في فبراير الماضي، لجأ أحد موظفي context.ai إلى تثبيت ملف صغير يعرف باسم Roblox Cheat لتحسين تجربة ألعاب Roblox. هذا نوع من البرامج يلجأ إليه بعض المستخدمين للحصول على مزايا غير قانونية داخل الألعاب، مثل كسر القيود أو اللعب في مستويات مدفوعة الأجر أو التلاعب بقواعد اللعبة.
لكن هذا الملف لم يكن مجرد أداة غش تقليدية. وكان يحتوي سابقًا على برنامج سرقة خبيث يمكنه سرقة بيانات الاعتماد وملفات تعريف الارتباط والجلسات النشطة من الجهاز المصاب، ويبدأ حاليًا الخطوات الأولى في سلسلة الهجمات الإلكترونية التي أثرت سلبًا على عدد كبير من مواقع الويب والتطبيقات.
نجحت البرمجيات الخبيثة المخفية في ملف Roblox Cheat؛ عند الوصول إلى البيانات الحساسة على جهاز أحد الموظفين، تضمنت الرموز المستخدمة لتشفير المحتوى جلسات المستخدم وبيانات اعتماد تسجيل الدخول، مما يمنح المهاجمين القدرة على التسلل إلى الشركة الرقمية context.ai دون الحاجة إلى كلمات مرور تقليدية.
ومثلت هذه النقطة “الضربة الأولية” التي أعقبتها سلسلة من الاختراقات التي توسعت لاحقا لتشمل واحدة من أبرز منصات النشر السحابي في العالم، وهي منصة Vercel، معترفة بتعرضها للاختراق وتسريب بعض بيانات عملائها.
نقطة ضعف
لم يكن context.ai مجرد هدف عابر: فقد عرضت الشركة أدوات تحليلية تعتمد على الذكاء الاصطناعي، متصلة عبر OAuth بحسابات النظام الأساسي السحابي Google Workspace للخدمات المكتبية لعملائها، بما في ذلك موظفو Vercel، لكن هذا النوع من التكامل، الذي من المفترض أن يسهل العمل ويزيد الإنتاجية، تحول في هذه الحالة إلى ممر مخفي داخل شبكة الثقة بين الأنظمة المختلفة.
وفي أوائل شهر مارس من العام الماضي، أساء المهاجمون استخدام الوصول إلى context.ai للتقدم إلى المرحلة التالية؛ لقد تمكنوا من الوصول إلى حساب أحد موظفي Vercel عبر تطبيق OAuth المرتبط بـ Google Workspace.
لا يعتمد هذا النوع من الوصول على كلمة المرور، ولا يتأثر بتغييرها، وغالبًا ما يتم منحه امتيازات واسعة، بما في ذلك البريد الإلكتروني والملفات والتقويمات. وهنا لم يكن على المهاجم أن “يخترق” بالمعنى التقليدي للكلمة، بل كان يتحرك داخل نظام منحه بالفعل صلاحيات موثوقة.
اختراق إلى القلب
وبعد السيطرة على حساب Google Workspace الخاص بموظف Vercel، بدأت مرحلة التوسع داخل الأنظمة الداخلية للشركة، وكما أكد Vercel لاحقًا، تمكن المهاجم من الوصول إلى بعض أقسام العمل الداخلية، مستفيدًا من سلسلة من التحركات بدءًا من الحساب المخترق.
لم يتم الكشف بعد عن التفاصيل الدقيقة لكيفية حدوث هذا التحول، ولكن نتيجة التحول كانت واضحة: الوصول الفعلي إلى طبقة حساسة داخل Vercel.
أسرار الأهداف
وفي هذه المرحلة، بدأ المهاجم باستهداف ما يسمى بمتغيرات البيئة ضمن مشاريع Vercel، والتي تستخدم لتخزين مفاتيح API وبيانات اتصال قاعدة البيانات وأسرار المصادقة، أي أنها تمثل مفاتيح التشغيل الفعلية للتطبيقات.
