التعافي من هجوم فدية: كيف عادت شركة تصنيع خليجية إلى العمل خلال ستة أيام

دفع الفدية، أو إعادة البناء من أرضٍ نظيفة. بحلول صباح اليوم الثاني لم يبقَ في القاعة سوى هذا السؤال؛ فالمصنعان متوقفان، ودفعة الرواتب مستحقة يوم الخميس، والمهاجمون وضعوا مؤقتاً من 72 ساعة على مطلبهم. نصحنا بعدم الدفع، لا انطلاقاً من المبدأ وحده، بل لأن الأدلة أمامنا كانت تقول إن إعادة البناء ستعيدنا إلى العمل أسرع من الاعتماد على أداة فك تشفير بيد مجرم.

ما يلي رواية تمثيلية، أبقينا فيها اسم العميل وتفاصيله الدالة غامضةً عن قصد. غير أن ملامحها مألوفة؛ فقد رأيناها أكثر من مرة في القطاع الصناعي بالمنطقة، والطريق إلى الخروج منها أكثر قابلية للتكرار مما تظنّه معظم مجالس الإدارة.

الوضع

عميلنا شركة تصنيع متوسطة الحجم؛ نحو 400 موظف موزعين على مصنعين في الخليج، تُشغّل مزيجاً من نظام ERP حديث وأنظمة أقدم على أرضية الإنتاج تراكمت عبر خمسة عشر عاماً. ظهر الاختراق ليلاً: خوادم الملفات، والأقراص المشتركة، وقاعدة بيانات ERP الرئيسية جميعها مشفّرة، ومذكرة فدية على كل سطح مكتب، وجدول الإنتاج اختفى معها. وبما أن استقبال الطلبات والشحن والمخزون تمر جميعها عبر النظام نفسه، توقّف الموقعان فعلياً خلال ساعات.

التحدي

لم يكن التشفير نفسه هو الجزء الصعب، بل حالة عدم اليقين. فالنسخ الاحتياطية الليلية كانت متاحةً من الشبكة ذاتها التي عبرها المهاجمون، ولذلك أصاب التشفير بعضها أيضاً، ولم يكن بمقدور أحد أن يجزم أيّ نقاط الاستعادة نظيفة. لم نكن نعرف بعد كيف دخل المهاجمون، ولا كم من الوقت مكثوا في الداخل، ولا إن كان لهم موطئ قدم لا يزال قائماً. الاستعادة العمياء كانت تعني احتمال تسليم الإنتاج إليهم من جديد. ومطلب الفدية، المستحق بعملة رقمية، كان يحمل ضغط 72 ساعة الخاص به. حسن الاختيار كان يعني السرعة، لكن دون تهوّر.

منهجنا

نتّبع التسلسل نفسه في كل حادثة جادّة؛ فالانضباط أهم من الأدوات.

الاحتواء قبل لمس أي شيء

قبل استعادة أي خادم، عزلنا شبكتي الموقعين، وقطعنا الوصول عن بُعد، وفرضنا إعادة تعيين كل صلاحية مميّزة. لا يمكن التعافي داخل بيئة لا يزال المهاجم يسيطر عليها.

ترسيخ الحقيقة الأساسية

بالتوازي، نشرنا وكيل EDR على كامل الأجهزة، وجمعنا ما نجا من السجلات في نظام SIEM مؤقت. أعطانا ذلك خطاً زمنياً: موطئ القدم الأول، وبيانات اعتماد VPN مسروقة دون MFA، ومدة مكوث تُقاس بالأيام لا بالأشهر. ومعرفة تاريخ الدخول دلّتنا على النسخ الاحتياطية السابقة للاختراق.

الاستعادة بترتيب الأولوية

حدّدنا الحد الأدنى من الأنظمة اللازمة لصناعة المنتج وشحنه — نواة ERP، والمصادقة، وحفنة من اعتماديات أرضية الإنتاج — واستعدناها أولاً على خوادم أُعيد بناؤها وتحصينها، بدل محاولة إصلاح كل شيء دفعة واحدة.

إعادة بناء الهوية، لا الخوادم فحسب

تعاملنا مع طبقة الهوية باعتبارها مسرح الجريمة الحقيقي: حسابات مسؤول نطاق جديدة، وMFA على كل مسار بعيد وإداري، ووصول متدرّج بحيث لا تستطيع كلمة مرور واحدة مسروقة أن تبلغ كل شيء مرة أخرى.

ما الذي فعلناه

ذهب اليومان الأولان إلى الاحتواء والتحليل الجنائي — عمل غير برّاق، وهو تحديداً الجزء الذي يتوق كل واقعٍ تحت الضغط إلى تخطيه. بحلول اليوم الثالث كانت لدينا نقطة استعادة نثق بها، أقدم من الهجوم بيوم تقريباً، وبدأنا بإعادة نواة ERP على أجهزة نظيفة. في اليوم الرابع عاد أول خط إنتاج للعمل بوظائف محدودة، والموظفون يعملون بجداول مطبوعة ريثما نتحقق من البيانات. وفي اليوم الخامس لحق به المصنع الثاني، وصار لدينا EDR وتسجيل مركزي يراقبان كل ما استعدناه. أما اليوم السادس فكان للتحصين والتسليم: فرض MFA في كل مكان، ونقل النسخ الاحتياطية خارج شبكة الإنتاج إلى نسخ غير قابلة للتعديل ومعزولة، ودليل تشغيل مكتوب ليتمكن فريق العميل من متابعة الطريق بنفسه. لم ندفع قط، ولم نحتج يوماً إلى مفتاح المهاجم.

النتيجة

ستة أيام من مصنعين متوقفين إلى موقعين ينتجان مدةٌ سريعة لحادثة بهذا الحجم، والسبب الصادق ليس البطولة — بل أننا أنفقنا الساعات الثماني والأربعين الأولى على الأدلة بدل الأمل. كانت البيانات المستعادة أقدم بيوم تقريباً، وهي خسارة استوعبها العمل بإعادة إدخال معاملات يوم واحد يدوياً. والأهم من السرعة هو ما تغيّر في الأساس: الهجوم نفسه، لو جُرّب بعد شهر، كان سيصطدم ببيئة مبنيّة لاحتوائه.

ما الذي صنع الفارق

• النسخة الاحتياطية التي لم تستعِدها قط أملٌ لا خطة. كانت لدى العميل نسخ احتياطية؛ ما نقصه هو إثبات أنها تعمل وأنها بعيدة عن متناول المهاجم. اختبِر الاستعادة، واحتفظ بنسخة واحدة على الأقل معزولة وغير قابلة للتعديل.
• الهوية هي المحيط الأمني. حساب VPN واحد بلا MFA فتح البيئة كلها. استعادة الخوادم دون إعادة بناء الهوية كانت ستستعيد الثغرة نفسها بأمانة.
• في الساعة الأولى، الخوف هو الخصم. ضغط الدفع مصمَّم بعناية. شراء يومين للتحليل الجنائي بدا مكلفاً، وتبيّن أنه أسرع طريق للعودة.

ما زالت الشركة تصنع المنتجات نفسها في المصنعين نفسيهما. الفارق أن الليلة السيئة صارت اليوم قابلة للإدارة — وهذا، أكثر من أي ضابط أمني منفرد، هو ما تبدو عليه المرونة فعلاً.