؤسسة تمتلك معرفة حساسة أو شيفرة برمجية أو برمجيات أو تصاميم هندسية أو معلومات تجارية ذات قيمة.
وفقاً للنشر، انتحل مواطن صيني يُدعى Song Wu لسنوات صفة مهندسين وباحثين وأساتذة أمريكيين، وتواصل مع موظفي NASA وباحثين في الأوساط الأكاديمية وأفراد عسكريين وشركات خاصة. لم يكن هدفه الحصول على كلمة مرور لحساب. لقد طلب شيئاً أبسط بكثير وأخطر بكثير: نسخاً من برمجيات وشيفرة مصدرية وأدوات هندسية حساسة يمكن استخدامها في التصميم الجوي وتطوير منظومات الأسلحة.
وهذا هو بيت القصيد تماماً.
في كثير من المؤسسات، عندما يسمع الناس كلمة 'التصيّد الاحتيالي'، يفكرون فوراً في رسالة بريد إلكتروني تحتوي على رابط مشبوه، أو موقع مزيف، أو طلب لإدخال كلمة مرور.
لكن في الحالات الأكثر تطوراً، لا يبدو التصيّد الاحتيالي كهجوم سيبراني. بل يبدو كطلب مهني مشروع من شخص معروف. 'أرسل لي الشيفرة من فضلك'. 'أحتاج إلى أحدث نسخة من البرنامج'. 'مرّر لي الملف، أنا أعمل عليه مع الفريق'.
لا يشعر الضحية بأنه يقع في هجوم. بل يشعر بأنه يساعد زميلاً.
وهذا هو الخطر بالضبط.
الخطأ المهني الذي أراه مراراً وتكراراً هو أن المؤسسات تتعامل مع هذا التهديد كمشكلة تكنولوجية فحسب. لكن في هذه الحالة، لم يكن الضعف المركزي في النظام وحده. بل كان في الثقة الإنسانية، وفي ثقافة العمل، وفي غياب آلية واضحة تُلزم بالتوقف والتحقق قبل خروج المعلومات الحساسة.
من وجهة نظري، هناك عدة دروس مهمة هنا.
ليس كل طلب يأتي من شخص 'معروف' يأتي منه فعلاً.
ليست كل مشاركة للمعلومات بين الزملاء فعلاً بريئاً، خاصة عندما يتعلق الأمر بشيفرة أو برمجيات أو مخططات أو بيانات أو نماذج أو بنى تحتية.
يجب على الموظفين أن يعرفوا كيف يتعرفون ليس فقط على الروابط المشبوهة، بل أيضاً على الطلبات غير المعتادة: طلبات متكررة للبرنامج نفسه، غياب تفسير لسبب الحاجة إلى المعلومات، تغيير مفاجئ في وسيلة الدفع أو التحويل، استخدام قنوات غير معتادة، أو ضغط لتمرير المواد دون عملية منظمة.
والأهم من ذلك: في مؤسسة جادة، لا ينبغي للموظف أن يقرر بمفرده ما إذا كان يجوز تمرير مواد حساسة إلى جهة أخرى، حتى لو بدت الجهة معروفة أو رفيعة المستوى أو مهنية.
يلزم إجراء. يلزم التحقق من الهوية. يلزم فحص الصلاحيات. يلزم فهم لقيود التنظيم والتصدير والسرية والملكية الفكرية. ويلزم ثقافة لا يُنظر فيها إلى التوقف للتحقق على أنه بيروقراطية، بل كجزء من المسؤولية المهنية.
قصة NASA تذكير حاد بأن التهديد الداخلي لا يبدأ دائماً من موظف خبيث. أحياناً يبدأ من موظف جيد ومهني يريد المساعدة، لكنه لا يدرك أنه يُستغل.
وقد يكون هذا أحد أخطر التهديدات على الإطلاق: حصان طروادة بشري لا يعرف أنه كذلك.