وبحسب تصريحات فيرسيل، تمكن المهاجم من الوصول إلى متغيرات لم تكن مصنفة ضمن البيانات الحساسة، وهي الفئة التي يمكن قراءتها من خلال الأنظمة الداخلية ولوحة التحكم.
ثغرة في التصميم
وهنا تكمن إحدى أخطر نقاط الضعف التي كشفتها الحادثة. تم تشفير المتغيرات عند تخزينها، لكن آلية النظام سمحت بفك تشفير المتغيرات غير الحساسة وعرضها عند الضرورة.
بمعنى آخر، لم يكن الخلل في غياب التشفير، بل في تصميم آلية الأمان التي تترك إمكانية الحماية الإضافية في يد المستخدم، دون تفعيلها افتراضيًا. وهذا يسمح لأي مهاجم يتمكن من الوصول إلى الأنظمة الداخلية بقراءة هذه البيانات بسهولة.
اختراق كامل للشبكة
مع زيادة إمكانية الوصول، لم يعد الخطر يقتصر على شركة Vercel نفسها: يمكن لمتغير بيئي واحد أن يحمل مفتاح خدمة خارجية أو قاعدة بيانات أو نظام دفع أو منصة ذكاء اصطناعي.
يُعرف هذا بتأثير “هجوم سلسلة التوريد”، حيث يتحول اختراق إحدى المنصات إلى سلسلة من نقاط الدخول لأنظمة أخرى.
في أبريل من هذا العام، جاءت أول علامة عامة على أن شيئًا ما يحدث خلف الكواليس عندما أبلغ أحد عملاء Vercel أنه تلقى تحذيرًا من OpenAI بأن مفتاح API الخاص به قد تم تسريبه، على الرغم من أنه لم يكن يستخدم هذا المفتاح خارج Vercel.
وبعد عشرة أيام، أكدت Vercel في نشرتها الأمنية أنه كان هناك وصول غير مصرح به إلى بعض أنظمتها الداخلية، وربطت الحادثة مباشرة باختراق context.ai.
وفي نفس اليوم، أعلن الرئيس التنفيذي غييرمو راوخ؛ تفاصيل تسلسل الهجوم، مشيرة إلى أن المهاجم كان “كفؤا للغاية” ويتحرك بسرعة ملحوظة.
ما الذي تم اختراقه بالفعل؟
وأوضحت الشركة أن التأثير أثر على “مجموعة محدودة” من العملاء، وأنه اقتصر على المتغيرات البيئية غير المصنفة على أنها حساسة، مؤكدة أنه لا يوجد دليل حتى الآن على تعرض المتغيرات الحساسة للخطر، كما بدأت على الفور التواصل مع العملاء المتأثرين وتقديم تعليمات لتغيير المفاتيح ومراجعة الأنشطة.
وفي الأيام التالية، واصلت شركة Vercel تحديث موقفها، مؤكدة أنها تحقق بالتعاون مع شركات الأمن وجهات إنفاذ القانون، واتخذت خطوات لتحسين المنصة، أبرزها تغيير إعدادات جميع المتغيرات البيئية إلى “حساسية عالية” افتراضيًا.
في الوقت نفسه، اعترف موقع context.ai بحدوث اختراق للبنية التحتية السحابية الخاصة به وأن بعض رموز OAuth ربما تكون قد سُرقت واستخدمت للوصول إلى حسابات العملاء.
أزمة الإيمان الأعمى
لا تتعلق القصة في الأساس بثغرة تقنية غير مسبوقة، بل تتعلق بسلسلة من الثقة غير المرئية بين الأنظمة، بدءًا من الموظف الذي قام بتحميل ملف غير موثوق به، إلى تطبيق OAuth الذي يمنح امتيازات أوسع من المتوقع، إلى منصة تعتمد على متغيرات بيئية غير آمنة لتخزين أسرارها.
لذا فإن الهجوم لم يكن نتيجة أداة فائقة أو ثغرة أمنية معقدة محصلتها صفر، بل كان نتيجة تداخل بين سهولة الاستخدام والثقة في عمليات التكامل الرقمي، وهي معادلة تبدو اليوم بمثابة بوابة مفتوحة لهذه الأنواع من الهجمات.
